Digital Markets Act: l’UE chiarisce le regole per individuare i gatekeeper

Il Digital Markets Act (Regolamento UE 2022/1925) è l’atto normativo con cui l’Unione Europea si propone di regolamentare i cosiddetti “gatekeepers”, ovvero quei soggetti che forniscono servizi informatici “di base” che utilizziamo per accedere ad altri servizi online e offline (come sistemi operativi, browser, social network, motori di ricerca, etc.) e che fanno da tramite fra operatori commerciali e utenti / consumatori finali.

Il mercato dell’informatica, specie nella sua declinazione online, presenta infatti delle caratteristiche tali da mettere a repentaglio la concorrenza e i consumatori, perché tende al monopolio (richiedendo queste “piattaforme di base” investimenti enormi nella fase iniziale mentre consentono poi una vita sostanzialmente di rendita ai pochi operatori sopravvissuti alla fase di “selezione naturale”) e spesso consente di sfruttare il monopolio ottenuto per dominare campi affini, utilizzando proprio il servizio “di base” (e la sua base di utenti) come trampolino di lancio per il servizio contiguo che si vuole offrire (pensiamo al caso di Google Shopping, lanciato dal colosso di Mountain View per il tramite del suo motore di ricerca).

Questi “gatekeeper” sono quindi i destinatari di una innovativa serie di misure normative varate dall’Unione Europea ed applicabili dallo scorso 2 maggio, in un ambizioso piano di riequilibrio del mercato e di tutela degli utenti messo in piedi dal legislatore europeo.

Proprio la portata innovativa della normativa, che crea nuove figure e inediti obblighi, ha spinto l’UE a diffondere dei chiarimenti sull’applicazione del Regolamento, sotto forma di Q&A, per indirizzare gli utenti su questi nuovi diritti e i gatekeepers nella fase che ora si apre di loro “notifica” (se superano le soglie di cui al Regolamento) alla Commissione UE e di successiva “convalida” da parte della Commissione (entro il 23 settembre 2023). A quel punto i gatekeepers così individuati avranno fino al 6 marzo 2024 per adeguarsi alle disposizioni di cui al Regolamento.

Le FAQ diffuse dall’UE

Nelle FAQ diffuse dalla Commissione viene innanzitutto definito che cosa è un “gatekeeper”, un fornitore di servizi che funge da significativo punto di accesso per gli utenti commerciali per raggiungere i loro utenti finali.

Un gatekeeper, per essere definito tale secondo il Regolamento DMA, deve godere (o prevedibilmente godere in un prossimo futuro) di una posizione sul mercato consolidata e duratura.

Solo così il “gatekeeper” assume quei tratti caratteristici (e pericolosi) di potere assoluto sulle imprese che per raggiungere i loro clienti devono giocoforza rivolgersi a loro, consentendogli di agire quasi come “legislatori privati” e di fungere da colli di bottiglia tra imprese e clienti finali.

Le soglie dimensionali per essere designati quali gatekeeper

Quindi le FAQ precisano quali sono le soglie dimensionali per essere designati quali gatekeeper ai sensi del Regolamento DMA, ovvero:

• Dimensione interna: fatturato annuo all’interno dello Spazio Economico Europeo (SEE) di almeno 7,5 miliardi di Euro l’anno (negli ultimi tre anni), o capitalizzazione di mercato media di almeno 75 miliardi di Euro nell’ultimo anno; questo primo requisito è ancorato però all’ulteriore condizione della fornitura del servizio di piattaforma di base in almeno tre stati membri. Se a prima vista questo requisito sembra di facile inquadramento, non è in realtà così agevole per i fornitori di servizi “imputare” con precisione ad un servizio di piattaforma di base un risultato economico (pensiamo ad un’azienda che svolge, come spesso capita, vari diversi ruoli contemporaneamente e spesso sulla stessa piattaforma, come Amazon che è sia vendor che fornitore della piattaforma di intermediazione su cui opera direttamente).
• Controllo del “gate”: numero di utenti UE attivi oltre i 45 milioni e numero di imprese UE attive di oltre 10.000. Questa condizione è ancor più difficile da inquadrare, specie per la difficoltà di definire i concetti di “utenti finali attivi” e “utenti commerciali attivi”. Il Regolamento dedica un apposito allegato ai criteri di calcolo di questi indicatori, preoccupandosi di ricordare che il conteggio degli utenti attivi non possa trasformarsi da parte dei gatekeeper in un tracciamento degli utenti con conseguente illecito trattamento dei dati.
• Posizione consolidata e duratura: la “posizione” si presume raggiunta se negli ultimi tre esercizi finanziari l’azienda ha soddisfatto i precedenti due requisiti.

