Testo dell'articoloVigente
Art. 40 Reg. (UE) 2022/2065 – Accesso ai dati e controllo
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
1. I fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi forniscono al coordinatore dei servizi digitali del luogo di stabilimento o alla Commissione, su loro richiesta motivata ed entro un termine ragionevole specificato in detta richiesta, l'accesso ai dati necessari per monitorare e valutare la conformità al presente regolamento.
2. I coordinatori dei servizi digitali e la Commissione utilizzano i dati a cui si ha avuto accesso a norma del paragrafo 1 solo ai fini del monitoraggio e della valutazione della conformità al presente regolamento e tengono debitamente conto dei diritti e degli interessi dei fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi e dei destinatari del servizio in questione, compresa la protezione dei dati personali, la protezione delle informazioni riservate, in particolare dei segreti commerciali, e il mantenimento della sicurezza del loro servizio.
3. Ai fini del paragrafo 1, i fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi, su richiesta del coordinatore dei servizi digitali del luogo di stabilimento o della Commissione, forniscono spiegazioni in merito alla progettazione, alla logica, al funzionamento e alla sperimentazione dei loro sistemi algoritmici, compresi i loro sistemi di raccomandazione.
4. Su richiesta motivata del coordinatore dei servizi digitali del luogo di stabilimento, i fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi forniscono, entro un termine ragionevole specificato nella richiesta, l'accesso ai dati ai ricercatori abilitati che soddisfano i requisiti di cui al paragrafo 8 del presente articolo, al solo scopo di condurre ricerche che contribuiscano al rilevamento, all'individuazione e alla comprensione dei rischi sistemici nell'Unione, come stabilito a norma dell'articolo 34, paragrafo 1, così come per la valutazione dell'adeguatezza, dell'efficienza e degli impatti delle misure di attenuazione dei rischi a norma dell'articolo 35.
5. Entro 15 giorni dal ricevimento di una richiesta di cui al paragrafo 4, i fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi possono chiedere al coordinatore dei servizi digitali del luogo di stabilimento, se del caso, di modificare la richiesta, qualora ritengano di non essere in condizione di dare accesso ai dati richiesti per uno dei due motivi seguenti:
a) non hanno accesso ai dati;
b) dare accesso ai dati comporterebbe notevoli vulnerabilità per la sicurezza del loro servizio o per la protezione delle informazioni riservate, in particolare dei segreti commerciali.
6. Le richieste di modifica a norma del paragrafo 5 contengono proposte relative a uno o più mezzi alternativi per consentire l'accesso ai dati richiesti o ad altri dati adeguati e sufficienti ai fini della richiesta. Il coordinatore dei servizi digitali del luogo di stabilimento decide in merito alla richiesta di modifica entro 15 giorni e comunicano al fornitore della piattaforma online di dimensioni molto grandi o del motore di ricerca online di dimensioni molto grandi la propria decisione e, ove opportuno, la richiesta modificata e il nuovo termine per conformarsi alla richiesta.
7. I fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi facilitano e forniscono l'accesso ai dati a norma dei paragrafi 1 e 4 mediante interfacce appropriate specificate nella richiesta, comprese banche dati online o interfacce di programmazione delle applicazioni.
