Testo dell’articolo di Andrea Rosato

Commenti di Leonardo Chiariglione

Dmin.it e il Trusted Computing all'italiana

L’introduzione di “Trusted Computing” in dmin.it è un’invenzione dell’autore dell’articolo. Non posso andare a cercare in tutti i documenti dmin.it ma non penso che la parola sia mai usata.

Roma - Un sistema di Trusted Computing pervasivo ed obbligatoriamente - vale a dire legislativamente - imposto su tutti i dispositivi digitali in grado di fornire accesso ad un qualunque contenuto, di qualunque natura o tipo esso sia, è davvero un requisito essenziale per far sì che il nostro Paese diventi leader "nel procedimento di revisione dell'attuale regolamentazione dell'accesso al patrimonio culturale digitale"?

Questo non è vero. La proposta dmin.it pone obbligo a coloro che distribuiscono contenuti con DRM proprietario di distribuirli anche in iDRM. Non c’è nessun obbligo

1. per i cittadini di dotarsi di apparati iDRM
2. per i costruttori di apparati di dotare il loro hardware delle funzionalità aborrite dall’auto dell’articolo
3. per i costruttori software di scrivere codice iDRM.

È quanto, in tutta evidenza, credono i sostenitori della proposta di dmin.it, sottoposta all'attenzione del Ministro della Cultura del nostro Paese da un appello intitolato: "NO alla dottrina Sarkozy per combattere la c.d. pirateria su Internet, SI ad una via italiana per garantire la diffusione dei contenuti digitali attraverso l'interoperabilità", a prima firma di Leonardo Chiariglione.

I sostenitori della proposta dmin.it credono a quello che dichiarano. Di sicuro non si può inferire nulla su quanto credono da quello che NON c’è scritto nella proposta

I nomi dei firmatari dell'appello e degli aderenti al progetto dmin.it non lasciano dubbi circa la serietà della proposta, che proviene dalle personalità piú illustri del mondo dell'ICT italiano, e non solo. E l'interrogativo posto in apertura, che già credevamo avesse avuto risposta negativa dal legislatore nord americano, è ora riproposto a quello italiano che, vi è da credere, a breve potrebbe trovarsi a decidere. Per questa ragione desidero analizzare questa proposta con la dovuta attenzione, sebbene costretto ad una certa qual brevità impostami dal mezzo e dal luogo.

La proposta dmin.it è molto articolata e riguarda anche aspetti, come il tema della neutralità di rete o dei micro-pagamenti, che in questa sede non mi interessa affrontare. Voglio invece concentrarmi sulle tematiche connesse a quella che i sottoscrittori dell'appello chiamano "proprietà intellettuale".

Non so in che mondo viva l’autore. Mi dicono che a Ginevra abbia sede un’agenzia delle Nazioni Unite che si chiama “Organizzazione Mondiale della Proprietà Intellettuale”. Magari una lettera a Ban Ki-moon potrebbe metterlo al corrente che qualcuno sta abusando il nome delle Nazioni Unite?

Spero, con le riflessioni che seguono, di aderire ad uno degli inviti dell'appello stesso, e contribuire con ciò a dare inizio ad una discussione "aperta e corretta" sulle tematiche affrontate dai proponenti.

L’invito è già stato fatto a Trento durante la conferenza sul DRM e non ha avuto seguito. L’usare lo strumento di pubblicare un articolo sul web, senza aver prima chiarificato le incomprensioni che, naturalmente, chiunque può avere a prima lettura, non è il modo per condurre una discussione "aperta e corretta"

iDRM

La parola chiave della proposta di dmin.it è "interoperabilità", che andrebbe a concretizzarsi in quella "i", minuscola, da anteporre all'acronimo maiuscolo "DRM" (Digital Rights Management) per formare l'oggetto centrale del discorso dei proponenti: l'iDRM.

Il sistema iDRM è, nella sostanza, un sistema di espressione digitale dei diritti da effettuarsi mediante quelle tecnologie che, nel loro insieme, vengono sovente identificate, attraverso una sineddoche pur tuttavia dotata di una sua qualche capacità connotativa, con il web semantico. Per mezzo di un "Rights Expression Language" il titolare dei diritti di sfruttamento economico di un'opera dell'intelletto statuisce quali facoltà sono concesse all'utente. Una tale statuizione viene quindi incorporata nell'opera intellettuale espressa in forma digitale.

