Innovation Law Insights

Podcast

Nuovo regime di licenze per il gioco d'azzardo online e il nuovo bando di concessioni in Italia: cosa c'è da sapere

Alla luce della recente approvazione della nuova regolamentazione italiana sul regime delle licenze per il gioco d'azzardo, insieme alla riorganizzazione dei giochi a distanza con vincite in denaro, gli avvocati Giulio Coraggio e Vincenzo Giuffré dello studio legale DLA Piper hanno fornito preziose indicazioni sia per gli operatori già presenti sul mercato che per i nuovi arrivati sui cambiamenti e le implicazioni del nuovo panorama normativo in Italia. È possibile guardare la registrazione del webinar qui.

Data Protection & Cybersecurity

L'EDPB fornisce indicazioni sulla conformità del modello di gestione dei cookie Pay or Ok alla normativa privacy

Il Comitato europeo per la protezione dei dati (EDPB) ha recentemente dato indicazioni sulla conformità alle leggi privacy del modello di gestione dei cookie Pay or Ok da parte delle grandi piattaforme online, che sta diventando piuttosto comune sul mercato.

Questo parere segna una pietra miliare significativa nel campo della protezione dei dati, con implicazioni di vasta portata per una moltitudine di aziende che operano nella sfera digitale.

Le indicazioni fornite dall'EDPB sottolineano la necessità di una valutazione approfondita e contestualizzata della validità del consenso ottenuto dagli interessati nell'ambito dei modelli Pay or Ok. Ciò comporta un esame meticoloso di vari aspetti del consenso, tra cui il fatto che questo sia: (i) libero, (ii) informato e (iii) specifico.

Il consenso è libero con il modello di gestione dei cookie Pay or Ok?

Al centro dell'analisi dell'EDPB c'è il principio del consenso libero. Il Comitato europeo per la protezione dei dati sottolinea l'importanza di garantire che gli interessati abbiano una reale possibilità di scelta quando si tratta di acconsentire al trattamento dei loro dati personali. A questo proposito, i titolari del trattamento sono invitati a fornire una versione alternativa gratuita che non preveda il trattamento dei dati personali per la pubblicità comportamentale. Anche se non è obbligatorio, l'offerta di tale alternativa rafforza l'argomentazione che il consenso è effettivamente libero.

Inoltre, l'EDPB sottolinea il potenziale pregiudizio che gli interessati potrebbero subire negli scenari in cui il consenso viene presentato come unica opzione, insieme al pagamento. Questa scelta binaria può imporre oneri finanziari o impedire l'accesso a servizi ritenuti essenziali, soprattutto nel caso di piattaforme online che sono diventate parte della vita quotidiana. Ad esempio, le piattaforme di social media svolgono un ruolo fondamentale nel facilitare le interazioni sociali, mentre le piattaforme di networking professionale possono essere cruciali per l'avanzamento di carriera. Il rifiuto di pestare il consenso o di pagare in tali circostanze potrebbe avere conseguenze di vasta portata, tra cui l'esclusione sociale o limitazioni nell'accesso alle opportunità di lavoro.

Anche la questione dello squilibrio di potere è un punto focale delle linee guida dell'EDPB. Infatti, nel caso in cui vi sia un chiaro squilibrio di potere tra il titolare del trattamento e l'interessato, il consenso potrebbe non essere considerato liberamente prestato. Nel caso di grandi piattaforme online, vi sono alcuni elementi che devono essere attentamente valutati per identificare una possibile situazione di squilibrio di potere, come la posizione dominante sul mercato, la presenza di effetti cd. lock-in e la vulnerabilità di specifici target di pubblico, come i bambini.

Un ulteriore punto esaminato dall'EDPB riguarda le alternative fornite agli interessati, in particolare per quanto riguarda potenziali versioni alternative dello stesso servizio offerte dallo stesso titolare del trattamento. Sebbene tali alternative non debbano necessariamente essere repliche esatte del servizio originale, dovrebbero offrire funzionalità comparabili. L'EDPB sottolinea che quanto maggiore è la differenza tra la versione alternativa e quella con pubblicità comportamentale, tanto minore è la probabilità che sia considerata realmente equivalente.

L'EDPB fornisce indicazioni anche sull'imposizione di un pagamento come alternativa al consenso. In particolare, i titolari del trattamento dovrebbero valutare, caso per caso, se tale pagamento sia necessario e appropriato e quale sia l'importo da richiedere in base alle circostanze, tenendo presente che i dati personali non possono essere considerati un bene commerciabile. I titolari del trattamento dovranno quindi valutare se offrono una scelta autentica agli interessati, rispettando la loro autonomia; a tal fine, occorre prestare particolare attenzione ai principi enunciati nell'articolo 5 del GDPR, in particolare per quanto riguarda i principi della trasparenza, correttezza e responsabilizzazione.

