quindi un giurista che si occupa da sempre direi, da quando ho iniziato di privacy, di protezione dei dati personali poi via via l'interesse si è evoluto verso il diritto dei dati in senso lato e se vogliamo anche scollegato dalle tecnologie, neutrale rispetto alle tecnologie. Mi sono interessato sempre di questa materia e ricordo che, naturalmente, 20 anni fa era un po' da nerd, era molto di nicchia quando dissi al mio Maestro all'Università che mi volevo concentrare su questi temi era un amministrativista classico. Mi guardò con 2 occhi sconcertati perché sembrava davvero quasi fantascienza dedicarsi solo e soltanto a queste materie. Oggi è cambiato tutto naturalmente e quindi anche quest'area di pratica e questa specializzazione stanno pervadendo tutto, tutti gli ambiti del diritto e noi che facciamo questo mestiere siamo pieni di impegni. Nel 2008 ho fondato l'Istituto Italiano per la Privacy e la valorizzazione dei dati che è tuttora il principale centro di studi e di ricerche dedicato solo a questi temi in Italia, è proprio il principale, è finanziato sia dalla Commissione Europea per progetti di ricerca scientifica, sia da grandi aziende. Quindi abbiamo anche il mondo delle industrie, del settore privato che sostiene I nostri studi e poi ho una vita parallela come avvocato d'affari dei dati per cui ho creato in questi anni una Ferm, uno studio che è totalmente dedicato a queste materie e che poi è diventato uno dei più grandi in Europa e si occupa solo di questo. Quindi adesso ci dedichiamo moltissimo anche a questi aspetti in termini di compliance, di accompagnamento alla conformità, ma soprattutto alla valorizzazione. Insomma vedere queste materie anche come asset, come elementi di business a tutti gli effetti insomma per portare ricchezza, per portare valore nelle imprese e non soltanto per evitare sanzioni.

Io ho visto quell'incontro e quell'annuncio relativamente al nuovo accordo che dovrebbe superare l'impasse che si è verificata ormai da quasi 2 anni come una buona notizia. Io l'ho visto come una boccata d'ossigeno perché davvero eravamo e siamo stati sospesi per tanto tempo, quando dico siamo penso non solo a chi si occupa da specialista della materia ma a tutte le imprese, gli enti, le istituzioni stesse che da un lato si trovano a dover utilizzare strumenti, servizi che provengono molto anche dagli Stati Uniti perché le tecnologie cloud, tanto comunque in termini di innovazione, arriva dagli Stati Uniti e più in generale da altre parti del mondo perché la problematica che si era creata non riguarda solo il rapporto con gli Stati Uniti ma certamente gli Stati Uniti svolgono un ruolo predominante e tutto questo naturalmente metteva molto in imbarazzo perché ci aveva indotto a considerare che tutti I trasferimenti dei dati all'estero fuori dall'Unione Europea, fuori dallo Spazio Economico Europeo dovessero essere considerati in qualche maniera illeciti. Ecco la notizia di un accordo che finalmente si profila all'orizzonte che superi queste problematiche che dia maggiori garanzie, maggiori salvaguardia in termini di diritti fondamentali di tutela dei diritti, delle libertà ai cittadini europei e che al contempo consenta il flusso transfrontaliero e internazionale dei dati in una maniera sicura, efficiente, efficace, non può che essere valutato positivamente. C'è da vedere quali saranno I contenuti di questo accordo. È chiaro che nel migliore dei mondi possibili l'Europa avrebbe voluto che cosa? Una legge del congresso degli Stati Uniti che introducesse pesanti limitazioni alle possibilità degli Stati Uniti di controllare, di verificare anche a livello internazionale I flussi di dati dati per fini di sicurezza nazionale e non solo, anche internazionale. Una forte limitazione con un incremento dei diritti riconosciuti in primis ai cittadini europei e poi probabilmente anche più in generale nel senso di poter sapere che cosa avviene raccolto, che cosa viene fatto con I loro dati, di poter esercitare dei diritti, di poter agire in giudizio contro il Governo americano. Questo sarebbe stato il massimo e sarebbe stato perfettamente corrispondente al dettato della cosiddetta Schrems 2 della sentenza della Corte di Giustizia che posto il problema e creato questa situazione difficilissima da gestire. Così non sarà, da quello che si è capito l'accordo sarà un compromesso in cui la Commissione Europea andrà a decidere dell'adeguatezza degli Stati Uniti e degli operatori che si faranno certificare da un determinato tipo di programma negli Stati Uniti in ossequio a un executive Order, quindi a un atto esecutivo del presidente che giocoforza non avrà la stessa robustezza e non darà le stesse garanzie di una legge vera e propria federale e tuttavia comunque si tratterà in ogni caso di un passo avanti molto importante. In questo Executive Order per quello che è stato dichiarato e fatto trapelare noi troveremo elementi molto importanti. C'è un diritto di un rimedio, un diritto di far valere in giudizio le proprie ragioni anche per I cittadini europei I cui dati siano trattati, molta maggiore trasparenza da parte del governo degli Stati Uniti nel trattamento dei dati. Tutta una serie di salvaguardie che dovrebbero rendere il patto più robusto rispetto a quello che fu il privacy shield. Vedremo quanto durerà nel senso che sicuramente una volta approvato tutto l'iter per arrivare alla decisione di adeguatezza in Europa ci saranno passaggi pareri del Comitato Europeo per la protezione dei dati dello stesso Garante Europeo per la protezione dei dati quindi sarà un iter è un iter che richiede tempo dall'altro lato gli Stati Uniti, gli stessi dovranno lavorare sulla cosa. Io temo che si tratterà di un passo ancora provvisorio nel senso che probabilmente potremo contare su questo nuovo accordo per alcuni anni finché nuove cause non verranno portate su su fino alla Corte di Giustizia e Max Schrems già fatto capire di essere sul piede di guerra