8. Su domanda debitamente motivata dei ricercatori, il coordinatore dei servizi digitali del luogo di stabilimento conferisce a tali ricercatori lo status di «ricercatori abilitati» per la specifica ricerca menzionata nella domanda ed emette una richiesta motivata di accesso ai dati a un fornitore di piattaforma online di dimensioni molto grandi o di motore di ricerca online di dimensioni molto grandi a norma del paragrafo 4, se i ricercatori dimostrano di soddisfare tutte le seguenti condizioni:
a) appartengono a un organismo di ricerca quale definito all'articolo 2, punto 1), della direttiva (UE) 2019/790;
b) sono indipendenti da interessi commerciali;
c) la loro domanda comunica il finanziamento della ricerca;
d) sono in grado di rispettare le specifiche prescrizioni di sicurezza e riservatezza dei dati corrispondenti a ciascuna richiesta e di proteggere i dati personali, e descrivono, nella loro richiesta, le misure tecniche e organizzative appropriate che hanno messo in atto a tal fine;
e) la loro domanda dimostra che il loro accesso ai dati e i periodi richiesto sono necessari ai fini della loro ricerca e proporzionati ad essa e che i risultati attesi da detta ricerca contribuiranno alle finalità di cui al paragrafo 4;
f) le attività di ricerca previste saranno svolte per le finalità di cui al paragrafo 4;
g) si sono impegnati a rendere disponibili gratuitamente al pubblico i risultati delle loro ricerche, entro un termine ragionevole dal completamento della ricerca, con riserva dei diritti e degli interessi dei destinatari del servizio in questione, in conformità del regolamento (UE) 2016/679.
Al ricevimento della richiesta a norma del presente paragrafo, il coordinatore dei servizi digitali del luogo di stabilimento informa la Commissione e il comitato.
9. I ricercatori possono inoltre presentare la domanda al coordinatore dei servizi digitali dello Stato membro dell'organismo di ricerca a cui appartengono. Al ricevimento della domanda a norma del presente paragrafo, il coordinatore dei servizi digitali effettua una valutazione iniziale per stabilire se i rispettivi ricercatori soddisfano tutte le condizioni di cui al paragrafo 8. Il rispettivo coordinatore dei servizi digitali invia successivamente al coordinatore dei servizi digitali del luogo di stabilimento la domanda, corredata dei documenti giustificativi presentati dai rispettivi ricercatori e della valutazione iniziale. Il coordinatore dei servizi digitali del luogo di stabilimento decide senza indebito ritardo se conferire a un ricercatore lo status di «ricercatore abilitato». Pur tenendo debitamente conto della valutazione iniziale fornita, la decisione definitiva di conferire a un ricercatore lo status di «ricercatore abilitato» spetta al coordinatore dei servizi digitali del luogo di stabilimento, a norma del paragrafo 8.
10. Il coordinatore dei servizi digitali che ha concesso lo status di ricercatore abilitato e ha presentato la richiesta motivata di accesso ai dati ai fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi in favore di un ricercatore abilitato adotta una decisione che pone fine all'accesso se, a seguito di un'indagine effettuata di propria iniziativa o sulla base di informazioni ricevute da terzi, stabilisce che il ricercatore abilitato non soddisfa più le condizioni di cui al paragrafo 8 e ne informa il fornitore della piattaforma online di dimensioni molto grandi o del motore di ricerca online di dimensioni molto grandi in questione. Prima di revocare l'accesso, il coordinatore dei servizi digitali consente al ricercatore abilitato di rispondere alle constatazioni della sua indagine e di reagire alla sua intenzione di revocare l'accesso.
11. I coordinatori dei servizi digitali del luogo di stabilimento comunicano al comitato i nomi e le informazioni di contatto delle persone fisiche o degli enti a cui hanno conferito lo status di «ricercatore abilitato» in conformità del paragrafo 8, nonché lo scopo della ricerca in relazione alla quale la domanda è stata presentata ovvero, se hanno posto fine all'accesso ai dati in conformità del paragrafo 10, comunicano tale informazione al comitato.
12. I fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi danno accesso senza indebito ritardo ai dati, compresi, laddove tecnicamente possibile, i dati in tempo reale, a condizione che i dati siano pubblicamente accessibili nella loro interfaccia online ai ricercatori, compresi quelli appartenenti a organismi, organizzazioni e associazioni senza scopo di lucro, che soddisfano le condizioni di cui al paragrafo 8, lettere b), c), d) ed e), e che utilizzano i dati unicamente per svolgere attività di ricerca che contribuiscono all'individuazione, all'identificazione e alla comprensione dei rischi sistemici nell'Unione a norma dell'articolo 34, paragrafo 1.
