Avvocato Ibrido e CyberEthics. Tra nuove competenze e nuove responsabilità
Sommario: I. Introduzione – II. CyberEthics: un focus sul diritto positivo – III. Il problema di “Privacy Informazionale” ed il problema della “Fiducia digitale tra cliente e legale” – IV. Conclusioni
I. Introduzione
L’accelerazione dirompente della modernità da spazio per disquisire su di un tema sempre attuale.
Chi è l’Avvocato Ibrido? L’Avvocato Ibrido è la figura che sta sorgendo da un contraddittorio accostamento di metodologie differenti che mescolano l’intelligenza dialettica dell’esperto di controversie legali ed il pensiero computazionale del sistema cibernetico, tanto da fare apparire, oggi, l’avvocato come un novello rètore digitale. (1)
L’Avvocato Ibrido non è un semplice burocrate informatico, ma è un tecnico specializzato chiamato ad esercitare la professione legale e tenuto a conoscere, in forma metadisciplinare, i problemi giuridici e i criteri logici delle stesse tecnologie esponenziali di cui fa uso.
Sulla scorta del Codice Deontologico Forense Italiano (2), all’interno del quale sono dettati i principi e le modalità di esercizio dell’avvocatura e che viene continuamente aggiornato, l’avvocato si presenta, sostanzialmente, come soggetto ad un dovere di competenza e di formazione continua, dovendosi puntualmente adeguare ed aggiornare in riferimento alle proprie abilità e conoscenze circa i metodi e i contenuti anche del Tecnodiritto, al fine di poter accettare in modo corretto gli incarichi ed assicurare le qualità delle sue prestazioni sulla scorta delle nuove regole della c.d. Cyberethics. (3)
L’automazione tecnologica impone, infatti, lo sviluppo di nuove competenze e da spazio per la nascita di nuove professioni giuridiche che impongono un ripensamento sulla stessa formazione dei giuristi e dell’avvocato.
Molti professionisti, consapevoli dell’enorme importanza dell’informatica e della telematica, si sono opportunamente specializzati nello studio delle problematiche giuridiche di settore, dando vita a nuove professioni come il Data Protection Officer – DPO – che trova fonte nel GDPR, il quale, è identificato in un soggetto che sia in possesso di qualità professionali come la conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati personali, e che ha la responsabilità di osservare, valutare e organizzare la gestione legale del trattamento di dati personali di cui agli articoli 9 (4) e 10 del GDPR (5) in posizione di indipendenza nell’assolvimento delle funzioni che gli sono attribuite.
Altre figure emergenti sono il Data Advertising Advisor, il quale cura il monitoraggio, l’aggiornamento e l’interpretazione delle leggi internazionali in materia di comunicazione pubblicitaria e il Legal Compliance Officer, il quale si occupa di transazioni transfrontaliere e di contrattualistica internazionale, oltre che del modello di gestione di controllo della sicurezza sul lavoro.
Ma, accanto a questi aspetti di carattere evolutivo, si è assistito ad un fenomeno degenerativo per cui si è vista nascere anche la figura del c.d. Giurinformatico, una delle peggiori figure professionali dell’era moderna, troppo ibrida e quindi non utile né all’informatico né al giurista, una figura professionale contraddistinta da nozioni miste di informatica e di diritto che alla fine danneggiano sia il mondo informatico che quello giuridico in quanto capaci di generare pericolose confusioni, specie nei confronti di chi è alle prime armi in un campo o nell’altro.
Da ciò possiamo ben arriviamo a sostenere che lo studioso del diritto, per quanto sensibile agli attuali tempi tecnologici, è e deve rimanere tale, mantenendo un ruolo ben distinto da quello dell’informatico e soltanto in questo modo sarà indubbiamente possibile avviare delle proficue collaborazioni tra giuristi e gli informatici propriamente detti.
Un ulteriore modo per innovare la comunicazione forense legata all’innovazione digitale è il Legal Design, il quale implica un’ulteriore sfida per il professionista legale nel senso che il digitale scompone e ricompone il mondo in modo articolato, permettendoci di ricostruirlo in tanti modi diversi.
