È di questi giorni la notizia, rimbalzata su diverse testate giornalistiche e sui social networks, che il colosso Meta, a partire dalla fine di maggio, utilizzerà le informazioni personali pubbliche degli utenti, presenti sulle proprie piattaforme (Facebook, Instagram e su Whatsapp), per migliorare l’addestramento dei propri modelli generativi, al fine di sviluppare e migliorare i sistemi di AI.

Meta dichiara che non rientreranno tra i dati oggetto di addestramento quelli riferiti ad utenti minorenni. Tuttavia, non è chiaro cosa avvenga delle informazioni di under 18 (si pensi alle fotografie) pubblicate da utenti adulti.

È possibile contrastare quest’iniziativa del colosso americano esercitando il diritto di opposizione al trattamento, riconosciuto dall’art.21 del Regolamento europeo 2016/679 (GDPR).

Questa norma, infatti, attribuisce la possibilità all’interessato (in questo caso l’utente) di impedire che il titolare (dunque, Meta) tratti ulteriormente i dati personali.

Ecco, dunque, un esempio concreto di come la regolamentazione europea in materia di protezione e libera circolazione dei dati personali interviene fronteggiando lo strapotere delle Bigtech, impedendo che le ragioni economiche e di business comprimano i diritti e le libertà individuali.

Peraltro, come correttamente evidenziato dal comunicato stampa rilasciato dall’Autorità garante per la protezione dei dati personali il 29.04.25 (doc-web 10125702), “il diritto di opposizione è esercitabile anche nei confronti di altri sistemi di IA come ad es. OpenAI, DeepSeek, Google”. Per la lettura integrale del comunicato è possibile seguire questo link https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10125702.

Come opporsi a Meta

Ciascun utente ha la possibilità di impedire che il trattamento avvenga, compilando i moduli messi a disposizione dal fornitore:

– per Facebook( https://www.facebook.com/help/contact/712876720715583)

– per Instagram (https://help.instagram.com/contact/767264225370182).

Il diritto di opposizione è sempre ammesso, ma agendo prima della fine del mese di maggio 2025 è possibile ottenere un risultato più efficace.

E’ fondamentale comprendere gli impatti e le conseguenze del trattamento dei propri dati personali per l’addestramento di modelli di AI, tenendo conto che le caratteristiche e gli impieghi dei sistemi di oggi sono diversi da quelli che potrebbero avvenire domani.

Gli scenari sono molteplici e la prudenza, in questo caso, non è mai troppa.

L'articolo Meta addestrerà i modelli di AI con i dati degli utenti: come impedire che questo avvenga proviene da e-nomos.

Il d.lgs 138/2024 (c.d. NIS2) è la legge con cui l’ordinamento nazionale ha recepito la direttiva (UE) 2022/2555 recante misure per un livello comune elevato di sicurezza informatica.

Tutte le organizzazioni rientranti nell’ambito di applicazione della normativa hanno dovuto (o avrebbero dovuto), entro il 28 febbraio 2025 completare la registrazione sulla piattaforma messa a disposizione dalla Agenzia per la Cybersicurezza Nazionale (ACN), individuata quale Autorità nazionale competente NIS.

Ogni anno, successivo alla data di entrata in vigore del decreto (2024), dal 1° gennaio al 28 febbraio, tutti i soggetti rientranti nell’ambito di applicazione, devono aggiornare la propria registrazione.

L’ACN ha redatto l’elenco dei soggetti essenziali ed importanti, sulla base delle registrazioni effettuate dalle organizzazioni e, in questi giorni, sta inviando ad esse la comunicazione di conferma o meno della auto-qualifica NIS, nonché delle tipologie di soggetto.

I principali obblighi previsti dal decreto si riferiscono a:

• la registrazione e l’aggiornamento delle informazioni (articolo 7);
• gli organi di amministrazione e direttivi (articolo 23);
• gli obblighi in materia di misure di sicurezza informatica (articolo 24);
• gli obblighi in materia di notifica di incidente (articolo 25);
• per alcune tipologie di soggetti, gli obblighi in materia di banca dei dati di registrazione dei nomi di dominio (articolo 29);
• la categorizzazione delle attività e dei servizi (articolo 30).

La Determina 164179 del 14.04.25

Di assoluto rilievo questo provvedimento, che specifica il quadro applicativo per l’adempimento degli obblighi di base, tra i quali quelli relativi alle misure di sicurezza e alla notifica degli incidenti.

Gli allegati al provvedimento, di fondamentale importanza, sono scaricabili dal presente link https://www.acn.gov.it/portale/nis/la-normativa, nella parte in cui sono schematizzati i principali provvedimenti attuativi del d.lgs 138/2024.

In particolare:

• l’allegato 1 contiene le misure di gestione dei rischi per la sicurezza informatica dei soggetti importanti,
• l’allegato 2 contiene le misure di gestione dei rischi per la cybersecurity dei soggetti essenziali.  

Mentre, gli allegati 3 e 4 stabiliscono gli incidenti significativi, rispettivamente, per i soggetti importanti ed essenziali.

Termini

Le organizzazioni hanno 18 mesi, dalla ricezione della comunicazione da parte di ACN dell’inserimento nell’elenco dei soggetti NIS, per adottare le misure di sicurezza di base di cui agli allegati 1 e 2 mentre, sono 9 i mesi di tempo per adempiere all’obbligo di notifica degli incidenti significativi di base di cui agli allegati 3 e 4 (art.3 Determina 164179/25).

Nello stesso documento sono previsti regimi transitori per gli operatori di servizi essenziali (art.6) e operatori telco (art.7).

In conclusione

La timeline degli adempimenti relativi a questa seconda fase, come riportato sul sito dell’Agenzia, è la seguente:

• a partire da gennaio 2026: obbligo di notifica di base,
• entro aprile 2026: elaborazione e adozione del modello di categorizzazione delle attività e dei servizi,
• entro aprile 2026: elaborazione e adozione degli obblighi a lungo termine,
• entro settembre 2026: completa implementazione delle misure di sicurezza di base.

L'articolo NIS2 – Inizia la seconda fase: ecco cosa devono fare le aziende proviene da e-nomos.

• Agevolazioni del bando Digital Trasformation
• Chi può presentare la domanda
• Quali progetti possono essere finanziati
• In cosa consiste l’agevolazione
• Come presentare la domanda

Agevolazioni del bando Digital Trasformation

Con decreto del primo ottobre sono state definite le modalità di accesso alle agevolazioni, offerte dal bando sulla Digital Transformation, già previsto nel c.d. decreto crescita.
Lo scopo dell’intervento è sostenere la trasformazione tecnologica e digitale dei processi produttivi delle micro, piccole e medie imprese attraverso la realizzazione di progetti diretti all’implementazione delle tecnologie abilitanti, come individuate nel Piano Nazionale Impresa 4.0, e di altre tecnologie relative a soluzioni tecnologiche digitali di filiera.
Lo stanziamento economico ammonta a 100 milioni di euro.

Chi può presentare la domanda

Possono beneficiare delle agevolazioni le Pmi che operano in via prevalentemente nel settore manifatturiero e/o in quello dei servizi diretti alle imprese manifatturiere e/o nel settore turistico e/o nel settore del commercio, il cui ultimo bilancio approvato e depositato abbia un importo dei ricavi delle vendite e delle prestazioni pari almeno a euro 100mila euro.
Le Pmi possono presentarsi anche in gruppo, con un limite massimo di 10 aziende per raggruppamento presentando progetti realizzati attraverso lo strumento del contratto di rete o altre forme contrattuali di collaborazione

Quali progetti possono essere finanziati

I progetti devono essere realizzati nell’ambito di una unità produttiva dell’impresa e devono prevedere un importo di spesa non inferiore a euro 50mila euro e non superiore a 500mila euro e prevedere una durata non superiore a 18 mesi.

Come indicato anche sulla pagina dedicata all’intervento, sul sito del MISE, i progetti ammissibili alle agevolazioni devono essere diretti alla trasformazione tecnologica e digitale dei processi produttivi dei soggetti proponenti mediante l’implementazione di:

• A. tecnologie abilitanti individuate dal Piano nazionale impresa 4.0. (advanced manufacturing solutions, addittive manufacturing, realtà aumentata, simulation, integrazione orizzontale e verticale, industrial internet, cloud, cybersecurity, big data e analytics);
• B. tecnologie relative a soluzioni tecnologiche digitali di filiera, finalizzate:
  B.1 all’ottimizzazione della gestione della catena di distribuzione e della gestione delle relazioni con i diversi attori;
  B.2 al software;
  B.3 alle piattaforme e applicazioni digitali per la gestione e il coordinamento della logistica con elevate caratteristiche di integrazione delle attività di servizio;
  B.4 ad altre tecnologie, quali sistemi di e-commerce, sistemi di pagamento mobile e via internet, fintech, sistemi elettronici per lo scambio di dati (electronic data interchange-EDI), geolocalizzazione, tecnologie per l’in-store customer experience, system integration applicata all’automazione dei processi, blockchain, intelligenza artificiale, internet of things.

Tali progetti dovranno necessariamente prevedere la realizzazione di attività di innovazione di processo o di innovazione dell’organizzazione, ovvero investimenti in tali ambiti.

In cosa consiste l’agevolazione

Le agevolazioni sono concesse sulla base di una percentuale dei costi e delle spese ammissibili pari al 50%. Di questi, il 10% del totale sotto forma di contributo ed il restante 40% come finanziamento agevolato. Il finanziamento agevolato deve essere restituito senza interessi.

Come presentare la domanda

Le domande potranno essere presentate esclusivamente tramite procedura informatica, a partire dalle ore 12.00 del 15 dicembre 2020.
L’accesso alla procedura sarà reso disponibile a ttraverso il sito del MISE.
Per accedere alla procedura è richiesta l’identificazione del compilatore (legale rappresentante del soggetto beneficiario o della capofila in caso di una forma aggregata o associata) tramite il Sistema Pubblico di Identità Digitale (SPID) o la Carta Nazionale dei Servizi (CNS) o, in alternativa, mediante il sistema di gestione delle identità digitali di Invitalia.
Le domande di agevolazione pervenute sono ammesse alla fase istruttoria sulla base dell’ordine cronologico giornaliero di presentazione.
Ciascun soggetto, sia in forma singola che congiunta, può presentare una sola domanda di accesso alle agevolazioni.

Avv. Alessandro Marchetti

L'articolo Bando Digital Transformation 2020 Pmi proviene da e-nomos.

Inoltre, non è nemmeno molto difficile che qualche nostro dato possa finire online anche a nostra insaputa. Magari perché una notizia che ci riguarda viene pubblicata dagli organi di informazione, oppure perché i nostri amici o conoscenti pubblicano sulle loro pagine social notizie che ci riguardano o foto che ci ritraggono.