13. La Commissione, previa consultazione del comitato, adotta atti delegati che integrano il presente regolamento stabilendo le condizioni tecniche alle quali i fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi devono condividere i dati a norma dei paragrafi 1 e 4 e i fini per i quali questi ultimi possono essere usati. Tali atti delegati stabiliscono le condizioni specifiche in base a cui può avvenire tale condivisione dei dati con ricercatori a norma del regolamento (UE) 2016/679, nonché gli indicatori obiettivi pertinenti, le procedure e, laddove necessario, i meccanismi consultivi indipendenti a sostegno della condivisione dei dati, tenendo conto dei diritti e degli interessi dei fornitori di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi e dei destinatari del servizio in questione, compresa la protezione delle informazioni riservate, in particolare dei segreti commerciali, e il mantenimento della sicurezza del loro servizio.
In sintesi
Indice dei contenuti
Ratio e contesto normativo: la trasparenza algoritmica come strumento di vigilanza
L'articolo 40 del Regolamento (UE) 2022/2065 (DSA) si colloca nella Sezione V del Capo IV, dedicata agli obblighi aggiuntivi per le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE). Sono tali i servizi che superano la soglia di 45 milioni di utenti attivi mensili nell'Unione europea, designati formalmente dalla Commissione con decisione ai sensi dell'articolo 33.
La disposizione risponde a un'esigenza fondamentale: le VLOP e le VLOSE operano attraverso sistemi algoritmici opachi - motori di raccomandazione, sistemi di ranking, pubblicità microtargeted, filtri di contenuto - il cui funzionamento è difficile da verificare dall'esterno, anche per le autorità di regolazione. Senza accesso ai dati, la vigilanza sul rispetto degli obblighi DSA (in primis la valutazione e attenuazione dei rischi sistemici di cui agli articoli 34-35) sarebbe sostanzialmente cieca. L'articolo 40 costruisce quindi un doppio canale di accesso ai dati: uno diretto per le autorità di vigilanza, l'altro mediato per la comunità scientifica.
Il canale istituzionale: accesso per coordinatori e Commissione
Il paragrafo 1 stabilisce l'obbligo principale: su richiesta motivata del coordinatore dei servizi digitali del luogo di stabilimento o della Commissione, la VLOP/VLOSE deve fornire l'accesso ai dati necessari per monitorare e valutare la conformità al DSA, entro un termine ragionevole indicato nella richiesta stessa.
L'accesso non è generico: deve essere «necessario» al monitoraggio e alla valutazione della conformità, il che implica un principio di proporzionalità nella richiesta. L'autorità non può pretendere un accesso illimitato a tutti i dati dell'operatore, ma deve motivare perché specifiche categorie di dati siano necessarie al controllo di conformità in corso.
Il paragrafo 2 impone all'autorità che riceve i dati di trattarli nel rispetto dei diritti dei fornitori e degli utenti, con particolare attenzione alla protezione dei dati personali (GDPR), alla tutela delle informazioni riservate e dei segreti commerciali, e al mantenimento della sicurezza del servizio. Il bilanciamento tra trasparenza regolatoria e riservatezza commerciale è uno dei nodi più complessi dell'applicazione pratica dell'articolo 40.
Il paragrafo 3 aggiunge un obbligo di spiegabilità algoritmica: su richiesta del coordinatore o della Commissione, la VLOP/VLOSE deve fornire spiegazioni in merito alla progettazione, alla logica, al funzionamento e alla sperimentazione dei propri sistemi algoritmici, compresi i sistemi di raccomandazione. Questo obbligo va oltre la semplice condivisione di dati grezzi: richiede che il fornitore sia in grado di documentare e comunicare il funzionamento dei propri algoritmi in modo comprensibile per l'autorità di vigilanza, aprendo la via a valutazioni di conformità nel merito delle scelte algoritmiche.
