Data governance: un dato non appartiene a nessuno… a meno che sia personale

PROMOZIONE
Lavori con dati e software?
Vuoi essere sicuro di fare le scelte giuste?
Ci sono 4 corsi per te, scoprili e con il codice DATAX50 risparmi 50€ sull’iscrizione a: Big Data Executive, Big Data Analytics, Data governance, Strategie e modelli contrattuali per cedere e acquisire software.

Non c’è solo la privacy, quando si parla di dati e di diritto

Si sente spesso parlare di tutela del dato o titolarità del dato, soprattutto in questi ultimi due/tre anni in cui temi come big data e open data sono diventati di pubblico dominio e in cui l’entrata in vigore del GDPR (il nuovo regolamento europeo sui dati personali) ha portato un’ondata – per certi versi ridondante – di corsi di formazione, consulenze, articoli sul tema della protezione dei dati.

Mi occupo di consulenza e formazione proprio in quest’ambito e mi rendo conto che spesso tra gli utenti non c’è piena consapevolezza di come il diritto considera e tratta i dati. Noto soprattutto che alle parole tutela del dato o titolarità del dato la gente pensa automaticamente all’ambito della privacy, della tutela del dato personale.

Per inquadrare il tema correttamente e in modo completo, è tuttavia necessario tenere in debita considerazione anche il punto di vista della cosiddetta proprietà intellettuale, punto di vista che a me sta particolarmente a cuore. Anche perché quando acquisiamo, gestiamo, diffondiamo dei dati non è detto che siano dati personali e dunque non sempre le norme sulla privacy (GDPR e simili) entrano in gioco. Cerchiamo di capire meglio la questione.

Nessun copyright su idee e dati

Innanzitutto: non esiste alcun diritto di proprietà intellettuale sul dato in sé. I dati nudi e crudi e le informazioni che da essi si deducono non sono oggetto di alcun tipo di proprietà intellettuale. Questo in virtù di uno dei principi cardine del diritto d’autore secondo cui il diritto tutela non l’informazione, bensì la specifica forma espressiva con cui l’informazione è presentata. Basti leggere il testo dell’articolo 9, numero 2 dell’Accordo TRIPs:

La protezione del diritto d’autore copre le espressioni e non le idee, i procedimenti, i metodi di funzionamento o i concetti matematici in quanto tali.

Quella secondo cui il copyright tutela l’idea in sé è una delle leggende metropolitane con cui devo lottare più assiduamente. Facciamo un esempio abbastanza classico: quello dei manuali di matematica. Quanti manuali di matematica esistono in commercio? Da quelli per la scuola primaria a quelli per le scuole di dottorato, da quelli in inglese a quelli in coreano, da quelli che applicano un metodo didattico sperimentale a quelli più tradizionali… moltissimi; eppure i concetti espressi sono sempre gli stessi.

Ciononostante ciascun manuale riporta in copertina il nome di uno o più autori, i quali vantano legittimamente un pieno copyright sulla loro opera. Il copyright è appunto sulla struttura e organizzazione del manuale, sulle scelte individuali per la disposizione dei vari argomenti, sul modo in cui gli argomenti vengono spiegati, sulle immagini, sulla veste grafica e così via; non certo sui concetti matematici in sé.

Questo è ancora più vero e più evidente se abbiamo a che fare con un singolo dato granulare, o come si usa dire crudo. Un tipico esempio è la singola geolocalizzazione di un monumento, cioè le coordinate geografiche (latitudine e longitudine) in cui esso si trova; altro esempio è l’altezza di una montagna (il Monte Bianco è alto 4.808,72 metri). Un dato singolo e isolato come questi non appartiene ad alcuno; nessuno può impedirci di utilizzarlo per ragioni di copyright. Lo scienziato che per primo è riuscito a stabilire l’altezza del Monte Bianco, dal momento in cui diffonde quell’informazione e dunque la rende pubblica, non ha alcun diritto di privativa che gli permetta di controllare gli utilizzi di quell’informazione da parte di terzi.

Allora perché si parla di tutela sui dati?

Qualcuno si starà chiedendo: ma allora, se i dati non sono protetti, sono sempre “open by default”? Non è così semplice. Provate a estrarre da Google Maps i dati relativi alle altezze di tutte le cime delle Alpi, a organizzarli in un dataset, a diffondere questi dati attraverso vostri canali e senza esplicita autorizzazione… e ditemi quanti giorni passano prima che l’ufficio legale di Google bussi alla vostra porta. Dov’è la differenza rispetto all’esempio fatto poco sopra? La differenza sta nel fatto che Google ha realizzato una banca dati, dunque qualcosa di ben più ampio e articolato; e su quella banca dati ha in effetti dei diritti di proprietà intellettuale.

Possiamo quindi dire, semplificando, che la tutela è sulle banche dati e non sui dati. I dati sono tutelati solo e unicamente quando sono raccolti e organizzati in una banca dati; anche se poi per comodità e per maggior efficacia semantica si tende a parlare di dati invece che di banche dati.

Tra l’altro questa tutela si estrinseca in una forma molto complessa che vede spesso il classico diritto d’autore sovrapporsi a uno strano diritto (chiamato diritto sui generis) che copre non solo la riproduzione e la diffusione del database ma anche attività di estrazione e reimpiego di parti sostanziali del database.

A complicare ulteriormente la situazione, questo sistema di tutela a due livelli (diritto d’autore e diritto sui generis) esiste in questa specifica forma solo nell’Unione Europea; quindi si creano spesso discrasie tra la prassi contrattuale, che in questo settore spesso è di matrice statunitense, e le norme giuridiche del Vecchio Continente. È difficile spiegare nel dettaglio questo risvolto del diritto della proprietà intellettuale, per cui rimando ad altre fonti come questa mia videolezione (oppure do appuntamento al corso del prossimo 31 gennaio).

L’ulteriore livello di complessità introdotto dalla privacy

Come ho già anticipato, il punto di vista del diritto della proprietà intellettuale non è sufficiente. Se tra i dati che acquisiamo, gestiamo e distribuiamo ci sono dati personali, dobbiamo applicare anche le cautele imposte dalla normativa sulla privacy (nello specifico, per noi europei, il famigerato GDPR).

Secondo la definizione di legge, è dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Ecco che così la prospettiva cambia radicalmente. Se si ricade in questi casi, anche il singolo dato ha un titolare, che però lo è in un senso diverso rispetto a quello che abbiamo utilizzato parlando di proprietà intellettuale. Nel gergo del diritto della privacy, quando diciamo titolare intendiamo il titolare del trattamento; cioè il soggetto che ha acquisito/raccolto il dato e lo tratta per le finalità indicate nella cosiddetta informativa privacy.

La persona fisica a cui appartiene il dato personale, a cui cioè il dato viene direttamente o indirettamente collegato, è definita tecnicamente interessato (nel senso di colui che ha interesse alla tutela del dato) ed è tendenzialmente il soggetto da cui dobbiamo ottenere uno specifico consenso se vogliamo utilizzare e diffondere il dato stesso.

Per attuare una data governance consapevole e lungimirante è mio avviso necessario saper guardare la materia da entrambe le ottiche e non limitarsi solo a una delle due.

Questo articolo è rilasciato nei termini della licenza Creative Commons Attribution-ShareAlike 4.0 International.

Immagine di Alexander Sinn