The Italian Privacy Authority announced today that it has launched an investigation to verify whether websites are adopting adequate security measures to prevent the massive collection of personal data for the purpose of training AI algorithms. Indeed, AI platforms collect huge amounts of data through so-called web-scraping, including the personal data of users of websites operated by both public and private entities. Such data is made available online for various purposes, such as news reporting, administrative transparency, etc..

The investigation will therefore concern all data controllers who operate in Italy and make their users’ personal data available online (and thus accessible by developers of AI services), in order to verify whether said controllers adopt adequate security measures to safeguard their users’ rights.

The Authority also asks the relevant trade associations, consumer associations, experts and representatives of the academic field to contribute to the investigation by submitting their inputs on the security measures adopted and adoptable against the massive collection of personal data for the purpose of AI training. Finally, the Authority announces that – once the investigation is concluded – it may resort to any applicable measures to enforce the relevant legislation, including urgent measures.

VERSIONE ITALIANA

BREAKING: Indagine del Garante Privacy sulla raccolta di dati online per l’addestramento di IA

ll Garante per la protezione dei dati personali ha oggi annunciato di aver avviato una indagine conoscitiva per verificare l’adozione da parte di siti internet di operatori pubblici e privati di idonee misure di sicurezza adeguate ad impedire la raccolta massiva di dati personali a fini di addestramento degli algoritmi di IA. Diverse piattaforme di IA infatti, attraverso il cosiddetto webscraping, raccolgono enormi quantità di dati anche personali degli utenti di siti internet gestiti da soggetti pubblici e privati, pubblicati per diverse finalità ad esempio di cronaca, trasparenza amministrativa ecc..

L’indagine del Garante riguarderà dunque tutti i soggetti operanti in Italia quali titolari del trattamento, che mettono a disposizione online dati personali dei loro utenti accessibili agli sviluppatori di servizi intelligenza artificiale, verificando l’adozione di adeguate misure di sicurezza a salvaguardia dei diritti degli utenti stessi.

Il Garante chiede inoltre alle associazioni di categoria interessate, alle associazioni di consumatori, ad esperti e rappresentanti del mondo accademico di contribuire all’indagine facendo pervenire i loro commenti sulle misure di sicurezza adottate e adottabili contro la raccolta massiva di dati personali a fini di addestramento degli algoritmi di IA. Il Garante annuncia poi che – una volta conclusa l’attività di indagine – potrà adottare i necessari provvedimenti previsti dalla normativa, anche in via d’urgenza.

With decision of May 8, 2023, the EUIPO Cancellation Division provided relevant clarification concerning the use of a trademark in relation to specific registered goods.

Facts of the proceedings

In April 2022, an application for revocation for non-use pursuant to Article 58(1)(a) EUTMR was filed against the International Registration designating the European Union “K-WAY” owned by K-Way S.p.A. The application concerned all the goods claimed by the trademark in classes 9, 18, 25 and 28, partly related to the core business of the well-known fashion company K-Way.

In order to prove the use of its trademark, the owner filed large documentation including invoices, catalogues, advertising materials, press release and social media contents.

The decision of the EUIPO

In its examination of the documentation submitted by the trademark owner, the EUIPO confirmed that the evidence was sufficient for the requirements of time of use, place of use, nature of use (use as a trademark and use of the mark as registered) and extent of use.

However, in assessing the requirement of use in relation to the registered goods, the EUIPO considered that the evidence showed use of the mark only for specific registered goods.

More specifically, the EUIPO carried out detailed examination of the documentation provided by the owner for each of the registered goods. Indeed, the EUIPO made a precise differentiation between the goods, accurately outlining the limits of the evidence of use.

As a result, the EUIPO acknowledged that:

  • evidence of use in class 9 for “goggles, namely ski goggles” did not cover additional goods claimed by the mark, such as “optical apparatus and instruments, namely eye glasses, spectacles, lens and frames for spectacles, parts and fitting for all the aforesaid goods; goggles (except ski goggles)”;
  • evidence of use in class 18 for several goods, such as luggage, handbags, wallets, purses, did not cover the additional goods claimed by the mark  “trunks; briefcases; umbrellas and parasols”;
  • evidence of use in class 25 for “articles of clothing, namely swimwear, jerseys, pants, trousers, shorts, jackets, wind jackets, coats, overcoats, raincoats, sweaters, cardigans, fleece and polar fleece tops and bottoms, training and track suits, shirts, woven shirts, sweat shirts, polo shirts, t-shirts, tops, dresses, skirts, head bands, scarves; gloves, hats, caps, belts; shoes, boots, sandals, sport and athletic shoes”  did not cover the additional articles of clothing claimed by the mark (i.e. “underwear, sports uniforms, jeans, overalls, hosiery, tank tops, cut and sew tops, gowns, socks, robes, neck bands, ties; chaps, slippers”);
  • evidence of use in class 28 for skis did not cover the additional goods claimed by the mark such as “ice skates; ski racquets, snow boards”.

