Art. 4 Reg. (UE) 2022/2065 – Semplice trasporto

Cos'è il «semplice trasporto» e chi è il mere conduit

L'articolo 4 del Regolamento (UE) 2022/2065 (DSA) disciplina la figura del prestatore che si limita a trasmettere, su una rete di comunicazione, informazioni fornite dal destinatario del servizio, oppure a fornire accesso a quella rete. Il legislatore europeo riprende e aggiorna l'impostazione dell'articolo 12 della direttiva 2000/31/CE sul commercio elettronico, inscrivendola in un testo di rango regolamentare direttamente applicabile in tutti gli Stati membri dal 17 febbraio 2024.

Il termine tecnico comunemente usato è mere conduit: il prestatore funge da «semplice canale» neutro di trasmissione. Rientrano in questa categoria i provider di connettività a Internet (ISP), gli operatori di reti mobili, i fornitori di VPN puramente neutri e, in certi contesti, i gestori di reti Wi-Fi aperte. La ratio dell'esenzione è che un soggetto il quale si limita a far transitare informazioni altrui, senza alcun intervento sulla loro scelta o sul loro contenuto, non deve sopportare il rischio giuridico dei contenuti trasportati.

Le tre condizioni cumulative per l'esenzione

L'esenzione di responsabilità è subordinata al rispetto cumulativo di tre condizioni, tutte enunciate al paragrafo 1:

a) Assenza di iniziativa della trasmissione: il prestatore non dà origine alla trasmissione, che deve provenire esclusivamente dalla richiesta del destinatario del servizio. Se il prestatore avviasse in modo autonomo l'invio di un pacchetto di dati, perderebbe immediatamente lo scudo.

b) Assenza di selezione del destinatario: il prestatore non sceglie a chi inviare le informazioni. La direttiva di un pacchetto verso un indirizzo IP specifico è determinata dal protocollo tecnico e dall'istruzione del cliente, non da una scelta editoriale del provider.

c) Assenza di selezione o modifica delle informazioni: il contenuto dei dati deve restare intatto. Anche una modifica tecnica del pacchetto che incida sul suo contenuto informativo farebbe decadere l'esenzione. Non costituisce «modifica» la manipolazione tecnica necessaria per la trasmissione (incapsulamento, frammentazione, header di routing).

Il rispetto di tutte e tre le condizioni è verificato in modo obiettivo, indipendentemente dall'elemento soggettivo (buona fede, dolo, colpa) del prestatore. Non occorre quindi che il provider fosse a conoscenza del contenuto illecito: l'esenzione opera per struttura della sua attività.

La memorizzazione transitoria: il caching di percorso

Il paragrafo 2 chiarisce che le attività di trasmissione e di fornitura di accesso includono la memorizzazione automatica, intermedia e transitoria delle informazioni trasmesse. Si tratta del cosiddetto caching di percorso, tecnico e necessario al funzionamento della rete: i router e i nodi di interconnessione conservano brevemente i pacchetti in transito.

Questa memorizzazione transitoria non rompe lo scudo del mere conduit a patto che: (i) serva esclusivamente alla trasmissione sulla rete di comunicazione; (ii) la sua durata non ecceda il tempo ragionevolmente necessario. La soglia temporale non è quantificata in secondi o ore, ma deve essere proporzionata alla funzione tecnica svolta. Una memorizzazione che si prolunghi oltre la singola sessione di trasmissione non rientra più nel paragrafo 2 e potrebbe ricadere nel regime del caching stabile (articolo 5 DSA) o dell'hosting (articolo 6 DSA).

Il limite dell'esenzione: gli ordini delle autorità

Il paragrafo 3 introduce un limite fondamentale: l'esenzione di responsabilità lascia impregiudicata la possibilità, conformemente all'ordinamento dello Stato membro, che un'autorità giudiziaria o amministrativa esiga dal prestatore che impedisca o ponga fine a una violazione. In altre parole, il mere conduit non può essere condannato in via risarcitoria per i contenuti trasportati, ma può essere destinatario di un ordine inibitorio (ad esempio, un ordine di blocco di un sito web o di blacklisting di un dominio).

Questa clausola di salvaguardia è fondamentale per l'efficacia del sistema: le autorità nazionali conservano strumenti di intervento rapido senza dover dimostrare la responsabilità del provider. Il confine tra ordine legittimo e misura sproporzionata (che potrebbe violare la neutralità della rete) è rimesso alla valutazione del giudice o dell'autorità competente nel rispetto dei principi del DSA e della Carta dei diritti fondamentali dell'Unione.