L’autore dell’articolo fa alcuni errori.

1. iDRM non è un “sistema”, ma un insieme di tecnologie utilizzabili per costruire un sistema.
2. Solo una di queste tecnologie si chiama “Linguaggio per esprimere diritti” (in inglese abbreviato REL)
3. Con REL si “esprimono” diritti (non so cosa voglia dire “statuire” in questo contesto, ma mi puzza di legalese). Quale valore legale abbia l’espressione è tutto da vedere

Esistono diversi tipi di "Rights Expression Language", il più famoso dei quali è, con tutta probabilità, l'MPEG-21. Senza voler entrare troppo nel dettaglio, essi consentono di definire, ad esempio, quante volte un file musicale possa essere riprodotto, o se possa essere ceduto ad altri. Su quali apparecchi, e da chi, esso sia riproducibile ecc.

Con REL non si “definisce”, si “esprime”

Tali definizioni avvengono in genere, e specificamente nell'MPEG-21, mediante un sistema di marcatura XML, il quale garantisce, appunto, una completa interoperabilità.

Marcatura non è la parola corretta. XML è il linguaggio informatico usato da REL

Ma come ogni statuizione, se non vi sono mezzi mediante i quali dar loro seguito, anche quelle espresse mediante un "Rights Expression Language" rischiano di rimanere di mero... principio. In altri termini, un sistema di iDRM è lettera morta se non si accompagni ad un sistema di governance che consenta di avere ragionevole certezza che un tale sistema di statuizioni non si risolva in parole - o bit - al vento, ma stabilisca in effetti quali siano le facoltà che i detentori dei diritti di sfruttamento economico decidano di concedere agli utenti.

Esattamente. L'espressione dei diritti fatta con REL è una mera espressione di principio, così come una promessa di matrimonio rimane una mera espressione di principio finché non è formalizzata davanti ad un pubblico ufficiale. È però interessante rilevare una strana coincidentia oppositorum. L’argomento che REL debba essere agganciato a “mezzi mediante i quali dar seguito” è proprio quello avanzato dai rappresentanti più intransigenti dei detentori dei diritti.

Non bisogna far fare alla tecnologia più di quanto essa possa fare. Con REL si "esprimono” diritti,  punto. Cioè REL fa null’altro che esprimere, in un linguaggio comprensibile da una macchina, quello che si trova scritto, ad esempio su certe pagine web: rilasciato con licenza creative commons.

Governance

Questo problema, punto cruciale di ogni sistema DRM, è affrontato dettagliatamente nel documento intitolato Governance del sistema iDRM e, data la sua centralità, sarà ad esso che dedicherò ora tutta la mia attenzione.

Il documento, che abbraccia pienamente quel sistema pervasivo di Trusted Computing, sebbene senza nominarlo, a cui sopra facevo cenno, si apre con la seguente constatazione: "Il sistema di governance del sistema iDRM necessita di un Trust Model per far sì che ogni attore della catena del valore, ed in particolare un produttore/fornitore di contenuti, sia convinto che tutti gli altri attori, (...) sono affidabili come business partner, e quindi invogliarlo a far sì che i loro contenuti digitali siano disponibili al mercato, che altrimenti non esisterebbe senza contenuti."

Il documento non abbraccia “quel sistema pervasivo di Trusted Computing”.

Il Trust Model proposto si articola attorno a tre componenti basilari, che ripropongo letteralmente:

1. Il processo di accettazione ed integrazione nel sistema iDRM di qualunque dispositivo gestisca i contenuti o le licenze
2. Il processo run-time legato al comportamento dei dispositivi legati al consumo di contenuti, che riguarda principalmente la verifica delle licenze e la gestione delle anomalie riscontrate nei dispositivi, con tutti i livelli di escalation necessari
3. Lo schema legale/normativo/contrattuale che lega i diversi attori fra di loro, attribuisce le responsabilità e garantisce il sistema nei confronti dei danni che possono derivare da comportamenti "malicious" di clienti finali e di attori stessi.