costruito anche un'associazione. Insomma lui vive di questo ormai. Sì, è il suo oggetto sociale. Poi allargato anche ad altri fronti le battaglie, però questa è la madre di tutte le battaglie per Schrems indubbiamente e insomma già promesso già fatto capire che si muoverà. Se questo è vero in effetti non essendo in presenza di una legge federale approvata dal congresso potrebbe darsi che comunque fra qualche anno la Corte di giustizia faccia lo sgambetto anche a questo nuovo accordo. Però il lato positivo è che per qualche anno avremo di che respirare e ci sarà la possibilità di trasferire dati da e verso gli Stati Uniti. E poi in ogni caso al di là delle semplificazioni e del fatto che uno possa dire l'ottimo è nemico del buono Molte più salvaguardie si profilano all'orizzonte per tutti noi, anche come cittadini europei. Quindi la notizia è da salutare con estremo favore in ogni modo. Non dimentichiamo che poi tra l'altro la Corte di giustizia aveva posto e porrà un problema negli anni futuri non riferito solo agli Stati Uniti. Cioè il punto che tocca la Corte di giustizia è riferito più in generale agli ordinamenti extraeuropei che secondo la Corte di giustizia dell'Unione europea non rispettano quel livello di tutela dei diritti e delle libertà fondamentali che noi in Europa abbiamo scolpito nella Carta dei diritti fondamentali dell'Unione europea. E questo è nelle cose, è vero. Noi come Unione europea siamo all'avanguardia nella tutela dei diritti e delle libertà nell'era digitale quando si maneggiano dati delle persone. Il resto del mondo cerca di adeguarsi al nostro standard o ve ne abbia interesse. Perché poi non è detto che ci sia un interesse comune a essere così rispettosi di tutti I diritti e di tutte le libertà. Tanti sono gli interessi in gioco.