Infine, secondo l'EDPB anche la granularità del consenso è importante per valutare se questo è stato dato liberamente, quindi gli interessati dovrebbero essere liberi di scegliere le singole finalità per cui acconsentire al trattamento dei loro dati personali piuttosto che acconsentire a un insieme di finalità di trattamento.

Questi principi sono applicabili solo alle grandi piattaforme online?

Una domanda importante che molti clienti ci rivolgono è se i principi sopra citati si applichino unicamente alle grandi piattaforme online o a qualsiasi azienda che adotti il sistema di gestione dei cookie Pay o Ok. Le linee guida fanno continuamente riferimento alle grandi piattaforme online, che non è una definizione specifica del GDPR, ma deriva dal Digital Services Act (DSA) e dal Digital Markets Act (DMA). La ratio di questo riferimento è che gli utenti non dispongono di alternative valide a questi servizi a causa della posizione dominante della piattaforma; per questo motivo l'EDPB richiede che ai clienti sia concessa una terza opzione che non richieda alcun pagamento o consenso alla profilazione.

Tuttavia, il rischio è che le autorità di regolamentazione, come il Garante per la protezione dei dati personali, tendano ad estendere i medesimi principi a qualsiasi piattaforma o almeno alle piattaforme di grandi dimensioni che non rientrano nelle definizioni del DMA e del DSA. Riteniamo che vi siano validi argomenti contro questa posizione. In effetti, nelle sue linee guida in materia, la CNIL non fa riferimento alla necessità di offrire un'ulteriore terza alternativa.

Si prevede che l'EDPB pubblichi in futuro delle linee guida generali sul modello di gestione dei cookie Pay or Ok; nel frattempo, si auspica che i Garanti europei mantengano un approccio flessibile che tenga conto delle peculiarità di ogni situazione, piuttosto che cercare di imporre una soluzione unica per tutti.

Autore: Giulio Coraggio e Roxana Smeria

Gli studi retrospettivi non saranno più soggetti all'approvazione del Garante Privacy

Il 23 aprile scorso, il Parlamento italiano ha approvato un’importante modifica del Codice Privacy, che consente di condurre studi retrospettivi senza la necessità di un'autorizzazione preventiva da parte del Garante per la protezione dei dati personali.

La modifica riguarda l’art. 110 del Codice Privacy – rubricato “Ricerca medica, biomedica ed epidemiologica” – e prevede l’eliminazione dell’obbligo di sottoporre il programma di ricerca alla preventiva consultazione e approvazione del Garante, obbligo previsto per i casi in cui si intendeva trattare i dati sullo stato di salute per fini di ricerca scientifica e non fosse possibile ottenere il consenso degli interessati.

Sin qui il Legislatore italiano ha adottato un approccio consenso-centrico per legittimare il trattamento di dati sanitari per finalità di ricerca scientifica, indicando il consenso quale base giuridica necessaria, salvo i casi in cui:

• la ricerca veniva effettuata sulla base di specifiche previsioni normative; o
• informare gli interessati risultasse “impossibile” o implicasse “uno sforzo sproporzionato” o rischiasse di “rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca” (cfr. art. 110, comma 1, secondo periodo, del Codice Privacy).

In questo secondo caso, il titolare del trattamento poteva sottrarsi all’obbligo di informare gli interessati del trattamento e raccoglierne il consenso solo se sottoponeva il programma di ricerca all’approvazione preventiva del Garante – a norma dell’art. 36 del GDPR – oltre a dover ottenere parere favorevole del comitato etico a livello territoriale e adottare “misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato”.

La necessità di ottenere il preventivo parere del Garante rappresentava un ostacolo significativo all’attività di ricerca scientifica, in particolare per gli studi retrospettivi, che misurano eventi accaduti in un periodo precedente rispetto al disegno dello studio e si basano su dati già raccolti prima che lo studio iniziasse (tipicamente nell’ambito della normale pratica clinica). Nell’ambito di tali studi si verifica spesso la necessità di analizzare (anche) informazioni relative a persone decedute o non più rintracciabili, rispetto alle quali risulta impossibile raccogliere il consenso.

Secondo l’art. 36 del GDPR, il Garante avrebbe dovuto fornire il proprio parere sulla conformità dello studio al GDPR entro 8 settimane dal ricevimento della richiesta di consultazione, prorogabili di ulteriori 6 settimane, in caso di trattamenti particolarmente complessi. Di fatto però difficilmente l’Autorità era in grado di rispettare il ristretto termine indicato nell’art. 36.

