TikTok, aperto tavolo di confronto con l’UE: focus su privacy e sicurezza dei servizi digitali

Nella giornata del 10 gennaio, si è tenuto un incontro tra il CEO di TikTok, Shou Zi Chew, e la vicepresidente della Commissione Europea, Margrethe Vestager, insieme ai Commissari Vera Jourova, Ylva Johansson e Didier Reinders: obiettivo dell’incontro, tenutosi su impulso della società che gestisce il colosso del web cinese, è quello di comprendere secondo quali modalità l’azienda potrà garantire il rispetto degli obblighi previsti dalla normativa europea vigente, sia con riferimento al tema privacy (e al GDPR) sia, in particolare, al Digital Services Act (DSA) e al Digital Markets Act (DMA).

Occorre premettere, al fine di meglio comprendere il contesto in cui detto incontro si inserisce, che la piattaforma gestita dalla società ByteDance è stata oggetto, nel corso degli ultimi mesi, di una serie di accuse legate all’utilizzo della piattaforma per finalità di spionaggio. Accuse, queste, recentemente confermate da parte della Società, che ha avviato delle indagini interne volte alla verifica di quanto contestato da parte delle principali testate giornalistiche, licenziando anche alcuni dei suoi dipendenti: da dette indagini è emerso, in particolare, che alcuni dipendenti della società avrebbero impropriamente utilizzato i dati della piattaforma social per monitorare la posizione di alcuni giornalisti.

Detti elementi non hanno mancato di preoccupare le autorità europee, che hanno manifestato i propri timori in merito, in particolare, alla protezione dei dati personali degli utenti sulla piattaforma, alla luce dell’elevata presenza sulla medesima di minori. A ciò si aggiunga il tema della disinformazione e della trasparenza dei contenuti a sfondo politico, che oggi interessa TikTok al pari delle sue “competitor” Twitter e Facebook.

Tutela dei dati personali e altri diritti: ecco perché servono contemperamento ed equilibrio

I temi dell’incontro

Secondo quanto riportato da un portavoce della Commissione Europea, nel corso dell’incontro “si è discusso anche del Regolamento generale sulla protezione dei dati (GDPR) e di questioni relative alla privacy e agli obblighi di trasferimento dei dati, con un riferimento alle recenti notizie di stampa sulla raccolta e la sorveglianza aggressiva dei dati negli Stati Uniti”.

Obiettivo dell’incontro, come anticipato, infatti, era quello di dirimere unitamente ai Commissari una serie di questioni particolarmente delicate, legate non soltanto al trattamento dei dati ma anche ad ulteriori aspetti di interesse che sono oggi al centro di due recentissimi regolamenti europei (DSA e DMA).

TikTok, infatti, per il tramite del suo legale rappresentante, ha manifestato la volontà di adeguarsi al disposto normativo europeo, probabilmente anche allo scopo di ripristinare la propria immagine agli occhi del pubblico internazionale, a seguito dell’emersione del citato scandalo legato al monitoraggio delle posizioni di una serie di giornalisti.

A seguito dell’incontro, il cui resoconto dovrebbe pervenire dalle autorità nel corso dei prossimi giorni, il Commissario Jourova si è detta comunque soddisfatta dell’interesse manifestato dalla società cinese: “Conto sul fatto che TikTok esegua pienamente gli impegni assunti per rispettare le leggi dell’Ue e riguadagnare la fiducia dei regolatori europei.

Non ci possono essere dubbi sul fatto che i dati degli utenti in Europa siano al sicuro e che non siano esposti ad accessi illegali da parte di autorità di Paesi terzi” ha scritto in un post su Twitter, “È importante che TikTok e le altre piattaforme si preparino rapidamente ad essere conformi al Digital Services Act e al Digital Markets Act – aggiunge -. Sono anche ansiosa di vedere la prima relazione del nuovo Codice anti-disinformazione entro la fine di gennaio. La trasparenza sarà un elemento chiave”.