Sebbene il testo sia sufficientemente chiaro, esso viene pur tuttavia ribadito con un qualche ulteriore dettaglio, specie per il primo punto, quel "processo di accettazione" del Fritz Chip in qualunque dispositivo, si badi bene: hardware e software, esclusi quelli che non gestiscano né contenuti né licenze (indovini il lettore quali):

Che c’entra il Fritz Chip? Chi parla di "qualunque dispositivo"?

"Esistono diverse macro-categorie di dispositivi: terminali per la fruizione di contenuti sicuri (es: STB, cellulare...) ed altri dispositivi usati in altri punti di una catena del valore, e.g. per la produzione e distribuzione di contenuti. Il Trust Model deve necessariamente coprire efficacemente tutti i dispositivi."

Il secondo punto non richiede molti chiarimenti.

Ma il terzo invece sì: è l'aspetto piú interessante e, credo, maldestramente tratteggiato dai proponenti. Costoro prevedono la creazione di un'Autorità Centrale (sic), affiancata da un Laboratorio Accreditato (sic), enti privati i quali dovranno certificare tutti i dispositivi immessi sul mercato, dispositivi che, unitamente ai dati di certificazione, dovranno essere iscritti in un'anagrafe nazionale gestita dall'Autorità Centrale stessa.

Non capisco da cosa si deduca che i proponenti siano maldestri.

Quello che la proposta chiama Autorità Centrale è semplicemente l’organismo di governance in cui sono rappresentati tutti gli stakeholder.

Per quanto concerne le relazioni tra i costruttori di dispositivi (o autori di software) e questi enti privati, il documento afferma che "il rapporto fra LA e costruttori è regolato da un contratto in cui il costruttore ammette la sua liability in caso di infrazione realizzata sul dispositivo da lui costruito. La liability deve essere garantita da una assicurazione/fideiussione."

Questa è la pratica comune nell’industria.

Se ci sono altri modelli praticamente realizzabili sono tutt’orecchi.

È interessante notare come si ritenga di dover far ricadere tutto il rischio derivante dai (supposti) mancati guadagni legati all'abusiva fruizione dei contenuti digitali, e quindi tutti i costi che si ritengano a ciò connessi, sui costruttori di dispositivi digitali e sugli autori del software fatti per accedere ai contenuti. Finalmente i detentori dei diritti esclusivi di sfruttamento delle opere dell'intelletto avranno una ben definita categoria di individui sui quali rivalersi per le violazioni ai loro diritti esclusivi: non piú la sfumata categoria degli utenti, ma quelle persone che avranno fornito un'assicurazione o prodotto una fideiussione per poter operare in quel mercato gestito dall'Autorità Centrale, "la cui scomparsa come soggetto economico/giuridico implica lo scioglimento del mercato" stesso, recita il documento. Il tutto, ovviamente, per evitare l'alternativa che condurrebbe altrimenti "a scenari più bui ed inquietanti di quelli tratteggiati dalla fantasia di George Orwell nel suo romanzo '1984'!", come si legge nell'appello.

Mi piacerebbe conoscere quali siano gli "scenari più bui ed inquietanti di quelli tratteggiati dalla fantasia di George Orwell nel suo romanzo '1984'!"

Sarebbe questo il segreto, vi è da credere, che consentirebbe all'Italia "di acquisire un ruolo primario nello sfruttamento del fenomeno globale Digital Media", per citare quel che si legge nella home page di dmin.it.

Prima di tutto, e questa mi pare una strana dimenticanza, l’articolo non parla mai dell’uso di iDRM senza protezione che è forse il punto più qualificante della proposta dmin.it. Ma pur restando nel contesto di iDRM di protezione, l’autore dell’articolo non parla dell’apertura del mercato attuale, resa possibile dalla proposta che si traduce in

1. abbassamento della soglia di accesso da parte di chi crea
2. facilità per un intermediario di agganciarsi a catene del valore altrui
3. possibilità per un consumatore di accedere a tutte le opere pubblicate in Italia.