La necessità di attendere che il Garante si pronunciasse allungava i tempi della ricerca e potrebbe renderla eccessivamente costosa, scoraggiando gli sponsor alla conduzione dello studio. Ci è capitato di assistere società farmaceutiche multinazionali che hanno rinunciato a svolgere studi retrospettivi in Italia proprio per via del requisito della preventiva consultazione del Garante, prediligendo Paesi europei nei quali non esiste un simile requisito ed è possibile condurre l’attività di ricerca prescindendo dal consenso dei pazienti. Tali problemi sono oggi superati grazie alla modifica approvata dal Parlamento.

Accogliamo dunque con favore l’intento del Legislatore di semplificare gli adempimenti previsti dalla legislazione nazionale, eliminando ostacoli normativi che non apparivano neppure coerenti con il generale favor per la ricerca scientifica di cui è permeato il GDPR, che infatti include una presunzione di compatibilità dell’attività scientifica con ulteriori e diverse finalità del trattamento.

Il Parlamento ha appena compiuto un passo importante verso un ambiente più favorevole alla ricerca scientifica retrospettiva, eliminando un requisito di legge sulla protezione dei dati che rappresentava una peculiarità onerosa della normativa italiana sulla protezione dei dati.

Autore: Cristina Criscuoli

Intellectual Property

Conflitto tra disegni o modelli comunitari e marchi anteriori: confermata la nullità di un design concernente un packaging per snack

Con una recente decisione, la Terza Commissione di Ricorso (“Commissione”) dell’Ufficio dell’Unione Europea per la Proprietà Intellettuale (“EUIPO”) ha confermato la nullità di un disegno o modello comunitario concernente un packaging per snack (“disegno contestato”), già dichiarata dalla Divisione di Annullamento dell’EUIPO, che aveva rilevato la sussistenza di un rischio di confusione con un marchio anteriore parimenti destinato a contraddistinguere snack e ritenuto altamente simile a uno degli elementi verbali apposti sul packaging.

La Divisione di Annullamento ha dichiarato la nullità del disegno o modello comunitario contestato sulla base dell’articolo 25, paragrafo 1, lettera e), RDC, secondo il quale “il disegno o modello comunitario può essere dichiarato nullo solo nei seguenti casi: [...] e) se in un disegno o modello successivo è utilizzato un segno distintivo, e il diritto comunitario o la legislazione dello Stato membro interessato cui è soggetto il segno distintivo conferiscono al suo titolare il diritto di vietarne l'uso”, in combinato disposto con l'articolo 36, paragrafo 2, lettere b) e c), della Legge Marchi rumena a disciplina del marchio anteriore.

Sulla base di tali disposizioni, complice anche la simile rappresentazione grafica degli elementi verbali delle privative, la Commissione ha ritenuto la coincidenza in tre lettere su quattro di detti elementi verbali distintivi delle due privative maggiormente rilevanti rispetto alle differenze. L’elemento verbale del marchio anteriore è, infatti, quasi integralmente riprodotto nel disegno contestato. Pertanto, secondo la Commissione, non può escludersi il rischio che il pubblico di riferimento maturi l’erronea convinzione che il disegno contestato utilizzi il marchio anteriore nei termini disciplinati dall’articolo 25, pa. 1, lett. e), RDC. Ciò, anche considerando l’identità dei prodotti coinvolti nell’utilizzo di entrambe le privative e, ancora, la circostanza che vede il marchio anteriore nella veste di elemento integrante dei packaging per prodotti identici o simili.

Procedendo, la Commissione ha sottolineato che la rappresentazione grafica del disegno contestato concerne la parte frontale di una confezione alimentare dedicata a snack o prodotti simili ai prodotti contrassegnati dal marchio anteriore. Considerando che la confezione è strettamente necessaria per l’utilizzo di tali prodotti, e assumendo, quindi, una correlazione con gli stessi, ne ha, altresì, rilevato la complementarità.

Concludendo, pur ravvisando delle differenze tra le privative, la Commissione ha ritenuto gli elementi di differenziazione non sufficienti ad escludere il rischio di confusione tra le privative utilizzate rispetto a prodotti identici o simili, assumendo che il consumatore, trovandosi di fronte al disegno contestato utilizzato su confezioni di snack per i quali è anche registrato il marchio anteriore, potrebbe erroneamente dedurre la medesima origine imprenditoriale dei prodotti. E ciò, considerando, ancora, che l’apposizione di un marchio registrato sulle confezioni dei prodotti designati è una destinazione d’uso intrinseca nella stessa natura di detto segno distintivo.

