Digital Services Act: questioni tecnico-giuridiche ancora aperte sulla sua applicazione

È finalmente stato pubblicato il 27 ottobre, in Gazzetta Ufficiale Europea, il testo del c.d. Digital Services Act (“DSA”), per la precisione il Regolamento (UE) 2022/2065 “relativo a un mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE (regolamento sui servizi digitali)”.

Anticipato dal connesso Digital Markets Act (pubblicato in Gazzetta il 12 ottobre), completa il pacchetto dedicato dal legislatore sovranazionale alla rinnovata e aggiornata disciplina dei provider online, una sorta di “Digital Platforms Act” complessivo. Qui tratteremo solo del Digital Services Act, non del DMA diretto ai c.d. gatekeepers.

La prima bozza del Digital Services Act era in circolazione dal 2020 ed è stata il frutto di numerosi studi, modifiche, integrazioni, negoziazioni tra i vari stakeholder coinvolti, trovando infine applicazione quasi integrale dal 17 febbraio 2024, salvo alcuni aspetti (inerenti le piattaforme dei big player e l’attività della Commissione UE) che avranno un’applicazione anticipata da novembre 2022.

Gli obiettivi dichiarati? Creare uno spazio digitale più sicuro in cui siano tutelati i diritti fondamentali di tutti gli utenti dei servizi digitali, oltre a creare condizioni di parità per promuovere l’innovazione, la crescita e la competitività, sia nel mercato unico europeo che a livello mondiale. A livello mondiale perché – similmente a quanto già tentato con il GDPR – si vuole ambire sia a regolamentare soggetti extra-UE/SEE sulla base del criterio dell’offerta di servizi a destinatari/utenti ubicati nel territorio dell’Unione, sia a innalzare uno standard per analoghe iniziative estere (c.d. “Brussels effect”). Stessa visione sposata con il testo del discusso AI Act.

Si tratta di ambizioni elevate, l’edificazione di un regime complesso che va a incastrarsi con altrettanto complesse discipline e che terrà prevedibilmente molto impegnate le corti, nazionali e non, per chiarire la sua applicazione. Si vuole qui tentare una serie di prime indicazioni utili per orientare l’operatore, per offrire una prima mappa di punti di attenzione, senza alcuna pretesa di esaustività.

Premettiamo che il bersaglio della normativa sono i servizi digitali, come recita il titolo, da intendere come “un’ampia categoria di servizi online, dai semplici siti web ai servizi di infrastruttura Internet e piattaforme online. Le norme specificate riguardano principalmente gli intermediari e le piattaforme online. Ad esempio, marketplace online, social network, piattaforme di condivisione di contenuti, app store, piattaforme di viaggi e alloggi online”. Così dichiara la Commissione UE nella sua presentazione del provvedimento.

All’art. 1.2 DSA troviamo la bussola dell’intero provvedimento, cioè l’oggetto tripartito del DSA:

1. “un quadro per l’esenzione condizionata dalla responsabilità dei prestatori di servizi intermediari;
2. norme relative a specifici obblighi in materia di dovere di diligenza adattati a determinate categorie di prestatori di servizi intermediari;
3. norme sull’attuazione e sull’esecuzione del presente regolamento, anche per quanto riguarda la cooperazione e il coordinamento tra le autorità competenti”.

Digital Markets Act, cosa dice la nuova legge: ecco l’impatto sui mercati digitali

La mappa (del Digital Services Act) è il territorio

Con queste tre direttrici in mente si dovranno leggere le successive disposizioni. Il testo si compone di ben 156 Considerando (che vanno oltre il mero accompagnamento dell’articolato) e 93 articoli. Una mole che può spiazzare per la sua abbondanza, una prima operazione utile può essere il partire proprio dal suo design, che possiamo ricapitolare come segue:

