Testo dell'articoloVigente
Art. 34 Reg. (UE) 2022/2065 – Valutazione del rischio
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
1. I fornitori die piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi individuano, analizzano e valutano con diligenza gli eventuali rischi sistemici nell'Unione derivanti dalla progettazione o dal funzionamento del loro servizio e dei suoi relativi sistemi, compresi i sistemi algoritmici, o dall'uso dei loro servizi. Essi effettuano le valutazioni dei rischi entro la data di applicazione di cui all'articolo 33, paragrafo 6, secondo comma, e successivamente almeno una volta all'anno, e in ogni caso prima dell'introduzione di funzionalità che possono avere un impatto critico sui rischi individuati a norma del presente articolo. La valutazione del rischio deve essere specifica per i loro servizi e proporzionata ai rischi sistemici, tenendo in considerazione la loro gravità e la loro probabilità, e deve comprendere i seguenti rischi sistemici:
a) la diffusione di contenuti illegali tramite i loro servizi;
b) eventuali effetti negativi, attuali o prevedibili, per l'esercizio dei diritti fondamentali, in particolare i diritti fondamentali alla dignità umana sancito nell'articolo 1 della Carta, al rispetto della vita privata e familiare sancito nell'articolo 7 della Carta, alla tutela dei dati personali sancito nell'articolo 8 della Carta, alla libertà di espressione e di informazione, inclusi la libertà e il pluralismo dei media, sanciti nell'articolo 11 della Carta, e alla non discriminazione sancito nell'articolo 21 della Carta, al rispetto dei diritti del minore sancito nell'articolo 24 della Carta, così come all'elevata tutela dei consumatori, sancito nell'articolo 38 della Carta;
c) eventuali effetti negativi, attuali o prevedibili, sul dibattito civico e sui processi elettorali, nonché sulla sicurezza pubblica;
d) qualsiasi effetto negativo, attuale o prevedibile, in relazione alla violenza di genere, alla protezione della salute pubblica e dei minori e alle gravi conseguenze negative per il benessere fisico e mentale della persona.
2. Nello svolgimento delle valutazioni dei rischi, i fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi tengono conto, in particolare, dell'eventualità e del modo in cui i seguenti fattori influenzano uno dei rischi sistemici di cui al paragrafo 1:
a) la progettazione dei loro sistemi di raccomandazione e di qualsiasi altro sistema algoritmico pertinente;
b) i loro sistemi di moderazione dei contenuti;
c) le condizioni generali applicabili e la loro applicazione;
d) i sistemi di selezione e presentazione delle pubblicità;
e) le pratiche del fornitore relative ai dati.
Le valutazioni analizzano inoltre se e in che modo i rischi di cui al paragrafo 1 siano influenzati dalla manipolazione intenzionale del loro servizio, anche mediante l'uso non autentico o lo sfruttamento automatizzato del servizio, nonché l'amplificazione e la diffusione potenzialmente rapida e ampia di contenuti illegali e di informazioni incompatibili con le condizioni generali. La valutazione tiene conto di specifici aspetti regionali o linguistici, anche laddove siano specifici di uno Stato membro.
3. I fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi conservano i documenti giustificativi delle valutazioni dei rischi per almeno tre anni dopo l'esecuzione delle valutazioni dei rischi e, su richiesta, li comunicano alla Commissione e al coordinatore dei servizi digitali del luogo di stabilimento.
In sintesi
Indice dei contenuti
Ambito di applicazione: solo per VLOP e VLOSE
L'articolo 34 del Regolamento (UE) 2022/2065 (DSA) rappresenta uno dei cardini della disciplina rafforzata riservata alle piattaforme online di dimensioni molto grandi (VLOP) e ai motori di ricerca online di dimensioni molto grandi (VLOSE). Si tratta dei prestatori che superano la soglia dei 45 milioni di utenti attivi mensili nell'Unione europea - soglia fissata all'articolo 33 - e che la Commissione europea ha formalmente designato come tali.
La scelta di riservare l'obbligo di valutazione del rischio sistemico ai soli VLOP/VLOSE risponde alla logica «più grandi, più obblighi» che pervade l'intero regolamento. Un piccolo forum online, un provider di hosting regionale o una piattaforma di e-commerce di medie dimensioni non dispongono né del potere di influenzare il dibattito pubblico su scala europea né della complessità algoritmica che genera rischi sistemici. I VLOP e i VLOSE, per contro, svolgono funzioni infrastrutturali per l'informazione, il commercio e la comunicazione a livello continentale, e le loro scelte progettuali - dall'architettura dei sistemi di raccomandazione alla gestione della moderazione - producono effetti che vanno ben oltre la relazione bilaterale con il singolo utente.
