Testo dell'articoloVigente
Art. 37 Reg. (UE) 2022/2065 – Revisioni indipendenti
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
1. I fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi si sottopongono, a proprie spese e almeno una volta all'anno, a revisioni indipendenti volti a valutare la conformità:
a) agli obblighi stabiliti al capo III;
b) agli impegni assunti a norma dei codici di condotta di cui agli articoli 45 e 46 e dei protocolli di crisi di cui all'articolo 48.
2. I fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi consentono alle organizzazioni che effettuano le revisioni a norma del presente articolo la cooperazione e l'assistenza necessarie per consentire loro di svolgere tali revisioni in modo efficace, efficiente e tempestivo, anche provvedendo a dare loro accesso a tutti i dati e ai locali pertinenti, e rispondendo a domande orali o scritte. Essi si astengono dall'ostacolare, influenzare indebitamente o compromettere lo svolgimento della revisione. Dette revisioni garantiscono un adeguato livello di riservatezza e il segreto professionale per quanto riguarda le informazioni ottenute dai fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi e da terzi nel contesto delle revisioni, anche dopo la loro conclusione. Tuttavia, il rispetto di tale obbligo non deve pregiudicare l'esecuzione delle revisioni e delle altre disposizioni del presente regolamento, in particolare quelle in materia di trasparenza, vigilanza ed esecuzione. Se necessario ai fini della relazione sulla trasparenza a norma dell'articolo 42, paragrafo 4, la relazione di revisione e la relazione di esecuzione della revisione di cui ai paragrafi 4 e 6 del presente articolo sono accompagnate dalle versioni prive di informazioni che potrebbero essere ragionevolmente considerate riservate.
3. Le revisioni effettuate a norma del paragrafo 1 sono eseguite da organizzazioni:
a) indipendenti e in assenza di conflitti di interessi con il fornitore di piattaforme online di dimensioni molto grandi o di motori di ricerca online di dimensioni molto grandi in questione, e con qualsiasi persona giuridica connessa con tale fornitore; in particolare: i) non devono aver fornito servizi diversi dalla revisione relativi alle questioni sottoposte a revisione al fornitore della piattaforma online di dimensioni molto grandi interessata o del motore di ricerca online di dimensioni molto grandi in questione e a qualsiasi persona giuridica collegata a tale fornitore nei 12 mesi precedenti l'inizio della revisione, e devono essersi impegnati a non fornire tali servizi nei 12 mesi successivi al completamento della revisione; ii) non devono aver fornito servizi di revisione a norma del presente articolo al fornitore della piattaforma online di dimensioni molto grandi interessata o del motore di ricerca online di dimensioni molto grandi in questione e a qualsiasi persona giuridica collegata a tale fornitore per un periodo superiore a dieci anni consecutivi; iii) non possono effettuare la revisione a fronte di corrispettivi che dipendono dall'esito dello stesso; i) non devono aver fornito servizi diversi dalla revisione relativi alle questioni sottoposte a revisione al fornitore della piattaforma online di dimensioni molto grandi interessata o del motore di ricerca online di dimensioni molto grandi in questione e a qualsiasi persona giuridica collegata a tale fornitore nei 12 mesi precedenti l'inizio della revisione, e devono essersi impegnati a non fornire tali servizi nei 12 mesi successivi al completamento della revisione; ii) non devono aver fornito servizi di revisione a norma del presente articolo al fornitore della piattaforma online di dimensioni molto grandi interessata o del motore di ricerca online di dimensioni molto grandi in questione e a qualsiasi persona giuridica collegata a tale fornitore per un periodo superiore a dieci anni consecutivi; iii) non possono effettuare la revisione a fronte di corrispettivi che dipendono dall'esito dello stesso;
i) non devono aver fornito servizi diversi dalla revisione relativi alle questioni sottoposte a revisione al fornitore della piattaforma online di dimensioni molto grandi interessata o del motore di ricerca online di dimensioni molto grandi in questione e a qualsiasi persona giuridica collegata a tale fornitore nei 12 mesi precedenti l'inizio della revisione, e devono essersi impegnati a non fornire tali servizi nei 12 mesi successivi al completamento della revisione;
ii) non devono aver fornito servizi di revisione a norma del presente articolo al fornitore della piattaforma online di dimensioni molto grandi interessata o del motore di ricerca online di dimensioni molto grandi in questione e a qualsiasi persona giuridica collegata a tale fornitore per un periodo superiore a dieci anni consecutivi;
iii) non possono effettuare la revisione a fronte di corrispettivi che dipendono dall'esito dello stesso;
b) sono dotate di comprovata esperienza nel settore della gestione dei rischi, di competenze e di capacità tecniche;
c) sono dotate di comprovata obiettività e deontologia professionale, basata in particolare sull'adesione a codici di condotta o standard appropriati.