gestiti. Io credo che in questi due-tre anni abbiamo imparato una cosa molto importante e cioè che innanzitutto bisogna fare I compiti. I compiti cosa sono? Intanto sapere che cosa si trasferisce all'estero. Cioè non ci si può più permettere di dire: Ma io non so la mia azienda, il mio ente dove passi I dati, che strumenti utilizzi, se sia un cloud internazionale o se sia un qualcosa di collocato nei confini europei. No. L'ignoranza in questo caso non si scusa più. Quindi una mappatura di quello che si fa, di quelli che sono I trasferimenti dei dati anche con un solo click su server esteri, mappato tutto quello che è l'insieme dei flussi, senso svolgere comunque sempre un cosiddetto TA cioè una valutazione sui trasferimenti di dati che tenga conto della tutela dei diritti e delle libertà delle persone. Mettendo I dati altrove, fuori dall'Unione Europea, che rischi stiamo facendo correre alle persone a cui I dati si riferiscono? Che siano I nostri dipendenti o che siano I nostri clienti, consumatori, utenti? Valutati I rischi cerchiamo di applicare delle misure di salvaguardia in qualche maniera che possono essere tecniche, organizzative, legali. Faccio un esempio banale: se I dati li posso immagazzinare su un cloud in un altro continente e sotto altre giurisdizioni, cifrati, cifrati end to end in maniera tale che non ci sia la possibilità obiettiva per un governo, per un'autorità ma anche per altri soggetti terzi di accedervi in chiaro. Beh lì avrò portato a casa un risultato che è il risultato di avere sì utilizzato risorse all'estero però dopotutto non avrò probabilmente messo in grave pericolo I diritti delle persone a cui si riferiscono I dati. In certi casi questo non è possibile. In certi casi faccio un esempio nel caso del software as a service che necessariamente elabora I dati in chiaro sul server di destinazione questa enryption, questa misura tecnica per esempio non sarebbe applicabile. Ci possono essere altri accorgimenti. Anche laddove non si trovasse la soluzione perfetta comunque avere fatto tutto questo percorso di valutazione, di mitigazione dei rischi se non di annullamento almeno di riduzione dei rischi verrebbe valutato in termini positivi anche da parte di un'autorità indipendente in Europa e naturalmente in Italia, così come da parte di un giudice. È evidente che si tratta di essere diligenti, di dare il massimo per cercare di rispettare I diritti delle persone. Ma è pur vero che se determinate tecnologie in Italia, in Europa non le abbiamo ancora dovremo in qualche maniera continuare il business, continuare le attività istituzionali. Questo è un discorso che vale anche per le istituzioni europee. Sono state bacchettate dal Garante Europeo per la protezione dei dati personali che riscontrato che c'erano utilizzi di servizi cloud che esportavano I dati altrove, ma addirittura le istituzioni dovevano lavorare e devono lavorare con quello che hanno a disposizione.

E' una trasformazione impressionante perché Metaverso vuol dire realtà estesa, vuol dire realtà virtuale quindi vuol dire che andiamo a creare dei gemelli digitali, dei gemelli virtuali di ciò che già esiste nella realtà fisica diciamo. Vuol dire realtà aumentata. Vuol dire quindi possibilità di attribuire alla realtà fisica elementi virtuali. Quello che è realtà aumentata lo capisce anche un bambino pensando agli occhiali che consentono di vedere la realtà fisica aggiungendo tuttavia tag, tributi, elaborazioni, informazioni relative agli oggetti fisici o ai soggetti fisici che vengono inquadrati da un occhiale ma ci sono tante altre forme di aumentad reality. Quindi metaverso è realtà virtuale gemelli virtuali realtà aumentata, largo uso di tecnologia blockchain per gestire le identità metaversali e qui si viene anche naturalmente toccando il tema della blockchain al tema del web free del web di terza generazione lo possiamo definire così che appunto supera l'uno e il 2 Poi io direi di non dimenticare altri 2 elementi chiave. Avremo intelligenza artificiale pervasiva e quindi tutto ciò che è capacità elaborativa e decisionale autonoma di elementi non umani, quindi di algoritmi, di oggetti comunque non umani e poi una incisione di internet delle cose, di internet of Things che già oggi abbiamo nell'industria 40, è un qualcosa di reale nella quotidianità ma un domani sarà veramente pervasivo. Pervasivo questo combinato tra oggetti interconnessi, sensori, agenti fisici che però sono sempre interconnessi alla rete. Allora se questo, se tutto questo scenario è anche solo in parte vero e in corso di realizzazione a me viene da dire che beh intanto visto da un giurista naturalmente intanto non decideremo più se andare online perché noi saremo online. Cioè la dimensione immersiva, metàversale, dell'IoT pervasivo Ci dice che saremo sempre online e saremo sempre catturati e tradotti in dati e ritradotti in effetti materiali derivanti dalla elaborazione di dati dalla nostra intenzione e forse, anzi senza forse, anche dalla nostra consapevolezza. Quindi internet non sarà più semplicemente su uno schermo che noi accendiamo e con il quale interagiamo. È già oggi in parte così. Poi ci sarà appunto una molto più forte decentralizzazione che non escluderà in ogni modo anche le centralizzazioni. Cioè noi non dobbiamo immaginare il web 3 come una prospettiva in cui effettivamente tutto si frammenti e si decentralizzi e si viva a livello di singolo nodo domestico individuale addirittura non sarà così. Sarà un misto. Ci sarà da un lato ancora bisogno delle grandi piattaforme, dei grandi provider per determinati tipi di servizi