Based on the above, the EUIPO partially upheld the application for revocation, thus confirming that the scope of proof of use on certain products cannot be extended to cover goods that, although similar, are not strictly covered by the evidence.

VERSIONE ITALIANA

L’uso di un marchio in relazione agli specifici prodotti registrati: la recente decisione dell’EUIPO sul marchio “K-WAY”

Con decisione dell’8 maggio 2023, la Divisione di Cancellazione dell’EUIPO ha fornito importanti chiarimenti sull’uso di un marchio in relazione a specifici prodotti registrati.

Fatti del procedimento

Nell’aprile 2022 è stata presentata una domanda di decadenza per non uso ai sensi dell’articolo 58, par. 1, lett. a), RMUE, nei confronti della registrazione internazionale designante l’Unione Europea “K-WAY” di titolarità di K-Way S.p.A. La domanda ha avuto ad oggetto tutti i prodotti rivendicati dal marchio nelle classi 9, 18, 25 e 28, in parte relativi al core business della nota azienda K-Way operante nel settore dell’abbigliamento.

Per dimostrare l’uso del marchio, il titolare ha presentato ampia documentazione tra cui fatture, cataloghi, materiale pubblicitario, comunicati stampa e contenuti pubblicati sui social media.

La decisione dell’EUIPO

Nell’esaminare la documentazione presentata dal titolare del marchio, l’EUIPO ha ritenuto che le prove fossero sufficienti in relazione ai requisiti del tempo dell’uso, luogo dell’uso, natura dell’uso (uso come marchio e uso del marchio come registrato) ed estensione dell’uso.

Tuttavia, nel valutare il requisito dell’uso in relazione ai prodotti registrati, l’EUIPO ha ritenuto che le prove dimostrassero l’uso del marchio solo per specifici prodotti.

In particolare, l’EUIPO ha effettuato un esame dettagliato della documentazione fornita dal titolare per ciascuno dei prodotti. L’EUIPO ha così operato una precisa differenziazione tra i prodotti, delineando con precisione i limiti delle prove d’uso.

Di conseguenza, l’EUIPO ha riconosciuto che:

  • la prova dell’uso nella classe 9 per “occhiali, in particolare occhiali da sci” non copre gli ulteriori prodotti rivendicati dal marchio, come “apparecchi e strumenti ottici, in particolare occhiali da vista, occhiali, lenti e montature per occhiali, parti e accessori per tutti i suddetti prodotti; occhiali (tranne quelli da sci)”;
  • la prova dell’uso nella classe 18 per una serie di prodotti, quali valigie, borse, portafogli, borsette, non copre gli ulteriori prodotti rivendicati dal marchio “bauli; valigette; ombrelli e ombrelloni”;
  • la prova dell’uso nella classe 25 per “articoli di abbigliamento, vale a dire costumi da bagno, maglie, pantaloni, pantaloncini, giacche, giacche a vento, cappotti, soprabiti, impermeabili, maglioni, cardigan, top e pile, tute da allenamento e da ginnastica, camicie, camicie di tessuto, polo, t-shirt, top, abiti, gonne, fasce per capelli, sciarpe; guanti, cappelli, berretti, cinture; scarpe, stivali, sandali, scarpe sportive e da atletica” non copre gli ulteriori articoli di abbigliamento rivendicati dal marchio (ad es. “intimo, uniformi sportive, jeans, tute da lavoro, calze, canottiere, top, camici, calze, accappatoi, fasce per il collo, cravatte; pantaloni, pantofole”);
  • la prova dell’uso nella classe 28 per sci non copre gli ulteriori prodotti rivendicati dal marchio, quali “pattini per il ghiaccio; racchette da sci, snowboard”.

Alla luce di quanto precede, l’EUIPO ha parzialmente accolto la domanda di decadenza, con ciò confermando che la portata della prova d’uso su determinati prodotti non può essere estesa a prodotti che, per quanto affini, non sono strettamente coperti dalla prova.

La suola rossa del noto brand Christian Louboutin, creata per la prima volta nel 1993 con un semplice smalto, incarna ormai un’icona nel mondo della moda, tanto che è stata registrata come marchio e viene tenacemente tutelata dal suo titolare.

Di recente, Louboutin ha prevalso in due procedimenti promossi contro contraffattori dinanzi ai tribunali di India e Brasile, continuando una lunga serie di vittorie nelle aule di tribunale e contribuendo a consolidare la reputazione del brand nel settore della moda. Con decisione del 22 agosto 2023 (disponibile qui), la High Court of Delhi ha ordinato, nei confronti di M/S Shoes Boutique l’inibitoria della vendita di scarpe che rispecchiano i modelli “spiked”, decorati con borchie o punte, o la tipica suola rossa di Louboutin.

