Il Digital Services Act spiegato

• Introduzione
• Capitolo 1 Cos'è il Digital Services Act e a chi si applica?
• Capitolo 2 Comprendere i propri obblighi: un approccio a livelli
• Capitolo 3 Le basi: obblighi per tutti i servizi di intermediazione
• Capitolo 4 Servizi di hosting: responsabilità aggiuntive
• Capitolo 5 Piattaforme online: standard più elevati per la due diligence
• Capitolo 6 Piattaforme online molto grandi (VLOP) e motori di ricerca (VLOSE): le regole più severe
• Capitolo 7 Cosa costituisce un "contenuto illegale"?
• Capitolo 8 Meccanismi di notifica e azione: gestione delle segnalazioni di contenuti illegali
• Capitolo 9 Trasparenza nella moderazione dei contenuti: cosa è necessario segnalare
• Capitolo 10 Termini e condizioni: chiarezza ed equità per gli utenti
• Capitolo 11 Sistemi interni di gestione dei reclami: il diritto dell'utente di ricorrere
• Capitolo 12 Risoluzione extragiudiziale delle controversie: un'alternativa al contenzioso
• Capitolo 13 Segnalatori attendibili: priorità alle notifiche da fonti affidabili
• Capitolo 14 Contrastare l'uso improprio dei propri servizi
• Capitolo 15 Tracciabilità degli utenti professionisti sui marketplace online
• Capitolo 16 Progettare per la conformità: interfacce utente e dark patterns
• Capitolo 17 Trasparenza della pubblicità: cosa devono sapere gli utenti
• Capitolo 18 Sistemi di raccomandazione: spiegare la logica agli utenti
• Capitolo 19 Protezione dei minori online
• Capitolo 20 Valutazione dei rischi sistemici per VLOP e VLOSE
• Capitolo 21 Mitigare i rischi sistemici: misure da adottare
• Capitolo 22 Audit indipendenti e conformità per VLOP e VLOSE
• Capitolo 23 Accesso ai dati per ricercatori e autorità
• Capitolo 24 Applicazione: il ruolo dei coordinatori per i servizi digitali e della Commissione europea
• Capitolo 25 Sanzioni per la non conformità
• Postfazione

È difficile immaginare una giornata senza di loro. Dal momento in cui vi svegliate e controllate le notizie sul telefono, allo scorrimento dei social media durante la pausa pranzo, fino all'ordine di un nuovo paio di cuffie da un marketplace online la sera, i servizi digitali sono l'architettura invisibile della vita moderna. Sono le nostre piazze, i nostri centri commerciali, i nostri uffici postali e le nostre biblioteche, tutto riunito in uno e accessibile dal palmo della mano. Le aziende che forniscono questi servizi — motori di ricerca, social network, siti di e-commerce e provider di cloud storage — sono diventate alcune delle entità più potenti e influenti al mondo, plasmando il modo in cui comunichiamo, facciamo acquisti, impariamo e percepiamo il mondo intorno a noi.

Per due decenni, il quadro giuridico per questi servizi nell'Unione Europea è stato largamente governato dalla Direttiva sul commercio elettronico, una normativa dell'anno 2000. Per metterla in prospettiva, nel 2000 la bolla dot-com stava appena iniziando a scoppiare, Google era una promettente startup e i concetti di "smartphone" o "social network" come li conosciamo oggi appartenevano al regno della fantascienza. La Direttiva sul commercio elettronico era rivoluzionaria per il suo tempo, stabilendo un principio fondamentale: i servizi di intermediazione generalmente non erano responsabili per i contenuti caricati dai loro utenti. Questa disposizione di "safe harbor" (porto sicuro) era cruciale. Ha permesso all'economia digitale nascente di prosperare, dando vita alle piattaforme e ai servizi innovativi che ora usiamo quotidianamente, senza che fossero schiacciati dalla paura di continui contenziosi.