per certi scenari, per certi bisogni invece un'ampia disponibilità di soluzioni effettivamente decentralizzate, individualizzate, slegate se vogliamo da un controllo centralizzato. Soluzioni trustless che non hanno bisogno di autorità che verifichino, che controllino, che intermedino I segnali, il passaggio di dati, le decisioni e così via. E poi appunto l'elemento dell'automatizzazione delle decisioni e del machine learning di tutto quello che ci sta attorno e che riconduciamo al concetto del sistema di intelligenza artificiale cambierà moltissimo anche il nostro rapporto con le macchine, con le tecnologie. Ecco tutti questi elementi fattuali inevitabilmente andranno a cambiare anche le dinamiche giuridiche. Non sarà tutto com'è oggi. Non è solo una questione di laiability di responsabilità civile, chi paga, se rompe, chi paga I danni. No. Sarà una questione proprio di responsabilizzazione sulla conformità, sul rispetto dei diritti fondamentali. Sarà una questione che riguarderà proprio nuove fattispecie giuridiche. Parlavo l'altro giorno con un collega e si ragionava sulla tutela dei marchi dei segni distintivi nel metaverso. Cambierà

È verissimo che nel futuro io sono molto affascinato da tutto il mondo NFT e in generale da dove sta andando quel tipo di sviluppi. Il mezzo sarà sempre di più il messaggio e il messaggio è il titolo stesso da un punto di vista giuridico. E' molto affascinante questo dato, questo insieme di dati che diventa esso stesso titolo giuridico e lo sarà sempre di più. Grandi problemi in materia di affidabilità di tutela di questi asset Si presentano già oggi per tutto quello che è off chain per esempio che non può essere cristallizzato nella blockchain. Si presentano appunto dubbi sul valore, sull'interpretazione che si dà al dato a seconda di quelli che sono I soggetti che entrano in gioco a gestirlo. E già questo ci dice che dovremo tenere presenti una quantità di forme di relazione tra soggetti umani, tra oggetti macchine e soggetti, tra dati e tra oggetti e oggetti quindi anche machine to machine che trasformeranno per forza quello che è il diritto. Il diritto si occupa delle relazioni e ci serve a regolare le relazioni, in particolare quelle umane. Sta succedendo che arrivano e stanno arrivando una tale quantità di fattori e di attori nuovi nelle relazioni che dovremo reinventare parecchi istituti del diritto con cui noi lavoriamo costantemente. Ecco,