I count on #TikTok to fully execute its commitments to go the extra mile in respecting EU law and regaining trust of European regulators.
There cannot be any doubt that data of users in Europe are safe and not exposed to illegal access from third-country authorities. pic.twitter.com/csKdCSOeMi

— Věra Jourová (@VeraJourova) January 10, 2023

Proprio in relazione al Codice di Condotta sulla disinformazione e sull’hate speech, secondo quanto riportato dal citato portavoce della Commissione ad Ansa, la vicepresidente Jourova avrebbe apprezzato la pronta adesione allo stesso da parte di TikTok, così come la sua rapida attuazione delle sanzioni erogate dall’Europa nei confronti degli organi di propaganda russi.

In this time of war, words matter.

The EU adopted sanctions against the Kremlin's disinformation and information manipulation assets.

State-owned outlets Russia Today and Sputnik are suspended across the EU, as of today.

Learn more → https://t.co/EmOYaxmQ9f pic.twitter.com/xsbcr1lmMt

— European Commission (@EU_Commission) March 2, 2022

È certamente da prendere in considerazione, infatti, come la piattaforma cinese si sia attivata per riconoscere che alcuni attori statali non europei abbiano tentato di manipolare i contenuti della piattaforma al fine di diffondere contenuti disinformativi, e si sia attivata per arginare il problema, comune alle principali piattaforme social e oggetto di numerose inchieste da parte delle autorità.

La vicepresidente Jourova, inoltre, non avrebbe mancato di sollevare i propri timori circa l’attuale situazione critica connessa all’utilizzo dei dati dei giornalisti al fine di identificare le fughe di dati che avvengono all’interno dell’azienda. A tal riguardo, Chew avrebbe comunque evidenziato gli sforzi compiuti dall’azienda per conformarsi alle prescrizioni del GDPR e creare un sistema di trattamento dei dati degli utenti Europei sempre più solido: numerosi investimenti sarebbero in corso, inoltre, per quanto riguarda le policy di moderazione dei contenuti, con particolare attenzione alla limitazione dell’hate speech e degli ulteriori contenuti lesivi che sono presenti sulla piattaforma.

Trattasi di attività che saranno scrupolosamente poste al vaglio delle autorità europee, soprattutto a seguito dell’emersione di fenomeni di abuso dei dati: come noto, infatti, nel corso degli ultimi anni l’UE ha fortemente intensificato le proprie attività istruttorie, irrogando pesanti sanzioni alle società del web che si mostravano carenti sotto il profilo del trattamento dei dati personali o della tutela del mercato.

La stessa TikTok è attualmente già oggetto di una serie di indagini da parte dei garanti europei, volte proprio ad accertare le lacune esistenti nella gestione dei dati personali rispetto a quanto previsto dal GDPR, in particolar modo sotto il profilo della trasparenza, tema assolutamente prevalente alla luce della forte presenza sul social di minori.

TikTok, ad ogni modo, ha dichiarato di essersi impegnata a rispettare le norme dell’UE in modo trasparente. “È una priorità assoluta per noi essere pronti per questo”, ha detto in un tweet il suo vicepresidente per le politiche pubbliche, Europa, Theo Bertram.

Le criticità riscontrate

Sulla scorta di quanto sinora esposto, dunque, è possibile individuare quali sono le criticità che l’azienda cinese dovrà affrontare nel corso dell’anno in corso, soprattutto alla luce della recentissima normativa europea:

1. la raccolta dei dati degli utenti, alla luce delle politiche di sorveglianza aggressiva attuate negli USA (evento che ha addirittura portato al divieto di installazione dell’app sui dispositivi destinati ad essere utilizzati da federali statunitensi);
2. i potenziali trasferimenti illeciti dei dati degli utenti europei in Cina;
3. la sicurezza dei minori sulla piattaforma, sia sotto il profilo della protezione dei dati personali che sotto il profilo della disinformazione;
4. la diffusione della disinformazione russa sulla piattaforma;
5. la moderazione dell’hate speech, ritenuta dalle autorità europee allo stato insufficiente. A tal riguardo, ad ogni modo, la Commissione ha preso atto di come la società si stia impegnando per attuare le migliorie necessarie;
6. la trasparenza dei contenuti politici a pagamento;
7. il contrasto alla diffusione di materiale pedopornografico e di contenuti terroristici.