Il fatto che la tutela dei produttori dei contenuti avvenga mediante l'allocazione del rischio unicamente ai produttori dei dispositivi hardware e software per accedere a quei contenuti può forse sembrare una mossa furba, un'occhiolino strizzato all'utente, al quale già si è imposto il Trusted Computing mediante quel delicato "processo di accettazione" cui sopra si accennava. A me pare invece che ciò getti su tutta la proposta una luce sospetta e, mi si consenta di dirlo, ne mini di molto l'autorevolezza. La governance, il cuore, come si è visto, della proposta che gli aderenti a dmin.it ed i firmatari dell'appello hanno fatta loro, sembra costruita su fondamenta assai fragili, salvo non si voglia credere davvero ad un potere salvifico della tecnologia in genere e del Trusted Computing in particolare: solo questo infatti, se realmente effettivo come molti sperano, potrebbe rendere il rischio sopportabile da parte dei produttori dei dispositivi software ed hardware, e da parte dei loro assicuratori. Ma se, come vi è pur da ritenere, anche la sicurezza del TC fosse infine imperfetta, se esso non fosse cioè in grado di operare un controllo assoluto su ciò che l'utente può fare e non fare, sarebbero allora tempi assai bui per i mercati dell'hardware e del software, sui quali ogni produttore di contenuti potrebbe rivalersi per i danni derivanti dalle imperfezioni della tecnologia.

Di che “imposizione” stiamo parlando? L’autore che vuole pubblicare le sue opere può farlo

1. senza DRM

2. con iDRM

3. con un DRM proprietario, con l'obbligo di pubblicarlo in iDRM.

Il consumatore che non vuole fruire di contenuti iDRM può sempre tenersi il proprio iPod o il proprio set top box Sky. Il consumatore che vuole fruire di contenuti non governati non ùserà né apparati iDRM, né apparati proprietari.

Per quanto riguarda la supposta simpatia dei proponenti della proposta dmin.it per i cattivissimi aventi diritto, posso solo dire che la proposta dà le linee generali del sistema di governance che deve essere definita nel dettaglio e poi gestita direttamente dai rappresentanti degli stakeholder di tutta la catena del valore – dagli autori ai consumatori.

Alcuni si domanderanno se, in un simile scenario, al software libero sia consentito di esistere. La questione meriterebbe una trattazione autonoma che in questa sede non mi è possibile, circa la compatibilità di un sistema di certificazione con il software libero, compatibilità che non ritengo possibile. Tralasciando quel problema, pur centrale, in prima approssimazione mi sembra che, sebbene il documento affermi che l'Autorità Centrale sia un'organizzazione no profit "il cui funzionamento si basa su un meccanismo di ricopertura dei costi", pur questi costi non sono affatto esclusi, e non si prevede alcuna eccezione per il software libero, eccezione che, d'altro canto, renderebbe vano tutto il meccanismo di sicurezza proposto, consentendo in tal caso di disattendere alle statuizione espresse mediante l'iDRM. Si aggiunga a ciò il costo non indifferente di un'assicurazione o di una fideiussione che anche lo sviluppatore di software libero sarebbe tenuto a produrre.

Io non so che cosa sia sia il software libero. Io conosco (fonte spero non sospetta) il “software a codice sorgente aperto” (espressione usata nell’“Indagine conoscitiva sul software a codice sorgente aperto nella Pubblica Amministrazione”, cd commissione Meo).

La proposta dmin.it parla di quest’ultimo e la scelta della licenza Mozilla è congruente con l’uso che si intende fare del software.

Ad ulteriore conferma della superficiale comprensione della proposta c’è il fatto che non è richiesto a nessuno di rilasciare la propria implementazione in OSS. Quindi nessuno impone niente a nessuno.

Si tenga infatti presente che tutta l'attenzione e la protezione del progetto dmin.it è rivolta "esclusivamente" ai produttori di contenuti, e mai ai produttori di dispositivi software o hardware, sui quali si è deciso di far gravare tutti gli oneri ed i rischi derivanti dalla gestione del sistema di Trust Model proposto.

Benissimo, allora si proponga un altro modello, che funzioni però. La proposta dmin.it è basata sull’attuale pratica dell’industria.

