Il Digital Services Act (Dsa) è pienamente applicabile dal 17 febbraio e gli scenari, già cambiati per le big tech, cambiano anche per le aziende di digitali più “piccole”, anche italiane. Vediamo come e a chi.
DSA: a chi si applica e cosa prevede
Il Digital Service Act si applica a Intermediari di servizi online, hosting providers e piattaforme online; queste ultime sono divise tra grandi e piccole.
Le piattaforme online di grandi dimensioni sono, a loro volta, suddivise in VLOP (Very Online Large Platform) e VLOSE (Very Large Online Search Engines).
VLOP e le VLOSE sono state individuate, nel febbraio 2023, con provvedimento della Commissione europea, secondo quanto prevede il DSA ed hanno, conseguentemente, impiegato tutto l’anno per adeguarsi.
Il punto è che secondo un report della Commissione, “nell’UE esistono più di 10.000 piattaforme, di cui oltre il 90% sono piccole e medie imprese” a cui il DSA andrà applicato.
La Commissione si propone l’obiettivo di “garantire che le piccole piattaforme online non siano colpite in modo sproporzionato, pur rimanendo responsabili” affermando anche che “le piccole imprese e le microimprese sono esentate dagli obblighi più costosi, ma sono libere di applicare le migliori pratiche, per il loro vantaggio competitivo”: ma sono molti gli operatori del settore che cercano di “sottrarsi” all’applicazione del DSA, per varie ragioni (non ultimi i costi determinati dagli obblighi di trasparenza).
Obblighi DSA: dal report di trasparenza al rispetto dei diritti fondamentali
Gli obblighi sono molteplici, vediamoli uno per uno, dopo averli elencati: report di trasparenza, rispetto dei diritti fondamentali nelle T&C, obbligo di cooperazione con le Authorities nazionali, adesione ai punti di contatto e a organismi di mediazione, avviso, azione e obbligo di fornire informazioni agli utenti, report sulle attività illegali, previsione di un meccanismo di reclamo e ricorso e risoluzione extragiudiziale delle controversie, impiego di segnalatori attendibili, adozione di misure contro le notifiche e le contro-notifiche abusive, obblighi speciali per marketplace, ad es. verifica delle credenziali di fornitori terzi (“KYBC”, ossia Know your business partner), conformità fin dalla progettazione, controlli casuali, Divieto di pubblicità mirata ai minori e basata su caratteristiche speciali degli utenti, obbligo di trasparenza sul sistema di raccomandazione dei contenuti, divieto di utilizzo dei dark patterns.
Solo la mole degli obblighi fa capire le ragioni per cui anche aziende strutturate debbano preoccuparsi della compliance; figurarsi i “piccoli”.
Va detto, però, che molti degli obblighi previsti sono sacrosanti e non dovrebbero spaventare nessuno, specie perché dovrebbero già essere stati introiettati da tutti gli operatori.
Tra i più semplici da rispettare, ci sono le T&C (termini e condizioni) comprensibili e non vessatorie per il consumatore, il divieto di impiego di dark patterns e il divieto di targettizzare la pubblicità verso minori o fasce deboli della popolazione.
Anche l’obbligo di rispettare i provvedimenti dell’Autorità indipendente preposta era, di fatto, già presente. E conforme al diritto azionale e dell’Unione; nulla di nuovo, quindi.
Le difficoltà operative: dal modello KYBC all’adesione agli organismi di mediazione
Tra le questioni più complesse c’è la previsione di modelli di reclamo interni e la necessaria adesione a organismi di mediazione per la risoluzione stragiudiziale delle controversie: di fatto un obbligo di rispettare le condizioni previste dal servizio proposto senza costringere l’utente a rivolgersi a un tribunale.
Il senso è rendere economico e di facile accesso il reclamo all’utente, senza necessità di esborsi rilevanti per adire la giustizia civile ordinaria.
Il sistema di trasparenza della raccomandazione dei contenuti spaventa molti operatori per un motivo molto semplice sul piano del mercato, ma di difficile verificazione lato utente: la piattaforma deve dichiarare in modo chiaro e trasparente quali sono i criteri in base ai quali un contenuto è “visibile” all’utente e per quali ragioni determinati contenuti sono “più visibili” di altri.
Questo implica dichiarare, di fatto, quale budget è necessario per ottenere un determinato risultato di visibilità online su ogni piattaforma o quali tipi di contenuti la piattaforma predilige per proprie ragioni commerciali.
