Leak di GTA VI: profili penali, trade secret e de-anonimizzazione

Come si muoverebbe la giustizia italiana tra Codice penale e Codice della Proprietà Industriale di fronte alla fuga di notizie, confrontando la DMCA subpoena USA con le garanzie del GDPR.

La vicenda giudiziaria e l’offensiva di Take-Two a New York

La massiccia diffusione non autorizzata di materiale riservato, filmati di gioco e frammenti di codice sorgente relativi a Grand Theft Auto VI ha superato da tempo la dimensione del fenomeno di costume per trasformarsi in uno dei più rilevanti casi giudiziari dell’industria digitale. L’azione legale promossa da Take-Two Interactive, la società che controlla Rockstar Games, dinanzi alla Corte Federale per il Distretto Sud di New York, ha segnato un netto cambio di passo nella strategia di tutela degli asset immateriali: l’azienda non si è limitata a richiedere la mera rimozione dei contenuti dalle piattaforme online, ma ha avviato una complessa procedura di de-anonimizzazione forzata volta a risalire all’identità anagrafica, ai log di connessione e persino ai dati identificativi dei dispositivi utilizzati dai soggetti celati dietro nickname quali CyberLeek.

La vicenda offre lo spunto per un’analisi di ampio respiro sia in chiave comparata che di diritto interno. Ci si deve infatti interrogare su quali strumenti avrebbe a disposizione l’ordinamento italiano qualora una condotta di analoga gravità colpisse una software house con sede o infrastrutture nel nostro Paese, quali fattispecie di reato verrebbero contestate, quali tutele d’urgenza potrebbero essere azionate a presidio del segreto commerciale e come si articolerebbe l’acquisizione delle prove all’estero nel rispetto dei limiti posti dal diritto europeo alla protezione dei dati personali.

Il meccanismo della DMCA Subpoena e la caccia ai metadati hardware

Per comprendere la portata dell’iniziativa statunitense occorre esaminare il funzionamento della DMCA Subpoena, istituto previsto dal titolo 17, sezione 512(h), del Digital Millennium Copyright Act (17 U.S.C. § 512(h)). A differenza della procedura ordinaria di discovery prevista nell’ambito dei procedimenti civili federali contro ignoti (le cosiddette John Doe lawsuits), questo meccanismo consente al titolare del diritto d’autore di ottenere un ordine di esibizione in via stragiudiziale e accelerata.

L’iter prende avvio con la notifica formale di rimozione della violazione inviata al fornitore di servizi telematici (ai sensi dell’art. 17 U.S.C. § 512(c)(3)). Successivamente, il titolare del diritto deposita presso la cancelleria del tribunale distrettuale un’istanza corredata da una dichiarazione giurata con cui attesta, sotto pena di spergiuro, che l’identificazione richiesta è finalizzata unicamente alla tutela del proprio diritto d’autore. Verificata la regolarità formale degli atti, il provvedimento viene emesso direttamente dal Cancelliere (Clerk of the Court) come atto vincolante verso terzi intermediari, senza la preventiva instaurazione di un contraddittorio e senza un preventivo vaglio discrezionale da parte di un giudice federale.

Nel caso di GTA VI, la richiesta di esibizione rivolta a piattaforme come Discord, Microsoft/GitHub e Google ha mostrato un livello di penetrazione tecnica inedito. L’istanza non ha domandato soltanto le generalità, gli indirizzi e-mail, i numeri telefonici e gli indirizzi IP dei canali di registrazione, ma ha preteso l’accesso a directory cloud (OneDrive) e l’acquisizione di parametri univoci di sistema. Tra questi spiccano il MachineGuid, ossia l’identificativo alfanumerico generato da Windows alla prima installazione del sistema operativo, e i codici identificativi dell’hardware registrati tramite gli account Microsoft, estendendo l’ordine a tutti gli utenti membri di determinati server di discussione per verificare l’eventuale presenza di strumenti di estrazione dati.

L’inquadramento penale nell’ordinamento italiano

Se una simile condotta fosse stata posta in essere ai danni di una società italiana, la Procura della Repubblica competente (generalmente incardinata presso il pool specializzato in reati informatici del capoluogo di distretto) procederebbe a contestare una serie di fattispecie incriminatrici concorrenti.

La condotta intrusiva nei repository di sviluppo o nei canali di messaggistica interna integrerebbe innanzitutto il delitto di accesso abusivo ad un sistema informatico o telematico (art. 615-ter c.p.), aggravato dall’essere stato commesso con violazione dei sistemi di sicurezza logica e ai danni di infrastrutture di rilevante interesse economico. Sul punto, la giurisprudenza di legittimità ha da tempo chiarito che risponde del reato anche colui che, pur disponendo originariamente delle credenziali, acceda o si mantenga nel sistema per finalità del tutto incompatibili con le mansioni o le autorizzazioni concesse, contravvenendo alle disposizioni organizzative impartite dal titolare (in tal senso, la sentenza delle Sezioni Unite penali della Cassazione, 27 ottobre 2011, n. 4694).

Ove l’attacco sia stato agevolato da manovre di social engineering o intercettazione per aggirare i protocolli di autenticazione a più fattori, concorrerebbero i reati di detenzione e diffusione abusiva di codici di accesso (art. 615-quinquies c.p.) e di intercettazione illecita di comunicazioni informatiche (art. 617-quater c.p.).

La sottrazione di build inedite e file sorgente configurerebbe inoltre il delitto di rivelazione di segreti scientifici o industriali (art. 623 c.p.), norma armonizzata dal D.lgs. 11 maggio 2018, n. 63 (di attuazione della Direttiva UE 2016/943), che punisce chiunque riveli o impieghi a proprio profitto informazioni segrete su applicazioni industriali acquisite in modo abusivo. Qualora all’intrusione fosse seguita la minaccia di pubblicare l’intero codice in cambio di un riscatto in criptovalute, si perfezionerebbe il delitto di estorsione (art. 629 c.p.), condotta che negli Stati Uniti ricade sotto il raggio del Computer Fraud and Abuse Act (18 U.S.C. § 1030) e dell’Hobbs Act (18 U.S.C. § 1951).

Infine, sotto il profilo della proprietà intellettuale, la diffusione non autorizzata di asset tutelabili come programmi per elaboratore o opere multimediali integrerebbe le sanzioni penali previste dalla Legge sul Diritto d’autore (artt. 171-bis e 171-ter della L. 22 aprile 1941, n. 633).

La de-anonimizzazione in Italia tra processo penale e limiti civilistici

A differenza del modello d’oltreoceano, nel nostro ordinamento l’acquisizione coattiva dell’identità degli utenti online non può compiersi tramite un automatismo privatistico rimesso alla cancelleria, ma richiede garanzie giurisdizionali stringenti.

Sul versante civile, l’art. 121-bis del Codice della Proprietà Industriale (D.lgs. 10 febbraio 2005, n. 30 – CPI) e l’art. 156-bis della Legge sul Diritto d’autore disciplinano il cosiddetto diritto di informazione, che consente al giudice di ordinare a fornitori terzi la comunicazione di elementi sull’origine delle violazioni. Tuttavia, la giurisprudenza della Suprema Corte ha costantemente escluso che l’ordine di esibizione ex art. 210 c.p.c. possa…