• CAPO I – Disposizioni generali: ove troviamo l’oggetto, l’ambito di applicazione, le definizioni;
• CAPO II – Responsabilità dei prestatori di servizi intermediari: ove troviamo la disciplina dell’esonero di responsabilità per i provider intermediari (mere conduit, caching e hosting) “importata” e integrata rispetto alla precedente Direttiva 2000/31/UE sul commercio elettronico, ad es. disciplinando gli ordini delle autorità sul contrasto ai contenuti illegali;
• CAPO III – Obblighi in materia di dovere di diligenza per un ambiente online trasparente e sicuro: si tratta dei veri e propri obblighi introdotti dal DSA a carico dei provider, suddivisi ulteriormente per sezioni/livelli:

1. Sez. 1 – disposizioni basilari applicabili a tutti i prestatori di servizi intermediari: punti di contatto, rappresentanti legali, termini e condizioni, trasparenza;
2. Sez. 2 – quelle applicabili ai provider di hosting: “notice-and-action”, notifiche di reati;
3. Sez. 3 – quelle applicabili alle piattaforme online: gestione dei reclami, ADR, segnalatori attendibili, misure contro gli abusi, dark pattern, advertising, sistemi di raccomandazione c.d. “ranking”, protezione dei minori;
4. Sez. 4 – quelle dirette alle piattaforme online consentono ai consumatori di concludere contratti a distanza con gli operatori commerciali: tracking dei trader, compliance by design, informazione sui servizi illegali;
5. Sez. 5 – quelle per le sole piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi: approccio risk-based per i c.d. rischi sistemici (area tutta da esplorare e che pare prendere le mosse dalle valutazioni degli operatori finanziari e bancari, come approccio), crisis management, audit indipendenti, sistemi di raccomandazione, trasparenza dell’advertising, accesso ai dati, la nuova figura del c.d. compliance office/officer Digital Services Act, relazioni di trasparenza;
6. Sez. 6 – altre disposizioni sulla diligenza dei provider: standard volontari, codici di condotta (anche per la pubblicità online e l’accessibilità), protocolli di crisi.

• CAPO IV – Attuazione, cooperazione, sanzioni ed esecuzione: dedicata all’applicazione ed enforcement del Digital Services Act, articolata come segue:

1. Sez. 1 – Autorità competenti e coordinatori nazionali dei servizi digitali: autorità preposte designate dagli Stati membri alla vigilanza del DSA, Coordinatore dei servizi digitali, sanzioni pecuniarie degli Stati membri, reclamo, risarcimento dei danni;
2. Sez. 2 – Competenze, indagini coordinate e meccanismi di coerenza: competenze ripartite tra Stati membri e Commissione Europea, assistenza reciproca (tra Coordinatori e Commissione UE), cooperazione transfrontaliera tra Coordinatori, deferimento alla Commissione, Indagini comuni (tra più Coordinatori);
3. Sez. 3 – Comitato europeo per i servizi digitali: Comitato (gruppo consultivo indipendente dei Coordinatori), sua struttura, suoi compiti;
4. Sez. 4 – Vigilanza, indagini, esecuzione e monitoraggio in relazione alle piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi: sviluppo di competenze e capacità (da parte della Commissione), indagini sull’esecuzione degli obblighi DSA, procedimenti della Commissione, richieste di informazioni, audizioni e dichiarazioni, ispezioni, misure provvisorie, impegni, monitoraggio, decisioni di non conformità, sanzioni pecuniarie della Commissione, vigilanza rafforzata, penalità di mora, prescrizione (quinquennale), diritto di essere ascoltati e accesso al fascicolo, pubblicazione delle decisioni, controllo della Corte di Giustizia, restrizioni d’accesso e cooperazione giudiziaria, atti di esecuzione;
5. Sez. 5 – Disposizioni comuni in materia di esecuzione: segreto d’ufficio, condivisione delle informazioni, rappresentanza;
6. Sez. 6 – Atti delegati e atti di esecuzione: delega alla Commissione, procedura di comitato.