La proposta di legge acclusa al progetto di dmin.it non tratta affatto del "processo di accettazione", il quale rimane sfumato sullo sfondo, il che, mi pare, un poco si discosti da quell'esigenza di una discussione aperta e corretta di cui i firmatari dell'appello si fanno portavoce. Si potrebbe maliziosamente notare come, in genere, sia richiesta l'accettazione solo di ciò che, quanto meno di primo acchito, risulti... inaccettabile. Quel che emerge dal progetto di legge è che un tale processo sarà amministrato dal "Comitato di controllo costituito da rappresentanti degli autori, produttori, editori, fornitori di servizi e consumatori", ed al quale sono attribuite funzioni principalmente propositive, ma non solo.

Per forza. Io non sono un legale ma un "processo di accettazione" non si mette in una legge, ma al più in un regolamento di attuazione.

Detto questo, se ci sono proposte concrete, ben vengano. Prima si mettono in chiaro le cose, meglio è.

Una delle funzioni di questo comitato consiste ad esempio nella risoluzione delle "controversie tra i soggetti che adottano misure tecniche di gestione e protezione interoperabili e gli utilizzatori delle opere a qualunque titolo, incluse le loro associazioni" (art. 2 comma V).

Un'accentuazione del ruolo delle associazioni, anche a discapito di quello degli utenti, ed in genere un'adesione ad un modello puramente concertativo - corporativo verrebbe da dire - traspare invero anche da altre misure previste in questa proposta di legge, ad esempio all'art. 1, ove si introduce un articolo, l'art. 102 - sexies, nella legge sul Diritto d'autore, il cui quarto comma dovrebbe recitare: "L'Autorità d'ufficio o su istanza di un'associazione di utenti e consumatori determina la misura ed i termini in cui l'adozione di misure tecniche di gestione e protezione interoperabili non può precludere l'esercizio delle libere utilizzazioni di cui al Capo V, Titolo I in funzione del tipo di opera affetta da misure tecniche di gestione e protezione interoperabili, dei diversi modi di pubblicazione e delle possibilità offerte dalle tecnologie disponibili." Con ciò le libere utilizzazioni finiscono sotto la gestione di un'autorità amministrativa alla quale possono accedere solo le associazioni dei consumatori.

Non vedo come dal testo citato si deduca che “le libere utilizzazioni finiscono sotto la gestione di un'autorità amministrativa alla quale possono accedere solo le associazioni dei consumatori”.

Se c’è un dubbio al proposito si proponga un testo che lo tolga

Se infatti i dettagli possono essere anche grandemente modificati, il disegno generale no, ed esso è estremamente chiaro: costruire un meccanismo che consenta ai detentori dei diritti di sfruttamento economico delle opere del'ingegno di statuire circa le facoltà che essi intendano concedere agli utenti, con la garanzia che i dispositivi degli utenti consentiranno a costoro esclusivamente l'esercizio delle facoltà esplicitamente concesse, impedendo ogni altro utilizzo dell'opera protetta.

Finalmente si comincia a dire qualcosa di veramente valido!

Certo, qualunque sistema DRM, anche interoperabile, è sbilanciato nei confronti degli aventi diritto e quindi sono necessari dei ribilanciamenti. L’ho detto e scritto in non so quante conferenze e non so in quanti articoli.

Si tratta di una visione estremamente assolutistica della "proprietà intellettuale", concepita come totalmente priva di limiti e nella piú completa disponibilità del suo titolare. Un alcunché che non saremmo disposti a riconoscere alla proprietà del mondo fisico, cresciuti come siamo nell'insegnamento di quei maestri che ci hanno lungamente spiegato la funzione sociale, costituzionalmente contemplata, del *terribile diritto*.

C’è un piccolo problema, però. Le leggi relative alla proprietà intellettuale hanno fondamenta che sono vecchie di secoli. Ci va molta determinazione e molta competenza legale per intervenire. Io posso mettere la prima, ma altri devono mettere la seconda.