Oggetto della valutazione: i quattro rischi sistemici
Il paragrafo 1 individua quattro categorie di rischi sistemici che i VLOP e i VLOSE devono obbligatoriamente analizzare. La prima riguarda la diffusione di contenuti illegali tramite il servizio: non si tratta di valutare la liceità dei singoli contenuti, ma di analizzare in che misura la struttura del servizio - le sue regole di distribuzione, amplificazione e moderazione - favorisce o ostacola la circolazione di contenuti che violano il diritto dell'Unione o degli Stati membri.
La seconda categoria attiene agli effetti negativi sull'esercizio dei diritti fondamentali sanciti dalla Carta di Nizza: dignità umana (art. 1), vita privata (art. 7), protezione dei dati personali (art. 8), libertà di espressione e pluralismo dei media (art. 11), non discriminazione (art. 21), diritti del minore (art. 24) e tutela dei consumatori (art. 38). L'elenco è significativo perché dimostra che il DSA non considera la moderazione dei contenuti come un problema esclusivamente di ordine pubblico o sicurezza, ma come una questione di bilanciamento tra diritti fondamentali potenzialmente in conflitto.
La terza categoria riguarda gli effetti sul dibattito civico e sui processi elettorali, nonché sulla sicurezza pubblica. Questa voce cattura le preoccupazioni relative all'uso strumentale delle piattaforme per campagne di disinformazione, manipolazione dell'opinione pubblica in occasione di elezioni o referendum, e diffusione di contenuti che incitano alla violenza collettiva.
La quarta categoria, introdotta con carattere di specificità, riguarda la violenza di genere, la protezione della salute pubblica e dei minori, e le gravi conseguenze negative per il benessere fisico e mentale delle persone. Quest'ultima voce incorpora le riflessioni emerse nel dibattito europeo sull'impatto dei social media sulla salute mentale degli adolescenti e sulle dinamiche di esposizione a contenuti dannosi.
Fattori da prendere in considerazione: algoritmi, moderazione, pubblicità e dati
Il paragrafo 2 specifica i fattori che il VLOP o il VLOSE deve analizzare per comprendere come e in che misura influenzano i rischi sistemici individuati. Il primo fattore è la progettazione dei sistemi di raccomandazione e degli altri sistemi algoritmici pertinenti: questi sistemi determinano quali contenuti sono amplificati, a chi sono mostrati e con quale frequenza. Un algoritmo ottimizzato per massimizzare il tempo di permanenza sulla piattaforma può involontariamente - o deliberatamente - favorire la diffusione di contenuti polarizzanti o di disinformazione emotivamente coinvolgente.
Il secondo fattore è rappresentato dai sistemi di moderazione dei contenuti: l'efficacia, la coerenza e l'imparzialità dei meccanismi con cui il prestatore interviene sui contenuti caricati dagli utenti. Il terzo è relativo alle condizioni generali di utilizzo e alle modalità con cui sono applicate: regole non applicate uniformemente possono creare disparità di trattamento con effetti sistemici sulla libertà di espressione e sulla non discriminazione.
Il quarto fattore è la selezione e la presentazione delle pubblicità: il targeting pubblicitario basato su dati comportamentali può interagire con i rischi sistemici, per esempio amplificando contenuti dannosi attraverso meccanismi pubblicitari o creando incentivi economici alla produzione di contenuti sensazionalistici. Il quinto fattore è rappresentato dalle pratiche del prestatore relative ai dati: le scelte di raccolta, trattamento e condivisione dei dati degli utenti influenzano le dinamiche di rischio in modo pervasivo.
La valutazione deve inoltre esaminare se e come i rischi siano influenzati dalla manipolazione intenzionale del servizio - attraverso account falsi, bot, campagne coordinate di comportamento non autentico - che può amplificare artificialmente contenuti illegali o dannosi, producendo un effetto virale difficile da contenere con i soli meccanismi di moderazione ordinaria. La valutazione deve tenere conto di specifici aspetti regionali e linguistici, riconoscendo che i rischi sistemici non hanno dimensione uniforme in tutti gli Stati membri.
Periodicità e tempistiche
L'obbligo di valutazione non è puntuale ma continuativo. La prima valutazione deve essere effettuata entro la data di applicazione individuata per ciascun VLOP o VLOSE ai sensi dell'articolo 33, paragrafo 6. Successivamente, la valutazione deve essere rinnovata almeno una volta all'anno - il ciclo annuale è il minimo, non il massimo - e in ogni caso prima dell'introduzione di funzionalità che possono avere un impatto critico sui rischi già individuati.