• CAPO V – Disposizioni finali: modifiche normative, riesame, applicazione anticipata alle piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi, entrata in vigore e applicazione.

La mera lettura di questa elencazione rende già plasticamente l’idea di un vero ecosistema normativo, spesso – seppure non sempre chiaramente – interconnesso tra le sue parti. Come accaduto col GDPR, serviranno anni per sviscerarne la reale portata.

Basti pensare ai soggetti: come si nota, ne rinveniamo più classi e specie, onerate di svariati obblighi: dalle varie tipologie di intermediari alle istituzioni coinvolte fino agli stessi Stati membri. Per ogni disposizione si dovrà sempre porre grande attenzione al perimetro di applicazione soggettiva, non certo estendibile analogicamente (almeno in generale).

Soprattutto visto e considerato che sono previsti obblighi di diligenza dei provider differenziati per strati, per tipologia ma soprattutto per caratteristiche quantitative: più queste crescono, più si aggravano gli adempimenti richiesti dal Digital Services Act (oltre alla prevedibile maggior severità sanzionatoria).

Arrivando fino alle piattaforme e ai motori di ricerca molto grandi che rappresentano i big player come Google e Meta, appesantiti dei massimi controlli e obblighi. Invece le PMI godono di alcune esenzioni (ad es. riguardo agli adempimenti della sezione 3 del Capo III) ben più significative di quanto timidamente si era, invece, prospettato con il GDPR con un’analoga ottica di favore.

Non a caso, nei documenti illustrativi della Commissione troviamo spesso grafici esplicativi che aiutano l’orientamento concettuale di fronte a un impianto così arzigogolato. Ad es. il seguente grafico fa rapidamente comprendere come i soggetti regolamentati, quanto agli obblighi, siano in un rapporto di genere-a-specie, multilivelli con doveri comuni e non.

I relativi gruppi di obblighi (visti sopra al Capo III) si ritrovano ben schematizzati in questa tabella, sempre della Commissione.

Non mancano i “false friends”, aspetti ingannevoli disseminati nel testo. Un esempio emblematico è quello dell’apparato sanzionatorio: a una prima lettura può sembrare che la violazione di quanto prescritto nel Capo II possa comportare le sanzioni amministrative dettate dagli artt. 52 e 74 DSA. Invece non è così: il Digital Services Act si potrebbe dire nato con due “anime”.

La prima riguarda la disciplina delle condizioni per l’esonero di responsabilità (civile, penale o amministrativa che sia) dei provider circa contenuti illeciti forniti dagli utenti: ebbene, il mancato rispetto di tali condizioni non comporta sanzioni di per sé, bensì il venir meno del regime favorevole di esonero. E il provider dovrà così essere imputabile di responsabilità dell’illecito cagionato, caso per caso, con le conseguenze previste dalle normative (tendenzialmente nazionali) per tali responsabilità (tipicamente di risarcimento danni).

Altra e ben diversa cosa è la seconda anima: la violazione degli “obblighi” posti dal Capo III. È la violazione di uno o più di questi che fa scattare una possibile sanzione pecuniaria da parte delle autorità preposte al controllo, legate come sono nel testo ai soli “obblighi”. Le condizioni di esonero non sono in tal senso obblighi, bensì requisiti da rispettare per invocare l’esimente.

Pure i soggetti sono differenti: il Capo II si rivolge agli “intermediari”, includendovi i provider del tipo mere conduit, caching oppure hosting (categorie “ereditate” dalla predetta Direttiva 2000/31). D’altro canto il Capo III si rivolge sì a tutti costoro ma effettua ulteriori distinzioni (con previsioni dirette ai soli servizi di hosting, piattaforme online, piattaforme molto grandi e motori di ricerca molto grandi).