Il professionista legale è chiamato ad innovarsi rispetto ai parametri tradizionali dell’interpretazione giuridica e dell’applicazione forense adottando mappe argomentative e analisi grafiche dei testi, proponendo soluzioni espositive ed estetiche del testo giuridico basato sul linguaggio visivo, al fine di rendere la legislazione più comprensibile e attrattiva nei confronti dei suoi destinatari. (6)
Rientra, certamente, nel campo del Legal Design la recente Teoria di Lorini delle c.d. Norme Disegnate le quali non nascono da una formulazione linguistica o da enunciati normativi traducenti delle proposizioni nomothetiche o codificate, ma da una rappresentazione grafica, da un disegno che ne precede l’enunciazione di principi e regole espresse in forma testuale, come in riferimento al divieto di fumare espresso nella tipica immagine che rappresenta il disegno di una sigaretta stilizzata tagliata da un segno di divieto di colore rosso, oppure in riferimento alle c.d. norme figurate tipiche delle tecniche urbanistiche, oppure ancora come nel caso dei cartelli stradali normativi. (7)
II. CyberEthics: un focus sul diritto positivo
La c.d. CyberEthics vuole offrire una serie di strumenti base concettuali per affrontare la moltitudine delle difficili problematiche nascenti da vari punti di vista e riconnessi soprattutto alla privacy.
Solitamente chi trasmette un documento, per esempio, ignora che lo stesso contenga una serie di informazioni che possono anche risultare controproducenti e pericolose, emergendo la consapevolezza della problematica conseguente all’impiego del c.d. I.C.T. – Information and Comunication Technologies – all’interno del mondo professionale.
La relazione dell’avvocato con i clienti, con i colleghi e con i giudici e la stessa organizzazione dello studio legale è ormai quasi esclusivamente informatizzata.
Tale massiccio utilizzo di strumenti informatici, però, sta separando il sistema della giustizia dall’avvocato il quale si è trasformato, in brevissimo tempo, in un burocrate deresponsabilizzato che spesso si avvale di collaboratori tecnici chiamati ad eseguire atti privi di controllo tipico del dominus.
La fiducia digitale tra cliente privato o pubblico e professionista è un elemento fondante la professione legale.
Tutto ciò conferma l’importanza per uno studio legale di dotarsi di una Liquid WorkForce capace di rispondere all’esigenza della committenza e che si mostri metodologicamente adeguata e deontologicamente corretta.
Per portare un esempio, il professionista legale che vuole fare uso di servizi di Cloud Computing, in quanto end-user dovrà fare molta attenzione circa esperienza, reputazione, specializzazione, luogo di iscrizione al registro delle imprese e localizzazione del fornitore dei servizi Cloud, ed, inoltre, dovrà poi verificare solvibilità, affidabilità e adeguatezza dei provider, i potenziali conflitti di interessi, i rischi di eventuali usi impropri delle informazioni memorizzate, l’esatta localizzazione del server di stoccaggio e, per quanto possibile, la sicurezza fisica ed elettronica dei server del Data Center, oltre che quelle che sono le leggi applicabili relativamente alle misure di sicurezza tecniche, fisiche e organizzative adottate.
Considerato il fatto che l’Avvocato-end-user, deve provvedere a questi oltre che anche ad altri accorgimenti in quanto, come ho già sopra detto, sarà lui il soggetto considerato responsabile dei dati immessi da sé nel cloud, si invitano gli Ordini Forensi a definire delle procedure per facilitare gli operatori legali e metterli nella condizione di rispettare tutte le prescrizioni deontologiche.
In questo contesto, l’avvocato si trova immerso in una Prospictive Pressure poiché, a differenza del provider, è lui stesso che usa gli ambienti cloud ed è proprio dalla sua stessa attività che possono sorgere problemi più gravi.