Quest'ultimo requisito introduce un obbligo di valutazione preventiva legato all'innovazione del servizio: ogni volta che un VLOP intende lanciare una nuova funzionalità - un nuovo formato pubblicitario, un'evoluzione del sistema di raccomandazione, una modifica alle regole di moderazione - deve preliminarmente verificare se tale funzionalità possa aggravare i rischi sistemici già identificati o generarne di nuovi. Si tratta di un approccio di risk by design che impone l'integrazione della valutazione del rischio nel processo di sviluppo del prodotto.
Conservazione della documentazione e obblighi verso le autorità
Il paragrafo 3 prescrive che i VLOP e i VLOSE conservino i documenti giustificativi delle valutazioni per almeno tre anni dalla loro esecuzione. Questi documenti devono essere trasmessi alla Commissione europea e al coordinatore dei servizi digitali del luogo di stabilimento su richiesta. L'obbligo di conservazione triennale garantisce che le autorità di vigilanza possano verificare retroattivamente non solo la valutazione più recente, ma anche quelle degli anni precedenti, consentendo un'analisi dell'evoluzione nel tempo della gestione dei rischi sistemici da parte del prestatore.
Il mancato adempimento dell'obbligo di valutazione del rischio - o la sua esecuzione in modo non diligente, per esempio senza analizzare i sistemi algoritmici o senza considerare specifici profili di rischio - espone il prestatore alle sanzioni previste dal DSA, che per le VLOP e i VLOSE possono raggiungere il 6% del fatturato mondiale annuo. In caso di violazione reiterata, la Commissione può disporre misure strutturali, inclusa la sospensione temporanea del servizio.
Coordinamento con le misure di attenuazione del rischio
L'articolo 34 deve essere letto in stretta connessione con l'articolo 35, che disciplina le misure di attenuazione dei rischi: la valutazione non è fine a se stessa, ma è il presupposto logico e giuridico delle misure che il VLOP o il VLOSE è tenuto ad adottare per ridurre o eliminare i rischi sistemici identificati. Il ciclo virtuoso «valutazione - attenuazione - verifica» costituisce il cuore dell'approccio regolatorio del DSA per i prestatori di grandi dimensioni, distinguendosi nettamente dall'approccio reattivo che caratterizza la disciplina degli intermediari ordinari, basato sul meccanismo notice and action.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
La valutazione del rischio dell'art. 34 DSA si applica anche alle piattaforme con meno di 45 milioni di utenti?
No. L'obbligo riguarda esclusivamente le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE), ossia i prestatori formalmente designati dalla Commissione europea ai sensi dell'art. 33. Le piattaforme al di sotto della soglia non sono soggette a questo obbligo.
Con quale frequenza un VLOP deve effettuare la valutazione del rischio?
Almeno una volta all'anno e in ogni caso prima dell'introduzione di funzionalità con impatto critico sui rischi già identificati. La prima valutazione deve essere effettuata entro la data di applicazione individuale stabilita al momento della designazione come VLOP o VLOSE.
Cosa rischia un VLOP che non effettua la valutazione del rischio o la effettua in modo non diligente?
Il DSA prevede sanzioni fino al 6% del fatturato mondiale annuo per i VLOP e i VLOSE che non rispettano gli obblighi a essi applicabili, incluso quello di valutazione del rischio. In caso di violazione grave o reiterata, la Commissione può adottare misure strutturali.
I documenti della valutazione del rischio devono essere resi pubblici?
No, non esiste un obbligo di pubblicazione integrale. I documenti devono essere conservati per almeno tre anni e trasmessi alla Commissione o al coordinatore dei servizi digitali su richiesta. Tuttavia, le relazioni sulla trasparenza pubblicate ai sensi di altre disposizioni del DSA possono contenere informazioni sintetiche sulle valutazioni effettuate.
La valutazione del rischio deve analizzare solo i contenuti illegali o anche i contenuti legali ma dannosi?
Deve comprendere entrambi. L'art. 34, par. 1, include tra i rischi sistemici gli effetti negativi sull'esercizio dei diritti fondamentali, sul dibattito civico e sul benessere fisico e mentale delle persone, che possono derivare anche da contenuti non illegali ma comunque dannosi - come contenuti che alimentano ideazioni autolesive o che amplificano la polarizzazione politica.