Rapporto esplicativo

informativa. Tali esigenze non si applicano invece se la misura di deviazione del traffico ordinata con- formemente all’articolo 15a ODIn riguarda unicamente l’analisi del traffico.

Art. 21 Doveri d’informazione

I centri di registrazione devono segnalare senza indugio al gestore del registro i nomi di dominio, ri- chiesti o registrati, aventi un carattere palesemente illecito o contrario all’ordine pubblico che essi hanno identificato o che sono stati loro segnalati («non appena ne vengono a conoscenza» [art. 21 cpv. 1 ODIn]). Inversamente ciò significa, analogamente a quanto previsto riguardo al gestore del regi- stro (art. 10 cpv. 2 ODIn), che i centri di registrazione non sottostanno ad alcun obbligo generale di sorveglianza o di controllo sistematico dell’uso che viene fatto dei nomi di dominio che essi registrano o hanno registrato e non sono tenuti in nessun caso a indagare attivamente fatti o circostanze che de- notano attività illecite commesse per mezzo di nomi di dominio.

Il fatto di non aver previsto espressamente l’assenza di un obbligo generale di sorveglianza nell’ODIn rappresenta un certo rischio a livello giuridico per i centri di registrazione, tenuto conto in particolare di alcune decisioni prese dai tribunali tedeschi che potrebbero essere interpretate come se imponessero degli obblighi di sorveglianza ai centri di registrazione sulla base della «Störerhaftung». Occorre quindi sancire esplicitamente all’articolo 21 capoverso 4 ODIn l’assenza di qualsiasi obbligo generale, per i centri di registrazione, di sorveglianza o di controllo sistematico dell’uso che viene fatto dei nomi di do- minio. L’articolo 23 ODIn concernente l’obbligo di collaborare dev’essere interpretato alla luce di que- sto nuovo articolo 21 capoverso 4 ODIn: nessun’autorità può infatti imporre un qualsiasi obbligo gene- rale di sorveglianza ai centri di registrazione.

Art. 25 Condizioni generali di attribuzione

I cibercriminali non esitano a chiedere l’attribuzione di centinaia di nomi di dominio, in particolare che terminano in «.ch» e che sono destinati unicamente a fini abusivi come la creazione di finti siti com- merciali (fake webshops) volti a raccogliere dati degli internauti (carta di credito, conti bancari, …).

Può trattarsi di nomi di dominio totalmente nuovi, ma anche di nomi di dominio che sono stati attivi per un certo periodo e a cui i loro precedenti titolari hanno rinunciato (recupero di nomi non più utilizzati). Le autorità svizzere attive nella lotta contro la cibercriminalità sono generalmente in grado di identifi- care rapidamente i siti falsi e di adottare, in collaborazione con i gestori dei registri «.ch» e «.swiss» e sulla base degli articoli 15 capoverso 3 e 16 capoverso 3 ODIn, delle misure immediate di blocco e/o di revoca dei nomi di dominio in questione. Tuttavia, resta il fatto che i finti siti commerciali che ricor- rono a nomi di dominio «svizzeri» possono operare in modo fraudolento nei pochi giorni che intercor- rono tra la loro messa in servizio e le misure di blocco adottate nei loro confronti. Per i cibercriminali questo è sufficiente per guadagnare soldi e arrecare agli utenti danni talvolta ingenti.

Lo sfruttamento di finti siti web durante quei pochi giorni può essere combattuto sul piano dei nomi di dominio con un nuovo strumento di lotta contro la cibercriminalità che ha dato buoni risultati in partico- lare nell’ambito del ccTLD danese «.dk». Il sistema consiste nel differire l’uso possibile dei nomi di do- minio («deferred delegation»), i quali devono in linea di principio essere attribuiti se le condizioni per farlo sono soddisfatte a priori ma vi è il rischio che questi nomi servano a un fine o a una modalità ille- cita.

Questo nuovo strumento si fonda sull’obbligo per i richiedenti di nomi di dominio di identificarsi corret- tamente (cfr. art. 29 cpv. 1) e sull’obbligo corrispondente per i gestori di registri e i centri di registra- zione di controllare la fondatezza di tale identificazione prima di attribuire dei nomi di dominio (art. 17 cpv. 2 lett. d e 24 cpv. 2 lett. b n. 2 e cpv. 3 ODIn). Va da sé che i cibercriminali che richiedono nomi di dominio per fini illeciti lo fanno quasi esclusivamente sotto falsa identità, ciò che conduce alla revoca del nome di dominio in questione (cfr. art. 30 cpv. 1 lett. c ODIn).