Tuttavia, il mondo digitale degli anni 2020 è un luogo enormemente diverso da quello che esisteva all'inizio del millennio. La portata e l'influenza di queste piattaforme sono cresciute esponenzialmente. Se da un lato hanno portato immensi benefici, dall'altro hanno creato sfide nuove e complesse. Le stesse piattaforme che ci connettono con i nostri cari possono anche essere usate per diffondere discorsi d'odio illegali. I marketplace che offrono scelta e comodità senza precedenti possono anche essere sfruttati per vendere beni pericolosi o contraffatti. I servizi che danno voce a chi non ne ha possono essere manipolati da campagne coordinate di disinformazione che minacciano la salute pubblica e i processi democratici.

Man mano che questi problemi diventavano più evidenti, i singoli Stati membri dell'UE hanno iniziato ad agire. La Germania ha introdotto la legge NetzDG per combattere i discorsi d'odio, la Francia ha approvato una legislazione contro la manipolazione dell'informazione e altri paesi hanno iniziato a esplorare le proprie regole. Seppur ben intenzionate, questo ha creato un problema crescente: la frammentazione del mercato unico digitale europeo. Un fornitore di servizi che opera in tutta l'UE potrebbe dover navigare un complesso mosaico di 27 diversi insiemi di regole su questioni come la moderazione dei contenuti e la due diligence. Questa incertezza giuridica era un mal di testa per gli operatori consolidati e una barriera significativa all'ingresso per startup e innovatori più piccoli. Era chiaro che serviva un nuovo approccio armonizzato.

È il mondo in cui è nato il Digital Services Act, o DSA. Insieme al suo "gemello", il Digital Markets Act (DMA), il DSA rappresenta lo sforzo storico dell'UE per aggiornare il proprio quadro normativo digitale per l'era moderna. Se il DMA riguarda il potere economico delle maggiori piattaforme "gatekeeper", il DSA riguarda la responsabilità sociale. Il suo scopo dichiarato è creare un ambiente online più sicuro, prevedibile e affidabile. Mira a proteggere i diritti fondamentali degli utenti, stabilire chiare linee di responsabilità per le piattaforme online e farlo con un unico insieme uniforme di regole che si applica in tutta l'Unione Europea.

Ma cosa significa questo per voi? Se siete ingegneri, product manager, dirigenti aziendali o chiunque lavori per un'azienda che offre servizi digitali agli utenti nell'UE, il DSA non è solo un altro pezzo di gergo legale da passare agli avvocati. È un regolamento che influenzerà direttamente il modo in cui progettate i vostri prodotti, moderate i contenuti, interagite con i vostri utenti e rendicontate le vostre attività. Introduce nuovi obblighi, nuovi processi e nuovi standard di trasparenza e responsabilità che dovranno essere integrati nel tessuto stesso dei vostri servizi.

Questo libro è progettato specificamente per voi: i non giuristi che devono comprendere il DSA per svolgere il proprio lavoro efficacemente. Se avete mai tentato di leggere un atto legislativo UE dall'inizio alla fine, potreste averlo trovato un sonnifero più efficace di un bicchiere di latte caldo. Il linguaggio è denso, i rinvii incrociati sono numerosi ed è spesso difficile vedere la foresta per gli alberi. L'obiettivo di questo libro è tagliare questa complessità. Traduciamo i requisiti legali del DSA in una guida pratica e operativa che potete usare. Spiegheremo non solo cosa prevedono le regole, ma perché esistono e cosa significano per il vostro lavoro quotidiano.

Il DSA si basa su un principio intelligente e proporzionato: a grande potere corrisponde grande responsabilità. L'Atto non tratta ogni sito web e app allo stesso modo. Invece, crea un sistema a livelli di obblighi. Maggiore è la portata e l'impatto di un servizio, più stringenti diventano le sue responsabilità. Questo libro è strutturato per rispecchiare quell'approccio. Inizieremo con le regole fondamentali che si applicano a tutti i "servizi di intermediazione", una categoria ampia che include tutto, dal vostro provider di servizi internet locale alla più grande azienda di cloud hosting. Queste sono le basi del nuovo quadro normativo digitale.