Occorre prestare attenzione, perché, come ormai molti sanno, i contenuti online sono molto difficili, se non impossibili, da rimuovere totalmente.
Ad esempio, un articolo riportante una notizia di cronaca può rimanere online praticamente per sempre, anche se la notizia non è più attuale. Questo perché le notizie vengono cancellate (o anche solo aggiornate) di rado.

Siamo perciò un po’ tutti esposti quotidianamente ai rischi che riguardano i contenuti online.

Come esercitare il diritto all’oblio

Il diritto all’oblio, già affermatosi da tempo, trova da ultimo la sua attuale regolamentazione nell’art. 17 del Regolamento (UE) 679/2016 (o GDPR).

La definizione di tale diritto la possiamo leggere sul sito internet del Garante Privacy: “Il diritto cosiddetto “all’oblio” (art. 17 del Regolamento) si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Si prevede, infatti, l’obbligo per i titolari (se hanno “reso pubblici” i dati personali dell’interessato: ad esempio, pubblicandoli su un sito web) di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”.

Più in dettaglio, l’art. 17 del GDPR stabilisce che il diritto alla cancellazione, senza ingiustificato ritardo, sussiste quando:

1. i dati personali non sono più necessari;
2. l’interessato revoca il consenso;
3. l’interessato si oppone al trattamento;
4. i dati personali sono stati trattati illecitamente;
5. i dati personali devono essere cancellati per adempiere un obbligo giuridico;
6. i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione.

In sintesi, con terminologia utilizzata da molti autorevoli autori, si potrebbe definire il diritto all’oblio come il diritto a “essere dimenticati”.

Tale risultato può essere ottenuto, anche attraverso la deindicizzazione dai motori di ricerca, che si realizza eliminando i contenuti in questione dai risultati delle ricerche effettuate online attraverso appunto tali motori. Questa risulta una misura abbastanza efficace, in quanto dopo la deindicizzazione diventerà molto difficile trovare tali contenuti online, se non conoscendo il preciso indirizzo web ove si trovano.

La deindicizzazione risulta spesso l’unica soluzione praticabile quando, ad esempio, i contenuti si sono diffusi e moltiplicati in rete al punto da rendere molto difficile risalire a tutte le pagine online che hanno riprodotto il contenuto.

Tuttavia, è bene tener presente che anche il diritto all’oblio ha dei limiti e quindi non tutti i contenuti online potranno essere rimossi e/o deindicizzati.

Difatti, secondo l’art. 17, paragrafo 3 del GDPR, tale diritto non trova applicazione:

1. nell’esercizio del diritto alla libertà di espressione e di informazione;
2. nell’adempimento di un obbligo giuridico o in esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri;
3. per motivi di interesse pubblico nel settore della sanità pubblica;
4. a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici;
5. per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Come richiedere la cancellazione dei contenuti online

La cosa più semplice è quella di rivolgersi direttamente all’autore, al sito internet o alla piattaforma online che hanno pubblicato il contenuto. Si tratta molto semplicemente di inoltrare a tali soggetti la richiesta di rimozione e/o deindicizzazione.

I più popolari siti e piattaforme online, quali Google, Facebook, Twitter, YouTube e Blogger, prevedono la possibilità di segnalare i contenuti di cui si vuole chiedere la rimozione e/o la deindicizzazione. Al tal fine, hanno predisposto, sui rispettivi siti, dei moduli per inoltrare le richieste.

Attenzione però, tale segnalazione non viene automaticamente accolta, ma deve essere preliminarmente valutata tenendo conto di altri diritti o interessi in gioco, quali ad esempio il diritto di cronaca. Solo dopo tale vaglio potrà giungersi alla rimozione e/o deindicizzazione del contenuto (nei casi più gravi, può essere disposta anche la sospensione dell’account che ha pubblicato il contenuto).

Se la prima via non è percorribile, perché magari non siamo in grado di individuare l’autore, oppure il sito non prevede procedure di segnalazione, occorre contattare direttamente il responsabile dei contenuti del sito. Per individuarlo si può ricercare tale informazione sulla pagina dei contatti o nella privacy policy. Se anche in tal caso non si riesce ad individuare il responsabile, si può ovviare utilizzando il servizio WHOIS (whois.net), che consente di recuperare le informazioni di registrazione per qualsiasi dominio. Si tratta, in pratica, di un database con i nominativi di tutti quelli che registrano un dominio web.

C’è poi ancora un’alternativa, si può contattare l’hosting che offre lo spazio su cui è installato il sito, anche se si deve tener presente che spesso gli hosting non sono responsabili dei contenuti pubblicati, salvo, ad esempio, quando promuovono la diffusione dei contenuti. Anche nel caso dell’hosting, se non lo si riesce ad individuare, si può ricorrere al servizio WHOIS.

Resta, infine, come ultimo mezzo di tutela, qualora le procedure sopra descritte risultassero infruttuose, il ricorso alla giustizia, presentando un denuncia alla polizia postale o rivolgendosi ad un avvocato per proporre ricorso alla magistratura. Inoltre, quando il contenuto è costituito da dati personali, è sempre possibile rivolgersi anche al Garante Privacy, il quale può imporre la rimozione e/o deindicizzazione dei contenuti.

Consigli finali

In conclusione, ecco alcuni consigli pratici:

Nell’individuazione del soggetto cui inoltrare la domanda di rimozione o deindicizzazione, si deve prestare attenzione nel capire dove è collocato il contenuto sul web, al fine di indirizzare correttamente la domanda. Infatti, non sempre tale operazione risulta semplice.

Occorre poi verificare quali sono i criteri con cui il contenuto è indicizzato (es. parole o argomenti) sui motori di ricerca. Spesso, infatti, il contenuto è raggiungibile da vari siti e/o motori di ricerca utilizzando più chiavi di ricerca.

È inoltre utile verificare l’URL che porta al contenuto, in quanto possono esservi più varianti che si associano a link diversi. Spesso, infatti, lo stesso contenuto può essere associato a vari URL e link, pur provenendo dalla stessa fonte, portando a più risultati sui motori di ricerca. Di conseguenza i risultati da rimuovere saranno più di uno.

Infine, è importante capire dove sono localizzati i server, soprattutto se si tratta di paesi extra europei, perché ciò potrebbe avere rilievo sulla normativa applicabile.

Per concludere, un ultimo consiglio utile per la tutela dei propri dati.

Anche registrare un account su siti, forum o social network, di per sé comporta il rendere pubbliche informazioni che ci riguardano. In certi casi, quindi, può rivelarsi utile ed anche opportuno chiudere l’account. Ciò, a maggior ragione, quando si tratta di account che non si utilizzano più, perché magari creati per specifiche esigenze, esaurite le quali non abbiamo più usufruito del relativo servizio.

I fornitori dell’account, in molti casi, hanno fra le impostazioni la possibilità di cancellarsi, in tal caso l’operazione risulta semplice e veloce. In alternativa, si possono reperire sul web (almeno per i siti o le piattaforme più popolari) servizi che ci aiutano a cancellare in nostri account.

Ad ogni modo, si deve tenere presente che in alcuni casi tali procedure consentono solo di disattivare o sospendere l’account e non di cancellarlo.

Se con le metodologie appena indicate non si riesce comunque a cancellare l’account, vi è sempre la possibilità di procede nel modo indicato nel paragrafo precedente, relativo alla cancellazione dei contenuti online.

Avv. William Dispoto

L'articolo Rimozione e deindicizzazione dei contenuti online proviene da e-nomos.

L’attività creativa umana è strettamente legata all’idea di proprietà. Nell’età moderna, i beni immateriali, come le opere dell’ingegno, hanno sempre assunto rilevanza economica. Rilevanza che, col passare degli anni, è costantemente aumentata.
Non a caso, il tema della tutela dei diritti legati alle scoperte, alle invenzioni ed alle creazioni era ben noto anche ai commentatori del diciannovesimo secolo, tanto che i termini “proprietà intellettuale” fanno certamente parte del glossario dei Georgofili, dalla seconda metà dell’800. Proprio in seno alla Reale Accademia economicoagraria dei Georgofili, nel 1867, Gilberto Govi, definendosi “partigiano della proprietà intellettuale” la definisce come “la prima e la sola vera proprietà”.

Parlando di proprietà intellettuale, quindi, si fa riferimento all’apparato di principi che mirano alla tutela degli autori e dei i frutti dell’ingegnosità e dell’inventiva umana.

A tale concetto, dunque, fanno tradizionalmente capo tre distinte aree: diritto d’autore, diritto dei brevetti e diritto dei marchi.

Codice della proprietà intellettuale

Quanto alle fonti del diritto italiano, possiamo citare:

• regio decreto 1127 del 1939, c.d. legge sulle invenzioni
• regio decreto 1411 del 1940, c.d. legge sui modelli
• regio decreto 929 del 1942, c.d. legge sui marchi

Ad oggi, queste norme sono state superate dal Codice della proprietà industriale (decreto legislativo n.30 del 10 febbraio 2005).

In ordine al diritto d’autore, possiamo risalire al regio decreto n. 1950 del 1925 “Disposizioni sul diritto di autore”. Questo decreto è entrato in vigore il 10 settembre 1926, poi convertito dalla legge 18 marzo 1926 n. 562, ed infine abrogato dalla legge 22 aprile 1941 n. 633, che rappresenta ancora oggi, in un testo più volte aggiornato, la legge italiana sul diritto d’autore.

Non esiste, quindi, un codice unitario sulla proprietà intellettuale, atteso il fatto che la disciplina del diritto d’autore ha mantenuto una propria autonomia e non è stata inglobata nel codice della proprietà industriale (che ha per oggetto “marchi ed altri segni distintivi, indicazioni geografiche, denominazioni di origine, disegni e modelli, invenzioni, modelli di utilità, topografie dei prodotti a semiconduttori, informazioni aziendali riservate e nuove varietà vegetali”).

Proprietà intellettuale e diritto d’autore

Dunque, i concetti di tutela della proprietà intellettuale e diritto d’autore, stanno tra loro in rapporto di genere a specie. Per definire in concreto l’estensione del diritto d’autore, è opportuno fare riferimento all’articolo 1 della legge 633/41, il quale recita:

“Sono protette ai sensi di questa legge le opere dell’ingegno di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all’architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma di espressione.

Sono altresì protetti i programmi per elaboratore come opere letterarie ai sensi della Convenzione di Berna sulla protezione delle opere letterarie ed artistiche ratificata e resa esecutiva con legge 20 giugno 1978, n. 399, nonché le banche di dati che per la scelta o la disposizione del materiale costituiscono una creazione intellettuale dell’autore.”

Software e tutela diritto d’autore

Si comprende, quindi, che ciò che caratterizza il sottoambito del diritto d’autore, nel più ampio genus della proprietà intellettuale è l’aspetto creativo ed artistico delle opere. Non deve meravigliare il fatto che anche il software ricada sotto l’egida della normativa in esame, basti pensare a quanto tale strumento riesca a dare forma all’inventiva umana ed anche a quanto si stia sviluppando la digital art.