Pertanto queste due anime (Capo II e Capo III) non dialogano granché tra loro, sebbene alcuni commentatori avessero ravvisato una possibile maggiore efficacia del Digital Services Act se lo si fosse fatto. Cioè aggiungendo sanzioni amministrative al mancato rispetto delle condizioni di esonero. La scelta definitiva del legislatore è stata però diversa e se ne dovrà sempre tenere ben a mente la limitazione.

Una convivenza difficile

Un filone interpretativo e applicativo di prevedibile laboriosità sarà certamente quello della coesistenza del Digital Services Act con altre normative. Difatti – a parte abrogare e “importare” alcuni articoli chiave della Direttiva 2000/31 sugli esoneri di responsabilità dei provider – trattasi di norma che non sostituisce altri regolamenti o direttive, si accompagnerà invece agli stessi. L’applicazione e il coordinamento dovranno essere il più possibile armonici, ed è già prevedibile un certo contenzioso in sede giudiziale per dipanare i tanti possibili inciampi.

Basti far mente alle nutrite norme già esistenti che il DSA espressamente menziona all’art. 2.4, statuite come “non pregiudicate” dall’entrata in vigore del Digital Services Act. Tra queste ritroviamo quelle a tutela dei consumatori e della sicurezza dei prodotti, quelle del GDPR e dell’ePrivacy, quelle a tutela della proprietà intellettuale, concernenti i servizi di media audiovisivi e contro la pedopornografia e via dicendo.

Altre normative tangenti possono costituire lex specialis rispetto al DSA (di impianto generale), assumendo a loro volta una cogenza maggiore e una maggior precisione e specificità. Un esempio può essere quello della normativa sul diritto d’autore (la Direttiva 2019/790 “Digital Single Market” e suo recepimento nazionale nella l. 633/1941): l’art. 17 della Direttiva detta specifiche, stringenti condizioni (autorizzazioni degli aventi diritto, best efforts ecc.) per poter invocare le limitazioni di responsabilità dei provider (dunque del DSA). Ed è rivolto ai “prestatori di servizi di condivisione di contenuti online”, un soggetto non previsto né perfettamente sovrapponibile alla casistica del DSA (in genere sarà comunque un hosting provider). Insomma, il DSA influirà certamente sull’interpretazione e applicazione delle altre normative, con potenziali influssi reciproci.

Non si può tacere poi del rapporto con standard, codici di condotta e altri atti non strettamente normativi, soprattutto per la moderazione dei contenuti illegali e/o dannosi. Un esempio è il presente Codice di condotta UE per contrastare l’hate speech. si tratta di strumenti che almeno in parte potranno e forse dovranno essere ri-tarati sulle esigenze del DSA.

È facile prevedere una permanenza, oltretutto, di eventuali procedure di auto-regolazione delle piattaforme con quelle imposte dal DSA su ambiti limitrofi – basta menzionare i requisiti dei segnalatori attendibili richiesti dall’art. 22 DSA (ad es. solo gli enti) e il maggior ambito di riconoscimento che le piattaforme già ammettono per queste figure (non solo enti).

Infine, si accenna solamente alla coabitazione di questo Regolamento – che fornisce un’infrastruttura normativa generale, sovraordinata – con le norme nazionali degli Stati membri. Sia sostanziali (pensiamo a cosa può essere “illegale” in un contenuto, potendo mutare da Stato a Stato) che processuali (le norme nazionali, anche quanto alle autorità competenti, dovranno essere conformi altresì alle indicazioni del DSA per quanto concerne gli ordini delle stesse).

Hate speech, la normativa in Europa e Usa sull’odio online

Digital Services Act: problemi di traduzione e dove trovarli

Purtroppo, analogamente a quanto accadde in passato ad es. con il GDPR, la versione italiana del testo offre alcuni veri e propri errori di traduzione. Non si tratta di questioni interpretative, di punti dubbi in diritto nell’adattare istituti e concetti giuridici “neutri” del testo unionale al nostro ordinamento, bensì di evidenti sviste in sede di traduzione del testo che, ahinoi, recano conseguenti dubbi di lettura.