Quel che si raggiunge con l’esame dei criteri appena esposti è solo una “presunzione” che un soggetto sia un gatekeeper, ma le aziende potranno contestare questo risultato adducendo circostanze eccezionali che possano giustificare l’esclusione dalla categoria.

Oltre a questo, la Commissione potrà designare come gatekeeper anche soggetti “emergenti”, ovvero quelli che sono “sulla buona strada” per diventare gatekeeper ed ai quali applicare una parte degli obblighi destinati ai gatekeeper consolidati. Questa disciplina è senz’altro benvenuta perché garantisce flessibilità allo strumento, ma rischia al contempo di rendere poco prevedibile l’applicazione del Regolamento.

Le conseguenze della qualifica di gatekeeper

Il regolamento introduce una serie di obblighi in capo ai gatekeeper, che vengono riassunti dalle FAQ diffuse dalla Commissione come “responsabilità di comportarsi in modo da garantire un ambiente online aperto, equo per le imprese e i consumatori e aperto all’innovazione da parte di tutti, rispettando gli obblighi specifici previsti dalla normativa.”

I principali obblighi dei gatekeeper

I principali obblighi dei gatekeeper vengono poi riassunti e “semplificati” in una serie di cose da fare e da non fare, ad esempio tra le cose da fare (molte delle quali benvenute perché cambieranno, in meglio, l’esperienza online di noi utenti).

Le cose “da fare”

Tra le cose da fare le FAQ ricordano:

• consentire agli utenti finali di disinstallare facilmente app preinstallate o modificare le impostazioni predefinite su sistemi operativi, assistenti virtuali o browser che li indirizzano verso i prodotti e i servizi del gatekeeper e forniscono schermate di scelta per i servizi chiave;
• consentire agli utenti finali di installare app o app store di terze parti che utilizzano o interagiscono con il sistema operativo del gatekeeper;
• consentire agli utenti finali di annullare l’iscrizione ai servizi della piattaforma principale del gatekeeper con la stessa facilità con cui si abbonano a essi;
• consentire a terzi di interagire con i servizi del gatekeeper;
• fornire alle aziende che pubblicizzano sulla loro piattaforma l’accesso agli strumenti di misurazione delle prestazioni del gatekeeper e alle informazioni necessarie agli inserzionisti e agli editori per effettuare la propria verifica indipendente dei loro annunci ospitati dal gatekeeper;
• consentire agli utenti business di promuovere le proprie offerte e concludere contratti con i propri clienti al di fuori della piattaforma del gatekeeper;
• fornire agli utenti aziendali l’accesso ai dati generati dalle loro attività sulla piattaforma del gatekeeper.

Le cose “da non fare”

Tra le cose da non fare invece le FAQ elencano:

• il divieto di utilizzare i dati degli utenti aziendali quando i gatekeeper competono con loro sulla propria piattaforma;
• il divieto di classificare i propri prodotti o servizi in modo più favorevole rispetto a quelli di terzi;
• il divieto di richiedere agli sviluppatori di app di utilizzare determinati servizi del gatekeeper (come sistemi di pagamento o fornitori di identità) per apparire negli app store del gatekeeper;
• il divieto di tracciare gli utenti finali al di fuori del servizio della piattaforma principale dei gatekeeper ai fini di proporre loro pubblicità mirata, salvo l’utente abbia concesso un consenso effettivo.

