Art. 41 Reg. (UE) 2022/2065 – Funzione di controllo della conformità

La funzione di controllo della conformità come presidio istituzionale nelle VLOP

L'articolo 41 del Regolamento (UE) 2022/2065 (DSA) introduce un obbligo organizzativo peculiare: le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE) devono istituire una funzione di controllo della conformità strutturalmente separata dalle funzioni operative. Si tratta di un requisito di governance aziendale che richiama, nel mondo del diritto digitale, modelli già sperimentati in settori regolamentati come quello bancario (funzione di compliance ai sensi della direttiva CRD IV) e assicurativo.

Le VLOP e i VLOSE sono i soggetti designati dalla Commissione ai sensi dell'articolo 33 in quanto superano la soglia dei 45 milioni di utenti attivi mensili nell'UE. Per questi soggetti, il DSA prevede obblighi rafforzati (sezione 5 del capo III) che comprendono la valutazione e attenuazione dei rischi sistemici (articoli 34-35), l'audit indipendente (articolo 37), il sistema di raccomandazione trasparente (articolo 38), le misure di tutela dei minori (articolo 28), e appunto la funzione di controllo della conformità di cui all'articolo 41.

Struttura e composizione della funzione

La funzione di controllo della conformità deve essere indipendente dalle funzioni operative. Questa indipendenza strutturale è il nucleo della disposizione: la funzione non può essere sottoposta alla supervisione di un responsabile commerciale, di un responsabile del prodotto o di un responsabile delle operazioni che abbia interesse a sottomettere la conformità alle esigenze del business. Il modello richiamato è quello delle funzioni di second line of defence nella governance aziendale moderna.

La funzione è composta da uno o più responsabili della conformità. Per le organizzazioni più complesse, è plausibile che la funzione sia strutturata come un team dedicato, con specialisti per diversi profili di rischio DSA (rischi sistemici, trasparenza algoritmica, tutela dei minori, moderazione dei contenuti). Deve disporre di «autorità, status e risorse sufficienti» - formula volutamente aperta che richiede una valutazione caso per caso, in proporzione alla complessità della piattaforma e alla portata degli obblighi da presidiare.

Il capo della funzione: requisiti e tutele

Il paragrafo 2 disciplina in dettaglio la figura del capo della funzione di controllo della conformità. Devono essere rispettati quattro requisiti fondamentali.

In primo luogo, le qualifiche professionali: l'organo di gestione deve assicurare che il capo della funzione possieda le conoscenze, l'esperienza e le capacità necessarie. Non esiste un profilo di qualificazione predefinito nel testo del DSA, ma è ragionevole attendersi che comprenda competenze giuridiche in diritto digitale europeo, conoscenza dei meccanismi di funzionamento delle piattaforme, e capacità di interazione con le autorità di vigilanza.

In secondo luogo, l'indipendenza gerarchica: il capo della funzione deve essere «un alto dirigente indipendente con responsabilità distinta». Non può essere, ad esempio, il direttore legale che risponde al CEO su questioni contrattuali e contemporaneamente gestisce la conformità DSA: deve avere una linea di riporto autonoma verso l'organo di gestione.

In terzo luogo, il diritto di accesso e di segnalazione: il capo della funzione riferisce direttamente all'organo di gestione e può segnalare rischi (ai sensi dell'articolo 34) o violazioni del regolamento, anche in contrasto con gli orientamenti del management operativo. Questo diritto è una garanzia essenziale: senza di esso, la funzione di conformità rischierebbe di essere neutralizzata da pressioni interne.

In quarto luogo, la inamovibilità relativa: il capo della funzione «non può essere rimosso senza previa approvazione dell'organo di gestione». La norma crea un meccanismo di tutela contro le ritorsioni: un CEO che voglia licenziare il responsabile della conformità per aver segnalato una violazione non può farlo unilateralmente, ma deve ottenere l'approvazione del board. Questa disposizione richiama istituti analoghi nella normativa bancaria (tutela dei responsabili delle funzioni di controllo interno).

I sei compiti dei responsabili della conformità

Il paragrafo 3 elenca sei compiti tipici. Si tratta di un elenco non tassativo («hanno i compiti seguenti»), che può essere integrato dalla governance interna della piattaforma.

(a) Collaborazione con le autorità: il responsabile della conformità è il punto di interfaccia privilegiato con il coordinatore dei servizi digitali del luogo di stabilimento e con la Commissione. Questa funzione di liaison istituzionale richiede la capacità di gestire relazioni con autorità di vigilanza di diversi Stati membri e con la Commissione europea.

(b) Rischi sistemici: il responsabile assicura che tutti i rischi di cui all'articolo 34 (rischi sistemici derivanti dalla concezione e funzionamento della piattaforma, inclusi i rischi per la salute pubblica, la sicurezza, i diritti fondamentali, i processi elettorali, la violenza di genere) siano identificati, segnalati e che siano adottate misure di attenuazione ragionevoli e proporzionate ai sensi dell'articolo 35.

(c) Audit indipendente: il responsabile organizza e sovraintende alle attività relative alle revisioni indipendenti di cui all'articolo 37, che devono essere condotte da organismi esterni accreditati e trasmesse alla Commissione.

(d) Consulenza interna: il responsabile informa e consiglia i dirigenti e i dipendenti sugli obblighi derivanti dal DSA. Questa funzione richiede la capacità di tradurre obblighi normativi complessi in procedure operative accessibili ai diversi livelli dell'organizzazione.

(e) Monitoraggio della conformità: il responsabile monitora sistematicamente il rispetto del regolamento da parte della piattaforma, con particolare attenzione agli obblighi di trasparenza, alle norme sui sistemi di raccomandazione, ai meccanismi di segnalazione e ai requisiti in materia di pubblicità.

(f) Codici di condotta: se del caso, il responsabile monitora il rispetto degli impegni assunti dalla piattaforma nell'ambito di codici di condotta (articolo 45) o protocolli di crisi (articolo 48), che possono integrare e specificare gli obblighi normativi.

Il ruolo dell'organo di gestione

I paragrafi da 5 a 7 attribuiscono responsabilità dirette all'organo di gestione (consiglio di amministrazione o equivalente). L'organo di gestione è tenuto a: definire i sistemi di governance che garantiscano l'indipendenza della funzione (paragrafo 5); approvare e riesaminare annualmente le politiche di gestione dei rischi individuati ai sensi dell'articolo 34 (paragrafo 6); dedicare tempo sufficiente all'esame delle misure relative alla gestione dei rischi e partecipare attivamente alle decisioni rilevanti (paragrafo 7).

Queste disposizioni implicano che la conformità DSA non è una questione delegabile esclusivamente al management operativo: il board ha responsabilità dirette e non può trincerarsi dietro l'ignoranza dei rischi sistemici identificati dalla funzione di controllo. In sede di audit indipendente (articolo 37) e nei procedimenti di vigilanza della Commissione, la condotta dell'organo di gestione potrà essere esaminata per valutare se ha adeguatamente esercitato le sue responsabilità.

Comunicazione alle autorità e implicazioni pratiche

Il paragrafo 4 impone la comunicazione del nome e delle coordinate del capo della funzione di controllo al coordinatore dei servizi digitali del luogo di stabilimento e alla Commissione. Questo obbligo crea un registro informale dei referenti istituzionali delle VLOP e dei VLOSE, facilitando i contatti per le attività di vigilanza e le richieste di informazioni. Le piattaforme devono aggiornare queste informazioni in caso di cambio del responsabile e garantire la reperibilità del punto di contatto.