A ciò si aggiunge la necessità, manifestata da parte della società cinese, di adottare politiche di gestione della piattaforma che siano coerenti anche agli obblighi previsti dal DSA e dal DMA.

Gli obblighi di maggior rilievo del DSA

Il Digital Markets Act, in particolare, introduce nuovi obblighi per tutte le piattaforme identificate quali “gatekeeper”, ossia piattaforme strategiche per l’accesso ai mercati digitali che presentino una serie di requisiti:

1. ha un impatto significativo sul mercato interno, ossia raggiunge un fatturato annuo nell’Unione pari o superiore a 7,5 miliardi di EUR in ciascuno degli ultimi tre esercizi finanziari, o la sua capitalizzazione di mercato media o il suo valore equo di mercato equivalente era quanto meno pari a 75 miliardi di EUR nell’ultimo esercizio finanziario, ed essa fornisce lo stesso servizio di piattaforma di base in almeno tre Stati membri;
2. fornisce un servizio di piattaforma di base che costituisce un punto di accesso (gateway) importante affinché gli utenti commerciali raggiungano gli utenti finali, ossia fornisce un servizio di piattaforma di base che, nell’ultimo esercizio finanziario, annovera almeno 45 milioni di utenti finali attivi su base mensile, stabiliti o situati nell’Unione, e almeno 10.000 utenti commerciali attivi su base annua stabiliti nell’Unione, identificati e calcolati conformemente alla metodologia e agli indicatori di cui all’allegato;
3. detiene una posizione consolidata e duratura, nell’ambito delle proprie attività, o è prevedibile che acquisisca siffatta posizione nel prossimo futuro, ossia raggiunge le soglie di cui alla precedente lettera b) in ciascuno degli ultimi 3 esercizi finanziari.

In capo ai gatekeeper, in particolare, vi sarà l’obbligo di:

1. osservare rigidi paletti in merito alle possibilità di utilizzo dei dati personali, alle possibilità di elaborazione degli stessi, o di utilizzo incrociato con altre piattaforme;
2. gestire correttamente i consensi prestati, tenendo conto che la richiesta di rinnovo del consenso per la stessa finalità non potrà essere avanzata dal gatekeeper più di una volta nell’arco di un anno;
3. rendere l’annullamento dei servizi in abbonamento sulle piattaforme semplici quanto l’acquisto dell’abbonamento medesimo;
4. garantire l’interoperabilità delle funzionalità di base dei servizi di messaggistica istantanea, al fine di consentire agli utenti di scambiare messaggi, inviare messaggi vocali o file attraverso diverse applicazioni di messaggistica, senza che ciò costituisca al contempo un pregiudizio per la sicurezza delle conversazioni;
5. consentire agli utenti commerciali l’accesso ai loro dati di prestazione marketing o pubblicitaria sulla piattaforma.

Parimenti, il DMA prevede dei limiti in merito alle politiche di preinstallazione di software o applicazioni sui dispositivi, unitamente a vincoli di varia natura sempre finalizzati a favorire l’utente finale, e a garantire la piena libertà di scelta di quest’ultimo.

Le violazioni previste sono assolutamente rilevanti: fino al 10 per cento del fatturato global (20 per cento in caso di recidiva), con possibilità per la Commissione Europea, in caso di violazioni ripetute almeno 3 volte in 8 anni, di aprire un’indagine di mercato.

