La natura del contratto di cloud computing nell’ordinamento italiano. 

26/11/2013

Il contratto di cloud è cosa diversa dal contratto di hosting, pure appartenente alla categoria dei “servizi telematici”. Nel contratto di hosting vi è un prestatore (generalmente denominato con il termine inglese provider) che fornisce una struttura idonea ad ospitare dei server di proprietà del proprio cliente e ne assicura la continuità operativa in termini di forniture elettriche, prevenzione incendi, connessione ad internet, ecc.

Su tale server opera direttamente il cliente con proprio personale, che agisce in loco o per via telematica effettuando le necessarie operazioni. Si ha dunque, per via fisica o virtuale, un conferimento di qualcosa che trascende i dati ed include macchinari e software di proprietà del cliente, che vengono utilizzati nell’ambito dell’infra­struttura/spazio virtuale di host.

Nel cloud la prestazione di hosting viene ad essere del tutto “virtuale” in quanto i server sono di proprietà del cloud provider e non sono accessibili al cliente che può solo agire su di essi per via telematica; allo stesso modo il software è di proprietà del cloud provider e, a volte, lo sono anche parte dei contenuti (es. i brani musicali) distribuiti attraverso la memoria accessibile ovunque del cloud.

Il punto di contatto tra cloud e hosting è così nel c.d. servizio di virtual hosting in cui il cloud provider attraverso un contratto ed una prestazione di servizio cloud, fornisce i contenuti tipici di un contratto di hosting mettendo cioè a disposizione servizi equivalenti a possedere un server dotato di certe caratteristiche tecniche senza però che l’utente debba effettivamente esserne il proprietario. Non vi è infatti nemmeno necessaria corrispondenza con l’esistenza di un server nella realtà.

Questa sembra essere la differenza tra cloud e hosting: l’hosting si riferisce all’uso di spazio per ospitare un bene mobile ben individuato.

Il cloud hosting non è altro che un servizio e, come si dirà meglio, si deve ricondurre all’appalto di servizi.

Sia il cloud deposito che il cloud appalto di servizi (il c.d. cloud software as a service) hanno dunque simili caratteristiche di smaterializzazione e fornitura dall’esterno, per via digitale, di prestazioni equivalenti a quelle ottenibili attraverso l’installazione locale di apparati elettronici, supporti contenenti opere digitali e dati e relative licenze per software e banche dati.

Per l’effetto, essi sono idonei a costituire una regola generale della circolazione e distribuzione di questi beni digitali dell’infor­mazione, che vengono a costituire, dal punto di vista contrattuale, l’oggetto di un servizio nell’ambito di una fattispecie valutabile in maniera uniforme.

La struttura di questi contratti è infatti accompagnata da un documento che definisce i criteri di liceità in base ai quali il bene del­l’informazione potrà essere circolato e gestito attraverso il servizio cloud.

Si tratta del documento denominato Acceptable Use Policy (AUP) che definisce i termini del perimetro di uso contrattualmente lecito della risorsa virtuale (spazio disco, software oppure potenza di elaborazione) oggetto della prestazione. Al di fuori di tale perimetro, qualunque uso della risorsa dovrà essere valutato quale non contrattualmente lecito, con le ovvie conseguenze in termini di even­tuale responsabilità extracontrattuale dell’utilizzatore.

Esempio di uso vietato da qualsiasi AUP è la memorizzazione di opere digitali sulla risorsa cloud senza avere le autorizzazioni necessarie ai sensi delle norme applicabili di diritto d’autore. Ulteriore esempio è la memorizzazione di dati personali o sensibili da parte di chi non abbia necessari consensi prescritti dalle vigenti normative sul trattamento dei dati personali.

Attraverso i contratti di tipo cloud è possibile oggi concedere in uso in via dematerializzata – e dunque come “servizio” – risorse e beni informatici digitali che, altrimenti, dovrebbero essere disponibili localmente presso l’utilizzatore.

L’utilizzatore dei sistemi cloud rinuncia così ad avere archivi digitali locali e una serie di beni digitali dell’informazione perdono definitivamente il legame con il “supporto”: i sistemi cloud, infatti, possono articolarsi con tecniche di memorizzazione a cluster che frammentano le informazioni tra diversi luoghi per motivi di efficienza allocativa e le ricompongono solo al momento in cui viene richiesto di conoscere il dato. Il corpus mechanicum non esiste dun­que né in concreto, né in astratto.