Ad ogni modo, la scelta del legislatore italiano, non è certo un’eccezione nel panorama internazionale. Anzi, il primo ordinamento che ha espressamente preso posizione sul tema è stato quello statunitense che, nel 1980, con il Computer Software Amendment Act, ne ha disposto la tutela della proprietà intellettuale, proprio nell’ambito del diritto d’autore.

L’autore del software è la persona fisica che lo ha creato. Quando, come spesso accade, alla realizzazione creativa collaborano in modi indistinguibili più soggetti, si considerano tutti coautori dell’opera in comunione.

Il software è spesso frutto del lavoro di più persone. Si consideri che l’apporto dei diversi programmatori può essere di vario genere e che, di conseguenza, il programma può rivestire i caratteri dell’opera in comunione o dell’opera collettiva.

Opere collettive, composte ed in comunione

Quando il frutto dell’ingegno è il risultato di un processo a più mani

Accade spesso che un opera nasca dalla collaborazione di più persone. I brani musicali sono il classico esempio di creazione artistica frutto della collaborazione di più menti. Ma possiamo trovare altrettanto facilmente libri, fumetti o soggetti cinematografici in cui figurano più autori. In questo contributo, prendendo spunto da un recente caso pratico legato alla tutela della proprietà intellettuale prospettatosi alla mia attenzione, si vuole evidenziare come si delinea il diritto d’autore nelle opere in comunione.

Analizziamo, quindi, come sono delineate le opere collettive, quelle composte e quelle in comunione.
Al termine di un percorso creativo lungo il quale vi è stato il passaggio di più soggetti, possiamo trovarci di fronte alla nascita di un opera collettiva, composta, o in comunione.

Opere collettive

Secondo la definizione dell’art. 3 della legge sul diritto d’autore, sono opere collettive quelle “costituite dalla riunione di opere o di parti di opere, che hanno carattere di creazione autonoma, come risultato della scelta e del coordinamento ad un determinato fine letterario, scientifico, didattico, religioso, politico od artistico, quali le enciclopedie, i dizionari, le antologie, le riviste e i giornali, sono protette come opere originali indipendentemente e senza pregiudizio dei diritti di autore sulle opere o sulle parti di opere di cui sono composte”. In questo caso, a detta del successivo articolo 7, “è considerato autore dell’opera collettiva chi organizza e dirige la creazione dell’opera stessa”.

L’articolo 38, poi, dispone che “nell’opera collettiva, salvo patto in contrario, il diritto di utilizzazione economica spetta all’editore dell’opera stessa (…) ai singoli collaboratori dell’opera collettiva è riservato il diritto di utilizzare la propria opera separatamente (…)”.

Opere composte

Se nelle opere collettive, le singole parti, realizzate dai diversi autori, rimangono distinte ed autonome, nelle opere composte, la suddivisione delle varie parti (e la loro fruizione separata) porta ad un risultato assai diverso da quello dell’opera considerata come un insieme unitario.

Nella legge sul diritto d’autore non si parla espressamente di opere composte, ma alcune disposizioni, sebbene in assenza di un inquadramento generale, sembrano dettate appositamente per tale fattispecie. Tra queste, ad esempio, si trovano le norme di cui agli articoli 33 e seguenti (dedicati alle “opere drammatico-musicali, composizioni musicali con parole, opere coreografiche e pantomimiche”).

In questi casi il principio generale è che, salvo patti contrari tra gli autori, l’esercizio dei diritti di utilizzazione economica spetta all’autore della parte ritenuta prevalente. Il profitto derivante dalla utilizzazione economica è ripartito in proporzione del valore delle rispettive parti. Ciascun autore ha, poi, diritto di utilizzare separatamente e indipendentemente la propria opera (anche se in tal caso le legge pone delle restrizioni).

In ordine al rapporto di valore tra le varie parti dell’opera composta, la legge sul diritto d’autore pone alcune presunzioni, ad esempio “nelle opere liriche si considera che il valore della parte musicale rappresenti la frazione di tre quarti del valore complessivo dell’opera. Nelle operette, nei melologhi, nelle composizioni musicali con parole, nei balli e balletti musicali, il valore dei due contributi si considera uguale” (art. 34 ).

Opere in comunione

Si hanno, infine, le opere in comunione, ovvero quelle realizzate con il contributo indistinguibile ed inscindibile di più persone (articolo 10, comma 3 legge sul diritto d’autore).

In quest’ultimo caso, quindi, sempre a mente dell’articolo 10 “il diritto d’autore appartiene in comune a tutti i coautori.
Le parti indivise si presumono di valore uguale, salvo la prova per iscritto di diverso accordo.
Sono applicabili le disposizioni che regolano la comunione. La difesa del diritto morale può peraltro essere sempre esercitata individualmente da ciascun coautore e l’opera non può essere pubblicata, se inedita, né può essere modificata o utilizzata in forma diversa da quella della prima pubblicazione, senza l’accordo di tutti i coautori. Tuttavia, in caso di ingiustificato rifiuto di uno o più coautori, la pubblicazione, la modificazione o la nuova utilizzazione dell’opera può essere autorizzata dall’autorità giudiziaria, alle condizioni e con le modalità da essa stabilita.”

Il dettato normativo è, tutto sommato, chiaro: il diritto d’autore è comune a tutti i coautori, e le decisioni relative all’opera devono essere prese con l’accordo di tutti. Il diritto morale d’autore, invece, può essere difeso da ogni singolo coautore.

Avv. Alessandro Marchetti

L'articolo Tutela della proprietà intellettuale: diritto d’autore e “degli autori” proviene da e-nomos.

Chi è il DPO?

La disciplina che regola questa nuova figura professionale è contenuta negli artt. 37-39 del GDPR. Come vedremo meglio nel prosieguo, le sue funzioni principali sono quelle di informare, sorvegliare, fornire pareri, cooperare e fungere da punto di contatto con l’autorità di controllo.

Il DPO, quindi, può essere definito come una figura ibrida, ovvero un consulente, sia in ambito tecnico informatico, sia in ambito legale, che tuttavia svolge anche un ruolo più diretto ed esecutivo per quanto concerne i rapporti con l’autorità di controllo e la vigilanza sull’osservanza del GDPR. Egli, in sostanza, ha un doppio ruolo, uno più prettamente consulenziale, l’altro di vigilanza e cooperazione con l’autorità.

Proprio in virtù di questo suo doppio ruolo, che lo differenzia da un mero consulente, il DPO deve essere indipendente e deve interloquire direttamente con i soggetti apicali dell’azienda.

Quali sono i compiti del DPO?

L’art. 39 del GDPR definisce i compiti minimi che il DPO deve svolgere, ovvero:

• informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
• sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35;
• cooperare con l’autorità di controllo;
• fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

È utile sottolineare che la norma individua i compiti minimi che il DPO deve svolgere, ciò significa che il titolare del trattamento o il responsabile del trattamento possono assegnargli anche altri compiti. Questa affermazione trova poi conferma all’art. 38 par. 6 del GDPR, il quale testualmente recita: “il responsabile della protezione dei dati può svolgere altri compiti e funzioni”.

Inoltre, nell’eseguire i propri compiti chi è il DPO deve considerare debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo (art. 39 par. 2 del GDPR).

Con tale disposizione il GDPR indica al DPO una metodologia di lavoro che deve tenere sempre al centro quelli che sono i rischi relativi al trattamento dei dati, fornendo anche i criteri sulla base dei quali valutarli.

In sostanza, come affermato dal Gruppo di Lavoro Articolo 29 (WP 243/16), si chiede al DPO di dare un ordine di priorità alle questioni che presentino maggiori rischi in termini di protezione dei dati, rispetto a quelle con un livello di rischio comparativamente inferiore, pur ovviamente senza trascurare queste ultime. Ciò al fine di rendere più facile il compito del DPO nel consigliare al titolare del trattamento, o al responsabile del trattamento, la metodologia da seguire nella valutazione d’impatto, a quali settori riservare un audit interno o esterno in tema di protezione dei dati, quali attività di formazione interna adottare, a quali trattamenti dedicare maggiori risorse e tempo.

Quando è obbligatorio nominare il DPO?

L’art. 37, stabilisce 3 casi in cui la nomina del DPO è obbligatoria per adeguarsi al GDPR. Ciò in particolare quando:

• il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali;
• le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure
• le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 o di dati relativi a condanne penali e a reati di cui all’articolo 10.

Quanto al primo caso, stante la mancanza di una definizione di autorità pubblica nel GDPR, è necessario rifarsi al diritto nazionale, conseguentemente, devono considerarsi autorità pubbliche o organismi pubblici le autorità nazionali, regionali e locali ma, a seconda del diritto nazionale applicabile, anche tutta una serie di altri organismi di diritto pubblico.

Quanto al secondo caso, il concetto di “attività principale” deve essere assimilato a quello di core business dell’azienda. Il Gruppo di Lavoro Articolo 29 nelle linee guida adottate sul DPO, ha precisato che “con “attività principali” si possono intendere le operazioni essenziali che sono necessarie al raggiungimento degli obiettivi perseguiti dal titolare del trattamento o dal responsabile del trattamento, comprese tutte quelle attività per le quali il trattamento dei dati è inscindibilmente connesso all’attività del titolare del trattamento o del responsabile del trattamento”.

L’attività di monitoraggio comprende tutte le attività di tracciamento e profilazione sia online che offline. Secondo il Gruppo di Lavoro Articolo 29, tale attività è “regolare” quano è fatta in modo continuo o comunque ad intervalli definiti in un arco di tempo preciso ricorrente o ripetuto a intervalli costanti, o, ancora, che avviene in modo costante o a intervalli periodici.

L’attività è invece “sistematica” se avviene per sistema, in modo predeterminato, organizzato o metodico, se ha luogo nell’ambito di un progetto complessivo di raccolta di dati, o se è svolta nell’ambito di una strategia.

Per valutare, poi, se il trattamento è su “larga scala”, sempre secondo il Gruppo di Lavoro Articolo 29, si devono tenere in considerazione alcuni parametri, quali il numero degli interessati coinvolti (in termini assoluti o in percentuale rispetto alla popolazione di riferimento); il volume dei dati e/o le diverse tipologie di dati trattati; la durata o la persistenza del trattamento; la portata geografica del trattamento.

Quanto al terzo caso, definiti come sopra i concetti di “attività principale” e “trattamento su larga scala”, occorre precisare quali sono le categorie particolari di dati personali. La loro enunciazione si trova nell’art.9, par.1, GPDR: e corrispondono sonoi dati relativi all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, l’appartenenza sindacale, inoltre, vi rientrano i dati genetici, i dati biometrici, i dati relativi alla salute o alla vita sessuale o all’orientamento sessuale. Si tratta delle categorie di dati definiti dalla normativa previgente sensibili, poichè meritevoli di specifica protezione.