E’ chiaro che, in detto contesto, peraltro del tutto innovativo, risulta assolutamente fondamentale per TikTok aprire un tavolo di confronto con le autorità che possa evitare pesanti ripercussioni sul proprio modello di business, tutelando al contempo gli interessi degli utenti europei. Tanto più a fronte del fatto che l’attenzione nei suoi confronti è già particolarmente elevata, soprattutto sotto il profilo della trasparenza e del corretto utilizzo dei dati acquisiti tramite la piattaforma.

Digital Services Act: cos’è e cosa prevede la legge europea sui servizi digitali

Gli obblighi più rilevanti del DSA

La piattaforma social rientrerà anche nell’ambito di applicazione del Digital Services Act: trattasi di normativa applicata a tutti gli intermediari online che forniscono servizi di varia natura sul territorio comunitario (tra cui servizi di intermediazione pubblicitaria, come TikTok) e che prevede una serie di obblighi proporzionati alla dimensione della piattaforma, oltre ad una serie di obblighi finalizzati alla prevenzione di fenomeni di disinformazione e diffusione di contenuti illeciti online.

In particolar modo, il Digital Services Act prevede:

1. obblighi di trasparenza in relazione alle pratiche di profilazione degli utenti, oltre che in relazione alle condizioni del servizio reso sulle piattaforme;
2. obbligo per i fornitori dei servizi di sottoporsi ad audit indipendenti per verificare la conformità della piattaforma alle prescrizioni europee;
3. obblighi di adozione di principi di trasparenza nei sistemi di “suggerimento” per le pubblicità online;
4. divieto di utilizzare sistemi di targeting pubblicitario nei confronti dei minori, o sulla base di dati sensibili. Prioritario, infatti, nel DSA, è il corretto trattamento dei dati del minore: gli interessi di quest’ultimo, infatti, prevalgono sugli interessi commerciali e pubblicitari: in detto senso, in ragione della bassa età dei propri utenti, TikTok è direttamente coinvolta da detta normativa;
5. divieto di utilizzare pratiche ingannevoli volte a manipolare le scelte degli utenti, compresi i c.d. dark pattern (come interfacce volte a spingere l’utente a compiere determinate decisioni in merito ai propri dati personali).

Inoltre, per le piattaforme online che superano i 45 milioni di utenti al mese, si prevedono obblighi ben più stringenti, come:

1. l’adozione di pratiche di gestione dei rischi, di risposta alle crisi e di prevenzione di abuso dei sistemi;
2. la condivisione dei dati chiave e degli algoritmi con le autorità e con i ricercatori autorizzati dalle medesime, al fine di comprenderne meglio il funzionamento e prevenire la diffusione di fenomeni di abuso delle medesime;
3. codici di condotta specifici;
4. obbligo di sottoporsi a periodici audit indipendenti;
5. obbligo di prevedere la possibilità, per gli utenti, di bloccare i sistemi di “raccomandazione” dei contenuti basati sulla profilazione.

Inoltre, le piattaforme dovranno svolgere delle valutazioni di impatto dei rischi c.d. sistemici, che possono comportare “effetti negativi per l’esercizio dei diritti fondamentali al rispetto della vita privata e familiare e alla libertà di espressione e di informazione, del diritto alla non discriminazione e dei diritti del minore, sanciti rispettivamente dagli articoli 7, 11, 21 e 24 della Carta”.

Anche in detto caso, le sanzioni sono assolutamente rilevanti: si prevede, infatti, che possano giungere sino al 6% del fatturato globale annuo delle piattaforme. Sono inoltre previsti ampi poteri di sorveglianza in capo alle autorità nazionali (per le piattaforme più piccole) ed alla Commissione europea (per le piattaforme più rilevanti).

Sarà interessante, in tale contesto, osservare come si svilupperà il rapporto tra TikTok e la Commissione Europea, e se la piattaforma cinese rappresenterà un “punto di partenza” per definire più nel concreto le modalità di adeguamento delle maggiori piattaforme ai nuovi obblighi previsti dalla normativa europea.