4. I fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi provvedono affinché le organizzazioni che effettuano le revisioni redigano una relazione per ciascuna revisione. Tale relazione è motivata per iscritto e contiene almeno gli elementi seguenti:
a) il nome, l'indirizzo e il punto di contatto del fornitore della piattaforma online di dimensioni molto grandi o del motore di ricerca online di dimensioni molto grandi oggetto della revisione e il periodo di riferimento della revisione;
b) il nome e l'indirizzo dell'organizzazione o delle organizzazioni che eseguono la revisione;
c) una dichiarazione di interessi;
d) una descrizione degli elementi specifici sottoposti a revisione e della metodologia applicata;
e) una descrizione e una sintesi delle principali constatazioni derivanti dalla revisione;
f) un elenco delle parti terze consultate nel quadro della revisione;
g) un giudizio di revisione sul rispetto, da parte del fornitore della piattaforma online di dimensioni molto grandi o del motore di ricerca online di dimensioni molto grandi oggetto della revisione, degli obblighi e degli impegni di cui al paragrafo 1, giudizio che può essere segnatamente «positivo», «positivo con osservazioni» o «negativo»;
h) se il giudizio di revisione non è «positivo», raccomandazioni operative su misure specifiche per conseguire la conformità e sui tempi raccomandati per conseguirla.
5. Qualora l'organizzazione che ha effettuato la revisione non abbia potuto verificare determinati elementi specifici o esprimere un giudizio di revisione sulla base delle proprie indagini, la relazione di revisione include una spiegazione delle circostanze e dei motivi per cui tali elementi non hanno potuto essere sottoposti a revisione.
6. I fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi che ricevono una relazione di revisione che non è «positiva» tengono debitamente conto delle raccomandazioni operative ad essi rivolte al fine di adottare le misure necessarie per attuarle. Entro un mese dal ricevimento di tali raccomandazioni, essi adottano una relazione di attuazione della revisione con cui stabiliscono tali misure. Qualora non diano attuazione alle raccomandazioni operative, essi giustificano nella relazione di attuazione della revisione le ragioni di tale scelta e descrivono le misure alternative da esse adottate per risolvere eventuali casi di non conformità rilevati.
7. Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 87 al fine di integrare il presente regolamento stabilendo le norme necessarie per lo svolgimento delle revisioni a norma del presente articolo, in particolare per quanto riguarda la regolamentazione necessaria per le fasi procedurali, le metodologie di revisione e i modelli di comunicazione delle revisioni effettuate a norma del presente articolo. Tali atti delegati tengono conto di eventuali standard di revisione volontari a norma dell'articolo 44, paragrafo 1, lettera e).
In sintesi
Indice dei contenuti
Le revisioni indipendenti nel sistema di governance DSA
L'articolo 37 del DSA rappresenta uno dei meccanismi più innovativi del regolamento: l'introduzione di un sistema di audit obbligatori annuali per le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE). Si tratta di un modello che si ispira agli audit finanziari obbligatori per le società quotate, ma adattato al contesto della governance digitale: non si verifica la correttezza del bilancio, ma la conformità del comportamento della piattaforma agli obblighi del Capo III del DSA e agli impegni volontari assunti nell'ambito dei codici di condotta.
Il contesto in cui si inserisce questa norma è quello degli obblighi rafforzati per VLOP e VLOSE, definiti nel Capo IV del DSA. Le piattaforme che raggiungono la soglia di 45 milioni di utenti attivi mensili nell'UE non sono soggette agli stessi obblighi delle piattaforme più piccole: devono valutare i rischi sistemici, adottare misure di attenuazione, pubblicare relazioni annuali sulla trasparenza, garantire l'accesso ai ricercatori. Le revisioni indipendenti ex art. 37 sono lo strumento attraverso cui si verifica che questi obblighi siano effettivamente rispettati.
L'oggetto della revisione: i due livelli di conformità
Il paragrafo 1 identifica due livelli distinti di verifica. Il primo riguarda la conformità agli obblighi del Capo III del DSA, che comprende tutti gli obblighi specifici per le VLOP e VLOSE: valutazione e attenuazione dei rischi sistemici (artt. 34-35), risposta alle crisi (art. 36), accesso ai dati per i ricercatori (art. 40), relazioni di trasparenza (art. 42). Il secondo livello riguarda la conformità agli impegni volontari assunti nell'ambito dei codici di condotta (artt. 45-46) e dei protocolli di crisi (art. 48). Questo secondo livello è particolarmente rilevante perché trasforma gli impegni volontari in oggetto di verifica formale: una VLOP che ha aderito al Codice di condotta sulla disinformazione, per esempio, è tenuta a dimostrare che i propri comportamenti sono conformi a quanto promesso.
I requisiti di indipendenza dei revisori
Il cuore dell'articolo 37 è la disciplina dell'indipendenza dei revisori, alla quale il paragrafo 3 dedica tre requisiti cumulativi di grande dettaglio.
Il primo requisito riguarda l'assenza di conflitti di interessi. Il revisore non deve aver prestato servizi (diversi dalla revisione) al soggetto revisionato - o a qualsiasi persona giuridica a esso connessa - nei 12 mesi precedenti l'inizio della revisione, e deve impegnarsi a non farlo nei 12 mesi successivi al suo completamento. Questo «cooling off period» bilaterale mira a impedire che il revisore sia economicamente dipendente dal soggetto che deve valutare. Inoltre, il revisore non può aver svolto revisioni DSA per la stessa piattaforma per più di dieci anni consecutivi: una norma che ricalca i requisiti di rotazione dei revisori legali nel diritto societario europeo.