Ne segnaliamo due, a titolo di esempi, già evidenti:

1. all’art. 13 DSA si tratta dei rappresentanti legali, prescrivendo che “i prestatori di servizi intermediari che non sono stabiliti nell’Unione ma che offrono servizi nell’Unione possono designare per iscritto una persona fisica o giuridica che funga da loro rappresentante legale in uno degli Stati membri”: pare trattarsi di facoltà; tuttavia il testo in inglese è netto nell’indicare un obbligo, usando il verbo “shall designate” – peraltro tradotto nel resto delle ricorrenze del testo italiano in maniera corretta!;
2. agli artt. 9.6 e 10.6 DSA, invece, si disciplinano, con disposizioni gemelle, gli ordini delle autorità (ad es. sul contrasto ai contenuti illegali); ebbene, in entrambi i casi il testo recita “le condizioni e le prescrizioni di cui al presente articolo non pregiudicano il diritto civile e il diritto processuale penale nazionale”, facendo un riferimento apparente al diritto sostanziale civile; peccato però che non solo un collegato Considerando (il n. 34) parli di “diritto processuale penale o civile nazionale”, ma che il testo stesso degli artt. 9 e 10, nella versione inglese, faccia chiaramente riferimento al diritto processuale civile (“without prejudice to national civil and criminal procedural law”), non certo a quello sostanziale (che non c’entrava comunque con il discorso degli articoli in commento).

Come noto, problemi di questo tipo vanno risolti, secondo la Corte di Giustizia, facendo riferimento non solo al testo in lingua inglese (su cui si è condotto il lavoro legislativo di bozza, discussione, approvazione, ecc.) ma anche alla traduzione nelle altre lingue.

Nei casi suindicati, un rapido confronto ad es. con i testi in lingua spagnola e francese testimonia che di veri e propri errori si tratta. Perciò l’interprete dovrà tenere conto del testo “emendato” degli stessi. E gli esempi proposti evidenziano possibili problemi applicativi, data la sensibile differenza (ad es. obblighi che diventano facoltà) negli effetti del testo italiano rispetto a quello originario.

Per intenderci ulteriormente, non si discorre qui di mere stranezze nelle scelte di traduzione – come può essere il rendere la nota espressione “dark pattern” con “percorsi oscuri”, peggiorativo della scelta precedente in bozza DSA dei “modelli oscuri” – ma di un problema di palmare serietà.

Dark pattern e dati personali: ecco le linee guida EDPB per il legal design dei social (e non solo)

Conclusioni

Una sfida per tutti è quella lanciata con questa disciplina.

Per i provider delle piattaforme, che dovranno adeguare molte loro prassi, contratti e comunicazioni ai nuovi standard.

Per gli utenti ed enti che li rappresentano, che dovranno riuscire a destreggiarsi tra le pieghe e dubbi del testo per poterlo impugnare e far rispettare i propri diritti.

Per gli Stati membri, che pur a fronte di un Regolamento dovranno provvedere a integrazioni della propria normativa, specie quanto al piano sanzionatorio (potendo generare sensibili differenze territoriali che rischiano di frustrare l’obiettivo di armonizzazione).

Per le istituzioni e autorità, che dovranno nascere o aggiungere carne al fuoco alle correnti attività (si veda il decisivo ruolo della Commissione).

Per i consulenti, che dovranno adottare un approccio equilibrato specie di fronte ai mille dubbi interpretativi (si segnala intanto la lodevole iniziativa di un osservatorio sul DSA, curato dall’Università di Amsterdam).

Che si apra una nuova stagione “calda” come fu ai tempi del GDPR? Speriamo che tutti si sia più pronti alla data di applicazione nel 2024, rispetto alla rincorsa all’ultimo (o addirittura “postuma”) agli adempimenti privacy a cui si assistette nel maggio 2018, a fronte di un testo normativo pubblicato ben due anni prima. Il conto alla rovescia è iniziato.