Impresa, tecnologia ed informazioni: rischi e considerazioni legali

Le imprese oggi si trovano a doversi interfacciare, a vari livelli, con la tecnologia e gli strumenti, per gestire quantitativi sempre più ingenti di dati ed informazioni rilevanti nel contesto o per l’andamento aziendale.

Se da un lato è pressoché impossibile rinunciare al ruolo strategico e di supporto che il binomio tecnologia ed informazioni garantisce nella ottimizzazione delle attività aziendali e, quindi, nel mantenimento di adeguati livelli di competitività, efficienza e sviluppo, dall'altro non si può dimenticare che questi vantaggi hanno dei costi, di cui si tende spesso a considerare la sola componente economica.

In realtà, però, i costi hanno anche una dimensione in termini di acquisizione di consapevolezza,  organizzazione e gestione; infatti, è difficile poter parlare di vantaggi se strumenti ed informazioni vengono utilizzati in modo non adeguato, esponendo l'organizzazione a rischi inutili, tra cui quelli di natura tecnologica (es. violazioni della riservatezza delle informazioni, ecc...) e legale (es. non conformità, inadempimenti contrattuali, richieste risarcitorie, ecc...).

Perciò questa considerazione mi offre lo spunto per provare a delineare in modo schematico, senza alcuna pretesa di esaustività, le questioni di natura legale che una impresa informatizzata si trova, inevitabilmente, a dover fronteggiare se vuole beneficiare dei vantaggi della tecnologia, proteggendo nel contempo se stessa ed il valore delle informazioni che detiene e gestisce. Mi riferisco principalmente ad aspetti nei quali la gestione delle informazioni e/o l'uso della tecnologia comportano:

• obblighi di compliance, cioè conformità a leggi, regolamenti, standard di settore o accordi tra le parti;
• oneri particolari di tutela nei confronti dei soggetti attraverso i quali l'azienda opera (es. dipendenti) o con i quali interagisce (es. fornitori, clienti, competitors, pubblica amministrazione, ecc...);

Partendo da una classificazione per macroaree, si possono individuare i seguenti domini applicativi:

• privacy: uso delle risorse aziendali (es. internet, posta elettonica, telefonia mobile e fissa), SaaS, cloud computing, biometria, videosorveglianza, RFID, geolocalizzazione, voip, marketing, social networks;
• tutela della reputazione: protezione del brand online (es. name squatting);
• contrattualistica: outsourcing, accordi sui livelli di servizio (Service Level Agreement, SLA), SaaS, cloud computing, social media marketing, accordi di riservatezza (Non-Disclosure Agreement, NDA), connettività Internet, telefonia, voip, fornitura e manutenzione dell'hardware, sviluppo, fornitura e manutenzione del software;
• informazioni aziendali: protezione delle informazioni segrete (es. know-how);
• proprietà intellettuale:diritto d'autore (es. contenuti online, prodotti audio/visivi, software, Digital Rights Management, ecc...);
• proprietà industriale: marchi, brevetti, disegni e modelli;
• rapporti con la pubblica amministrazione digitale: posta elettronica certificata, conservazione sostitutiva dei documenti, fatturazione elettronica;
• responsabilità amministrativa: prevenzione dei reati informatici e di quelli contro il diritto d'autore, modelli organizzativi e di controllo;

Photo courtesy: darktaco

Il software open source: opportunità, rischi e possibili approcci

Da anni assistiamo ormai ad un incessante dibattito sul mondo dell'open source, sui vantaggi concreti e le opportunità che esso presenta, non soltanto per le aziende, ma anche per i singoli utilizzatori finali.

La questione non interessa soltanto i soggetti privati, tanto che il Centro Nazionale per l'Informatica nella Pubblica Amministrazione (CNIPA) ha allestito un osservatorio che, nelle intenzioni dichiarate, è destinato a svolgere la funzione di catalizzatore della conoscenza e delle best practice in materia di open source nella P.A.

La stessa crisi economica mondiale rischia di riportare la problematica al centro della discussione: le caratteristiche di libertà, trasparenza e gratuità del codice a sorgente aperto sembrano infatti idonee a perseguire l'efficienza e la riduzione di costi che, generalmente, diventano un obiettivo proritario in tempi di ristrettezze economiche, senza che questo comporti una rinuncia all'utilizzo delle tecnologie dell'informazione e della comunicazione che, secondo l'opinione prevalente, rappresentano invece una delle principali soluzioni per risollevare l'economia dalla stagnazione.

Messa in questi termini sembra che la questione sull'opportunità di adottare il software libero non possa che risolversi positivamente ma in realtà, prima di giungere a questa conclusione, è opportuno fare una valutazione complessiva non soltanto dei possibili vantaggi, ma anche dei rischi potenziali e degli approcci adottabili.

Cerchiamo allora di fare chiarezza su questi aspetti.