Autore: Tamara D’Angeli

Marchio Audrey Hepburn: la Cassazione conferma uso commerciale

Si è concluso l'iter giudiziario che ha visto coinvolte una nota casa di moda e gli eredi della famosa attrice, titolari del marchio Audrey Hepburn.

La recente ordinanza della Corte di Cassazione, datata 23 febbraio 2024, ha risolto una controversia legale riguardante l'uso del nome e dell'immagine di Audrey Hepburn da parte di una rinomata casa di moda italiana, confermando quanto già stabilito dalla Corte d’Appello di Firenze nel 2022. La decisione respinge la richiesta di risarcimento danni avanzata dai figli dell'attrice belga contro l'azienda per il presunto uso non autorizzato del nome della madre e la presunta contraffazione del marchio registrato "Audrey Hepburn" per tre distinti modelli di scarpe.

Secondo la Cassazione, l'azienda di moda non ha violato i diritti di immagine della Hepburn, in quanto le scarpe in questione erano state effettivamente create per l'attrice nel 1959, diventando nel tempo un'icona di eleganza. La Corte ha chiarito che l'uso del nome o dell'immagine di una celebrità a fini commerciali può essere accettato se c'è anche un intento informativo.

Nello specifico, la decisione si basa sui principi stabiliti dagli articoli 6 e 7 del Codice civile italiano, che riconoscono il diritto al proprio nome e la facoltà di agire contro qualsiasi uso non autorizzato da parte di terzi che possa arrecare indebito pregiudizio, nonché dagli articoli 2 e 22 della Costituzione italiana. Secondo la Suprema Corte italiana, il fatto che l'uso in questione sia commerciale, dunque tutelato dagli articoli 41 della Costituzione italiana e 16 della Carta di Nizza, non significa automaticamente che l'uso non autorizzato del proprio nome sia indebito, in quanto potrebbe essere giustificato da finalità informative, e quindi essere tutelato dagli articoli 2 e 21 della Costituzione italiana, 10 della CEDU e 11 della Carta di Nizza.

Nel caso di specie, è un dato di fatto che le scarpe in questione fossero state create, o comunque indossate, dalla Hepburn. Pertanto, la Suprema Corte ha ritenuto che la Corte d'Appello avesse correttamente bilanciato gli interessi in gioco: anche se lo scopo della casa di moda era commerciale, lo scopo della comunicazione in questione e, quindi, l'uso del nome della Hepburn, era meramente descrittivo.

Autore: Maria Vittoria Pessina

La rubrica Innovation Law Insights è stata redatta dai professionisti dello studio legale DLA Piper con il coordinamento di Arianna Angilletta,Edoardo Bardelli, Carolina Battistella, Carlotta Busani, Giorgia Carneri, Silvia Cerrato, Maria Rita Cormaci, Camila Crisci, Cristina Criscuoli, Tamara D’Angeli, Chiara D’Onofrio, Federico Maria Di Vizio, Enila Elezi, Nadia Feola, Claudia Galatioto, Laura Gastaldi, Vincenzo Giuffré, Marco Guarna, Nicola Landolfi, Giacomo Lusardi, Valentina Mazza, Lara Mastrangelo, Maria Chiara Meneghetti, Dalila Mentuccia, Deborah Paracchini, Tommaso Ricci, Miriam Romeo, Rebecca Rossi, Roxana Smeria, Massimiliano Tiberio, Alessandra Tozzi, Giulia Zappaterra

Gli articoli in materia di Telecommunications sono a cura di Massimo D’Andrea, Flaminia Perna e Matilde Losa.

Per maggiori informazioni sugli argomenti trattati, è possibile contattare i soci responsabili delle questioni Giulio Coraggio, Marco de Morpurgo, Gualtiero Dragotti, Alessandro Ferrari, Roberto Valenti, Elena Varese, Alessandro Boso Caretta, Ginevra Righini.

Scoprite Prisca AI Compliance, il tool di legal tech sviluppato da DLA Piper per valutare la maturità dei sistemi di intelligenza artificiale rispetto alle principali normative e standard tecnici qui.

È possibile sapere di più su “Transfer”, il tool di legal tech realizzato da DLA Piper per supportare le aziende nella valutazione dei trasferimenti dei dati fuori dello SEE (TIA) qui e consultare una pubblicazione di DLA Piper che illustra la normativa sul Gambling qui, nonché un report che analizza le principali questioni legali derivanti dal metaverso qui, e una guida comparativa delle norme in materia di loot boxes qui.

DLA Piper Studio Legale Tributario Associato tratta i dati personali in conformità con l'informativa sul trattamento dei dati personali disponibile qui.

Qualora non si volesse più ricevere gli Innovation Law Insights o ci si volesse iscrivere alla stessa, è possibile inviare un'email a Silvia Molignani.