La decisione è particolarmente interessante perché il giudice Prathiba M. Singh ha affrontato la questione dell’affidabilità dei dati generati dall’intelligenza artificiale (“IA”).

La difesa del brand parigino ha infatti portato all’attenzione della Corte indiana, quale prova del carattere distintivo acquisito dal marchio della suola rossa, una risposta fornita dalla celebre piattaforma di intelligenza artificiale, ChatGPT. Alla domanda se il brand sia noto per scarpe da uomo decorate con borchie o punte, l’IA rispondeva affermando che “Louboutin è noto per le sue iconiche scarpe con la suola rossa, compresi i modelli spiked per uomini e donne”, di seguito come riportata nel testo della decisione stessa:

Il giudice adito ha poi confermato il carattere distintivo del marchio azionato e di conseguenza concesso la misura cautelare oggetto della domanda attorea, ma ha anche evidenziato che: “L’accuratezza e l’affidabilità dei dati generati dall’intelligenza artificiale sono ancora in una “zona grigia”. La Corte non ha dubbi sul fatto che, allo stato attuale dello sviluppo tecnologico, l’IA non possa sostituire l’intelligenza umana o l’elemento umano nel processo giudiziario. Al massimo lo strumento potrebbe essere utilizzato per una comprensione preliminare o per una ricerca preliminare e nulla più”.

L’utilizzo dell’intelligenza artificiale si sta facendo sempre più spazio nelle aule di giustizia. Basti pensare che in un caso recente il noto giudice della Court of Appeal inglese, Lord Justice Colin Birss, ha affermato di essersi servito dell’aiuto di ChatGPT per la redazione di una sentenza, dichiarandosi molto soddisfatto dell’output ottenuto e valutando lo strumento come “jolly useful”.

Tuttavia lo stesso giudice ha rivendicato la piena paternità di quanto scritto e sottolineato l’importanza di non affidarsi all’IA in modo acritico e per argomenti che non risultino ben chiari all’autore. Infatti, ChatGPT e strumenti simili si sono dimostrati spesso inclini ad “allucinazioni” o a riportare dati inesistenti, come accaduto nel noto caso di due avvocati di New York nel caso Mata v. Avianca (disponibile qui), sanzionati dalla corte per aver citato precedenti giudiziari suggeriti da ChatGPT ma in realtà inesistenti.

Ed è proprio per tale motivo che molti tribunali, quantomeno negli Stati Uniti, hanno cominciato a introdurre degli obblighi di trasparenza per gli avvocati che utilizzano strumenti di IA generativa, i quali devono non solo dichiarare se e in che modo tali strumenti siano stati utilizzati nella redazione di atti o preparazione delle difese, ma anche attestare che i risultati generati sono stati sottoposti a revisione umana (si veda tra gli ultimi l’ordine della District Court for the Eastern District of Pennsylvania).

L’evoluzione nell’utilizzo dei sistemi di IA generativa nel settore legale e la sempre maggiore adozione dei medesimi nella pratica quotidiana di giudici e avvocati dovranno essere attentamente monitorati, data la delicatezza dell’ambito di applicazione (come già riconosciuto, ad esempio, dalla bozza di Regolamento sull’IA dell’Unione Europea, che classifica come “ad alto rischio” i sistemi di IA utilizzati nella amministrazione della giustizia e nei processi democratici), e potrebbero a breve richiedere una valutazione in merito alla necessità di interventi legislativi ad hoc per regolarne l’utilizzo nelle aule di tribunale.

Background

The Health Improvement Network (“THIN”) is a database containing health information from millions of patients provided by thousands of doctors throughout the UK, France, Spain, Belgium, Romania and Italy[1]. The data is used by several institutions to develop important studies on health management, primary and secondary care, epidemiologic research, medicinal approval, among others. Last June, the Italian Privacy Authority penalized THIN’s Italian subsidiary for violating the General Data Protection Regulation (“GDPR”) due to the use of allegedly inadequate anonymization techniques[2]. The pecuniary fine applied by the Authority was minor (15,000 Euros), but the precedent’s repercussions are significant not only for THIN, but for any player who may process anonymized data in Italy.

Decision

Health data is classified as a “special category of personal data” by art. 9 of the GDPR, which dictates strict compliance rules. As a result, entities that process health data must either: (i) anonymize such data; or (ii) follow one of the legal bases listed in art. 9(2) of the GDPR. THIN’s business model relies upon the first option: all data collected by THIN’s affiliated doctors is anonymized, thus avoiding the application of the GDPR altogether.

THIN’s anonymization process is robust and involves a series of layers[3]. First, the patient’s ID is replaced by a random GUID[4] code, on top of which a hash algorithm is applied, transforming it into a 64-character alphanumeric code. Subsequently, the data is minimized (patient’s birthdate is limited to a single year, height and weight of the patient are classified in large intervals of centimeters and kilograms, etc). Finally, the information is sent to an independent third company that attempts to re-identify it in order to test the efficacy of the anonymization process. Any data that shows a risk of re-identification is then disregarded.

