Art. 8 Reg. (UE) 2022/2065 – Assenza di obblighi generali di sorveglianza o di accertamento attivo dei fatti

Il principio di assenza di sorveglianza generale: origine e ratio

L'articolo 8 del Regolamento (UE) 2022/2065 (DSA) enuncia uno dei pilastri fondamentali dell'architettura di responsabilità dei servizi intermediari online. La disposizione stabilisce che ai prestatori di servizi intermediari non può essere imposto alcun obbligo generale di sorveglianza sulle informazioni trasmesse o memorizzate, né un obbligo di accertare attivamente fatti o circostanze indicativi di attività illegali.

Il principio non è una novità assoluta: esso trova radici nell'articolo 15 della direttiva 2000/31/CE sul commercio elettronico, che ha governato il settore per oltre vent'anni. Il DSA lo eleva tuttavia a rango di norma regolamentare direttamente applicabile in tutta l'Unione, rinforzandone la cogenza e l'uniformità interpretativa tra gli Stati membri. La ratio è chiara: imporre un dovere generale di monitoraggio di tutti i contenuti che transitano o vengono ospitati su una piattaforma equivarrebbe a trasformare ogni intermediario in un controllore della rete, con costi insostenibili e rischi di censura preventiva incompatibili con la libertà di espressione e di informazione tutelate dalla Carta dei diritti fondamentali dell'Unione europea.

Ambito soggettivo: a chi si applica l'articolo 8

La norma è formulata con riferimento ai «prestatori di servizi intermediari», categoria che il DSA articola in tre sottocategorie distinte. I prestatori di servizi di mere conduit (semplice trasporto di informazioni), disciplinati dall'articolo 4, forniscono accesso alla rete o trasmettono informazioni senza controllo sul contenuto. I prestatori di servizi di caching (articolo 5) effettuano trasmissioni automatiche, intermedie e temporanee di informazioni finalizzate a rendere più efficiente la trasmissione successiva. I prestatori di servizi di hosting (articolo 6), infine, memorizzano informazioni fornite dall'utente; in questa categoria rientrano le piattaforme online, i marketplace e, nelle dimensioni più ampie, le VLOP (piattaforme di dimensioni molto grandi) e i VLOSE (motori di ricerca di dimensioni molto grandi).

L'articolo 8 si applica trasversalmente a tutte queste categorie: nessun intermediario, a prescindere dalle proprie dimensioni o dalla natura specifica del servizio offerto, può essere gravato di un obbligo generale di sorveglianza. Si noti che per le VLOP e i VLOSE il DSA prevede obblighi aggiuntivi e rafforzati - valutazione dei rischi sistemici, revisioni indipendenti, accesso ai dati per i ricercatori - ma anche questi obblighi non si traducono mai in un dovere di monitoraggio generalizzato e preventivo di tutti i contenuti.

Cosa vieta esattamente la norma: sorveglianza attiva vs. sorveglianza specifica

La distinzione essenziale che l'articolo 8 introduce è quella tra sorveglianza generale e sorveglianza specifica. La norma vieta la prima; non esclude la seconda. Un obbligo generale di sorveglianza impone al prestatore di monitorare in modo sistematico, continuo e indifferenziato tutte le informazioni che transitano o sono ospitate sul servizio, al fine di individuare illeciti. Un simile obbligo è incompatibile con il DSA.

Un obbligo specifico di sorveglianza, invece, è disposto caso per caso dall'autorità giudiziaria o amministrativa competente, individua un contenuto o una categoria circoscritta di contenuti, e ha durata limitata. Il considerando 30 del DSA chiarisce che il divieto di obblighi generali di sorveglianza non pregiudica la possibilità per le autorità nazionali di richiedere al prestatore misure di sorveglianza mirate, nel rispetto del diritto dell'Unione.

