Il Garante per la protezione dei dati personali ha chiuso l'istruttoria sul caso Peppermint ritenendo illecita l'attività svolta dalla società.

Esiste infatti una direttiva europea che vieta ai privati la possibilità di effettuare monitoraggi "ossia trattamenti di dati massivi, capillari e prolungati nei riguardi di un numero elevato di soggetti".

Il Garante inoltre ha confermato la decisione dei giudici del Tribunale di Roma, confermando che "i fornitori di servizi di comunicazione elettronica, allo stato della legislazione vigente, non possono comunicare i nominativi degli interessati ritenuti responsabili di violazioni del diritto d'autore".

I dati in possesso dei provider, insomma, devono essere consegnati solo in caso di "indagini penali o di tutela della pubblica sicurezza e della difesa nazionale", conformemente a quanto stabilito dalla Corte di giustizia europea chiamata a pronunciarsi su una questione simile.

Ancora, è interessante notare come il Garante abbia chiarito che la condivisione di file nei circuiti peer to peer non costituisce "comunicazione al pubblico", visto che il numero di utenti cui è accessibile non è infinito o indeterminabile, né sono presenti le caratteristiche di simultaneità e unicità della trasmissione che la qualificherebbero come "comunicazione al pubblico".

Il Garante ha individuato un mancato rispetto del principio di finalità: "Le reti p2p sono finalizzate allo scambio fra utenti di dati e file per scopi sostanzialmente personali, mentre il software Fsm (quello usato da Peppermint, ndr) non è destinato allo scambio di dati, ma al monitoraggio ed alla ricerca di dati, che utenti di reti peer to peer mettono a disposizione a terzi".

Pertanto i dati condivisi dagli utenti non possono essere utilizzati da Peppermint per le proprie finalità (ossia monitorare gli utenti stessi per chiedere un risarcimento), ma solo per quelle della rete peer to peer: condividere.

Anche la trasparenza e la correttezza sono state ignorate da Peppermint e dalla società di cui si è servita per i suoi scopi: gli utenti non sono stati avvisati preliminarmente della raccolta di dati, com'è invece loro diritto.

Per tutti questi motivi i dati raccolti non possono più essere impiegati in alcun modo, e ne è stata disposta la cancellazione entro la data limite del 31 marzo.

Paolo Landi di Adiconsum, una delle prime associazioni a denunciare il caso Peppermint al Garante, ha commentato: "Giustizia è stata fatta, ma rimangono ancora degli interrogativi. Chi risarcisce coloro i quali per paura hanno risposto alle lettere ricevute dai legali pagando quanto richiesto? Chi risarcisce i danni ai consumatori che sono stati controllati? Come si concluderanno le cause ancora in corso?"