Quali sono i requisiti del DPO?

Preliminarmente occorre sottolineare che ad oggi non esiste per legge alcun particolare titolo abilitante a svolgere il ruolo di DPO, né sono richieste specifiche certificazioni. Tuttavia, ciò non significa che non abbiano un ruolo determinante le competenze ed i titoli acquisiti, nonché l’esperienza maturata.

Infatti, come si evince dal GDPR, il DPO deve essere un professionista designato per le sue qualità professionali, in particolare per la conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i suoi compiti, delineati dall’art. 39 (art. 37 par. 5 del GDPR).

Il Garante privacy afferma, in proposito, che il DPO “deve poter offrire, con il grado di professionalità adeguato alla complessità del compito da svolgere, la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, coadiuvando il Titolare nell’adozione di un complesso di misure (anche di sicurezza) e garanzie adeguate al contesto in cui è chiamato a operare”.

Partendo da quanto stabilito dal GDPR, si possono individuare alcuni “requisiti” necessari a svolgere correttamente le funzioni di Responsabile delle Protezione dei dati.

Innanzitutto, chi è il DPO deve possedere, come detto, una buona conoscenza della normativa e delle prassi in materia di protezione dei dati personali, oltre alle conoscenze sulle tecnologie informatiche e sulle misure di sicurezza dei dati. Inoltre, deve avere conoscenze circa le operazioni di trattamento svolte, lo specifico settore di attività e l’organizzazione del titolare del trattamento, o del responsabile del trattamento, nonché la capacità di promuovere la cultura della protezione dei dati all’interno dell’organizzazione del titolare o responsabile.

Inoltre, il DPO deve essere indipendente, per poter svolgere correttamente le proprie funzioni senza subire pressioni o condizionamenti. Nel considerando 97 del GDPR si legge che “tali responsabili della protezione dei dati, dipendenti o meno del titolare del trattamento, dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente”. Poi, più dettagliatamente, l’art. 38 par. 3 stabilisce che il DPO non deve ricevere istruzioni per l’esecuzione dei propri compiti, non deve essere penalizzato o rimosso per l’adempimento dei propri compiti e riferisce direttamente al vertice gerarchico dell’azienda.

L’indipendenza del DPO è maggiormente a rischio laddove questi sia nominato all’interno dell’azienda, come è consentito dal GDPR (art. 37 par. 6). Proprio per tale motivo, nel caso di DPO interno, il Garante Privacy ritiene preferibile la nomina di una figura di livello dirigenziale, che è meno soggetta a subire condizionamenti.

Altro fondamentale requisito, previsto dal GDPR, è l’assenza di conflitto di interessi con eventuali ulteriori compiti e funzioni che il DPO può essere chiamato a svolgere dal titolare del trattamento o dal responsabile del trattamento. Ciò significa che il DPO non può rivestire, all’interno dell’organizzazione del titolare del trattamento o del responsabile del trattamento, un ruolo che comporti la definizione delle finalità o delle modalità di trattamento dei dati personali.

Inoltre, proprio per consentire al DPO di svolgere pienamente i propri compiti, questi deve essere sostenuto dal titolare del trattamento, o dal responsabile del trattamento, il quale deve fornirgli le risorse necessarie allo svolgimento dei compiti, l’accesso ai dati personali e ai trattamenti e il supporto per mantenere la propria conoscenza specialistica (art. 38 par. 2 GDPR).

Sono importanti, poi, le capacità manageriali per poter fornire consulenza sulle politiche in materia di protezione dei dati personali e sull’attribuzione delle responsabilità all’interno dell’azienda titolare del trattamento o del responsabile del trattamento, che in molti casi può essere costituita da realtà molto strutturate e complesse a livello organizzativo. Il DPO deve, quindi, conoscere a fondo l’azienda e le sue dinamiche, nonché i rapporti contrattuali che questa intrattiene.

Conclusioni

Come abbiamo visto, la figura del DPO, presente nelle legislazioni di altri Stati europei, ma non in Italia, riveste un ruolo decisivo nell’ambito del trattamento dei dati fungendo, essenzialmente, da guida per le organizzazioni e da punto di contatto tra esse e l’autorità di controllo.

Attualmente, il mercato dei DPO è veramente molto variegato: dall’entrata in vigore del GDPR ad oggi si sono verificate, in numerose occasioni, ipotesi di nomine di DPO del tutto privi delle competenze specialistiche richieste dal GPDR, così come sono stati numerosi i casi di nomina di soggetti interni alle organizzazioni, che si trovano in chiaro conflitto di interessi (es. nomina a DPO di componenti del Cda, nelle pubbliche amministrazioni, nomine conferite a soggetti privi di qualsivoglia competenza specialistica e posti in posizioni subordinate, chiaramente privi di autonomia).

Questo è accaduto poichè vi è stata l’urgenza di adeguarsi, purtroppo solo formalmente, alla nuova normativa, in un contesto, però, di scarsa sensibilità sul tema.

Al momento sono poche le pronunce in argomento: non risultano essere stati adottati provvedimenti sanzionatori da parte dell’Autorità Garante, per nomine inadeguate, mentre la giustizia amministrativa ha avuto modo di specificare come il DPO debba avere delle competenze giuridiche. Inoltre, vi è stata una delibera ANAC del maggio scorso che ha fornito indicazioni circa la durata degli incarichi conferiti a queste figure professionali.

Al momento, dunque, vi è estrema fluidità nel mercato, sia in termini di competenze dei professionisti che offrono le proprie prestazioni, sia di compensi per l’espletamento dell’incarico.
Accade, purtroppo, molto spesso di leggere di professionisti che si definiscono “DPO certificato”, pur non esistendo, al momento, una certificazione ad hoc per l’incarico in commento.
L’auspicio è quello che con il tempo il contesto si stabilizzi e si delinei in modo chiaro il profilo di tale professionista, in modo da consentire alle organizzazioni di individuare con maggior facilità il soggetto a cui affidare un incarico così delicato.

Avv. William Dispoto

L'articolo Chi è il DPO? Requisiti, compiti e quando nominarlo proviene da e-nomos.

1. Perchè costituire una startup innovativa?
2. Come costituire una startup innovativa.
3. Permanenza nella sezione speciale del registro delle imprese.

Perchè costituire una startup innovativa?

Come si è già detto, il d.l. 179/2012, ha lo scopo di favorire l’implementazione dell’imprenditoria ad alto valore tecnologico.

La disciplina prevede alcune condizioni di maggior favore in ordine alla gestione del business (ad esempio in tema di assunzioni o di riporto perdite), ma i vantaggi maggiori riguardano gli strumenti previsti per agevolare l’acquisizione dei capitali necessari allo sviluppo dell’attività d’impresa.

Tale fine è perseguito attraverso un sistema piuttosto articolato, di cui si evidenziano gli aspetti principali.

1. Esenzioni per le startup innovative

Se la statup innovativa viene costituita in forma di srl, la costituzione può avvenire mediante il ricorso ad una procedura telematica dedicata, ciò la esenta dal pagamento dei bolli e diritti camerali, nonchè dai costi per l’attività del notaio

2. Agevolazioni fiscali per chi investe nelle startup innovative.

I soggetti che investono nel capitale sociale di tali società, sia direttamente sia indirettamente sono destinatari di una riduzione delle imposte sui redditi derivante dalla concessione di detrazioni (per i soggetti IRPEF) e di deduzioni (per i soggetti IRES) La misura di tale incentivo andrà concretamente individuata in relazione al momento in cui si è effettuato l’investimento.

Ad esempio, la legge di bilancio del 2019 ha aumentato dal 30% al 40% la misura dell’agevolazione per tale detrazione (per un conferimento massimo di 1 milione di euro) e deduzione (per un coferimento massimo di 1, 8 milioni di euro).

In casi di acquisizione dell’intero l’intero capitale sociale l’aliquota aumenta sino al si arriva sino al 50%.

3. L’equity

Nel caso in cui una startup innovativa si sia costituita sotto forma di società a responsabilità limitata (s.r.l), essa sarà esonerata dal rispetto di alcuni limiti propri delle s.r.l., onde favorire il reperimento di capitali e l’incentivazione delle risorse umane. 

Più precisamente, alle startup innovative che hanno la forma di s.r.l. è concessa la possibilità di attingere da particolari strumenti finanziari, propri delle società per azioni.

In primo luogo, l’atto costitutivo di una s.r.l. può prevedere che ai soci o ai terzi, siano assegnati strumenti finanziari forniti di diritti (escluso il diritto di voto).

Attraverso meccanismi di equity, perciò, la startup potrà remunerare i propri collaboratori con strumenti di partecipazione al capitale sociale, ed propri i fornitori esterni attraverso i cosiddetti schemi di work for equity. Ossia mediante l’assegnazione di quote, azioni, strumenti finanziari partecipativi o diritti aventi ad oggetto l’acquisizione degli stessi.

Per attuare questi piani di incentivazione, che prevedono l’assegnazione ai dipendenti, collaboratori e fornitori di quote di partecipazione, una startup costituita come s.r.l. è autorizzata anche a compiere le cosiddette “operazioni sulle proprie partecipazioni”, altrimenti vietate ai sensi dell’art. 2474 c.c. (in nessun caso la società, però, può acquistare o accettare in garanzia partecipazioni proprie, ovvero accordare prestiti o fornire garanzia per il loro acquisto o la loro sottoscrizione).

4. L’offerta al pubblico ed il crowdfunding

Se la startup innovativa è costituita come s.r.l., le proprie quote di partecipazione possono essere oggetto di offerta al pubblico di prodotti finanziari. L’offerta, e quindi la relativa raccolta di capitali, può avvenire anche tramite piattaforme online secondo lo schema del crowdfunding.

Esistono, però, diverse tipologie di crowdfunding dedicate alle startup, con caratteristiche e scopi differenti.

La più importante distinzione da effettuare è tra le campagne di equity crowdfunding e le campagne in cui, invece, chi contribuisce al progetto, finanziandolo, lo fa a prescindere da un ritorno economico. Nell’equity crowfunding, infatti, gli investitori, concedendo il loro finanziamento, entrano a far parte del capitale sociale e, di conseguenza, acquisiscono i relativi diritti (sia amministrativi che patrimoniali), condividendo in tal modo il rischio d’impresa.

Al contrario, nel donation crowdfunding il finanziatore effettua una donazione pura e semplice, senza ricevere in cambio alcunché. Il maggiore impiego di tali campagne si ha per l’approvvigionamento di risorse da destinare a progetti di carattere sociale.

I progetti possono essere finanziati anche attraverso campagne di reward crowdfunding. In questo caso, l’imprenditore promette un “premio” al suo finanziatore. Tale ritorno può essere anche simbolico. Nella pratica, spesso tale tipologia di finanziamento si sostanzia in una sorta di prevendita. Il finanziatore potrà ottenere il prodotto prima che questo venga immesso sul mercato.

