Testo dell'articoloVigente
Art. 18 Reg. (UE) 2022/2065 – Notifica di sospetti di reati
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
1. Qualora venga a conoscenza di informazioni che fanno sospettare che sia stato commesso, si stia commettendo o probabilmente sarà commesso un reato che comporta una minaccia per la vita o la sicurezza di una o più persone, il prestatore di servizi di memorizzazione di informazioni informa senza indugio le autorità giudiziarie o di contrasto dello Stato membro o degli Stati membri interessati in merito ai propri sospetti, fornendo tutte le informazioni pertinenti disponibili.
2. Se non è in grado di individuare con ragionevole certezza lo Stato membro interessato, il prestatore di servizi di memorizzazione di informazioni ne informa Europol o le autorità di contrasto dello Stato membro in cui il suo rappresentante legale risiede o è stabilito, o entrambi. Ai fini del presente articolo, lo Stato membro interessato è lo Stato membro in cui si sospetta che sia stato commesso, si stia commettendo o sarà probabilmente commesso il reato o lo Stato membro in cui risiede o si trova il presunto autore del reato oppure lo Stato membro in cui risiede o si trova la vittima del presunto reato.
In sintesi
Indice dei contenuti
Ambito e ratio dell'obbligo di segnalazione
L'articolo 18 del Regolamento (UE) 2022/2065 (DSA) introduce un obbligo proattivo a carico dei prestatori di servizi di memorizzazione di informazioni - hosting provider, piattaforme di condivisione di contenuti, social network, marketplace - di informare le autorità competenti quando vengano a conoscenza di informazioni che facciano sospettare la commissione di un reato grave.
La norma non è un'eccezione al divieto di sorveglianza generale sancito dall'art. 8 DSA: il prestatore non è tenuto a monitorare attivamente i contenuti. Tuttavia, quando nell'esercizio della sua attività ordinaria - ad esempio a seguito di una segnalazione ricevuta tramite il meccanismo di notice and action, di una revisione interna o di un alert automatico - venga a conoscenza di informazioni indicative di un reato grave contro la vita o la sicurezza delle persone, scatta l'obbligo di notifica alle forze dell'ordine.
La ratio è chiara: le piattaforme digitali dispongono di informazioni che le autorità di contrasto non avrebbero altrimenti accesso in tempi utili. In situazioni di emergenza - un piano di attentato, un video che annuncia un suicidio imminente, la condivisione di materiale che rivela la preparazione di un atto violento - il ritardo nella segnalazione può costare vite umane.
Cosa deve contenere la segnalazione e il criterio di «sospetto fondato»
Il presupposto non è la certezza del reato, ma il sospetto ragionevole: le informazioni disponibili devono far sospettare che sia stato commesso, si stia commettendo o probabilmente sarà commesso un reato. La formula «probabilmente sarà commesso» estende l'obbligo a situazioni di pericolo imminente non ancora concretizzato - un'indicazione valorizzata soprattutto per la prevenzione degli attentati e dei reati con finalità terroristica.
La segnalazione deve includere «tutte le informazioni pertinenti disponibili». Ciò comprende, a seconda del caso: gli identificatori dell'account o degli account coinvolti, i contenuti specifici oggetto del sospetto (o una loro descrizione se non possono essere trasmessi direttamente), metadati temporali e tecnici, eventuali comunicazioni degli utenti che abbiano originato il sospetto. Il prestatore non è tenuto a effettuare indagini proprie; deve però trasmettere ciò che già possiede.
Il criterio di individuazione dello Stato membro competente
Il paragrafo 2 disciplina il caso - frequente per le piattaforme internazionali - in cui il prestatore non riesca a identificare con «ragionevole certezza» quale Stato membro sia competente. L'articolo indica tre criteri alternativi per identificare lo Stato interessato: il luogo in cui il reato è (o sarà) commesso; il luogo in cui risiede o si trova il presunto autore; il luogo in cui risiede o si trova la vittima.
Se nessuno di questi criteri consente di individuare univocamente uno Stato, il prestatore può (e deve) segnalare a Europol o alle autorità dello Stato membro in cui ha sede il proprio rappresentante legale designato ai sensi dell'art. 13 DSA. Questa previsione riflette la consapevolezza che molte piattaforme - soprattutto quelle di grandi dimensioni - operano in modo transfrontaliero e le situazioni di emergenza non si prestano a disquisizioni di competenza internazionale.