The Italian Privacy Authority concluded that said anonymization process is flawed, since THIN still individualizes each patient’s information around a single code. Hence, in the Authority’s view, there can be no true anonymization while a link remains between a given set of data and an individualized person, even though the controller cannot really know who that person is.

Comment

In order to analyze the Authority’s decision, one should turn to the concept of anonymization as established by Recital 26 of the GPDR. Recital 26 defines “anonymous information” as any information “which does not relate to an identified or identifiable natural person” (emphasis added). In its reasoning, the Italian Authority essentially affirmed that it does not matter whether a given set of data is individualized around a single personal ID or around a single alphanumeric code, inasmuch as in both cases there is individualization and thus the data remains personal. In contrary, Recital 26 does not focus on whether there is individualization in a given case, but rather on whether an identifiable natural person is being individualized. In other words, individualization, in itself, is not necessarily incompatible with anonymization – it all boils down to whether the data controller can identify who is being individualized.

In the case at hand, the Authority did not thoroughly demonstrate how each set of data processed by THIN could be traced back to a single, identifiable natural person. Conversely, the Authority simply stated that each set of data could be traced back to a single alphanumeric code. However, it happens to be the case that being able to trace a set of data back to a single code, but not to a single, identifiable natural person, is actually a classic example of anonymization. For instance, if THIN could hypothetically affirm that a male person who lives in Milan, was born in 1993 and weighs between 70 and 80 kilos was diagnosed with a viral infection on 10 January 2023, but could not affirm who that person is (no name, no social security number, no photo, etc.), then, by all means, that person is not identifiable and that data is presumably anonymous[5].

Moreover, Recital 26 makes it clear that “to determine whether a natural person is identifiable, (…) account should be taken of all objective factors, such as the costs of and the amount of time required for identification” (emphasis added). The Authority, however, failed to mention in its reasoning any objective factors that would allow THIN to re-identify the data being processed.

THIN naturally appealed the decision, which suffered criticism from the Italian legal community[6], and the outcome of the case may yet shift. Still, at the current time, the fact remains that companies who process anonymized data will need to tread a very “THIN” line if they wish to be GDPR compliant in Italy.

[1] More information available at: https://www.the-health-improvement-network.com/.

[2] Access the full decision here: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9913795.

[3] Said anonymization process was explained by the Italian Privacy Authority itself in its decision.

[4] Abbreviation of “Globally Unique Identifier”.

[5] Indeed, art. 3(1) of the GDPR determines that “an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person.”

[6] See, e.g., Silvia Stefanelli, Thin, perché il Garante sbaglia e blocca la ricerca in Sanità, Agenda Digitale, August 2, 2023, available at: https://www.agendadigitale.eu/sanita/sanita-perche-su-thin-il-garante-ha-sbagliato-e-blocca-la-ricerca/.  

Il 30 marzo 2023 è entrato in vigore il d.lgs. n. 24 del 10 marzo 2023 (consultabile qui), che recepisce in Italia la direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione (c.d. direttiva whistleblowing, disponibile al seguente link).

Con delibera n. 311 del 12 luglio 2023, l’Autorità Nazionale Anticorruzione (ANAC) ha pubblicato le “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne” (di seguito, “Linee Guida ANAC”), disponibili al seguente link.

Cosa si intende per whistleblowing?

Sebbene manchi una definizione univoca del termine, per whistleblowing si intende la segnalazione spontanea di una persona fisica (il “whistleblower”, o “segnalante”) di un illecito commesso, o che si sospetta sia stato commesso, all’interno dell’ente pubblico o privato presso cui l’individuo lavora o collabora.

La nuova disciplina normativa, quindi, si applica tanto ai soggetti del settore pubblico, quanto a quelli del settore privato.

Chi è il whistleblower?

Il whistleblower, secondo il combinato disposto degli artt. 1 e 2 del d.lgs. n. 24/2023, è qualsiasi lavoratore che intercetta violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui è venuto a conoscenza in un contesto lavorativo pubblico o privato.

Ai fini dell’individuazione del soggetto legittimato alla segnalazione, la normativa privilegia quindi il dato oggettivo della attinenza dell’informazione appresa al contesto lavorativo di riferimento, ricomprendendo:

  • dipendenti pubblici;
  • lavoratori subordinati di soggetti del settore privato;
  • lavoratori autonomi che svolgono la propria attività lavorativa presso soggetti del settore pubblico o del settore privato;
  • collaboratori, liberi professionisti e consulenti che prestano la propria attività presso soggetti del settore pubblico o privato;
  • volontari e tirocinanti, retribuiti o non retribuiti; e
  • azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico o del settore privato.

Cosa è possibile segnalare?

