Spagna impone blocchi a NordVPN e ProtonVPN: cosa cambia davvero per gli utenti

Un’ordinanza cautelare emessa da un tribunale spagnolo ha imposto a due tra i più diffusi fornitori di servizi VPN il blocco dell’accesso a 16 siti che trasmettono illegalmente partite di calcio. La decisione, adottata su richiesta della lega calcistica professionistica spagnola, LaLiga, e del partner di broadcasting titolare dei diritti, si inserisce in un contesto in cui i diritti audiovisivi rappresentano una quota significativa dei ricavi del settore sportivo europeo, stimata in diversi miliardi di euro annui. Ad essere chiamati a intervenire sulla rispettive reti sono NordVPN e ProtonVPN.

L’intervento giudiziario, caratterizzato da un approccio procedurale straordinario, rinnova gli interrogativi sul ruolo delle infrastrutture di rete nella prevenzione della pirateria e sul perimetro di responsabilità dei servizi intermediari in base alla normativa vigente nell’Unione Europea.

NordVPN e ProtonVPN: misure cautelari e blocchi dinamici degli indirizzi IP

Come spiega LaLiga stessa, l’ordine del tribunale di Cordova prescrive a NordVPN e ProtonVPN l’implementazione di meccanismi di blocco verso una lista dinamica di indirizzi IP associati ai siti incriminati, limitatamente al territorio spagnolo.

L’aspetto tecnico più rilevante riguarda proprio la natura dinamica del provvedimento: invece di un elenco statico di domini, l’ingiunzione consente agli aventi diritto di aggiornare gli endpoint da filtrare, includendo nuove infrastrutture utilizzate dai portali di streaming illegale. Tale modello si basa su sistemi di IP blocking applicati a livello di routing o di gestione del traffico VPN, con l’obiettivo di impedire agli utenti connessi attraverso questi servizi di accedere ai contenuti non autorizzati.

La scelta di intervenire sugli indirizzi IP, piuttosto che sui nomi di dominio, riflette l’evoluzione delle tecniche di elusione adottate dagli operatori di siti pirata, che spesso utilizzano CDN e infrastrutture distribuite per aggirare i blocchi DNS tradizionali.

Tuttavia, questa strategia può causare un blocco eccessivo (overblocking), perché uno stesso indirizzo IP, cioè l’identificatore numerico di un host in rete, può ospitare più servizi legittimi, in particolare nei contesti cloud multi-tenant, dove più clienti condividono la stessa infrastruttura (si pensi a quanto avviene nel caso di Cloudflare).

NordVPN e ProtonVPN mai ascoltate nel processo spagnolo

Il provvedimento a cui sono pervenuti i giudici in Andalusia risulta emesso inaudita parte, ossia senza la convocazione preventiva delle parti interessate.

In termini procedurali, ciò significa che i fornitori di VPN non hanno avuto la possibilità di presentare difese prima dell’adozione delle misure. In Spagna, come in altri ordinamenti europei, questa modalità è ammessa per provvedimenti urgenti, ma comporta l’obbligo di garantire successivamente un contraddittorio effettivo.

Le reazioni delle aziende coinvolte evidenziano criticità sul piano del giusto processo.

ProtonVPN ha dichiarato pubblicamente di non aver ricevuto alcuna notifica formale, mentre un portavoce di NordVPN ha sottolineato l’assenza di partecipazione a qualsiasi procedimento giudiziario nel Paese.

Qualsiasi ordine giudiziario emesso senza la dovuta notifica alle parti interessate, negando loro così l’opportunità di essere ascoltate, sarebbe proceduralmente invalido secondo i principi fondamentali del giusto processo. I tribunali spagnoli, come tutti i tribunali che operano secondo lo stato di diritto, sono vincolati da garanzie procedurali che assicurano alle parti un’equa opportunità di presentare il proprio caso prima che sia emessa una sentenza vincolante. (ProtonVPN).

Al momento, non abbiamo ricevuto i documenti giudiziari citati dalla stampa, quindi risulta prematuro commentare senza averli esaminati. Per nostra conoscenza, non abbiamo preso parte ad alcun procedimento giudiziario spagnolo e pertanto non abbiamo avuto la possibilità di difenderci. Dato che tali sentenze hanno un impatto sul funzionamento di Internet, un simile approccio da parte dei titolari dei diritti è inaccettabile. (per NordVPN, Laura Tyrylyte)

Dal punto di vista giuridico, la validità di misure restrittive adottate senza notifica potrebbe essere oggetto di contestazione, soprattutto in relazione ai principi di difesa sanciti dal diritto europeo.