Vantaggi nell'adozione di software open source

I benefici per una infrastruttura informatica aziendale sono riconducibili a:

• risparmio sui costi della licenza e degli aggiornamenti;
• interoperabilità con gli standard di settore;
• eliminazione di ogni forma di dipendenza da un determinato fornitore che, a volte, si traduce in posizioni di debolezza contrattuale;
• disponibilità del codice sorgente con conseguente possibilità di analizzarlo e modificarlo secondo le proprie esigenze (a patto di avere internamente delle risorse munite delle necessarie competenze);
• qualità e sicurezza, soprattutto nei progetti supportati da un ampia comunità di sviluppatori in grado di correggere difetti (bug) o di migliorare continuamente il prodotto;

In aggiunta le software house possono trarre degli ulteriori specifici vantaggi dall'inclusione di software aperto all'interno del loro modello di business:

• riduzione degli oneri economici di acquisto e gestione del software ed incremento degli utili connessi con la fornitura di consulenza e servizi connessi (installazione, manutenzione, formazione, personalizzazione, ecc...);
• ricadute positive in termini di visibilità e prestigio;
• libertà nel disporre del codice sorgente, di riadattarlo e modificarlo in modo da derivarne altri prodotti;
• possibilità di avvantaggiarsi della spinta verso una veloce diffusione ed adozione di nuovi prodotti e caratteristiche che le licenze open generano;

Rischi o svantaggi

• le licenze open non offrono le stesse garanzie di protezione degli utenti finali di quelle proprietarie: questa carenza intrinseca, se non bilanciata dalla previsione contrattuale di un apposito indennizzo, può esporre al rischio di violazione dei diritti di proprietà intellettuale o industriale di terze parti;
• la mancanza di un supporto tecnico completo può riflettersi negativamente sull'affidabilità, la robustezza e la sicurezza complessive del prodotto, specie nei progetti non supportati da un ampia comunità;
• alcuni tipi di licenza possono indurre il rischio cd. da contaminazione da OSS che si verifica quando, all'interno di un software che si vorrebbe mantenere proprietario (closed source), vengono incluse porzioni di codice libero soggette ad una licenza (es. la GPL) che costringe a rilasciare il prodotto derivato esattamente negli stessi termini di quello originario;
• il risparmio sui costi della licenza è solo una delle voci che concorrono a definire il cd. TCO (Total Cost of Ownership) nel quale vanno, invece, comprese tutte le spese e gli oneri legati all'utilizzo presente e futuro del software (installazione, manutenzione, adeguamento dei sistemi, formazione del personale, personalizzazioni, ecc...);

Possibili approcci e rimedi

La cattiva notizia è che non esiste un approccio unico valido per tutti: per alcuni i vantaggi derivanti dall'open source possono essere superiori ai rischi e viceversa.

La buona notizia è che si possono adottare delle policies che prendono in considerazione gli scenari tipici e sviluppare delle procedure per gestire i rischi connessi.

Le aziende potenzialmente interessate all'adozione di software libero dovrebbero condurre un assessment tecnico-legale per ridurre i rischi connessi ad una violazione dei diritti di proprietà intellettuale ed industriale.

L'opportunità legata allo sfruttamento del modello di business dell'open source si pone, invece, soprattutto per le software house che realizzano proventi dalla fornitura di consulenza e servizi connessi, piuttosto che dalla realizzazione e commercializzazione di software.

In tutti i casi, però, una attenzione particolare deve essere riservata all'individuazione del tipo di licenza ed alla valutazione delle sue condizioni, tenendo presente che, se per il primo aspetto può essere vantaggioso ricorrere a software automatizzati, per il secondo è spesso consigliabile richiedere un adeguato supporto legale.

Photo courtesy: flaivoloka

Aggregare i contenuti: quali sono le problematiche legali ?

L'aggregazione o mashup è una tecnica che consiste nel raccogliere e mettere insieme dati o contenuti di terze parti per creare dei servizi ad hoc fruibili direttamente dagli utenti finali attraverso un semplice browser.

Questa pratica trae, in parte, origine dall'opportunità di prendere parte alle logiche di ridistribuzione proprie del web 2.0 e si riflette nella creazione di una nuova categoria di applicazioni o componenti (widget) web caratterizzate da ricchezza di contenuti.

Le sorgenti informative di un mashup possono essere costituite da:

• feed RSS (Really Simple Syndication), cioè i flussi strutturati con il formato utilizzato per la pubblicazione e la distribuzione di contenuti aggiornati frequentemente
• interfacce applicative o API (Application Programming Interface) che forniscono accesso a funzioni elaborative particolari (es. le API di Google Maps oppure quelle di Yahoo Pipes);
• screen scraping, cioè la tecnica che consiste nell'estrarre dati dalla visualizzazione in output (rendering) di un altro programma;

Il risultato dell'aggregazione viene in genere ospitato su un server web (mashup site) e reso disponibile ad altri.

Ma quali problematiche di natura legale possono presentarsi nel caso di una aggregazione di contenuti ?

Proprietà intellettuale

La prima questione riguarda la protezione della proprietà intellettuale ed è connessa al fatto che il mashup coinvolge, per definizione, materiale, anche eterogeneo (dati, testo, audio, video), di terze parti.