Da lì, saliremo la scala. Esamineremo gli obblighi aggiuntivi che si applicano ai "servizi di hosting" — aziende che memorizzano informazioni degli utenti. È qui che incontriamo per la prima volta uno dei meccanismi centrali del DSA: l'obbligo di avere sistemi chiari e user-friendly di "notice and action" (notifica e azione) per la segnalazione di contenuti illegali. È un'area critica per chiunque sia coinvolto in trust and safety, moderazione dei contenuti o assistenza utenti.

Poi, esamineremo le regole per le "piattaforme online", come social network e marketplace online. È qui che il DSA introduce un numero significativo di nuovi requisiti. Tratteremo tutto, dalla necessità di sistemi interni di gestione dei reclami, dando agli utenti il diritto di appellare le decisioni di moderazione, alle nuove regole sulla trasparenza pubblicitaria e al divieto di certi "dark patterns" nella progettazione dell'interfaccia utente. Se siete UX designer, ingegneri ad-tech o product manager per una piattaforma consumer-facing, questi capitoli saranno lettura essenziale.

Infine, dedicheremo una parte significativa del libro al livello superiore della piramide regolamentare del DSA: le "Piattaforme Online Molto Grandi" (VLOP) e i "Motori di Ricerca Online Molto Grandi" (VLOSE). Sono i giganti di internet, piattaforme con più di 45 milioni di utenti attivi nell'UE. Il DSA sottopone questi attori agli obblighi più esigenti, basati sull'idea che la loro scala crea rischi sistemici per la società. Analizzeremo quali sono questi rischi sistemici — dalla diffusione della disinformazione all'impatto sul benessere mentale — ed esploreremo i requisiti del DSA per la valutazione dei rischi, la mitigazione, l'audit indipendente e la fornitura di accesso ai dati a ricercatori e regolatori.

Nel corso di questo percorso, scomporremo i concetti chiave in parti comprensibili. Cosa intende esattamente il DSA per "contenuto illegale"? Come funziona un sistema di "trusted flagger" (segnalatore di fiducia)? Quali sono i nuovi requisiti di tracciabilità per i venditori sui marketplace online? Risponderemo a queste e a molte altre domande, usando un linguaggio chiaro ed esempi pratici. Ci atterremo ai fatti, spiegando cosa richiede la legge senza impantanarci in teoria giuridica o commenti politici. L'obiettivo è dotarvi di una conoscenza operativa dell'Atto.

Il panorama digitale è a un punto di inflessione. L'era dell'autoregolamentazione e dell'approccio laissez-faire sta cedendo il passo a un nuovo paradigma di coregolamentazione e responsabilità. Il Digital Services Act è in prima linea in questo cambiamento globale. Comprenderlo non è più opzionale per chi costruisce e gestisce servizi digitali; è essenziale. Che facciate parte di una piccola startup che spera di scalare nel mercato europeo o di un team all'interno di un gigante tecnologico globale, questo libro vi fornirà la guida chiara e pratica di cui avete bisogno per navigare questo nuovo terreno con fiducia. Iniziamo.

Nel suo nucleo, il Digital Services Act rappresenta il tentativo ambizioso dell'Unione Europea di scrivere un nuovo regolamento per internet. Il suo obiettivo primario, come enunciato nel primissimo articolo della legislazione, è contribuire al "corretto funzionamento del mercato interno per i servizi di intermediazione". È un modo molto formale per dire che vuole assicurarsi che l'economia digitale in tutti i 27 Stati membri dell'UE funzioni in modo fluido, equo e sicuro per tutti. La legge mira a creare un insieme armonizzato di regole per un "ambiente online sicuro, prevedibile e affidabile" in cui l'innovazione possa prosperare e i diritti fondamentali degli utenti siano protetti.

Per comprendere il DSA, la prima e più cruciale domanda a cui rispondere è: a chi si applica effettivamente? La risposta risiede in quella frase chiave: "servizi di intermediazione". È un termine giuridico ampio, ma il DSA lo scompone utilmente in tre categorie distinte. Se la vostra azienda fornisce uno di questi servizi a utenti all'interno dell'Unione Europea, allora congratrazioni — o forse condoglianze — il DSA si applica a voi. Pensate a queste categorie come a bambole matrioska, ognuna con il proprio insieme di regole che esploreremo nei capitoli successivi. Per ora, limitiamoci a conoscere le bambole stesse.