In pratica: un giudice può ordinare a un hosting provider di monitorare un account specifico sospettato di diffondere materiale pedopornografico; non può però ordinare a un social network di scansionare l'intero traffico degli utenti alla ricerca di contenuti illegali non meglio specificati.

Rapporto con il meccanismo notice and action e con l'esenzione di responsabilità

L'articolo 8 si inserisce in un sistema più ampio che include le esenzioni di responsabilità previste dagli articoli 4, 5 e 6. Il prestatore di hosting non risponde dei contenuti illeciti dell'utente a condizione che non ne fosse a conoscenza effettiva o che, venuto a conoscenza dell'illiceità, abbia agito prontamente per rimuoverli o disabilitarne l'accesso.

Il meccanismo di notice and action (articolo 16) costituisce lo strumento operativo attraverso cui il prestatore viene informato della presenza di contenuti illeciti. La segnalazione da parte di utenti o segnalatori affidabili (trusted flaggers, articolo 22) attiva l'obbligo di trattare la segnalazione tempestivamente. Ma il punto centrale rimane: prima della segnalazione, il prestatore non è tenuto a sorvegliare proattivamente i propri contenuti per scoprire eventuali illeciti. L'assenza di obbligo di sorveglianza generale è il contrappeso logico dell'esenzione di responsabilità: se il prestatore fosse obbligato a cercare attivamente contenuti illeciti, la mancata scoperta potrebbe essere imputata a colpa, vanificando l'esenzione.

Coordinamento con altri strumenti normativi dell'Unione

Il DSA si inserisce in un ecosistema normativo europeo in rapida evoluzione. Il Regolamento generale sulla protezione dei dati (GDPR, Reg. UE 2016/679) pone limiti stringenti al trattamento dei dati personali degli utenti, rendendo ancora più problematico qualsiasi sistema di sorveglianza generalizzata che comporti la profilazione sistematica dei comportamenti online. Il Digital Markets Act (DMA, Reg. UE 2022/1925) si concentra invece sulle pratiche anticoncorrenziali dei gatekeeper, e si applica in parallelo al DSA senza sovrapposizioni di oggetto.

Vi è poi il regolamento sulla lotta ai contenuti terroristici online (Reg. UE 2021/784, «TCO»), che impone la rimozione entro un'ora dalla ricezione dell'ordine dell'autorità competente, ma non obbliga a una sorveglianza generale preventiva. Analogamente, le norme sui materiali relativi agli abusi sessuali su minori (la proposta di regolamento «CSAM» ancora in iter legislativo al momento della redazione di questo commento) dovrà fare i conti proprio con il principio sancito dall'articolo 8.

Implicazioni pratiche per i prestatori di servizi

Per un prestatore di servizi che voglia verificare la propria conformità al DSA, l'articolo 8 offre una protezione fondamentale ma non assoluta. Di seguito le implicazioni operative principali.

In primo luogo, il prestatore può adottare misure volontarie di moderazione dei contenuti (articolo 7) senza perdere l'esenzione di responsabilità, purché agisca in buona fede e in modo non arbitrario; l'articolo 8 non vieta la moderazione volontaria, la vieta solo se imposta come obbligo generale dall'esterno.

In secondo luogo, quando un'autorità giudiziaria o amministrativa emette un ordine di sorveglianza specifico, il prestatore deve valutarne la legittimità alla luce del diritto dell'Unione - in particolare, se l'ordine si spinga fino a configurare una sorveglianza generale vietata, il prestatore ha il diritto (e in alcuni sistemi nazionali il dovere) di contestarlo.

In terzo luogo, i prestatori devono distinguere con attenzione tra gli obblighi di trasparenza (rendicontazione delle attività di moderazione, registro delle inserzioni pubblicitarie) previsti dal DSA e gli obblighi di sorveglianza vietati. La pubblicazione di una relazione sulla trasparenza non richiede alcun monitoraggio sistematico dei contenuti: si basa sulle azioni già compiute e documentate dal prestatore.