Posizione del mere conduit nel sistema DSA: confronto con le altre categorie

Il DSA regola quattro tipi principali di prestatori di servizi intermediari: mere conduit (articolo 4), caching (articolo 5), hosting (articolo 6) e piattaforme online (articolo 6 e Sezione III del Capo III). La distinzione non è solo tassonomica: determina il livello degli obblighi applicabili.

Il mere conduit è la categoria con gli obblighi minimi. Non è tenuto alla predisposizione di meccanismi di segnalazione e azione (articolo 16, riservato ai prestatori di hosting), non deve pubblicare relazioni di trasparenza sulla moderazione dei contenuti (articolo 15), non subisce gli obblighi rafforzati riservati alle piattaforme (divieto di dark pattern, tutela dei minori, interoperabilità, tracciabilità dei venditori) né gli obblighi delle VLOP (valutazione dei rischi sistemici, audit indipendente, accesso ai dati per i ricercatori). La posizione del mere conduit è quindi privilegiata, a fronte del suo ruolo puramente neutro e passivo nel flusso informativo.

Va tuttavia ricordato che l'esenzione si applica solo nella misura in cui il prestatore rimane effettivamente passivo. Se un ISP iniziasse, ad esempio, a filtrare i contenuti per finalità editoriali o a personalizzare il traffico in base al tipo di informazione, potrebbe qualificarsi come piattaforma online e perdere lo scudo del mere conduit. La neutralità della rete e l'esenzione di responsabilità sono dunque due facce della stessa medaglia.

Coordinamento con il diritto previgente e le normative di settore

Con l'entrata in piena applicazione del DSA il 17 febbraio 2024, le disposizioni corrispondenti della direttiva 2000/31/CE sono state abrogate per gli aspetti coperti dal regolamento (considerando 9 DSA). Tuttavia, le norme nazionali di recepimento della direttiva e-commerce che regolano aspetti non armonizzati dal DSA restano in vigore fino alla loro eventuale abrogazione. In Italia, il decreto legislativo 70/2003 contiene norme in parte sovrapponibili che devono essere interpretate in modo conforme al DSA.

Il mere conduit interagisce inoltre con il diritto delle telecomunicazioni (regolamento sulla neutralità della rete), il GDPR (limitazioni all'analisi del traffico per finalità di profilazione) e le normative settoriali in materia di sicurezza delle reti (NIS2, direttiva 2022/2555/UE). In questo quadro composito, il prestatore di accesso deve valutare attentamente se le misure tecniche richieste da un'autorità ai sensi del paragrafo 3 siano compatibili con il diritto alla riservatezza delle comunicazioni e con il principio di proporzionalità.

Assenza di obbligo generale di sorveglianza e sue implicazioni pratiche

Un principio trasversale del DSA, sancito dall'articolo 8, è che i prestatori di servizi intermediari - inclusi i mere conduit - non sono soggetti a un obbligo generale di sorveglianza sui contenuti che trasmettono, né a un obbligo generale di ricercare attivamente fatti o circostanze che indichino attività illegali. Questo principio è la traduzione normativa della logica stessa del mere conduit: non si può chiedere a chi trasporta passivamente dati altrui di verificarne il contenuto in modo sistematico, salvo imporre un monitoraggio pervasivo incompatibile con la riservatezza delle comunicazioni e con l'architettura tecnica di Internet.

Il divieto di obbligo generale di sorveglianza non esclude tuttavia obblighi specifici di monitoraggio fondati su altre fonti normative - ad esempio, l'obbligo di cooperare con le forze dell'ordine nel quadro di indagini penali, o gli obblighi di conservazione dei dati per finalità di sicurezza nazionale. L'interazione tra il principio dell'articolo 8 e le normative nazionali di sicurezza è uno dei profili più delicati e in evoluzione dell'applicazione del DSA, in quanto alcune legislazioni nazionali impongono ai provider di accesso forme di conservazione preventiva dei dati di traffico che la giurisprudenza della Corte di giustizia ha progressivamente limitato in nome del diritto alla riservatezza.

Per il mero conduit, la sintesi pratica è la seguente: il prestatore non è tenuto a monitorare i dati che trasporta, ma è tenuto a eseguire gli ordini specifici delle autorità che gli impongano di interrompere la trasmissione verso determinati destinatari o domini, e deve cooperare con le indagini penali nei limiti previsti dalla legge. Costruire procedure interne chiare per la ricezione e l'esecuzione di tali ordini è quindi un adempimento di compliance fondamentale per qualsiasi provider di accesso.