Il primo e più basilare tipo di servizio di intermediazione è il servizio di 'mero condotto'. Questa è l'impiantistica fondamentale di internet. Questi servizi riguardano la trasmissione di informazioni dal punto A al punto B attraverso una rete di comunicazione o la fornitura dell'accesso a tale rete. La caratteristica chiave qui è la neutralità: il fornitore non avvia la trasmissione, non seleziona chi la riceve e non modifica il contenuto che passa attraverso i suoi "tubi". Sono semplicemente i corrieri digitali.

In questa categoria rientrano le aziende che formano la base della connettività internet. Il vostro Internet Service Provider (ISP), che fornisca la banda larga di casa o i dati mobili, è un esempio classico di servizio di mero condotto. Altri esempi includono i punti di scambio internet che instradano il traffico tra le reti, il fornitore del Wi-Fi al bar sotto casa e i servizi di Virtual Private Network (VPN). Perfino servizi internet fondazionali come il Domain Name System (DNS), che traduce indirizzi web leggibili dall'uomo come www.esempio.com negli indirizzi IP che i computer comprendono, ricadono in questa categoria. Le regole per questi servizi sono le più basilari, poiché hanno il minor coinvolgimento diretto con il contenuto stesso.

La seconda categoria è quella dei servizi di 'caching'. Si tratta di un tipo di servizio leggermente più tecnico ma comune. Il caching implica la memorizzazione automatica, intermedia e temporanea di informazioni al solo scopo di rendere la loro trasmissione successiva più efficiente. In termini più semplici, si tratta di fare una copia temporanea dei dati e memorizzarla più vicino all'utente per velocizzare le cose. Quando guardate un video popolare online, è probabile che una copia di quel video sia memorizzata su un server vicino a voi, così non deve viaggiare ogni singola volta da un server dall'altra parte del mondo ogni volta che qualcuno nella vostra città vuole guardarlo.

L'esempio più prominente di servizio di caching è una Content Delivery Network, o CDN. Si tratta di vaste reti di server distribuite geograficamente che le aziende usano per consegnare contenuti web e video agli utenti in modo rapido e affidabile. Memorizzando copie dei contenuti in più posizioni, riducono la latenza e migliorano l'esperienza utente. Il DSA riconosce che, come i servizi di mero condotto, questi fornitori sono principalmente impegnati in un processo tecnico per migliorare l'efficienza e quindi hanno una serie specifica e limitata di obblighi che riflettono il loro ruolo.

La terza e più ampia categoria è quella dei servizi di 'hosting'. È qui che ricade la maggior parte dei servizi online con cui interagiamo quotidianamente. Un servizio di hosting è definito semplicemente come un servizio che consiste nella memorizzazione di informazioni fornite da, e su richiesta di, un utente. Se il vostro servizio permette agli utenti di caricare, pubblicare o memorizzare i propri contenuti sui vostri server, siete un servizio di hosting. È una categoria vasta e diversificata.

Include servizi infrastrutturali come i provider di cloud computing (pensate ad Amazon Web Services o Microsoft Azure) e le società di web hosting che affittano spazio server per far girare i siti web. Include anche i servizi consumer-facing costruiti sopra quell'infrastruttura. Servizi di archiviazione e condivisione file come Dropbox o Google Drive sono servizi di hosting. I social network dove pubblicate aggiornamenti, foto e video sono servizi di hosting. I marketplace online dove i venditori elencano i loro prodotti sono servizi di hosting. Le piattaforme di condivisione video sono servizi di hosting. Perfino un semplice forum online o un blog che permette commenti degli utenti è, in quella capacità, un servizio di hosting. Poiché questi servizi memorizzano attivamente contenuti degli utenti per un periodo potenzialmente indefinito, il DSA impone loro una serie maggiore di responsabilità, che dettaglieremo nei capitoli a venire.