Il canale scientifico: i ricercatori abilitati
I paragrafi 4-12 disciplinano il meccanismo di accesso ai dati per i ricercatori abilitati (vetted researchers). Si tratta di un istituto innovativo nel panorama regolatorio europeo: il legislatore riconosce che la comprensione dei rischi sistemici delle grandi piattaforme richiede non solo la vigilanza istituzionale, ma anche l'apporto della ricerca accademica e scientifica indipendente.
Il meccanismo si articola in tre fasi. Nella prima, il ricercatore presenta una domanda motivata al coordinatore dei servizi digitali del luogo di stabilimento della VLOP (o a quello del proprio Stato membro, che effettua una valutazione iniziale e la trasmette al coordinatore competente). Nella seconda, il coordinatore valuta se il ricercatore soddisfa tutti i requisiti del paragrafo 8 e, in caso positivo, gli conferisce lo status di ricercatore abilitato per la ricerca specifica. Nella terza, il coordinatore emette una richiesta motivata di accesso ai dati alla VLOP/VLOSE.
I requisiti del ricercatore abilitato: indipendenza e garanzie
I requisiti per ottenere lo status di ricercatore abilitato, elencati al paragrafo 8, sono cumulativi e stringenti. Il ricercatore deve:
a) Appartenere a un organismo di ricerca ai sensi dell'articolo 2, punto 1, della direttiva (UE) 2019/790 sul diritto d'autore nel mercato unico digitale: università, istituti di ricerca, fondazioni scientifiche, ma non think tank privati con interesse commerciale diretto nel settore.
b) Essere indipendente da interessi commerciali: il ricercatore non deve avere relazioni di consulenza, partecipazione azionaria o altro interesse economico con la VLOP oggetto della ricerca o con i suoi diretti concorrenti.
c) Comunicare il finanziamento della ricerca: la trasparenza sulle fonti di finanziamento è condizione di validità della domanda, per prevenire ricerche commissionate da soggetti con interessi di parte.
d) Rispettare prescrizioni di sicurezza e riservatezza: il ricercatore deve descrivere misure tecniche e organizzative adeguate per proteggere i dati personali eventualmente inclusi nei dataset e garantire la sicurezza delle informazioni riservate.
e) Dimostrare la necessità e proporzionalità dell'accesso ai dati per la specifica ricerca, e la sua idoneità a contribuire all'individuazione dei rischi sistemici di cui all'articolo 34.
f) Finalizzare la ricerca alle attività elencate al paragrafo 4: rilevamento, individuazione e comprensione dei rischi sistemici nell'Unione.
g) Impegnarsi a rendere disponibili gratuitamente al pubblico i risultati della ricerca entro un termine ragionevole, fatte salve la tutela dei dati personali e la protezione delle informazioni riservate dei terzi.
La procedura di accesso e le garanzie del fornitore
Il fornitore non è privo di tutele nel processo. Il paragrafo 5 gli consente di chiedere la modifica della richiesta entro 15 giorni, se ritiene di non poter fornire i dati per due motivi tassativi: (i) non ha accesso ai dati richiesti; (ii) l'accesso comporterebbe notevoli vulnerabilità di sicurezza o rischio per segreti commerciali. La richiesta di modifica deve contenere proposte alternative (altri dati adeguati allo scopo della ricerca). Il coordinatore decide sulla modifica entro ulteriori 15 giorni.
Il paragrafo 10 prevede che l'accesso possa essere revocato dal coordinatore se il ricercatore non soddisfa più i requisiti del paragrafo 8, con diritto al contraddittorio prima della revoca. Il paragrafo 11 impone al coordinatore di comunicare al comitato europeo i nominativi e le finalità dei ricercatori abilitati, garantendo trasparenza sul sistema.