Tu citavi le regolamentazioni europee. Sta arrivando una quantità di nuove regolazioni proprio dall'unione europea in materia di dati e in materia di tecnologie e servizi tecnologici che è impressionante. Se noi guardiamo AIACT il Regolamento sull'intelligenza artificiale, DataACT che si occupa invece più specificamente dei dati che provengono dall'IoT dall'internet delle cose e si occupa anche del cloud e della portabilità dei dati e dei servizi cloud. Data Governance Act che riguarda più il rapporto con la pubblica amministrazione, il riuso dei dati, la valorizzazione dei dati che vengono generati dai soggetti pubblici. Tutto quello che riguarda il digital markets act, digital services acter. Ecco, ne ho citati solo alcuni e ho omesso di citare gli ulteriori in materia di cyber security da Nist 2 in poi. Ecco guardando anche soltanto all'Europa, all'Unione Europea si capisce già che una serie di elementi saranno presenti nelle nostre regolazioni dei prossimi 10 anni. Per esempio ho menzionato il detective. Nel detective si prevedono limiti alla circolazione fuori dall'Unione Europea anche dei dati non personali. Sono dati generati nell'ambito di servizi cloud o appunto nell'ambito di servizi di internet delle cose. Ecco, quindi guardando anche lassù diciamo anche soltanto dobbiamo tenere conto di quello che è l'orientamento che a questo punto con le sfumature più varie sarà inesorabile. Se poi si scende a livello nazionale come noto gli Stati nazionali continuano ad avere competenze per esempio in materia di sicurezza nazionale e in ambiti critici che vengono considerati mission critical essenziali per lo Stato, per ciascuno Stato e quindi si diceva del cloud. Quale potrebbe essere una soluzione? Ci sono I bandi, si vuole il più possibile fare andare sul cloud per esempio I servizi della Pubblica Amministrazione in Italia. Ma come facciamo a fare qualcosa che sia a prova di regolazione europea e a prova di esigenze di sicurezza nazionale? A me piace molto il modello israeliano. Perché il modello israeliano non nega il fatto che ci siano tecnologie, ci siano servizi tecnologici che sono estremamente avanzati e che non sono stati prodotti in Israele, che non sono prodotti in Unione Europea. Sono prodotti altrove e sono forniti da soggetti che stanno altrove. Negare questa evidenza significherebbe tornare a un'età molto arretrata, fare a meno di tecnologie al passo con I tempi in nome di un'autarchia e di qualche cosa di protezionistico che però farebbe funzionare male le cose. Allora che cosa stanno facendo in Israele già da qualche tempo? Stanno facendo disegnare e sviluppare ai grandi fornitori che possiedono le tecnologie all'avanguardia e che non sono israeliani. Stanno facendo sviluppare lì sul territorio israeliano le infrastrutture e quindi anche tutto quello che serve per fornire quel tipo di servizi cloud alla pubblica amministrazione israeliana. A me quel modello convince. Convince perché appunto non fare reinventare la ruota a livello domestico con pessimi risultati verosimilmente. Fa leva su ciò che già esiste come avanguardia anche di tecnologia però, e come stato dell'arte ovviamente, però lo colloca in un contesto che lo rende controllabile dalle autorità. Quindi a me piacerebbe un cloud europeo, a me piacerebbe un cloud nazionale poi diciamo cloud possono esserci tanti altri strati di tecnologia da trattare nello stesso modo che fosse un combinato di intelligenze e di competenze anche extraeuropee con collocazioni in Europa anche fisiche dei datacenters e perché no in Italia per determinati servizi che siano critici per lo Stato italiano con una forte possibilità di intervento da parte dei singoli governi per le materie di competenza e quindi una Golden Power estesa anche in materia di cloud articolata in maniera più forte però quella mi sembra la strada. Le pulsioni che ci sono pure estate in questi anni di Cloud Romano o di Cloud parigino e con tecnologie solo nazionali ecco quelle sì mi sembrano velleitarie.

Io consiglio di seguire il blog e poi naturalmente anche gli account social del Future of Privacy Forum. E' un'organizzazione finanziata dalle industrie di mezzo mondo, quindi veramente come sostenitori tutto e il contrario di tutto. Quindi in questo senso dà una certa garanzia di imparzialità molto attiva, sempre aggiornatissima e anche ben informata sui trend di dove si sta andando in materia di protezione dei dati e anche di privacy a livello internazionale. Quindi consiglio di monitorare costantemente quel canale proprio perché da lì possono arrivare punti di vista differenti e anche delle anticipazioni che magari in Italia non arrivano così facilmente.

Grazie, grazie.