La normativa nazionale e comunitaria sul diritto d'autore tutela le opere dell'ingegno creative, cioè nuove ed originali, focalizzando l'attenzione, non tanto sui contenuti veri e propri (argomenti, fatti, idee e teorie trattate), ma sulla forma espressiva, cioè sul modo in cui essi sono presentati, organizzati e sviluppati dall'autore.

La speciale protezione accordata comporta l'automatico riconoscimento in capo all'autore di alcuni diritti esclusivi connessi con lo sfruttamento della sua creazione.

Per non incorrere in violazioni è quindi sempre opportuno richiedere, per iscritto, al titolare di questi diritti, che può anche non coincidere con l'autore, il permesso di riutilizzare il materiale, a meno che questo ultimo non possa ritenersi di pubblico dominio.

Le problematiche inerenti la proprietà intellettuale possono inoltre interessare anche le banche dati, a loro volta tutelate, soprattutto nei casi in cui il mashup riguarda dati estratti da un database.

Licenza

I diritti d'autore possono essere ceduti o limitati attraverso strumenti contrattuali differenti: uno di questi è la cd. licenza, un accordo con il quale il titolare concede uno o più diritti a chi intende utilizzare l'opera.

Nell'ipotesi di licenza diventa fondamentale comprenderne i termini e, soprattutto, le condizioni che permettono l'esercizio dei diritti concessi.

Per fare un esempio partiamo da un caso abbastanza realistico su Internet, specie per quanto riguarda i blog, e cioè quello di contenuti assoggettati ad una licenza Creative Commons by-nd-nc.

Questa licenza permette di riprodurre, distribuire, comunicare, esporre in pubblico, rappresentare, eseguire e recitare una determinata creazione a condizione che:

• all'autore sia riconosciuta la paternità nei modi stabiliti
• l'opera non venga alterata od utilizzata per crearne una altra
• l'opera non sia sfrutata commercialmente

Perciò, una eventuale operazione di aggregazione e conseguente ridistribuzione dei contenuti viola la licenza ed i diritti del titolare se è effettuata:

• senza dare indicazione dell'autore
• dietro il pagamento di un corrispettivo o traendone, comunque, un vantaggio economico (es. sotto forma di introiti pubblicitari) o commerciale;
• modificando i contenuti per cui gli stessi non possono più ritenersi opera originale ma derivata;

Condizioni di utilizzo

Anche in mancanza di licenza è opportuno appurare quali siano le condizioni che possono influire sulla possibilità e sulle modalità di riutilizzo di determinati contenuti.

A questo proposito possono esistere delle riserve specifiche, rese note sotto forma di "Condizioni o Termini di utilizzo", "Note Legali", ecc...

Questo vale ancor di più quando la fonte delle aggregazioni è costituita da interfacce API: in tal caso, infatti, la possibilità di avvalersi di specifiche funzionalità di programmazione è spesso subordinata ad una registrazione dell'utilizzatore ed alla sua accettazione espressa di alcune condizioni (es. accesso alle API di Google Maps).

Privacy

Il mashup può riguardare informazioni che, da sole o in combinazione con altre, possono rientrare nel concetto di dati personali (relativi ad una persona identificata o identificabile), realizzando un trattamento che nella normativa nazionale e comunitaria è soggetto ad una serie di accorgimenti e misure dirette a tutelare la libertà e la dignità delle persone.

Legge applicabile

Internet per sua natura è una rete aperta, senza confini, ma non altrettanto può dirsi per la legge che risente, per forza, di molteplici fattori relativi al contesto economico, sociale e culturale in cui trova applicazione.

A seconda della legge applicabile possono esservi quindi delle differenze, anche sostanziali, in grado di influenzare o limitare la realizzabilità di un servizio di mashup o la sua fornitura nei confronti degli utenti finali.

Tra l'altro, in mancanza di clausole contrattuali espresse, a volte può essere molto difficile identificare quale sia la regolamentazione applicabile al singolo caso.

Come comportarsi ?

Ecco allora una lista di consigli ispirati a buon senso, correttezza e prudenza utili per la pianificazione e la realizzazione di servizi web che presuppongono una aggregazione di contenuti di terze parti:

• controllare l'affidabilità, anche sotto il profilo della sicurezza, di ogni fonte informativa
• esaminare i termini della licenza o le condizioni d'uso dei materiali e delle interfacce di programmazione (API)
• in caso di dubbi chiedere sempre chiarimenti per iscritto
• in mancanza di licenza e/o condizioni richiedere, sempre per iscritto, il permesso prima di aggregare/riutilizzare i materiali
• verificare attentamente che il servizio da realizzare non comporti in alcun modo la violazione di termini, condizioni, diritti di proprietà intellettuale o industriale (marchi, brevetti) di terzi
• fare attenzione alle dichiarazioni di legge applicabile e giurisdizione competente
• chiedere sempre un aiuto o supporto nei casi di particolare complessità

Link di approfondimento

• Mashups: Cosa sono - Generi e tecnologie utilizzate - Parte 1
• Mashups: Cosa sono ? Aspetti tecnici e sociali - Parte 2
• Mashup: aggregazione di contenuti

Photo credit: svilen