Il cloud provider non ha facoltà di realizzare operazioni di gestione del dato tese all’efficienza allocativa, di elaborarlo per motivi tecnici (es. mediante compressione, deframmentazione, clustering e altre tecniche simili).

Salvo patto espresso, il provider non conosce il contenuto del dato che gli viene affidato in quanto, diversamente, ne diverrebbe responsabile nel merito. Il limite delle operazioni contrattualmente autorizzate coincide cioè con le operazioni che non comportano l’interpretazione e l’uso del dato per fini diversi dalla efficiente conservazione e/o dal fornire il risultato dell’elaborazione attesa.

Mettere il dato in relazione ad altri dati è dunque una operazione vietata anche in quanto del dato il cloud provider non ha alcuna titolarità.

Ciò risulta anche dal fatto che, ai fini della legge sulla riservatezza dei dati personali, il cloud provider non viene individuato come titolare del trattamento dei dati personali ma solo come incaricato del trattamento dei dati.

Qualora i dati siano oggetto di elaborazione che vada oltre le operazioni necessarie alla mera gestione tecnica e siano, dunque, analizzati al fine di comprenderne il contenuto ed utilizzati in ragione di esso, il rapporto non sembra possa rientrare nella tipologia del cloud anche perché vi sono considerazioni complesse da fare sotto il profilo della tutela del diritto alla riservatezza.

Esempi di gestione attiva dei dati personali si trovano nei social networks (es. il celeberrimo “Facebook”, ma anche “Linkedin”) che, pur presentando enormi strutture delocalizzate di memorizzazione dei dati degli utenti non sono articolati secondo il paradigma del cloud e seguono una struttura atipica che pare necessitare ulteriori indagini dal punto di vista del contratto telematico della conformità alle normative sulla privacy. Tali social networks presuppongono infatti la piena conoscenza di ogni dato che viene loro affidato e, oltre la conoscenza, anche l’acquisto della titolarità del dato. Questa sembra essere la differenza sostanziale tra un cloud e un social network.

Il cloud provider riceve invece una informazione, un dato, un’opera digitale o un programma per elaboratore di cui non sa e non è interessato a sapere nulla: egli si obbliga contrattualmente a riprodurla digitalmente quando richiesto e con metodi che non ne prevedono l’analisi del contenuto. Il dato rimane nella piena titolarità di chi lo ha inserito nel cloud e non passa mai nella titolarità del cloud provider.

Tale caratteristica consente, come si vedrà, alcune considerazioni sulla natura giuridica del contratto di cloud.

È evidente che nel cloud non vi è un vero e proprio deposito di beni mobili ma sembrano esservi marcate analogie tra i beni del­l’informazione che vengono memorizzati in strutture di proprietà del provider, che ospitano i dati di più soggetti e il c.d. deposito “alla rinfusa” ex art. 939 c.c. in quanto la norma in questione prevede che “quando più cose appartenenti a diversi proprietari sono state unite o mescolate in guisa da formare un sol tutto, ma sono separabili senza notevole deterioramento, ciascuno conserva la proprietà della cosa sua e ha diritto di ottenerne la separazione”.

Si tratta ora di capire, da una parte, se i beni dell’informazione digitali possano essere ricompresi nella definizione di “bene” e, in particolare, di “bene mobile” e, dall’altra, se possano essere depositati questi particolari beni.

Se il cloud fosse effettivamente un deposito, come qui si ipotizza, il bene oggetto del deposito sarebbe individuabile nelle informazioni digitali, ricomponibili (e dunque separabili) a formare, una volta estratte dal deposito, i beni dell’informazione originariamente depositati.

Tali beni dell’informazione sono suscettibili di valutazione economica e patrimoniale in quanto la loro perdita arrecherebbe un danno misurabile. Essi, pertanto, sembrano essere conformi ai criteri generalmente adottati da dottrina e giurisprudenza per applicare la definizione residuale di “bene mobile” di cui all’art. 812, comma 3 c.c. e dunque, inquadrabili nel c.d. “deposito irregolare”.

Il presente articolo è una sintesi, con alcuni adattamenti e riduzioni, di alcuni contenuti del libro “L’Opera Digitale tra Regole e Mercato”, Giappichelli, 2013