Come detto, i whistleblowers potranno segnalare le violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato.

La segnalazione potrà riguardare anche:

  • informazioni relative a condotte volte ad occultare tali violazioni;
  • attività illecite non ancora compiute, ma che il whistleblower ritenga ragionevolmente possano verificarsi in presenza di elementi concreti, precisi e concordanti; e
  • meri sospetti, purché fondati.

Quali sono i possibili canali di segnalazione?

Rispetto alla trasmissione delle predette informazioni, questa dovrà avvenire secondo:

  • un canale prioritario dedicato di segnalazione interna, che garantisca, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione;
  • un canale di segnalazione esterna, gestito dall’ANAC (le cui specifiche condizioni per accedervi sono disciplinate ai sensi dell’art. 6 del d.lgs. n. 24/2023);
  • divulgazione pubblica, ossia rendendo di pubblico dominio le informazioni sulle violazioni tramite la stampa o mezzi elettronici, o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone;
  • denuncia all’autorità giudiziaria.

I soggetti rientranti nell’ambito applicativo delle nuove norme dovranno quindi predisporre non soltanto degli specifici canali interni di veicolazione delle informazioni ricevute, ma saranno anche chiamati a garantire che gli stessi rispettino adeguati standard di sicurezza, affinché l’identità dei segnalanti sia tutelata, e che in ogni caso siano conformi, quanto al trattamento dei dati personali, alle relative norme in materia.

Quali sono le misure di protezione previste a tutela dei soggetti segnalanti?

Il sistema di protezione dei whistleblowers contemplato dalla normativa prevede:

  • tutela della riservatezza, come meglio specificato al punto precedente;
  • protezione dalle ritorsioni, intese anche in forma solo tentata o minacciata;
  • limitazioni della responsabilità, nei casi previsti all’art. 20 del d.lgs. n. 24/2023; e
  • misure di sostegno, ossia informazioni, assistenza e consulenze a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni, sui diritti della persona coinvolta, nonché sulle modalità e condizioni di accesso al patrocinio a spese dello Stato.

Valorizzando la buona fede del segnalante, è previsto che la persona segnalante beneficerà delle tutele solo se, al momento della segnalazione, aveva fondato motivo di ritenere che le informazioni sulle violazioni segnalate, divulgate pubblicamente o denunciate fossero vere.

Entrata in vigore

Le nuove disposizioni si applicano già dal 15 luglio 2023, con una deroga per i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a 249. Per questi ultimi, l’obbligo di istituzione del canale di segnalazione interna avrà effetto a decorrere dal 17 dicembre 2023.

Possibili sanzioni

Si segnala peraltro che l’ANAC potrà irrogare sanzioni da 10.000 a 50.000 euro laddove accerti che i sopra descritti canali di segnalazione non sono stati istituiti, che non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni, ovvero che l’adozione di tali procedure non sia conforme alla previsione di legge, nonché qualora accerta che non sia stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.

Nella serata di martedì 18 luglio, la Camera dei Deputati ha definitivamente approvato il Disegno di legge di riforma del Codice della Proprietà Industriale (D.lgs. 10 febbraio 2005, n. 30). La riforma – nel perseguire gli obiettivi già fissati dalla Commissione Europea nel suo Action Plan[1] del 2020, successivamente inseriti nel PNRR – mira a rafforzare il vigente sistema di protezione della proprietà industriale, assicurando ai titolari di diritti su beni immateriali maggiori tutele e garanzie, specie rispetto al ritorno sugli investimenti effettuati in ricerca e sviluppo.

A suscitare un certo interesse è l’art. 3 del Disegno di legge, intitolato “Titolarità delle invenzioni realizzate nell’ambito di università ed enti di ricerca”. La modifica andrà a stravolgere l’articolo 65 del c.p.i., che disciplina le invenzioni dei ricercatori delle università e degli enti di ricerca pubblici. Nella sua attuale formulazione, tale norma riconosce al ricercatore la titolarità dei diritti nascenti dall’invenzione sorta in pendenza di un rapporto di lavoro o d’impiego con l’ente pubblico di ricerca o con l’università, in deroga alla disciplina generale delle invenzioni dei dipendenti prevista dall’articolo 64 c.p.i.. Il meccanismo appena descritto, introdotto con la legge 383 del 18 ottobre 2001 e conosciuto dagli addetti ai lavori come “professor’s privilege”, rappresenta il retaggio di una politica che, a partire dalla fine degli anni ‘90, i Paesi europei hanno gradualmente abbandonato.