È importante afferrare che queste categorie si basano puramente sulla funzione tecnica. Una singola azienda può fornire più tipi di servizi di intermediazione contemporaneamente. Per esempio, una grande azienda tech potrebbe offrire un servizio di cloud hosting (hosting), gestire una content delivery network (caching) e gestire anche la propria massiccia rete in fibra ottica che funge da ISP (mero condotto). In tali casi, le regole del DSA si applicano a ciascun servizio in base alla sua funzione specifica.

Quindi, avete determinato che il vostro servizio rientra in una di queste tre categorie. La domanda successiva è di natura geografica: ha importanza dove ha sede la vostra azienda? La risposta è un chiaro e netto no. Il DSA si applica a tutti i servizi di intermediazione offerti a destinatari nell'Unione, "indipendentemente da dove i fornitori di tali servizi di intermediazione abbiano il loro luogo di stabilimento". Questo è un principio cruciale progettato per garantire parità di condizioni ed evitare che le aziende aggirino le regole stabilendo la loro sede fuori dall'UE.

Il fattore determinante è se il vostro servizio ha un "collegamento sostanziale con l'Unione". Questo collegamento può essere stabilito in un paio di modi. Il più diretto è avere uno stabilimento nell'UE, come una sede centrale, una controllata o anche solo una succursale. Tuttavia, anche senza una presenza fisica, un'azienda può essere considerata come avente un collegamento sostanziale.

Questo può accadere se avete un "numero significativo di destinatari del servizio in uno o più Stati membri in relazione alla sua o alla loro popolazione". Il DSA non fornisce una cifra rigida per questo, in quanto è una misura relativa. Un servizio di nicchia con un milione di utenti in Germania potrebbe essere considerato significativo, mentre un servizio globale con lo stesso numero di utenti distribuiti sottilmente in tutta l'UE potrebbe non esserlo. È una valutazione caso per caso.

L'altro modo per stabilire un collegamento sostanziale è "l'orientamento delle attività verso uno o più Stati membri". La legge fornisce diversi chiari indicatori di cosa questo significhi nella pratica. Potrebbe includere l'uso di una lingua o valuta comune in un paese UE, offrire la possibilità di ordinare prodotti o servizi da consegnare lì, o usare un dominio di primo livello con codice paese pertinente, come .de per la Germania o .it per l'Italia. Altri fattori potrebbero essere offrire la vostra app in uno store nazionale, condurre campagne pubblicitarie locali o fornire assistenza clienti in una lingua parlata in uno Stato membro. Il semplice fatto che un sito web sia tecnicamente accessibile dall'UE non è, di per sé, sufficiente a stabilire un collegamento sostanziale. Deve esserci una qualche dimostrabile intenzione di offrire il servizio alle persone nell'Unione.

Dopo aver stabilito a chi si applica il DSA, chiariamo cosa si applica. Il regolamento stabilisce regole armonizzate sugli obblighi di due diligence. Ciò significa che delinea le responsabilità e gli standard di diligenza che i servizi di intermediazione devono esercitare. Crea un quadro per come queste aziende dovrebbero gestire i contenuti illegali, quanto devono essere trasparenti sulle loro pratiche di moderazione dei contenuti e come dovrebbero progettare i loro sistemi per proteggere gli utenti.

Crucialmente, il DSA è un atto legislativo "orizzontale". Non prende di mira un singolo settore ma stabilisce una baseline di regole che si applicano trasversalmente a tutti i servizi di intermediazione. Il suo obiettivo è fermare la frammentazione del mercato interno, dove un'azienda potrebbe dover conformarsi a 27 diverse leggi nazionali su, per esempio, come gestire l'incitamento all'odio. Sotto il DSA, c'è un unico insieme di regole. Gli Stati membri generalmente non possono adottare propri requisiti nazionali aggiuntivi su questioni che rientrano nell'ambito di applicazione del DSA.

