VPN e copyright, la Corte UE chiarisce di chi è la responsabilità

Un servizio VPN può aiutare a superare un blocco geografico e far apparire un utente come collegato da un altro Paese. La sola possibilità tecnica di aggirare eventuali filtri, però, non trasferisce al fornitore della VPN la responsabilità per le altrettanto potenziali violazioni del diritto d’autore. Lo ha stabilito la Corte di giustizia dell’Unione europea con la sentenza del 9 luglio 2026 nella causa C-788/24 Anne Frank Fonds.

Il pronunciamento nasce da una situazione resa complessa dalla territorialità del copyright europeo. I testi di Anna Frank risultano ormai di pubblico dominio in Belgio e in numerosi altri Stati; nei Paesi Bassi, invece, alcune parti restano protette fino al 2037. Nel settembre 2021 una collaborazione tra la Fondazione Anna Frank, l’Accademia reale olandese delle scienze e un’associazione di ricerca pubblicò gratuitamente un’edizione scientifica digitale dei manoscritti, adottando un filtro per impedire l’accesso dai Paesi nei quali i diritti risultavano ancora in essere.

Il caso ha costretto i giudici europei ad affrontare un problema che riguarda molti servizi online: fino a che punto un editore deve rendere invalicabile un confine digitale? E cosa accade quando l’utente maschera il proprio indirizzo IP attraverso una VPN?

Il tema del diritto d’autore e del geo-blocking

Il punto di partenza riguarda la durata del diritto d’autore. L’Unione europea ha armonizzato molti aspetti della materia, ma la storia editoriale di un’opera, il ruolo dei curatori e alcune regole transitorie possono ancora produrre scadenze differenti nei vari Stati membri.

La piattaforma operava dal Belgio, dove le opere interessate risultavano di pubblico dominio, e offriva gratuitamente una versione in lingua olandese. Per evitare l’accesso dai Paesi Bassi, il sito controllava la provenienza degli indirizzi IP dei client collegati e mostrava agli utenti olandesi un avviso che spiegava la limitazione. Il geo-blocking rappresentava quindi il principale elemento usato dagli editori per dimostrare di non voler indirizzare la pubblicazione verso il territorio olandese.

La Fondazione Anna Frank sosteneva però che il filtro non fosse sufficiente: una normale VPN consente infatti di stabilire un tunnel cifrato verso un server situato in Belgio o in un altro Paese autorizzato; il sito vede l’indirizzo IP del server di uscita, non quello assegnato all’utente dal provider olandese. Dal punto di vista dell’applicazione web, la visita appare quindi compatibile con le regole di accesso.

Seguendo tale ragionamento, la pubblicazione avrebbe comunque raggiunto il pubblico dei Paesi Bassi e avrebbe integrato una “comunicazione al pubblico” non autorizzata. Dopo i primi gradi di giudizio, lo Hoge Raad, la Corte suprema olandese, ha chiesto alla Corte di giustizia come interpretare l’articolo 3, paragrafo 1, della direttiva 2001/29/CE.

La sentenza non dichiara lecita qualsiasi attività svolta tramite VPN

Alcune testate hanno sintetizzato la decisione sostenendo che la Corte avrebbe dichiarato le VPN “strumenti tecnici leciti“. La formula coglie un aspetto del ragionamento, ma rischia di ampliare troppo la portata della sentenza.

Che le VPN siano strumenti tecnici leciti appare infatti lapalissiano: non può essere il mezzo a dover essere in qualche modo “censurato”. È semmai l’uso che ne fa il singolo utente a configurare un qualche tipo di violazione. Non solo. Parlare di VPN in generale appare del tutto fuori luogo perché trattasi di strumenti largamente impiegati, ad esempio, per collegarsi da remoto – in modo sicuro – con reti aziendali e domestiche.

La vertenza C-788/24 Anne Frank Fonds non chiedeva ai giudici di stabilire se ogni impiego di una VPN fosse legale; riguardava il valore del geo-blocking e l’individuazione del soggetto responsabile della comunicazione dell’opera.

Il superamento di un blocco territoriale può produrre conseguenze differenti a seconda del tipo di contenuto, della normativa nazionale e delle modalità con cui avviene l’accesso. La Corte non ha creato un diritto generale a eludere ogni restrizione geografica.

La distinzione è importante: la neutralità tecnica dello strumento non equivale all’immunità dell’utilizzatore. Un browser, un servizio cloud o una connessione cifrata possono sostenere attività perfettamente lecite oppure condotte illecite; la responsabilità dipende dalle azioni concrete e dal ruolo svolto dai soggetti coinvolti.

Perché il fornitore VPN non risponde della pubblicazione dell’opera

La parte più rilevante delle conclusioni alle quali è pervenuta la Corte europea riguarda proprio l’attribuzione della responsabilità. Se il geo-blocking risultasse inadeguato e la pubblicazione integrasse una comunicazione al pubblico nel Paese protetto, la responsabilità ricadrebbe sul soggetto che ha messo l’opera online, non sul servizio VPN usato dal visitatore per aggirare il blocco.

Il provider della VPN trasporta il traffico e fornisce un indirizzo di uscita. Non decide quale opera pubblicare, non seleziona normalmente i destinatari della comunicazione e non controlla il contenuto messo a disposizione dal sito. Attribuirgli automaticamente la condotta dell’editore confonderebbe due ruoli tecnici molto diversi.

La sentenza, comunque, non offre ai fornitori VPN un’esenzione assoluta da ogni forma di responsabilità. Restano applicabili le regole europee e nazionali sugli intermediari, sugli ordini dell’autorità giudiziaria, sulla cooperazione nelle indagini e sulle condotte che favoriscono consapevolmente specifiche violazioni.

La decisione evita però un automatismo pericoloso: considerare il provider responsabile soltanto perché i suoi server possono aiutare qualcuno a modificare la posizione apparente. Una simile impostazione avrebbe coinvolto non solo le VPN commerciali, ma anche proxy aziendali, servizi di sicurezza, reti cloud e numerose tecnologie usate per proteggere le comunicazioni.

Un equilibrio instabile, con tante “zone grigie”

La decisione della Corte riconosce che Internet non segue perfettamente i confini nazionali, mentre il diritto d’autore continua a produrre effetti territoriali.

Il geo-blocking tenta di far convivere queste due realtà attraverso una stima della posizione dell’utente: è una soluzione imperfetta, ma la Corte la considera giuridicamente utilizzabile quando riflette lo “stato dell’arte”. Sono i giudici nazionali ad essere chiamati a valutare le singole implementazioni tenendo conto della tecnologia disponibile, delle caratteristiche del sito e del comportamento dell’editore.

Sul fronte delle VPN, la Corte evita di trasformare un’infrastruttura di sicurezza e trasporto in uno strumento automaticamente responsabile delle azioni compiute dagli utenti.

Una distinzione sensata, soprattutto in una rete nella quale cifratura, proxy e instradamento remoto fanno parte del funzionamento quotidiano dei flussi di aziende, servizi cloud e utenti privati.