Il testo di cui all’art. 3 del DDL, modificato dal Senato e trasmesso alla Camera il 14 giugno 2023, stabilisce che i diritti patrimoniali sull’invenzione spetteranno non (più) al ricercatore, ma alla struttura – università o ente pubblico di ricerca – di appartenenza; nel caso in cui vengano coinvolti più soggetti pubblici, a ciascuna università o ente in parti uguali, secondo un regime di comunione, così come previsto dall’art. 6 c.p.i.. Pertanto, fermo restando il riconoscimento dei diritti morali in capo al ricercatore-inventore, quest’ultimo dovrà comunicare “tempestivamente” (pena l’impossibilità di depositare domanda di brevetto a nome proprio) alla struttura di appartenenza l’oggetto dell’invenzione. Solo nel caso in cui, decorsi sei mesi (o nove, qualora si rendessero necessarie valutazioni tecniche) dalla suddetta comunicazione, la struttura si astenesse dal depositare la relativa domanda di brevetto, o comunicasse l’assenza di un interesse a farlo, il ricercatore-inventore potrà procedere autonomamente e intestarsi validamente la proprietà del trovato e del relativo brevetto.

Questa formulazione mira, per quanto possibile, ad arginare il rischio che un’invenzione sorta in seno a strutture pubbliche non venga tutelata, e conseguentemente attuata e messa a profitto. Il fenomeno della mancata attuazione delle invenzioni è infatti una delle principali preoccupazioni per chi si occupa di legiferare in tema di proprietà industriale. Un esempio in tal senso è rappresentato dall’art. 70 c.p.i., che prevede l’ipotesi di una licenza obbligatoria – emessa cioè in assenza di pattuizione – ad hoc nel caso in cui l’invenzione non venga attuata nei tre anni dalla data di rilascio del brevetto. L’assegnazione del diritto al brevetto a quei soggetti che finanziano, direttamente o indirettamente, o che forniscono gli strumenti essenziali per la ricerca, solleverà perciò i ricercatori dal gravoso onere di dover predisporre quanto necessario (in termini di capitale, mezzi, infrastrutture, personale, ecc.) alla realizzazione dell’invenzione, e che ha talvolta comportato la perdita definitiva dell’innovazione.

Ad affiancare il succitato articolo 65, il legislatore ha previsto anche l’introduzione del un nuovo articolo 65bis c.p.i. (art. 4 del DDL S. 411), al fine di coadiuvare l’operato dei ricercatori con quello degli enti pubblici di appartenenza. Si stabilisce infatti la possibilità, per enti di ricerca pubblici ed istituzioni universitarie (ma anche per istituti di Alta formazione, nonché per gli IRCCS) di dotarsi di un proprio Ufficio di trasferimento tecnologico (UTT), con lo scopo di valorizzare i propri titoli di proprietà industriale.

L’entrata in vigore della riforma è attesa entro la fine di settembre 2023.

[1] European Commission, Making the most of the EU’s innovative potential: An intellectual property action plan to support the EU’s recovery and resilience, COM (2020), 760, 25 novembre 2020. 

Con una recente decisione del 19/06/2023, l’EUIPO ha rigettato la domanda di marchio figurativo reputandola descrittiva e priva di carattere distintivo per i servizi rivendicati “Formazione didattica; Formazione; Formazione aziendale; Formazione per insegnanti; Formazione e istruzione” in classe 41.

L’EUIPO ha esaminato l’insieme degli elementi denominativi e figurativi del segno in questione, ossia (a) gli elementi “Touch” e “Learning” inseriti in (b) una cornice rossa rettangolare ad angoli arrotondati, alla cui base è presente (c) la figura stilizzata di una mano che assomiglierebbe all’icona “click”. Secondo l’EUIPO, l’insieme di tali elementi sarebbe idoneo a descrivere le caratteristiche del metodo di apprendimento con tecnologia tattile, indicando la specie e la destinazione dei servizi di formazione rivendicati dalla domanda di marchio.

L’EUIPO ha così respinto la domanda di marchio in quanto, benché il segno contenga elementi figurativi e stilizzati, tali elementi sarebbero così trascurabili da non dotare di carattere distintivo il marchio nel suo insieme e non consentirebbero al marchio di adempiere alla sua funzione essenziale in relazione ai servizi per i quali si richiede la protezione.

Eglish version:

EUIPO decides on the limits of the distinctive character of the mark “Touch Learning”

In a recent decision of 19/06/2023, the EUIPO rejected the figurative trade mark application  as descriptive and devoid of distinctive character for the claimed services “Educational training; Training; Company training; Teacher training; Training and education” in class 41.

The EUIPO examined the combination of the word and figurative elements of the sign at issue, namely, (a) the elements ‘Touch’ and ‘Learning’ inserted in (b) a red rectangular frame with rounded corners, at the base of which there is (c) a stylised figure of a hand, which resembles the ‘click’ icon. According to the EUIPO, all those elements together are capable of describing the characteristics of the method of learning by touch technology, indicating the type and purpose of the training services claimed by the trademark application.

The EUIPO thus rejected the trademark application because, although the sign contains figurative and stylised elements, those elements are so negligible that they do not give the trademark as a whole distinctive character and do not enable the trademark to fulfil its essential function in relation to the services for which protection is sought.