5. I finanziamenti dedicati alle startup

Alle startup innovative sono dedicati molteplici programmi di finanziamento. Il tema dell’innovazione è, difatti, oggi, uno dei target principali della programmazione economica dei paesi appartenenti all’Unione Europea.

Difatti, la politica di coesione dell’UE ha stabilito, per il periodo 2014/2020 11 obiettivi tematici a sostegno della crescita, di cui i primi due sono “Rafforzare la ricerca, lo sviluppo tecnologico e l’innovazione” e “Migliorare l’accesso alle tecnologie dell’informazione e della comunicazione (TIC), nonché il loro utilizzo e qualità”.

Per il settennio che parte dal 2021, la Commissione Europea ha proposto una serie di cambiamenti improntati alla semplicità, flessibilità ed efficienza. Gli 11 obiettivi tematici del periodo 2014-2020 saranno sostituiti da cinque più ampi obiettivi, che consentiranno agli stati membri una maggiore libertà nel trasferire le risorse nell’ambito di una determinata priorità. In questo quadro è bene osservare che, il primo di questi cinque obiettivi proposti è “avere un’Europa più intelligente (a smarter Europe) attraverso la promozione di una trasformazione economica innovativa e intelligente”.

È facile intuire che le startup innovative saranno l’attore principale dell’economia finanziata con fondi comunitari.

Ad oggi sono diversi i programmi di finanziamento accessibili alle statup innovative (rimando, per un maggiore approfondimento all’articolo relativo al programma Smart& Start Italia) e vengono proposte quasi quotidianamente delle call dedicate esclusivamente alle startup innovative.

Come costituire una startup innovativa

Oltre a quanto già espresso nella prima parte di questo contributo, non si deve scordare che, come tutte le società di capitali, una startup innovativa deve essere costituita da soggetti maggiorenni (anche una sola persona in caso di società unipersonale) attraverso la redazione dell’atto costitutivo e dello statuto.

Le principali differenze nella costituzione di una startup innovativa, rispetto al percorso di costituzione di una “normale” società di capitali sono le seguenti.

A. Procedura telematica secondo modello standardizzato

Il c.d. decreto Investment Compact (d.l.3/2015) ha introdotto la possibilità di redigere l’atto costitutivo e lo statuto della startup innovativa (da costituirsi come srl) mediante un modello standard tipizzato, accessibile tramite una procedura telematica.

Questa possibilità consente di costituire una società a responsabilità limitata senza l’ausilio del pubblico ufficiale, ossia del Notaio, con l’evidente conseguenza che non se ne dovranno sopportare i costi.

L’art. 1 di tale decreto, infatti, consente l’utilizzo della forma elettronica per la redazione dei contratti di società a responsabilità limitata aventi per oggetto esclusivo o prevalente lo sviluppo, la produzione e la commercializzazione di prodotti o servizi innovativi ad alto valore tecnologico in ordine ai quali viene richiesta l’iscrizione nella sezione speciale delle startup.

Tali documenti dovranno poi essere firmati digitalmente, pertanto l’unico prerequisito tecnico necessario è essere in possesso di un dispositivo per la firma elettronica.

Tale procedura semplificata prevede, per la stipula di atto costitutivo e statuto (e la loro eventuale modifica), l’utilizzo di un modello predisposto, accessibile dal portale startup.registroimprese.it.

L’atto costitutivo e lo statuto devono essere redatti in modalità esclusivamente informatica e devono essere firmati digitalmente da tutti i sottoscrittori, entro il termine di 10 giorni, dal momento dell’apposizione della prima sottoscrizione. Il documento informatico così formato, contenente atto costitutivo e statuto, deve essere presentato per l’iscrizione al registro, entro il termine di 20 giorni dalla sottoscrizione.

Tutte le s.r.l. startup innovative, costituite on line con modello standard tipizzato, possono modificare il proprio statuto utilizzando la stessa procedura semplificata prevista per la costituzione.

Dopo aver completato la compilazione del modello informatico standard di atto costitutivo e statuto, sarà possibile procedere in autonomia alla registrazione fiscale presso l’Agenzia delle Entrate. Eseguito tale incombente, atto costitutivo e statuto dovranno essere depositati al registro delle imprese, mediante l’invio di una pratica di comunicazione unica.

Chi utilizza tale procedura in autonomia deve associare una marcatura temporale ad ogni firma digitale apposta su atto costitutivo e statuto, pena l’annullamento dell’intera procedura e la perdita dell’importo dovuto per la registrazione all’Agenzia delle Entrate.

B. L’oggetto sociale

Come si è già detto più volte, la startup innovativa è vincolata al rispetto di determinati requisiti.

In fase di costituzione, ciò che rileva è:

• che venga fissata in Italia (o in altro Paese UE, purché abbia sede produttiva o filiale in Italia);
• che la nascita dell’impresa non sia il risultato di una fusione, di una scissione o di una cessione di ramo d’azienda;
• che l’oggetto sociale, esclusivo o prevalente sia lo sviluppo, la produzione e la commercializzazione di prodotti o servizi innovativi ad alto valore tecnologico.

Pertanto, particolare attenzione va prestata, in fase di costituzione, nella individuazione e nella descrizione dell’oggetto sociale, onde escludere il rischio di rigetto della pratica (se si sta procedendo mediante procedura telematica) o di mancata iscrizione nella sezione speciale.

B.1 L’individuazione dell’oggetto sociale per le startup innovative

È fondamentale, quindi, comprendere cos’è l’oggetto sociale.

Per oggetto sociale si intende l’ambito che la società individua come proprio campo d’azione. Nel caso che ci occupa, come si è detto, deve consistere (in via esclusiva o prevalente) nello sviluppo, nella produzione e nella commercializzazione di prodotti o servizi innovativi ad alto valore tecnologico.

L’attività d’impresa non deve necessariamente occuparsi di tutto ciò che indicato nell’oggetto sociale, quest’ultimo ha, semmai, la funzione di individuarne i confini.

Attenzione però, per quanto riguarda la corretta costituzione di una startup innovativa, non è sufficiente che i servizi (o i prodotti) offerti o sviluppati, siano di per sé innovativi. Occorre anche che questi siano frutto di una tecnologia avanzata (è questo il senso dell’inciso “ad alto valore tecnologico”).

È opportuno comprendere che una startup può essere innovativa anche senza offrire un servizio o un prodotto “veramente nuovo”, sempre che tale prodotto (o servizio) venga inserito in uno schema di business non tradizionale (in ciò consisterà “l’innovazione”).

Per fare un esempio concreto si pensi ad Uber. Dare un passaggio in auto non è certo qualcosa di innovativo, ma il business creato intorno a questo servizio riesce a dargli una veste tecnologica ed innovativa, attuando un sistema di sviluppo, produzione e commercializzazione che possono rientrare a pieno titolo nell’oggetto sociale di una startup innovativa.

L’attività innovativa, non deve necessariamente rappresentare l’esclusivo oggetto sociale, è sufficente che le attività innovative prevalgano sulle altre eventualmente svolte.

B.2 La descrizione dell’oggetto sociale per le startup innovative

È molto importante, quindi, onde evitare il rigetto della pratica, che la descrizione dell’oggetto sociale sia effettuata in maniera chiara e corretta. In altri termini, sebbene la procedura permetta, in astratto, al futuro imprenditore, di costituire la società da solo, è altamente consigliabile fare ricorso ad una figura professionale che sia di ausilio in tale fase.

Permanenza nella sezione speciale del registro delle imprese

Una volta ottenuto lo status di startup innovativa, l’impresa è tenuta ad una serie periodica di adempimenti, volti a comunicare il mantenimento dei requisiti richiesti per la permanenza nella sezione speciale del registro delle imprese.

Tali adempimenti sono:

A. Inserimento e aggiornamento delle informazioni sulla piattaforma startup.registroimprese.it

Dopo l’iscrizione nella sezione speciale, il legale rappresentante della società è tenuto a inserire le ulteriori informazioni richieste nella piattaforma startup.registroimprese.it. Tale incombente deve essere ripetuto (ossia: i dati andranno confermati i opportunamente modificati) con cadenza annuale, in occasione della comunicazione di cui al successivo punto B..

B. Comunicazione annuale del mantenimento requisiti

Il legale rappresentante della startup innovativa è tenuto, entro trenta giorni dall’approvazione del bilancio (e comunque entro sei mesi dalla chiusura di ciascun esercizio), ad attestare il perdurare dei requisiti richiesti per poter presenziare nella sezione speciale del registro delle imprese.

Tale dichiarazione è resa mediante apposita procedura telematica.

La mancata compilazione dell’aggiornamento delle informazioni sulla piattaforma (di cui al punto A.) comporta un blocco della procedura di deposito della dichiarazione (di cui al punto B.) la conseguente perdita della qualifica di startup innovativa.

Avv. Alessandro Marchetti

L'articolo Come costituire una startup innovativa? proviene da e-nomos.

Per tale motivo, risulta essenziale che nell’attività di compliance alla normativa venga definito un progetto di adeguamento al GDPR per le aziende, che consenta anche di dimostrare le azioni poste in essere e quelle ancora da adottare, con le correlate motivazioni. Tale piano di adeguamento deve necessariamente basarsi sull’analisi delle attività di trattamento dei dati personali in atto nell’azienda, che sia una grande organizzazione o una ditta individuale. A tale fine, come si vedrà più avanti, un ottimo punto di partenza è la redazione del Registro dei trattamenti, a mezzo del quale si riesce ad avere un quadro completo dei trattamenti in atto a partire dal consenso al trattamento dei dati personali.

L’attività di adeguamento privacy

Andando nel dettaglio, vediamo cosa devono fare le aziende per adeguarsi al GDPR, la normativa privacy. Per chiarezza espositiva si ritiene utile suddividere tale attività nel modo che segue, comprendendo sia i compiti più prettamente progettuali, sia quelli di implementazione. L’elenco, redatto con criterio non rigidamente cronologico, in quanto alcune attività per adeguarsi al GDPR dovranno/potranno essere svolte in parallelo, prevede:

1. Valutazione preliminare;
2. Nomina del Responsabile della protezione dei dati (DPO);
3. Redazione del registro dei trattamenti;
4. Individuazione degli interventi necessari – valutazione dei rischi;
5. Valutazione d’impatto (DPIA);
6. Redazione del progetto di adeguamento;
7. Definizione dei ruoli e delle responsabilità dei soggetti;
8. Revisione (o redazione) della documentazione;
9. Definizione delle procedure di gestione delle violazioni di dati (data breach);
10. Definizione delle procedure sull’esercizio dei diritti dell’interessato.