È anche importante capire cosa il DSA non fa. Si applica solo al servizio di intermediazione stesso, non ai beni o servizi sottostanti venduti o offerti attraverso di esso. Per esempio, il DSA stabilisce regole per una piattaforma online che permette di prenotare un servizio di ride-sharing, ma non influenza le leggi nazionali che regolano il servizio taxi stesso. Regola il marketplace online, non gli standard di sicurezza del tostapane venduto su di esso; quelli sono coperti da leggi separate sulla sicurezza dei prodotti.

Il DSA non esiste nemmeno nel vuoto legislativo. È progettato per lavorare insieme a una intera suite di altre leggi UE. Afferma esplicitamente che è "senza pregiudizio per il diritto dell'Unione in materia di diritto d'autore". Quindi, se gestite una piattaforma di condivisione video, dovete ancora conformarvi alle regole specifiche stabilite nella Direttiva UE sul diritto d'autore. Ancora più importante, il DSA non è una sostituzione del Regolamento Generale sulla Protezione dei Dati (GDPR). Qualsiasi trattamento di dati personali deve ancora conformarsi ai rigorosi requisiti del GDPR. Analogamente, il DSA integra, piuttosto che sostituire, le leggi esistenti sulla protezione dei consumatori. Costruisce un nuovo strato di sicurezza digitale sopra le fondamenta legali che già esistono.

Infine, per navigare il resto di questo libro, è utile familiarizzare fin da subito con qualche altra definizione chiave. Abbiamo già coperto "servizi di intermediazione", ma all'interno di quella vasta famiglia, il DSA ne individua due particolarmente importanti: 'piattaforme online' e 'motori di ricerca online'.

Una 'piattaforma online' è un tipo specifico di servizio di hosting. Ciò che la distingue è che non si limita a memorizzare informazioni per un utente; le "diffonde al pubblico" su richiesta di quest'ultimo. Questa è la distinzione chiave. Un servizio di cloud storage dove tenete i vostri file privati è un servizio di hosting, ma non è una piattaforma online. Un social network dove pubblicate un messaggio perché i vostri amici e follower lo vedano è una piattaforma online. Un marketplace online dove un venditore elenca un prodotto perché chiunque lo compri è una piattaforma online. Questo atto di diffusione pubblica è ciò che conferisce a questi servizi un maggiore impatto sociale e, come vedremo, comporta una maggiore serie di responsabilità sotto il DSA. La legge prevede un'eccezione per le funzionalità che sono "meramente una parte minore e puramente accessoria" di un altro servizio, come la sezione commenti di un giornale online.

Un 'motore di ricerca online' è definito proprio come vi aspettereste: un servizio che permette agli utenti di cercare sul web basandosi su una query e restituisce risultati.

L'ultima definizione cruciale da introdurre qui è quella di 'contenuto illegale'. La definizione del DSA è eccezionalmente ampia: "qualsiasi informazione che, di per sé o in relazione a un'attività... non è conforme al diritto dell'Unione o al diritto di qualsiasi Stato membro". Questo non significa solo contenuti intrinsecamente illegali, come materiale terroristico o immagini di abusi sessuali su minori. Copre anche informazioni che si riferiscono ad attività illegali, come la vendita di beni contraffatti, l'offerta di un servizio di alloggio senza licenza o l'uso non autorizzato di materiale protetto da copyright. È un termine ombrello definito da altre leggi. Il DSA non crea nuove categorie di ciò che è illegale; fornisce semplicemente il quadro per come i servizi di intermediazione devono gestire i contenuti che sono considerati illegali sotto le leggi UE o nazionali esistenti. Dedicheremo un intero capitolo a sviscerare questo concetto vitale, ma per ora basta comprenderne la vastissima portata.

Con questi concetti fondativi in luogo — i tipi di servizi di intermediazione, la portata geografica dell'Atto e le definizioni chiave di 'piattaforma online' e 'contenuto illegale' — siamo ora equipaggiati per iniziare il nostro viaggio negli obblighi specifici che il Digital Services Act impone. Il principio centrale da tenere a mente è quello di proporzionalità: le regole sono a livelli, e man mano che l'impatto potenziale di un servizio sulla società cresce, crescono anche le sue responsabilità.