Per questo motivo, nella scelta dei Cloud Server, dovrà porre attenzione su:
- finalità del servizio, sulla disponibilità del sistema
- tempi e i termini per correzione di errori o per rimozione di malfunzionamenti
- sanzioni contrattuali per l’inadempimento per i ritardi se previste dalle leggi nazionali applicabili
- modifiche per le esigenze di servizio
- obbligo del fornitore di servizi di adottare sistemi necessari per adeguarsi a modifiche regolamentari legislative
- esclusione del subappalto senza previo consenso
- licenze
- proprietà dei dati memorizzati
- diritto esclusivo di accesso
- accordi specifici per la protezione dei dati nella misura in cui è richiesta delle normative nazionali
- misure di sicurezza e responsabilità
- obblighi di non divulgazione
- monitoraggio e reporting
- documentazione tecnica
- diritto di controllo e di verifica comprese le certificazioni ISO
- backup e disaster recovery, in termini di piano di emergenza in caso di perdita di dati
- collocazione dei server in territorio nazionale, europeo o al di fuori dell’EEA, ma comunque sottostanti alle normative europee in materia di privacy e riservatezza
- assicurazioni, fideiussioni, garanzie e indennizzi
- durata del contratto
- diritto di recesso
- termini del servizio e modalità di trasferimento di cancellazione dei dati in caso di cessazione dello stesso
- mediazione, conciliazione e/o arbitrato, sulla legge applicabile
- giurisdizione applicabile
III. Il problema di “Privacy Informazionale” ed il problema della “Fiducia digitale tra cliente e legale”
Per quanto il servirsi di banche dati online comporti di certo benefici senza precedenti, sono molteplici le conseguenze originate dalla introduzione delle ICT negli studi legali.
Tra queste rileva come, nella Quarta Rivoluzione Informazionale (8), centrale sia il problema della Privacy Informazionale.
Tale problema consente di comprendere il diritto alla privacy come un diritto all’immunità personale nei confronti di modificazioni sconosciute, indesiderate e non volute.
La nostra sfera informazionale e la nostra identità personale si pongono come due facce della stessa medaglia: non c’è alcuna differenza, noi siamo le nostre informazioni. Tutto ciò che è fatto alle nostre informazioni è fatto a noi in quanto persone.
Tale mutamento di prospettiva comporta il vantaggio di superare la falsa dicotomia che qualifica la privacy come pubblica o privata: quanto più è protetta la privacy informazionale, tanto più sarà possibile salvaguardare la propria identità personale.
Rientrano nella responsabilità dell’Avvocato Ibrido, pertanto, tanto il profilo della sicurezza, quanto il profilo relativo responsabilità del trattamento ma, soprattutto, in quella attività trasparente volta a realizzare una piena consapevolezza da parte del cliente, soggetto interessato al trattamento, del mantenimento di un potere di controllo sul trattamento dei dati personali, soprattutto in riferimento al loro uso finale. (9)
Le ICT Digitali hanno fatto, quindi, della privacy il tema più rilevante e scottante dei tempi moderni.
Gli esperti legali, migrando dalla scrivania alla nuvola (10), si trovano quotidianamente a dover affrontare il rischio della violazione del segreto professionale, oltre che il rischio di una non corretta protezione dei dati dei loro clienti.
Rileviamo in tale sede come, nella sua attività di custode dei dati dei propri clienti, l’Avvocato-end-user viene considerato a tutti gli effetti Titolare del trattamento dei dati e, pertanto, in virtù del Principio Accountabily sancito nel GDPR, sarà chiamato non solo a rispettare le norme del Regolamento, ma anche ad attestare di aver adottato misure idonee a garantire il rispetto di tali prescrizioni. (11) (12)
IV. Conclusioni
Quanto evidenziato in tale lavoro rappresenta solo una piccola parte di tutte le implicazioni che l’Era dell’Automatismo hanno provocato.
Ci vorrà del tempo e tanto lavoro per adeguarsi ad un’evoluzione che corre più veloce della nostra capacità di previsione razionale. Una cosa risulta ben chiara: è necessario che ognuno mantenga il proprio posto nell’ambito delle proprie conoscenze e competenze professionali.
Anche se il mondo richiede continuamente competenze digitali non ci si deve snaturare immolandosi completamente alla tecnica. Si propone l’invito ad una collaborazione parallela con i tecnici informatici per evitare forme di ibridazione poco concludenti.
È ancora aperto, infatti, il dibattito – Soft Skill o Hard Skill? – su come il futuro intenda la formazione professionale. È certo però che ci si debba educare all’uso di tutto questo digitale per evitare di rimanere vittime di un sistema che ci vuole costantemente Onlife e che ad oggi non vede alcuna via d’uscita. (13)
Note
(1) “L’avvocatura, nel caso in cui riuscisse ad affrontare la sfida delle tecnologie esponenziali, potrebbe essere l’unica professione legale capace di rinnovarsi pur conservando le tradizionali funzioni di consulenza, assistenza e decisione sui casi controversi.” Per un approfondimento sul Pensiero Ibrido si veda Kurzweil R., Get Ready for the Ibrid Thinking, TED Talk 2014, visionabile: https://www.ted.com/talks/ray_kurzweil_get_ready_for_hybrid_thinking?language=en
(2) Codice Deontologico Forense, modificato nella seduta amministrativa del 23 febbraio 2018 e pubblicato sulla Gazzetta Ufficiale n. 86 del 13 aprile 2018, in vigore dal 12 giugno 2018, visionabile al link: https://www.consiglionazionaleforense.it/documents/20182/451926/Nuovo+Codice+Deontologico+Forense/dde0cdb5-a420-4379-9c46-c3872163f763
(3) Sarra, C., Cyberethics e deontologia forense, in P. MORO (a cura di), Etica Informatica Diritto, FrancoAngeli, Milano, 2008.