1. Valutazione preliminare

Il primo passo necessario per stabilire cosa è necessario fare, è capire qual è la situazione in atto, ovvero fare una fotografia o mappa della situazione attuale in merito alla gestione della privacy in azienda, comprendendo le eventuali aziende controllate e/o controllanti, o comunque collegate. Ciò si ottiene prendendo in esame tutte le attività che implicano un qualunque trattamento di dati personali.
In tale attività, è consigliabile partire da quanto è stato già fatto in tema di compliance privacy, prima di passare all’analisi di tutte le attività svolte dall’azienda. A mero titolo esemplificativo ed in ordine sparso, per adeguarsi al gdpr si dovranno analizzare:
– i settori di attività
– i servizi offerti
– gli strumenti utilizzati
– i soggetti interni ed esterni che trattano i dati
– le categorie di dati trattati
– le finalità del trattamento dei dati
– le categorie di soggetti interessati
– l’origine e la destinazione dei dati
– i termini di conservazione dei dati
– le misure di sicurezza adottate
– i terzi destinatari dei dati
– l’eventuale trasferimento dei dati verso paesi extra UE

Lo scopo di tutto ciò è di ottenere una “mappatura” dell’azienda più completa e dettagliata possibile, in merito ai dati trattati (tipologia, categorie di interessati, finalità, basi giuridiche, tempi di conservazione, ecc.), ai soggetti coinvolti nel trattamento (interni ed esterni), alla documentazione in essere (contratti, nomine, ecc.), ai sistemi informatici, alle misure tecniche ed organizzative, al flusso dei dati verso l’esterno, solo per citare le questioni più rilevanti.
Come attività preliminare è anche necessario individuare ed avere ben chiaro, il quadro normativo in materia di privacy (GDPR in primis) e le eventuali normative di settore applicabili in relazione all’ambito di attività dell’azienda. Per la stessa ragione, anche successivamente all’adeguamento, occorre monitorare le novità normative introdotte e l’impatto che possono avere sulle attività di trattamento effettuate.

2. Nomina del Responsabile della protezione dei dati (DPO) – Quando è obbligatoria?

Successivamente alla valutazione preliminare, si ritiene utile valutare la necessità/utilità di provvedere alla nomina del Responsabile della protezione dei dati o, più notoriamente, DPO (Leggi l’approfondimento “Chi è il DPO?“). Infatti, qualora questi fosse nominato, avrebbe un ruolo molto importante in tutta l’attività di adeguamento.
La disciplina che regola questa nuova figura professionale è contenuta negli artt. 37 e seguenti del GDPR.
L’art. 37, stabilisce i casi in cui la sua nomina è obbligatoria. Ciò in particolare quando:
a) il Titolare è un’autorità pubblica o un organismo pubblico;
b) il trattamento dati richiede il monitoraggio regolare e sistematico degli interessati su larga scala;
c) le attività principali di trattamento del Titolare riguardano categorie particolari di dati personali (sensibili) o di dati relativi a condanne penali e a reati, su larga scala.

Il DPO deve essere designato per le sue qualità professionali, in particolare per la conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i suoi compiti, delineati dall’art. 39 del GDPR.
Di seguito i “compiti” del DPO secondo il GDPR:
a) informare e fornire consulenza in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
b) sorvegliare l’osservanza del GDPR, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati, nonché delle politiche in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale;
c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento;
d) cooperare con l’autorità di controllo (Garante Privacy);
e) fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

Per garantire che il DPO possa svolgere efficacemente i propri compiti, inoltre, la normativa GDPR all’art. 38 prevede che lo stesso:
a) deve essere tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali;
b) deve ricevere sostegno attraverso la fornitura delle risorse necessarie per assolvere i suoi compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica;
c) non deve ricevere alcuna istruzione per quanto riguarda l’esecuzione dei compiti;
d) non può essere rimosso o penalizzato per l’adempimento dei propri compiti;
e) riferisce direttamente al vertice gerarchico.
È necessario, pertanto, che l’azienda verifichi se sussistano le condizioni che obbligano alla nomina del Responsabile della protezione dei dati ed, eventualmente, proceda con la nomina, selezionando la figura sulla base dei requisiti sopra indicati.
Nulla vieta, comunque, di procedere alla nomina del DPO anche qualora non sia obbligatoria, magari quando le tipologie di trattamento siano comunque particolarmente “delicate”.

3. Redazione del registro dei trattamenti

Il Registro dei trattamenti (art. 30 del GDPR) è un documento, cartaceo o informatico, che riporta ogni singolo trattamento di dati effettuato dall’azienda e contiene quantomeno:
a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative.

È previsto un registro dei trattamenti anche per il Responsabile del trattamento, i cui contenuti sono indicati sempre dal medesimo articolo.
Si tratta, in sostanza, di una sorta di censimento dei trattamenti svolti dall’azienda.
Tale registro non è obbligatorio per le imprese con meno di 250 dipendenti, salve alcune eccezioni previste dallo stesso articolo, ma è comunque sempre assolutamente consigliabile, in quanto risulta uno strumento di grande utilità, anche laddove non sia obbligatorio.
Nonostante l’obbligatorietà di inserimento nel registro sia prevista solo per alcuni dati (indicati sopra), nulla vieta, ed anzi risulta utilissimo, che vi possano essere inserite informazioni ulteriori. Infatti, tutto quanto inserito nel Registro dei trattamenti risulterà utile per adeguarsi al GDPR.
ll Registro dei trattamenti, inoltre, in ossequio al principio di responsabilizzazione, è un documento che serve a dare prova di aver adempiuto a quanto previsto dal GDPR.

4. Individuazione degli interventi necessari – valutazione dei rischi

In questa fase si individuano gli specifici deficit rispetto alla normativa privacy, in termini di cosa è necessario fare per l’adeguamento.
Infatti, il principio di “responsabilizzazione” (accountability) prevede che “tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario” (art. 24 del GDPR).
Ciò significa che è onere del Titolare del trattamento individuare e mettere in atto le misure tecniche e organizzative necessarie per garantire e dimostrare la conformità del trattamento stesso al GDPR. In altri termini, non viene semplicemente richiesta l’adozione di una serie di misure preventivamente individuate dal legislatore, cui il Titolare doveva meramente uniformarsi, ma viene lasciata totale discrezionalità sul come (ma anche responsabilità, da qui il nome del principio) al Titolare del trattamento.
In sostanza, questa attività si svolge prendendo in esame sia, in generale, il modello di gestione privacy aziendale, sia i singoli trattamenti svolti dall’azienda, valutandone i rischi.
Dal punto di vista pratico, si può procedere creando una sorta di elenco, da integrare nel successivo piano di adeguamento, di tutte le modifiche necessarie in relazione ai vari ambiti di attività dell’azienda, che possono incidere in qualche modo sul trattamento dei dati, quali ad esempio i processi lavorativi, i sistemi utilizzati, l’organizzazione aziendale e la contrattualistica.
Per ogni voce di tale elenco, poi, sarebbe utile indicare, anche sinteticamente, la specifica attività di adeguamento da porre in essere.

5. Valutazione d’impatto (DPIA) sulla protezione dei dati

In relazione a quanto riportato nel punto precedente, il GDPR prevede all’art. 35 che, quando un tipo di trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il Titolare del trattamento debba effettuare una valutazione dell’impatto (DPIA) dei trattamenti previsti sulla protezione dei dati personali. La stessa norma, poi, fa un elenco dei casi in cui la valutazione è obbligatoria, ovvero:
a) quando si attua un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente sulle persone fisiche;
b) quando il trattamento di categorie particolari di dati personali (sensibili) o di dati relativi a condanne penali e a reati, sia svolto su larga scala;
c) quando si effettui la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Il contenuto minimo della valutazione d’impatto è descritto ancora dall’art. 35 del GDPR, ovvero:
a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento;
b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
c) una valutazione dei rischi per i diritti e le libertà degli interessati;
d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al GDPR.

Lo scopo della valutazione d’impatto è quello di consentire l’individuazione delle misure tecniche ed organizzative che consentano di eliminare o ridurre (minimizzare) i rischi nei trattamenti di dati.

6. Redazione del progetto di adeguamento

Una volta individuati dettagliatamente gli interventi necessari, è opportuno procedere con la redazione di un piano di adeguamento, con l’obiettivo di definire una politica di gestione della privacy nell’azienda.
Questa è la fase in cui si pianificano il lavori di adeguamento normativo, organizzandoli in base agli ambiti di intervento ed ai soggetti coinvolti e redigendo, per ogni ambito, uno specifico programma.

7. Definizione dei ruoli e delle responsabilità dei soggetti

Un altro passaggio fondamentale consiste nell’individuare quali sono i soggetti (interni ed esterni) che dovranno poi effettivamente implementare il piano di adeguamento, definendone i ruoli e le responsabilità.
Questi, relativi all’esecuzione del piano di adeguamento, rimarranno gli stessi anche successivamente, quando l’azienda andrà per cosi dire “a regime”, dopo l’attività di adeguamento (ad esempio: Titolare del trattamento e Responsabile del trattamento).
Infatti, a norma del GDPR, è necessaria una chiara individuazione dei ruoli e delle responsabilità di tutti i soggetti che, in qualsiasi modo, operano nell’attività di trattamento dei dati. Tra questi, i principali sono:
– il Titolare del trattamento
– il Responsabile del trattamento (sempre esterno all’azienda secondo il dettato del GDPR)
– gli Incaricati del trattamento.

Il Titolare del trattamento

Il titolare del trattamento è la persona fisica o giuridica che determina le finalità e i mezzi del trattamento di dati personali: in pratica, è colui che decide quali trattamenti fare e con quali modalità.

Il responsabile del trattamento

Il Responsabile del trattamento è, invece, la persona fisica o giuridica che tratta dati personali per conto del Titolare del trattamento. Dalla lettura del GDPR si evince che tale qualifica è attribuita unicamente ai soggetti terzi rispetto al Titolare, che a vario titolo intrattengano rapporti con l’azienda, come ad esempio, fornitori, consulenti esterni, professionisti.
Tuttavia, nulla vieta, ed anzi appare utile, che l’azienda, al di là della nomenclatura utilizzata, possa individuare dei responsabili interni, come peraltro previsto prima del GDPR.

L’incaricato del trattamento

L’Incaricato del trattamento è la persona fisica autorizzata a compiere operazioni di trattamento dal titolare o dal responsabile: in sostanza, è il soggetto che materialmente effettua le operazioni di trattamento dei dati.

8. Revisione (o redazione) della documentazione

In questa fase, si deve procedere ad analizzare tutta la documentazione privacy. A titolo esemplificativo e non esaustivo: informative, atti di nomina, cookie policy, privacy policy, registro dei trattamenti e valutazione d’impatto.
Ciò al fine di operare, laddove necessario, la revisione della documentazione esistente o la redazione ex novo di quella eventualmente mancante.
Questa attività è essenziale, sia per garantire che la documentazione privacy risulti sempre completa ed aggiornata rispetto al dettato normativo, sia per dimostrare (come richiesto per adeguarsi al GDPR) la conformità alla normativa.