La terza condizione è forse la più decisiva: il compenso del revisore non può dipendere dall'esito della revisione. Questa clausola colpisce alla radice il meccanismo del «opinion shopping»: se il revisore venisse pagato di più in caso di giudizio positivo, avrebbe un incentivo economico a essere meno rigoroso nella propria analisi. L'indipendenza economica è il presupposto dell'indipendenza intellettuale.
Il secondo e terzo requisito riguardano la competenza professionale: i revisori devono avere esperienza comprovata nella gestione dei rischi, competenze tecniche adeguate, e un'etica professionale documentata (per esempio attraverso l'adesione a codici di condotta di settore). In pratica, ciò significa che le revisioni DSA non possono essere svolte da consulenti generici, ma richiedono team multidisciplinari con competenze in sicurezza informatica, analisi dei rischi, scienze sociali e diritto digitale.
La struttura della relazione di revisione
Il paragrafo 4 disciplina in dettaglio il contenuto minimo della relazione di revisione. Accanto agli elementi formali (identificazione del soggetto revisionato e del revisore, dichiarazione di interessi, periodo di riferimento), la relazione deve contenere:
Il sistema dei tre giudizi è mutuato dal mondo della revisione legale dei conti: un giudizio «positivo» non significa che la piattaforma sia perfetta, ma che non sono state riscontrate non conformità significative; «positivo con osservazioni» segnala criticità che non raggiungono la soglia della non conformità ma che richiedono attenzione; «negativo» indica una non conformità accertata rispetto agli obblighi oggetto di revisione.
Le conseguenze del giudizio non positivo: il piano di attuazione
Il paragrafo 6 disciplina le conseguenze di un giudizio «non positivo» (cioè «positivo con osservazioni» o «negativo»). La VLOP o VLOSE che riceve raccomandazioni operative deve adottare entro un mese una relazione di attuazione in cui descrive le misure che intende adottare per dare seguito alle raccomandazioni. Se decide di non seguire una o più raccomandazioni, deve giustificare tale scelta nella relazione di attuazione e descrivere le misure alternative adottate.
Questa struttura crea un meccanismo di accountability pubblica: la relazione di revisione e la relazione di attuazione devono essere allegate alla relazione annuale di trasparenza prevista dall'art. 42 (nella versione priva di informazioni riservate), rendendole accessibili al pubblico. I coordinatori dei servizi digitali, la Commissione e i ricercatori possono quindi verificare se le VLOP stiano effettivamente dando seguito alle raccomandazioni dei revisori.
I limiti della revisione: elementi non verificabili
Il paragrafo 5 contempla la possibilità che il revisore non riesca a verificare determinati elementi o a esprimere un giudizio su alcune questioni. In tal caso, la relazione deve spiegare le circostanze e i motivi per cui quegli elementi non hanno potuto essere esaminati. Questa norma è importante perché riconosce la complessità tecnica delle operazioni delle grandi piattaforme: non tutto è accessibile a un revisore esterno, e la relazione deve essere onesta su queste limitazioni, piuttosto che omettere le lacune.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Chi deve sottoporsi alle revisioni indipendenti previste dall'art. 37 DSA?
Le revisioni indipendenti sono obbligatorie esclusivamente per le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE), ovvero quei prestatori designati dalla Commissione europea perché raggiungono la soglia di 45 milioni di utenti attivi mensili nell'Unione europea. Le piattaforme e i motori di ricerca di dimensioni inferiori non sono soggetti a questo obbligo.
Con quale frequenza devono essere effettuate le revisioni?
L'art. 37, par. 1, stabilisce che le revisioni devono essere effettuate almeno una volta all'anno. La Commissione può fissare ulteriori requisiti tramite atti delegati.
Cosa succede se il revisore non riesce a verificare alcuni elementi?
Il paragrafo 5 dell'art. 37 prevede che, in tal caso, la relazione di revisione debba spiegare le circostanze e i motivi per cui quegli elementi non hanno potuto essere sottoposti a revisione. Il revisore non può omettere le lacune o fingere di aver analizzato aspetti che non ha potuto esaminare.
Le relazioni di revisione sono pubbliche?
Le relazioni di revisione e le relazioni di attuazione devono essere allegate alle relazioni annuali di trasparenza previste dall'art. 42 DSA, nella versione priva di informazioni riservate. Sono quindi accessibili al pubblico, ai ricercatori e alle autorità di vigilanza, pur nel rispetto degli obblighi di riservatezza sulle informazioni commercialmente sensibili.
Può lo stesso revisore svolgere la revisione DSA per più anni consecutivi?
Il revisore non può svolgere la revisione per la stessa VLOP o VLOSE per un periodo superiore a dieci anni consecutivi (art. 37, par. 3, lett. a), punto ii). Questo limite di mandato, ispirato alla disciplina della revisione legale dei conti, mira a preservare l'indipendenza intellettuale del revisore nel lungo periodo.