(4) Articolo 9 GDPR, “Trattamento di categorie particolari di dati personali”, << 1. È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona. (C51) 2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi: (C51, C52) a) l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell’Unione o degli Stati membri dispone che l’interessato non possa revocare il divieto di cui al paragrafo 1; b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato; c) il trattamento è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso; d) il trattamento è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l’associazione o l’organismo a motivo delle sue finalità e che i dati personali non siano comunicati all’esterno senza il consenso dell’interessato; e) il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato; f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali; g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato; (C55, C56) h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3; (C53) i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale; (C54) j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell’articolo 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l’essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato. 3. I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch’essa soggetta all’obbligo di segretezza conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti. (C53) 4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute. (C8, C10, C41, C45, C53). >>
(5) Articolo 10 GDPR, “Trattamento dei dati personali relativi a condanne penali e reati”, << Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell’articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell’autorità pubblica. >>
(6) Brunschwig, C.R., On Visual Law: Visual legal communication practices and their scholarly exploration, in Schweihofer, E. (eds), Zeichen un Zauber des Rechts: Festschrift fur Friedrich Lachmayer, Edition Weblaw, Bern, 2014.
(7) Lorini, G., Il senso e la norma, Giappichelli, Torino, 2016.
(8) Floridi, L., La Quarta Rivoluzione: Come l’Infosfera Sta Trasformando il Mondo, Raffaello Cortina editore, Milano, 2017.
(9) Scorza, G., “L’algoritmo deve essere trasparente”, la Cassazione rilancia il GDPR”, visionabile al link: https://www.agendadigitale.eu/sicurezza/privacy/lalgoritmo-deve-essere-trasparente-la-cassazione-rilancia-il-gdpr/?fbclid=IwAR3c335U29X-z45zACO0Jj-J45Wtl6APzOhpLn575eVi6jxdXsQTfNo004w
(10) Moro, P., Tecnodiritto. Temi e problemi di informatica e robotica giuridica, FrancoAngeli, Milano, 2016.
(11) Articolo 5 GDPR, “Principi applicabili al trattamento di dati personali”, << 1. I dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»); b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»); c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»); d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»); e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»); f) trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»). 2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»). >>. Per un’analisi approfondita sulla nozione di Accountability, si veda Fabiano, N., GDPR & PRIVACY: Consapevolezza e Opportunità. L’approccio con il Data Protection and Privacy Relationships model [DAPPREMO], goWare, Firenze, 2020.
(12) Considerando 85 GDPR, << Una violazione dei dati personali può, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche, ad esempio perdita del controllo dei dati personali che li riguardano o limitazione dei loro diritti, discriminazione, furto o usurpazione d’identità, perdite finanziarie, decifratura non autorizzata della pseudonimizzazione, pregiudizio alla reputazione, perdita di riservatezza dei dati personali protetti da segreto professionale o qualsiasi altro danno economico o sociale significativo alla persona fisica interessata. Pertanto, non appena viene a conoscenza di un’avvenuta violazione dei dati personali, il titolare del trattamento dovrebbe notificare la violazione dei dati personali all’autorità di controllo competente, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che il titolare del trattamento non sia in grado di dimostrare che, conformemente al principio di responsabilizzazione, è improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Oltre il termine di 72 ore, tale notifica dovrebbe essere corredata delle ragioni del ritardo e le informazioni potrebbero essere fornite in fasi successive senza ulteriore ingiustificato ritardo. >>
(13) Floridi, L., “Hard e Soft Skills, mai l’uno senza l’altro”, articolo visionabile al link: https://twitter.com/Floridi/status/1145076514112909312/photo/1