9. Definizione delle procedure di gestione delle violazioni di dati (data breach)

Con violazione dei dati o data breach si indica una “violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati” (art. 4 GDPR).
È necessario prevedere delle procedure da attivare in caso di data breach, in quanto il GDPR ha introdotto degli specifici adempimenti a carico del Titolare del trattamento, nel caso si verifichino tali violazioni.
In particolare, l’art. 33 del GDPR spiega cosa devono fare le aziende in caso di data breach: il Titolare dovrà notificare la violazione all’Autorità di Controllo competente (in Italia, il Garante Privacy) entro 72 ore dal momento in cui ne è venuto a conoscenza. Tale notifica, inoltre, deve avere un serie di contenuti minimi, individuati dalla stessa norma.
Quando, poi, la violazione dei dati personali può comportare un rischio elevato per i diritti e le libertà delle persone fisiche, salvo casi espressamente indicati, il Titolare del trattamento deve comunicare la violazione agli interessati, senza ingiustificato ritardo (art. 34 del GDPR).
A fronte di tali incombenti, si comprende quindi la necessità, per l’azienda, di adottare una specifica procedura per la gestione dei data breach, che consenta anche di rispettare i tempi stringenti posti dal regolamento.

10. Definizione delle procedure sull’esercizio dei diritti dell’interessato

Il GDPR prevede una serie di diritti in favore degli interessati dal trattamento, alcuni dei quali di nuova introduzione. Fra di essi si segnalano: il diritto di accesso, il diritto di cancellazione o diritto all’oblio, il diritto di limitazione del trattamento e il diritto alla portabilità dei dati.
Inoltre, per l’esercizio dei diritti da parte degli interessati, sono previste delle specifiche modalità e tempistiche (artt. 11 e 12 del GDPR).
È indispensabile, pertanto, che il piano di adeguamento privacy definisca le procedure per consentire l’esercizio dei diritti agli interessati, nel rispetto della normativa.

GDPR: Cosa devono fare le aziende? Considerazioni conclusive

La definizione e l’adozione di un piano di adeguamento privacy, alla luce del principio di responsabilizzazione, costituisce di per sé un importante elemento di valutazione della compliance aziendale, a patto che tale processo sia compiutamente documentato, quantomento per ciò che attiene ai passaggi più rilevanti, come, ad esempio, le motivazioni alla base delle scelte effettuate in merito a: DPO, registro dei trattamenti, valutazione d’impatto, misure tecniche ed organizzative.
Infine, è bene sottolineare che l’attività di adeguamento privacy non deve essere considerata come un mero incombente imposto dalla legge, ma come una occasione di innovazione e rilancio dell’azienda, ad esempio, nei settori organizzativo ed informatico, oppure a livello reputazionale.

Avv. William Dispoto

L'articolo GDPR – Cosa devono fare le aziende per adeguarsi? proviene da e-nomos.

1. Inquadramento normativo
2. Funzionamento della app
3. I dati personali trattati
4. I principi di privacy by design e by default
5. La posizione del Garante
6. Conclusioni

Inquadramento normativo

Con il d.l. 28/2020 è stato istituito il “Sistema di allerta Covid-19” nell’ambito del quale il Ministero della salute ha avviato il trattamento di dati personali con l’esclusiva finalità di “allertare le persone che siano entrate in contatto stretto con soggetti risultati positivi e tutelarne la salute”.
Il “Sistema di allerta Covid-19” rappresenta dunque il modello nazionale di contact tracing.
Nello specifico, con il termine Immuni, nel suo complesso, ci si riferisce alla “app immuni”, all’insieme delle componenti tecnologiche ed organizzative che ne consentono il funzionamento e ad un servizio di interazione con gli operatori sanitari, che si avvale del sistema Tessera Sanitaria.

Come vedremo, titolare del trattamento dei dati raccolti nell’ambito del “Sistema di allerta Covid-19” è il Ministero della salute.

Funzionamento della app

L’app immuni è disponibile per il download, in forma gratuita e del tutto volontaria, e consente ad ogni utente di essere tempestivamente avvisato nel caso sia entrato in contatto “qualificato” (il contatto per essere significativo deve essere avvenuto per un certo tempo e ad una certa distanza, conformemente a parametri elaborati dal Ministero – al momento, però, non ben definiti) con un soggetto positivo al Covid-19. Alla notifica di esposizione l’utente dovrebbe ricevere informazioni sui comportamenti da adottare.

Dall’informativa privacy reperibile al seguente link https://get.immuni.gov.it/docs/app-pn-it.html e dal provvedimento del Garante privacy del 01.06.20 (doc. web. 9356568 che esamineremo in seguito) si ricava il funzionamento dell’applicazione:

1. al momento dell’installazione sul dispositivo mobile dell’utente, la app genera, in modo casuale, mediante algoritmi crittografici, una chiave temporanea denominata TEK (Temporary Exposure Key) che varia giornalmente. L’attribuzione di detta chiave al singolo device è del tutto casuale, svincolata da indicazioni sul dispositivo sul quale è installata la app o sull’utente. A partire da ogni TEK, circa ogni 10 minuti, è generato un codice identificativo di prossimità del dispositivo mobile (tecnicamente detto Rolling Proximity Identifier – RPI). La chiave TEK viene aggiornata quotidianamente mentre i codici RPI mutano varie volte all’ora. Il meccanismo consente in tal modo di conseguire due risultati: da un lato, di abbinare in ogni momento al device un codice identificativo univoco per renderlo “riconoscibile”, dall’altro, di mantenere l’anonimato sull’utente della app;
2. nel caso in cui due device entrino in contatto qualificato, essi registreranno e conserveranno i rispettivi RPI. Ciò è possibile mediante l’uso della tecnologia BLE (Bluetooth Low Energy). E questo fa sì, ancora una volta, che nel dispositivo di ciascun utente resti traccia del RPI abbinato al device dell’altro, senza che ciò consenta in alcun modo di conoscere l’identità degli individui, né di sapere dove tale contatto sia avvenuto (è chiaro che rendere identificabile il device e non l’interessato, se garantisce la riservatezza, crea problemi nel caso in cui il dispositivo mobile non sia sempre nella disponibilità del medesimo individuo);
3. nel caso in cui un utente risulti positivo al Covid-19 potrà (in modo del tutto volontario) trasmettere le proprie TEK ad un server centrale per permettere al sistema di allertare gli utenti con cui è entrato in contatto nei giorni precedenti. Ciò potrà avvenire solo mediante l’aiuto di un operatore sanitario e consentirà di pubblicare le Temporary Exposure Key dei positivi su un server centrale, per la messa a disposizione dell’app immuni, affinchè possano essere scaricate in modo automatico e periodico dagli utenti di immuni: in questo modo ciascun device avvierà il confronto tra gli RPI ricavati dalle TEK scaricate e quelli memorizzati all’interno di ciascun dispositivo;
4. In caso di corrispondenza l’utente riceverà una notifica di esposizione al rischio contagio.

Il meccanismo descritto si basa sulla ricerca dei contatti avuti con soggetti risultati positivi e che hanno accettato di comunicare i codici registrati sui propri dispositivi, corrispondenti ad altrettanti device incontrati nel corso di un certo periodo di tempo.
Sarà la app che, scandagliando il server centrale, qualora trovi delle corrispondenze, invierà una notifica al titolare del dispositivo segnalando il potenziale rischio di contagio.
Il sistema si basa solo sulle comunicazioni che avvengono tra i singoli device, nulla dicendo sugli utenti, pertanto il destinatario dell’allert non saprà dove sia avvenuto il contatto, né avrà alcuna informazione sul soggetto positivo, né altre indicazioni, ad esempio, circa l’uso di misure di protezione individuale adottate dal singolo utente nel momento del contatto.
Ciò con massima tutela della privacy e garanzia di anonimato ma con la connessa incertezza sulle circostanze e sul contesto del possibile contagio.

I dati personali trattati nell’app immuni

Nell’informativa privacy dell’applicazione sono elencante tutte le caratteristiche del trattamento, in attuazione degli obblighi di informazione e trasparenza imposti dal GDPR.
Il titolare (il Ministero della salute) precisa che i dati personali saranno solo quelli necessari ad avvisare l’utente/interessato di essere stato esposto ad un rischio di contagio e ad agevolare l’eventuale adozione di misure di prevenzione e assistenza sanitaria. Ciò, quindi, in piena conformità con le finalità di realizzazione del “Sistema di allerta Covid-19”.

Privilegiando un’impostazione schematica orientata alla massima chiarezza espositiva, l’informativa contiene tre tabelle, con il dettaglio delle tipologie di dati personali trattati, con riguardo alle diverse categorie di interessati.

Nella tabella A sono indicati i dati personali trattati con riguardo a tutti gli utenti dell’app:

• provincia di domicilio, con l’obiettivo di consentire il monitoraggio sullo sviluppo dell’epidemia;
• indicatori di corretto funzionamento dell’applicazione;
• token temporanei per finalità di validazione degli indicatori di funzionamento;
• indirizzo IP usato dal device per connettersi ad internet e far comunicare i dispositivi con il server dell’applicazione.

Si distinguono poi ulteriori tipologie di dati con riguardo a due differenti categorie di utenti: quelli esposti al rischio contagio ed i positivi al Covid-19.

Nella tabella B sono indicati i dati dei soli utenti risultati esposti al rischio contagio, che sono:

• dati di cui alla tabella A;
• ricezione di notifica di esposizione: con cui è segnalato all’utente il rischio di esposizione e la data in cui è avvenuto l’ultimo contatto;
• data dell’ultimo contatto a rischio.

I dati di cui alla tabella C, in relazione agli utenti positivi al Covid-19, sono:

• dati di cui alla tabella A;
• chiavi di esposizione – TEK (Temporary Exposure Key) con cui il dispositivo dell’utente ha generato i codici casuali (RPI), inviati fino a 14 giorni prima, ai device con cui è entrato in contatto. Come descritto sopra è questo il meccanismo di segnalazione ed identificazione dei contatti con il positivo;
• indicatori di rischio di precedenti contatti: sono i parametri relativi alla durata e alla distanza di contatto al fine di individuare le soglie che fanno scattare la notifica (su questo punto, allo stato delle cose, non vi sono precise informazioni);
• OTP: una one time password di 10 caratteri che l’utente positivo dovrà comunicare all’operatore sanitario, qualora decida di inviare al server centrale gli identificativi dei device incontrati e memorizzati sul proprio dispositivo;
• data di comparsa dei sintomi o, in caso di asintomaticità, data di effettuazione del tampone: consente di segnalare del rischio contagio i soli utenti entrati in contatto con un positivo entro un certo tempo, riducendo il più possibile i falsi allarmi.

I principi di privacy by design e by default dell’app immuni

La app immuni si basa sulla tecnologia Bluetooth Low Energy (BLE): i cellulari conservano in memoria i dati di altri dispositivi mobili con cui sono entrati in contatto (in forma di codici anonimi crittografati).