L'accesso ai dati pubblicamente accessibili: il paragrafo 12
Il paragrafo 12 introduce una regola semplificata per i dati che sono già pubblicamente accessibili nell'interfaccia online della VLOP/VLOSE (ad esempio, commenti pubblici, post pubblici, metriche di engagement visibili a tutti gli utenti). Per questi dati, il fornitore deve darne accesso «senza indebito ritardo», anche in tempo reale ove tecnicamente possibile, ai ricercatori che soddisfano solo i requisiti di indipendenza commerciale, di comunicazione del finanziamento, di sicurezza dei dati e di necessità/proporzionalità (lettere b, c, d ed e del paragrafo 8), senza necessità della certificazione formale da parte del coordinatore. Questa semplificazione tiene conto del fatto che, per dati già pubblici, il rischio di divulgazione di informazioni riservate è assente o minimo.
Gli atti delegati e il coordinamento con il GDPR
Il paragrafo 13 autorizza la Commissione ad adottare atti delegati per specificare le condizioni tecniche di condivisione dei dati, le finalità ammesse per il loro utilizzo, gli indicatori oggettivi e i meccanismi consultivi indipendenti. Questi atti delegati devono tenere conto del GDPR, in particolare per la condivisione di dati con i ricercatori: il trattamento di dati personali anche a fini di ricerca scientifica è consentito dal GDPR (articolo 89), ma richiede misure di salvaguardia appropriate (pseudonimizzazione, minimizzazione, accesso controllato in ambienti sicuri).
Il coordinamento con il GDPR è una sfida pratica significativa: molti dei dati più interessanti per la ricerca sui rischi sistemici (interazioni degli utenti, dati di engagement, esposizione a contenuti particolari) sono dati personali. La costruzione di «stanze sicure» per l'analisi dei dati e la pseudonimizzazione dei dataset prima della consegna ai ricercatori saranno probabilmente al centro degli atti delegati previsti.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
L'obbligo di accesso ai dati dell'articolo 40 riguarda tutte le piattaforme online o solo le VLOP?
Solo le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE), designati formalmente dalla Commissione per aver superato la soglia di 45 milioni di utenti attivi mensili nell'Unione europea.
Chi può diventare ricercatore abilitato e come si ottiene la certificazione?
Può farlo un ricercatore appartenente a un organismo di ricerca indipendente (università, istituto pubblico), che soddisfi i requisiti del paragrafo 8: indipendenza commerciale, comunicazione del finanziamento, garanzie di sicurezza dei dati, finalità di ricerca sui rischi sistemici e impegno alla pubblicazione gratuita. La certificazione è rilasciata dal coordinatore dei servizi digitali.
La VLOP può rifiutare di dare accesso ai dati richiesti da un ricercatore abilitato?
Non può rifiutare, ma può chiedere entro 15 giorni una modifica della richiesta se non ha accesso ai dati o se l'accesso comporterebbe vulnerabilità di sicurezza o rischio per segreti commerciali. Deve però proporre dati alternativi idonei allo scopo della ricerca.
I dati personali degli utenti vengono trasmessi ai ricercatori?
Il trattamento di dati personali è possibile solo nel rispetto del GDPR (articolo 89, ricerca scientifica), con misure di salvaguardia adeguate come pseudonimizzazione e ambienti sicuri. Gli atti delegati previsti dal paragrafo 13 specificheranno le condizioni tecniche per la condivisione in conformità con il GDPR.
Qual è la differenza tra l'accesso ai dati del paragrafo 1 (per le autorità) e quello del paragrafo 4 (per i ricercatori)?
L'accesso del paragrafo 1 è a favore del coordinatore dei servizi digitali o della Commissione per finalità di vigilanza sulla conformità al DSA; non richiede certificazione del ricercatore. L'accesso del paragrafo 4 è per ricercatori abilitati, per finalità di ricerca scientifica sui rischi sistemici, richiede certificazione dal coordinatore e rispetto dei requisiti del paragrafo 8.