1. Background

In February 2019, the German Federal Cartel Office issued a decision prohibiting the tech giant Meta from using “off-Facebook data”[1] to create personalized advertising for German users. The authority considered such activity to be inconsistent with the General Data Protection Regulation (“GDPR”), thus constituting an abuse of Meta’s dominant position on the German market. On appeal, the Higher Regional Court of Dusseldorf inquired the Court of Justice of the European Union (“CJEU”) on two issues:

(i) Whether national competition authorities have the competence to assess compliance with the GDPR, and

(ii) How should national courts interpret and apply certain GDPR provisions related to data processing by online platforms.

This Tuesday, the CJEU issued its landmark decision, which sent shockwaves through both the antitrust and the data protection fields.

2. CJEU’s decision

a. Competence by national antitrust authorities to assess compliance to the GDPR

The Court ruled that national competition authorities can examine whether a company’s conduct complies with rules other than those relating to competition law (such as the GDPR), as long as said examination is relevant to the determination of whether a competition rule has been violated. In doing so, however, the competition authority must inform and cooperate with the supervisory authority responsible for the field in question (e.g., the German data protection authority) and, most importantly, it cannot depart from precedent set forth by said authority. For instance, in the present case, if the German data protection authority had previously ruled that the processing of data equivalent to “off-Facebook data” does comply with the GDPR, the German Federal Cartel Office could not have indirectly “overruled” said decision.

b. Substantive questions concerning the GDPR

As for the interpretation of GDPR provisions concerning online social networks, the main rulings rendered by the Court were the following:

  • Is a controller allowed to process data such as “off-Facebook data” on the basis that it is “necessary for the performance of the contract with the data subject”[2] since, e.g., it allows Meta to provide its users with a more personalized content? The Court answered no, explaining that, in such cases, the relevant data must be indispensable to, and not merely useful for, the performance of the contract.
  • Is the data controller allowed to process data such as “off-Facebook data” on the basis of the controller’s legitimate interests[3] since, e.g., it allows Meta to provide users with personalized advertising? The Court answered no, highlighting that the users’ fundamental rights override the interests that the online platform has in personalizing the advertising by which it finances its activities. As a consequence, a valid consent from users would be needed.
  • When a company such as Meta holds a dominant position on the social network market, does this amount to the conclusion that its users’ consent was not “freely given” [4], due to the existing imbalance between platform and user? The Court answered no, stressing, however, that such dominant position is a factor to be considered in assessing the validity of the given consent, the burden of proof lying with the platform.
  • When third-party websites or apps collect “sensitive” data[5] from users who visit and/or enter their information into said websites or apps (e.g., by placing an online order), may that data be considered as “manifestly made public” by the data subject[6]? The Court answered no, emphasizing that such an authorization would occur only when the data subject has explicitly made the choice to make their data publicly accessible to an unlimited number of persons.

3. Final remarks

The CJEU’s decision not only draws important lines in the sand as to how online platforms can process data in Europe, but also confirms the trend of the ever-increasing interplay between two apparently separate sets of legislation: competition and data protection law. In an era where data is considered to be “the new oil”, it becomes increasingly vital that online operators face legal issues with an interdisciplinary and integrated approach, thus guaranteeing full compliance to the applicable laws and increasing legal certainty.

[1] Off-Facebook data are information collected from visits to third-party webpages and apps, as well as data concerning the use of other services belonging to the Meta group, such as Instagram and WhatsApp.

[2] Article 6(1)(b) of the GDPR.

[3] Article 6(1)(f) of the GDPR

[4] Under article 4(11) of the GDPR.

[5] “Personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, (…) genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person’s sex life or sexual orientation”, as defined by article 9(1) of the GDPR.

[6] Thus falling into the exception of article 9(2)(e) of the GDPR.


At the meeting of June 26, 2023, the Administrative Committee of the Unified Patent Court has decided to set up the third seat of the Central Division in Milan.

Importantly, the timeline for the new seat to be operational has also been agreed, with the Milan seat expected to be up and running in one year, to allow for all formalities under the agreement to be complied with.

This is the press release issued by the Italian Ministry of Foreign Affairs  immediately after the meeting of the Administrative Committee:

The Administrative Committee of the Unified Patent Court today unanimously decided to proceed with the establishment of the Milan section of the Central Division of the UPC.

“It is a significant result for Italy”, said Deputy Prime Minister and Foreign Minister Tajani. “A result that confirms the central role of Italy, Milan and Lombardy in the promotion and protection of innovation and intellectual property in Europe and in the world”.

The decision of the Administrative Committee successfully completes the long and complex diplomatic work carried out jointly by the Italian Government through the Ministry of Foreign Affairs, in close collaboration with the Ministry of Justice, the Ministry of Enterprise and Made in Italy and in agreement with the Lombardy Region and the Municipality of Milan.