Raccordo con gli altri obblighi del DSA e con il diritto penale nazionale
L'obbligo dell'art. 18 si sovrappone parzialmente ad altri strumenti del DSA senza però confondersi con essi. Il meccanismo di notice and action (art. 16) è il canale attraverso cui i privati segnalano contenuti illeciti alla piattaforma; l'art. 18 riguarda invece la comunicazione dalla piattaforma alle autorità pubbliche. Gli ordini di fornire informazioni (art. 9) sono strumenti coercitivi delle autorità; l'art. 18 è invece un obbligo di segnalazione spontanea.
Il DSA non sostituisce gli obblighi di segnalazione previsti dal diritto penale nazionale. In Italia, ad esempio, il codice di procedura penale prevede obblighi di denuncia per soggetti che abbiano qualità di pubblici ufficiali o incaricati di pubblico servizio; per i privati (e per le piattaforme in qualità di soggetti privati) l'obbligo è in genere facoltativo, salvo specifiche previsioni settoriali (es. per i materiali di abuso sessuale su minori, disciplinati dal regolamento UE 2021/1232 e dalle norme nazionali di recepimento). L'art. 18 DSA introduce dunque un obbligo sovranazionale di segnalazione spontanea per reati gravi, che si aggiunge al quadro nazionale senza abrogarlo.
Obblighi delle VLOP e vigilanza
Per le piattaforme online di dimensioni molto grandi (VLOP, oltre 45 milioni di utenti attivi mensili nell'UE) e per i motori di ricerca online di dimensioni molto grandi (VLOSE), l'obbligo dell'art. 18 si inserisce in un contesto di obblighi rafforzati: la valutazione dei rischi sistemici (art. 34) deve considerare anche i rischi connessi alla diffusione di contenuti che costituiscano reati gravi; le misure di attenuazione (art. 35) possono includere sistemi di rilevamento automatico degli indicatori di reati gravi, in cooperazione con le autorità di contrasto.
La vigilanza sull'art. 18 è affidata al coordinatore dei servizi digitali dello Stato membro di stabilimento del prestatore. In caso di inerzia ingiustificata nella segnalazione, il coordinatore può irrogare sanzioni; la Commissione europea ha poteri di enforcement diretto nei confronti delle VLOP e dei VLOSE. Le sanzioni possono arrivare fino al 6% del fatturato mondiale annuo del prestatore per le violazioni degli obblighi del DSA.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
L'art. 18 DSA impone alle piattaforme di monitorare i contenuti degli utenti per trovare reati?
No. L'obbligo di notifica scatta solo quando il prestatore 'venga a conoscenza' di informazioni sospette nell'esercizio ordinario della sua attività. Non vi è un obbligo di sorveglianza attiva o generalizzata, vietato dall'art. 8 DSA. La segnalazione è dovuta quando il sospetto emerge spontaneamente o a seguito di segnalazioni ricevute.
Quali reati fanno scattare l'obbligo di segnalazione?
Solo i reati che 'comportano una minaccia per la vita o la sicurezza di una o più persone'. Si tratta di reati gravi a danno fisico delle persone: omicidio, lesioni gravi, atti terroristici, abusi su minori con pericolo fisico. Non è sufficiente una generica illiceità del contenuto.
Cosa rischia una piattaforma che non effettua la segnalazione prevista dall'art. 18?
Il mancato rispetto degli obblighi del DSA espone il prestatore a sanzioni irrogabili dal coordinatore dei servizi digitali o, per le VLOP, dalla Commissione europea, fino al 6% del fatturato mondiale annuo. In casi estremi, per le piattaforme recidive, è prevista la sospensione temporanea del servizio.
La segnalazione all'autorità di contrasto comporta la rimozione automatica del contenuto dalla piattaforma?
No, la segnalazione ex art. 18 e la rimozione del contenuto sono due azioni distinte. La rimozione segue le proprie regole (notice and action, ordini dell'autorità); la notifica alle autorità serve a mettere in moto l'indagine penale. In molti casi le autorità possono chiedere che il contenuto rimanga visibile per finalità investigative.
L'art. 18 si applica anche ai piccoli provider di hosting?
Sì. A differenza di molti obblighi del DSA che sono graduati in base alle dimensioni del prestatore, l'art. 18 si applica a tutti i 'prestatori di servizi di memorizzazione di informazioni', indipendentemente dalle dimensioni. Anche un piccolo hosting provider italiano è tenuto a notificare le autorità se viene a conoscenza di sospetti fondati su reati gravi.