Il modello KYBC
Il modello KYBC è più complesso: e prevede, secondo il sito ufficiale “Il protocollo KYBC impone oneri minimi o nulli alle attività legittime, tutte facilmente identificabili. La creazione di un insieme definito di intermediari, responsabili della raccolta dei dati per confermare l’identità delle realtà con cui stanno contrattando direttamente – nonché la verifica di tali dati – dovrebbe essere facile da implementare come parte del processo di registrazione e delle successive verifiche periodiche. Nel caso in cui i dati identificativi risultassero falsi, fuorvianti o comunque non validi, l’intermediario dovrà interrompere la fornitura dei propri servizi al rispettivo cliente”.
In più, il modello deve essere impostato fin dalla progettazione, ossia by design, per ricordare la formula del GDPR.
DSA e contenuti illegali: l’obbligo di segnalazione e repressione
Botte da orbi, infine, per quanto riguarda l’obbligo di segnalazione e repressione dei contenuti illegali e dei report di trasparenza.
I contenuti illegali sono da sempre una piaga per ogni internet provider e il DSA impone loro di fare da “poliziotti della rete”, adottando metodi di individuazione, segnalazione e contrasto.
Ovviamente la valutazione sull’illegalità del contenuto è un tema delicatissimo: per quanto gli algoritmi possono essere addestrati bene, si tratta, a tutti gli effetti, di censura preventiva a fini di precauzione.
Il tema dei report di trasparenza è chiarito dal Considerando 49 del DSA: “(49) Per garantire un adeguato livello di trasparenza e assunzione della responsabilità, i prestatori di servizi intermediari dovrebbero rendere pubblica una relazione annuale in un formato leggibile elettronicamente, conformemente alle prescrizioni armonizzate contenute nel presente regolamento, in merito alla moderazione dei contenuti da loro intrapresa, comprese le misure adottate a seguito dell’applicazione e dell’esecuzione delle loro condizioni generali. Al fine di evitare oneri sproporzionati, tali obblighi di comunicazione trasparente non dovrebbero tuttavia applicarsi ai prestatori che sono microimprese o piccole imprese quali definite nella raccomandazione 2003/361/CE della Commissione e che non sono piattaforme online di dimensioni molto grandi ai sensi del presente regolamento”.
Il ruolo del segnalatore attendibile nel DSA
Tematica delicatissima e di difficile attuazione è anche quella relativa ai segnalatori attendibili, ci è dedicato l’articolo 21 del DSA, da leggere in uno con i Considerando 61 e 62.
In particolare, la prima parte del Considerando61 è illuminante sul tema: ““(61) È possibile contrastare i contenuti illegali in modo più rapido e affidabile laddove i fornitori di piattaforme online adottino le misure necessarie per provvedere affinché alle segnalazioni presentate dai segnalatori attendibili, che agiscono entro un ambito di competenza designato, attraverso i meccanismi di notifica e segnalazione prescritti dal presente regolamento sia accordato un trattamento prioritario, fatto salvo l’obbligo di trattare tutte le segnalazioni presentate nel quadro di tali meccanismi e di decidere in merito ad esse in modo tempestivo, diligente e non arbitrario.
Tale qualifica di segnalatore attendibile dovrebbe essere conferita dal coordinatore dei servizi digitali dello Stato membro in cui il richiedente è stabilito e dovrebbe essere riconosciuta da tutti i fornitori di piattaforme online che rientrano nell’ambito di applicazione del presente regolamento. Tale qualifica di segnalatore attendibile dovrebbe essere riconosciuta soltanto a enti, e non a persone, che hanno dimostrato, tra l’altro, di disporre di capacità e competenze particolari nella lotta ai contenuti illegali e di svolgere le proprie attività in modo diligente, accurato e obiettivo”.
17 febbraio 2024: una data spartiacque per il mercato dei servizi online
Chi scrive ha già ampiamente illustrato le ragioni per cui il diritto servizi digitali sia, ormai, una matria a sé stante, in uno con la data protection[1].
Il 17 febbraio 2024 è una nuova data spartiacque per il mercato dei servizi online, con un “prima” ed un “dopo”, indiscutibilmente individuati.
Ancora una volta, spetterà agli operatori del settore far funzionare il meccanismo che, pur scritto bene, deve essere messo “a terra”.
Note
[1] M. Borgobello, Manuale di Diritto della protezione dei dati personali, dei servizi e dei mercati digitali, Milano, 2023.