Le conseguenze in tema di interoperabilità

Le FAQ diffuse dalla Commissione si diffondono poi sull’auspicato effetto positivo che l’entrata in vigore del DMA dovrebbe comportare in tema di interoperabilità nei servizi di messaggistica.

Il DMA include infatti un vero e proprio obbligo di interoperabilità per i gatekeeper che forniscono servizi di messaggeria relativi alle piattaforme di base, i cosiddetti NIICS (Number Independent Interpersonal Communications Services) .

Tale obbligo si applicherà su richiesta di fornitori terzi così da consentire agli utenti di “messaggiare” anche da e verso servizi terzi che ne facciano richiesta, così da ridurre l’effetto rete che garantisce una posizione dominante sul mercato ai vari servizi come Whatsapp, Messenger, etc, riducendo la spinta verso l’innovazione.

Per tale obbligo sono previsti vari step di implementazione. Fin da subito dovrà essere garantita dai gatekeeper l’interoperabilità di messaggi diretti (tra due utenti), fra due anni dovrà essere garantita la migrazione dei messaggi di gruppo e dovremo infine attendere quattro anni (dalla designazione del soggetto quale gatekeeper) per l’interoperabilità di chiamate audio/video.

Anche qui la normativa si preoccupa di pretendere che l’interoperabilità non possa comportare una diminuzione della sicurezza (es. crittografia) del servizio offerto dal gatekeeper, anche se questo percorso sembra irto di ostacoli da un punto di vista tecnico, anche per una questione di qualità del servizio che transita da un applicativo all’altro.

Ad esempio, il sistema di messaggistica presente su iOS è tristemente celebre per il gretto trattamento riservato agli utenti Android che, pur potendo usufruire del servizio, vedono i loro messaggi colorati in verde per distinguerli da quelli che vengono scambiati fra dispositivi Apple, in blu, e possono fruire di una serie limitata di funzioni (es. emoticon, contenuti multimediali, etc.).

Prospettive

Il DMA è sicuramente un esperimento interessante da parte del legislatore europeo, con la creazione di una categoria che finora era sfuggita alle definizioni profittando quindi del vuoto normativo che la circondava che finalmente si vede

Il problema sta però nella definizione stessa di questa categoria, che non può risultare solo dai numeri di incassi e di utenti, dipendendo invece da numerosi fattori come ad esempio il mercato di riferimento, con il rischio quindi di includere soggetti che non hanno una posizione di predominio (finendo per comprometterne la competitività con appesantimenti burocratici) e di escludere soggetti che godono di una rendita di posizione ma senza farla trasparire facendo il possibile anzi per rimanere “sotto soglia”.

La fase di selezione dei gatekeeper sarà quindi cruciale e la Commissione dovrà saper fare buon uso delle eccezioni alla qualificazione fondata sui numeri prevista dalla normativa, sia ora che nello sviluppo diacronico dell’applicazione della normativa.

Altra preoccupazione è quella che contraddistingue ogni nuova iniziativa regolatoria nel settore delle nuove tecnologie da parte dell’UE, ovvero il fatto che il primato (solitario) dell’Unione è limitato alla regolamentazione del settore tecnologico, mentre lo sviluppo di queste tecnologie di fatto avviene all’estero, senza che finora si stiano vedendo gli effetti di attrazione di investimenti in un mercato maturo e normato con equilibrio e trasparenza, che le normative UE avrebbero dovuto contribuire a creare.

Viene da pensare che questi sforzi normativi, come alcuni detrattori sostengono, non aiutino la concorrenza delle imprese europee ma anzi contribuiscano a rafforzare i poli statunitense e cinese che consentono di sperimentare in un ambiente di maggiore libertà tecnologie nuove, per poi preoccuparsi del raggiungimento della “maturità” richiesta dalla normativa UE in un secondo periodo e per entrare e rimanere sul nostro mercato (sempre finché questo genera attrattiva).