Applicazione del Digital Services Act (DSA) ai fornitori di VPN

Uno degli elementi centrali della decisione riguarda l’inquadramento dei servizi VPN nell’ambito del Digital Services Act (DSA), il regolamento europeo che disciplina la responsabilità degli intermediari online. Secondo l’interpretazione sostenuta dai ricorrenti, i fornitori di VPN rientrano tra i prestatori di servizi intermediari e sono quindi tenuti a collaborare per prevenire violazioni del diritto d’autore commesse tramite le loro infrastrutture.

Dal punto di vista tecnico, le VPN operano creando tunnel cifrati tra l’utente e un server remoto, utilizzando protocolli come OpenVPN, WireGuard o IKEv2. Questo meccanismo consente di mascherare l’indirizzo IP reale dell’utente e di aggirare restrizioni geografiche. Proprio questa capacità di geo-spoofing è indicata nell’ordinanza come elemento che facilita l’accesso a contenuti non disponibili in determinate aree geografiche.

La questione giuridica è se tale funzione tecnica, progettata per garantire privacy e sicurezza, possa essere considerata un contributo attivo alla violazione del copyright. Il DSA prevede obblighi di diligenza proporzionati, ma non impone una sorveglianza generalizzata del traffico, lasciando quindi aperto il dibattito su quali misure siano tecnicamente e legalmente esigibili.

Tyrylyte (NordVPN) ha affermato l’obiettivo dovrebbe essere l’hosting provider: per una lotta efficace contro la pirateria è necessario concentrarsi sull’eliminazione della fonte dei contenuti, prendendo di mira i provider di hosting, interrompendo i finanziamenti per le operazioni illegali e aumentando la disponibilità di contenuti legittimi.

Il problema della limitazione territoriale

La restrizione territoriale legata agli effetti delle decisioni del tribunale spagnolo introduce criticità tecniche e operative non banali per un fornitore di VPN, proprio perché l’architettura di questi servizi è per definizione transnazionale.

Dal punto di vista strettamente tecnico, una VPN non “vede” l’utente come farebbe un ISP tradizionale. L’utente stabilisce un tunnel cifrato verso un nodo di uscita, e da quel nodo il traffico prosegue verso Internet. Per applicare un blocco solo agli utenti localizzati in Spagna, il provider VPN dovrebbe distinguere in modo affidabile quali sessioni provengono dal territorio spagnolo.  E questo comporta diverse opzioni, tutte con limiti evidenti.

Geolocalizzazione dell’IP di origine

Una possibilità è utilizzare la geolocalizzazione dell’indirizzo IP di origine prima della creazione del tunnel. Tuttavia, l’accuratezza dei database di geolocalizzazione non è assoluta e può generare falsi positivi o negativi, soprattutto in presenza di reti mobili, carrier-grade NAT o roaming. Inoltre, alcuni utenti potrebbero già utilizzare sistemi di offuscamento o proxy prima della VPN, rendendo la determinazione della posizione ancora più incerta.

Implementazione dei blocchi sui server di uscita dalla VPN

Un’altra soluzione consiste nell’applicare i blocchi direttamente sui server di uscita. In questo caso, però, l’effetto si estenderebbe a tutti gli utenti che utilizzano quei nodi, indipendentemente dalla loro posizione reale. Un utente connesso dall’estero a un server VPN spagnolo verrebbe comunque soggetto al blocco, mentre un utente in Spagna che si collega a un server in un altro Paese aggirerebbe facilmente la misura. Questo evidenzia una discrepanza tra perimetro giuridico (territoriale) e perimetro tecnico (globale e fluido).

Attivazione di controlli sull’account utente

Esiste poi l’ipotesi di introdurre controlli a livello di account, imponendo restrizioni basate sul Paese di registrazione o di fatturazione dell’utente. Anche questa strada è fragile: i dati di registrazione possono non riflettere la posizione reale, e una tale correlazione richiederebbe la raccolta e il trattamento di informazioni personali ulteriori, con impatti rilevanti in termini di conformità al GDPR e di aspettative di anonimato degli utenti.

Sistemi di filtraggio complessi e difficilmente precisi

Sul piano operativo, la gestione di liste dinamiche di indirizzi IP da bloccare solo per una determinata giurisdizione implica la necessità di sistemi di filtraggio più sofisticati, capaci di applicare policy differenziate per utente o per sessione. Ciò può incidere sulla scalabilità e sulle prestazioni della rete VPN, che normalmente è progettata per instradare il traffico in modo uniforme e senza ispezioni granulari.

L’aspetto della scarsa armonizzazione normativa

Infine, c’è un aspetto di coerenza normativa. Se più Stati membri adottano provvedimenti analoghi ma con ambiti territoriali diversi, il provider si troverebbe a gestire una matrice di regole sovrapposte e potenzialmente in conflitto, da applicare su una rete unica. In assenza di linee guida tecniche armonizzate a livello europeo, l’implementazione rischia di diventare complessa, costosa e, in alcuni casi, inefficace.