The Milan seat will judge patent disputes in crucial sectors for Europe and for Italy such as the pharmaceutical, phytosanitary, agri-food and fashion sectors.

The Government is already working to make the Milan seat fully operational within the time frame set by the Agreement (12 months pursuant to art.87.3).

Class A of the International Patent Classification, which will be under the competence of the Milan seat, named “human necessities”, covers technologies in numerous industrial fields, such as the pharmaceutical and medical device industries, the agricultural industry, the food industry, the tobacco industry, the home appliances industry, the clothing industry, the wood and furniture industry, the fire-fighting industry, the sports and gaming industry. A detailed list is available here.

With a first instance ruling issued on 20 April 2023 (available on sistemaproprietaintellettuale.it), the Court of Florence has ordered Condé Nast (editor of GQ Italy) to pay EUR 50,000 plus interest as compensation for damages arising from the unauthorized use of the image of the David by Michelangelo.

The case, which was brought by the Italian Minister of Cultural Heritage on behalf of the Galleria dell’Accademia, i.e. the museum in Florence which holds the David on display, arose after a series of unfruitful negotiations between Condé Nast and the museum were followed by the unauthorized publication on the front cover of GQ Italy of an image of world-renowned Italian male model Pietro Boselli, juxtaposed to that of the David by Michelangelo. The graphic result, obtained by using a lenticular print in a manner that was specifically opposed by the museum, can be seen below:

The decision, which confirmed a previous PI order, is based on the Italian Cultural Heritage and Landscape Code (Legislative Decree no. 42 of 22 January 2004, hereinafter “Cultural Heritage Code”), which under Article 106 et seq. i.a. provides that territorial bodies and cultural institutions may request concession fees to allow the use and reproduction of cultural property they have on consignment and in any event assess whether such uses are compatible with the cultural purpose of such works of art (earlier this year, the Court of Venice had relied on the same provision to issue an injunction with cross-border effect against Ravensburger – we have commented the order here).

Interestingly, by applying the Cultural Heritage Code, the Court of Florence also recognized personality rights – more specifically, image rights – to the work of art by Michelangelo and to works of art in general, which Italian museums would be entitled to enforce for the cultural property they have on consignment.

Quoting the reasoning of the Court (emphasis added):

“As for the image rights of a physical person, which is provided for by Article 10 of the Civil Code, likewise it is possible to also envision image rights over a work of art. Such rights derive from specific legal provisions, i.e. from Articles 107 and 108 of the Cultural Heritage Code, which constitute a direct application of Article 9 of the Constitution […].

The Supreme Court has already acknowledged the possibility to recognize image rights for entities that lack a physical personality […], as well as for entities that lack legal personality, such as unregistered associations […]. In its case law, the Supreme Court has identified the owner of the right to use the good and the owner of the right to exploit it as the entities entitled to invoke protection of the image rights of the good itself […].

In the case at issue [the defendant] has violated the provisions of the Cultural Heritage Code, which, as said, protect the image rights of the work of art and, specifically, has infringed the prescriptions of Articles 107 and 108 thereof.

[…] From a teleological point of view, relevance must be also attributed to the exemption from the authorisation requirement provided under the peremptory conditions set out by Article 108 paragraph 3-bis. The peremptory nature of such exemption hypotheses confirms, on the contrary, the existence in general in the Italian legal system of image rights for works of art, which are guaranteed through the prohibition to reproduce the work of art without authorisation.

Clearly, upstream of the exemptions is an assessment – which the legislator has carried out in the abstract – of the compatibility of certain methods of using images with the ultimate aim of protection of the cultural heritage […].

The rationale of the provisions under review clearly outlines a protection regime, which also involves a non-material aspect pertaining to the reproduction of the cultural asset. These aspects constitute the right to the image of the cultural asset. From the teleological interpretation of the individual rules emerges what is then confirmed in their systematic interpretation and, that is, that the pursuit of the purposes identified by the legislation for the protection of cultural assets cannot disregard the protection of their image.”

In light of the above reasoning, the Court ordered Condé Nast to pay:

  • EUR 20,000 as compensation for material damages, i.e. an amount equal to the standard concession fee provided by the internal regulation of the Galleria dell’Accademia museum for use of particularly important works of art such as the David;
  • EUR 30,000 as compensation for non-material damages deriving from the juxtaposition, by means of the lenticular print, of the image of the David with that of the Italian model Pietro Boselli, thus “degrading, obfuscating, mortifying, humiliating the high symbolic and identitary value of the work of art and subordinating it to advertising and editorial promotion purposes”;

It remains to be seen whether the above reasoning by the Court of Florence will be used to further expand the scope of protection warranted to works of art by the Cultural Heritage Code, e.g. to extend it to situations which do not entail a reproduction of the work of art, but may nonetheless be detrimental to the reputation and dignity of the work of art.