E poco importa se un tale diritto sia concesso a Disney o al batterista che, nella stanza sopra alla nostra, registra la demo che gli consentirà l'accesso al firmamento delle start. Nelle intenzioni dei proponenti, infatti, il sistema di Trusted Computing non è funzionale all'acquisto della diciottesima villa di Madonna, ci viene ripetuto, ma proprio per il batterista nostro vicino di casa, al quale deve essere concesso il potere di statuire su cosa noi si possa fare con il file contenente la registrazione dei suoi rumori, potere che l'ordinamento rende effettivo imponendo a ciascuno di noi l'utilizzo esclusivo di dispositivi hardware e software che siano stati preventivamente certificati, dal Laboratorio Accreditato dall'Autorità Centrale, come in grado di dar piena esecuzione all'esclusiva volontà del novello Ringo Starr.

I proponenti dmin.it non parlano di Trusted Computing. Questo lo fa l’autore dell’articolo.

Al batterista vicino di casa – se bravo – deve essere data la possibilità di vivere della propria arte, così a come un professore universitario – se bravo.

Come ho detto sopra c’è tutto uno spazio di diritti da delimitare e l’attuale fase di sperimentazione di dmin.it ha anche lo scopo di mettere in luce questi aspetti, naturalmente se c’è chi è disponibile a contribuire in modo fattivo.

Un tale potere assoluto sull'opera dell'intelletto ricorda quel copyright premoderno che tanto efficacemente il rimpianto Ray Patterson ci ha tratteggiato nei sui splendidi studi sulla storia delle origini del diritto d'autore, un privilegio monopolistico perpetuo che il sovrano concedeva agli stampatori su ogni libro pubblicato nel regno, al fine di operare una censura preventiva sulla circolazione delle idee. Fu in reazione a quella concezione assolutistica di un privilegio amministrato dagli stessi privilegiati - gli stampatori raccoltisi nella Stationer's Company - che nacque il diritto d'autore moderno, quale si esprime nello Statute of Anne o nella Costituzione degli Stati Uniti d'America: un diritto di origine pubblica, limitato nel tempo e nell'estensione e, soprattutto, finalizzato alla diffusione dell'apprendimento e della conoscenza.

Conferire ai detentori dei diritti di sfruttamento economico dell'opera dell'intelletto il potere che si è visto, al quale si accompagni un cosí forte investimento che l'ordinamento giuridico compie per rendere quel potere tanto effettivo nei confronti di ciascuno, facendone sopportare i costi unicamente ai produttori di hardware e software ed alla fiscalità generale, appare una scelta dettata da ragioni di politica industriale: consentire il perpetuarsi di modelli di business che, come riconoscono i firmatari dell'appello, vengono messi in crisi dall'evoluzione tecnologica.

Se c’è un modo diverso di ripartire gli oneri, sono tutto orecchi. Se non ne viene proposto un altro mi sento autorizzato a rimandare le accuse al mittente .

La crisi di quei modelli di business deriva, ci viene di solito spiegato, dall'inefficacia dell'ordinamento giuridico nel prevenire i comportamenti di quegli utenti che, non ritenendo di dover pagare il dovuto ai detentori dei diritti d'autore, inducono un calo della remuneratività dell'investimento nelle opere dell'intelletto. Quando si fa notare come le soluzioni proposte, consistenti nel creare un ambiente digitale nel quale tali comportamenti devianti non abbiano piú nemmeno la possibilità di essere posti in essere, creino anche situazioni nelle quali il pericolo di un uso distorto di quelle stesse tecnologie non è solo un alcunché di temuto, ma qualcosa di storicamente accertato e dimostrato, ci si dice che l'ordinamento giuridico provvederà ad adottare le norme che contro tali abusi ci forniranno tutta la protezione di cui abbiamo bisogno.

Viene allora da chiedersi perché l'ordinamento giuridico, tanto incapace di proteggere i detentori dei diritti di sfruttamento economico delle opere dell'intelletto dagli abusi compiuti dai loro utenti, dovrebbe non esserlo nel proteggere i secondi dagli abusi dei primi.

Andrea Rossato

(*) - A.R. è docente di Legal Issues in Computer Science presso la Facoltà di Informatica della Libera Università di Bolzano. È anche autore del libro Diritto e architettura nello spazio digitale (Padova, 2006)

Giusto. Sono assolutamente d’accordo sulla necessità di riequilibrare, ma lo dobbiamo fare con proposte concrete.