Come indicato dalla Commissione Europea, è stato escluso l’uso della tecnologia GPS a favore di quella bluetooth, ritenuta maggiormente compatibile con i principi di protezione dei dati personali.
Per le stesse ragioni, si è optato per un modello decentralizzato, rispetto a quello centralizzato che avrebbe comportato la memorizzazione dei dati su uno o più server centrali.
In questo modo, i soli dati caricati, in modalità anonima, sul server centrale sono quelli comunicati dai soggetti positivi al Covid-19: i singoli device potranno rilevare la sussistenza di un eventuale contatto, mediante il confronto con gli RPI salvati all’interno di ciascun dispositivo mobile.
Nel caso in cui il sistema riscontri la presenza, tra i codici salvati nella propria memoria, di uno di quelli che appartiene ad un soggetto positivo, scatterà la notifica di esposizione.

Inoltre, il sistema si basa in modo significativo sull’uso della crittografia a chiave asimmetrica, al fine di garantire la massima sicurezza e riservatezza: trattandosi di un modello decentralizzato, la crittografia delle chiavi avviene direttamente sul device dell’utente, mentre al server centrale è assegnato il solo compito di fornire la lista dei codici anonimi dei contagiati. 

Altro esempio di privacy by design è l’uso della pseudonimizzazione usata per il trattamento di dati di prossimità dei dispositivi.
Molto importante, dal punto di vista tecnologico, è stato il contributo dei due colossi Google ed Apple, i quali hanno rilasciato delle API per consentire l’accesso alle funzioni bluetooth dei dispositivi.
Gli sviluppatori potranno così migliorare il funzionamento dell’app in background, limitando quanto più possibile il rischio di falsi negativi, che potrebbe originare dalla potenza variabile del segnale bluetooth.
È di fondamentale importanza per l’intero sistema determinare con esattezza la “soglia” che fa scattare la rilevanza del contatto: essa è determinata da parametri di tempo e spazio che si basano sulle informazioni ricevute dal sistema bluetooth.
Peraltro, come anticipato, al momento non sono disponibili adeguate indicazioni sul funzionamento dell’algoritmo di calcolo usato per far scattare la segnalazione, con pregiudizio per la trasparenza.

La posizione del Garante

Con provvedimento del 01.06.2020, il Garante ha autorizzato il Ministero della salute ad avviare il trattamento dei dati relativo al “Sistema Codid-19” all’esito di un procedimento che ha visto l’Autorità esprimersi già a fine Aprile e che ha tenuto conto delle linee guida europee (n. 04/2020 dell’EDPB), in tema di utilizzo di dati di localizzazione e degli strumenti per il tracciamento dei contatti nel contesto dell’emergenza legata al Covid-19.

Pur ritenendo il sistema proporzionato, l’Autorità elenca 12 prescrizioni volte a rafforzare le garanzie nei confronti degli interessati, tra cui:

1. informare gli utenti sulle possibilità che la app generi notifiche di esposizione che non sempre riflettono un’effettiva condizione di rischio (è possibile, ad esempio, che il soggetto contagiato sia stato in contatto con il positivo nell’ambito di un contesto in cui erano prescritte misure di protezione individuale – ad esempio uso di mascherina in ambiente di lavoro – tali per cui il rischio potrebbe ritenersi sensibilmente mitigato);
2. consentire agli utenti di disattivare in qualunque momento, anche in via temporanea, la app senza bisogno di disinstallarla;
3. adottare misure di sicurezza e tecniche di anonimizzazione;
4. commisurare i tempi di conservazione degli indirizzi IP nella misura strettamente necessaria al rilevamento di anomalie e di attacchi;
5. adottare misure tecniche e organizzative per mitigare i rischi derivanti dall’upload di TEK non riferite a soggetti positivi, a seguito di eventuali errori materiali o diagnostici.

Conclusioni

Il giudizio sulla app immuni è, dunque, sostanzialmente positivo.
Si tratta di un buon esempio di compatibilità e bilanciamento tra tecnologia e diritti.
Non va sottaciuto, però, che permangono criticità, anche dal punto di vista del trattamento dei dati personali (evidenziate dal Garante) che, tuttavia, non hanno impedito l’emissione del provvedimento di autorizzazione. A parere di chi scrive i due aspetti su cui è necessario un approfondimento sono:

1. la mancanza di trasparenza sul funzionamento dell’algoritmo che dà origine alle segnalazioni di potenziale contagio: non è noto quali siano il tempo e la distanza di prossimità al contagiato che faranno superare la soglia da cui deriverà la notifica di esposizione;
2. la mancanza di informazioni circa la gestione dei destinatari della notifica di esposizione: se ed in quale misura essi verranno instradati in un percorso di monitoraggio sanitario volto a verificare l’effettivo contagio.
   Chiarire questi due temi aumenterà la fiducia degli utenti, incentivando l’installazione e l’uso della app.

Avv. Arianna Ciracò

L'articolo App immuni: come funziona ed in che modo tutela la privacy proviene da e-nomos.

Le finalità del programma Smart&Start Italia

Nel 2012, con il decreto legge n.179 del 18 ottobre (c.d. decreto crescita 2.0), in Italia è stata introdotta la startup innovativa.

La nascita di tale modello d’impresa è finalizzata a favorire l’implemento dell’imprenditoria ad alto valore tecnologico.
A tal fine, l’ordinamento ha disposto un sistema complesso di agevolazioni che vanno dalla semplificazione nella fase di costituzione (leggi la guida su come costituire una startup innovativa) alla previsione di incentivi fiscali e meccanismi per agevolare l’accesso al credito.
Tra questi, ricopre particolare rilievo il programma “Smart&Start Italia”.

Cosa offre il programma Smart&Start Italia

Si tratta di un incentivo che sostiene la nascita e la crescita delle startup innovative, offrendo finanziamenti per progetti compresi tra 100.000 euro e 1,5 milioni di euro.

“Smart&Start Italia” offre un finanziamento a tasso zero, senza alcuna garanzia, a copertura dell’80% delle spese ammissibili.
Questa percentuale può salire al 90% se la startup è costituita interamente da donne e/o da giovani sotto i 36 anni, oppure se tra i soci è presente un esperto col titolo di dottore di ricerca italiano (o equivalente) che lavora all’estero e vuole rientrare in Italia.
Le startup con sede in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia possono godere di un contributo a fondo perduto pari al 30% del mutuo e restituire così solo il 70% di quanto ricevuto.

Quali requisiti sono previsti per accedere al programma

Le imprese italiane che intendono presentare la propria domanda di finanziamento, devono essere iscritte al registro delle imprese nella sezione startup innovative, dunque, devono rivestire le seguenti caratteristiche:

1. l’impresa deve essere costituita da non più di 5 anni (60 mesi)
2. l’impresa deve risiedere in Italia (o in altro Paese UE, purché abbia sede produttiva o filiale in Italia)
3. l’oggetto sociale, esclusivo o prevalente deve essere lo sviluppo, la produzione e la commercializzazione di prodotti o servizi innovativi ad alto valore tecnologico
4. l’impresa deve avere un fatturato annuo inferiore ai 5 milioni di euro
5. l’impresa non deve distribuire utili, né averne distribuiti in precedenza
6. la nascita dell’impresa non deve essere il risultato di una fusione, di una scissione o di una cessione di ramo d’azienda
7. deve trattarsi di impresa non quotata, costituita come s.p.a., s.r.l., s.a.p.a, soc. coop. o s.r.l.s.

Oltre ai punti appena elencati, si vede possedere almeno una delle seguenti caratteristiche:

a. l’impresa deve avere sostenuto spese in ricerca e sviluppo e innovazione pari ad almeno il 15% del maggiore valore tra fatturato e costo della produzione;

b. l’impresa deve impiegare personale ritenuto altamente qualificato. Per rispettare tale requisito occorre che tra il totale dei soggetti impiegati e collaboratori, almeno 1/3 sia composto da dottori di ricerca, dottorandi o ricercatori, oppure sia composta per almeno 2/3 da laureti magistrali;

c. l’impresa deve essere titolare, depositaria o licenziataria di almeno un brevetto oppure titolare di un software registrato.

Attraverso il programma “Smart&Start Italia” è possibile ottenere i fondi necessari a sostenere l’acquisto di beni di investimento (impianti, macchinari, brevetti etc.), servizi ( come gli investimenti in marketing o nelle consulenze specialistiche), spese del personale e costi di funzionamento aziendale (ad esempio servizi di hosting e housing, godimento di beni di terzi, acquisto materie prime).

Le caratteristiche dei progetti finanziabili

Il progetto imprenditoriale deve, però, possedere necessariamente almeno una delle seguenti caratteristiche:

• avere un significativo contenuto tecnologico e innovativo
• essere orientato allo sviluppo di prodotti, servizi o soluzioni nel campo dell’economia digitale, dell’intelligenza artificiale, della blockchain e dell’internet of things
• essere finalizzato alla valorizzazione economica dei risultati della ricerca pubblica e privata

Inoltre, le spese del piano d’impresa devono essere sostenute nei 24 mesi successivi alla firma del contratto. Ad oggi si prevede che il finanziamento vada restituito in 10 anni a partire dal dodicesimo mese successivo all’ultima quota di finanziamento ricevuto.

Il programma, inoltre, consente alle startup costituite da meno di un anno di usufruire di un servizio di tutoraggio tecnico gestionale volto a rafforzare le competenze aziendali nel primo periodo, in riferimento ad argomenti come la pianificazione finanziaria, lo sviluppo marketing e la definizione dell’organizzazione societaria.

Il tutoraggio si concretizza in un insieme di servizi offerti sia tramite l’accesso a webinar specialistici, sia attraverso l’affiancamento di un esperto all’impresa beneficiaria per la gestione degli ambiti manageriali individuati nella fase di definizione del piano.

Presentare la domanda per il programma Smart&Start Italia

La domanda per accedere al finanziamento “Smart&Start Italia” può essere inoltrata soltanto on-line, tramite il portale di Invitalia, l’agenzia nazionale per l’attrazione degli investimenti e lo sviluppo d’impresa, di proprietà del Ministero dell’Economia.
La prima edizione, dedicata alle sole regioni del Mezzogiorno, è stata avviata il 4 settembre 2013.
Le prime due edizioni hanno visto il finanziamento di oltre mille realtà imprenditoriali, per una stima di oltre 5.500 nuovi occupati.
Dal 16 febbraio 2015 le agevolazioni sono state estese alle start-up innovative di tutta Italia.
Da allora (dati aggiornati al dicembre 2019), in relazione alle edizioni successiva al 2015, sono stati attivati investimenti per 278 milioni di euro, a 575 diverse start-up innovative dislocate su tutto il territorio nazionale.

Avv. Alessandro Marchetti

L'articolo Smart&Start Italia, il finanziamento agevolato per le startup innovative. proviene da e-nomos.