Testo dell'articoloVigente
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all’Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Art. 38 Reg. (UE) 2022/2065 – Sistemi di raccomandazione
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
In aggiunta ai requisiti di cui all'articolo 27, i fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi che utilizzano sistemi di raccomandazione assicurano almeno un'opzione per ciascuno dei loro sistemi di raccomandazione, non basata sulla profilazione come definita nell'articolo 4, punto 4), del regolamento (UE) 2016/679.
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
In sintesi
Indice dei contenuti
Sistemi di raccomandazione e profilazione nelle piattaforme molto grandi
L'articolo 38 DSA introduce un obbligo specifico per i fornitori di piattaforme online di dimensioni molto grandi (VLOP) e motori di ricerca online di dimensioni molto grandi (VLOSE) che impiegano sistemi di raccomandazione: essi devono assicurare almeno un'opzione per ciascuno dei propri sistemi di raccomandazione che non sia basata sulla profilazione come definita dall'articolo 4, punto 4), del GDPR (Reg. 2016/679). La norma si aggiunge - non si sostituisce - ai requisiti dell'articolo 27 DSA, che disciplina gli obblighi generali di trasparenza sui sistemi di raccomandazione applicabili a tutte le piattaforme.
Un sistema di raccomandazione, ai sensi dell'articolo 3, lettera s), DSA, è un sistema automatizzato che suggerisce, classifica, ordina per rilevanza o mette altrimenti in risalto contenuti, prodotti, servizi o informazioni sulla base di criteri specifici: interessi degli utenti, comportamento passato, interazioni sociali, localizzazione, dati demografici e così via. Ne sono esempi il feed di notizie di un social network, il motore di ricerca interno di un marketplace, la sezione «potrebbe interessarti» di una piattaforma video, o i risultati organici di un motore di ricerca con personalizzazione basata sul profilo utente.
Il concetto di profilazione rilevante ai sensi del DSA
Il richiamo alla definizione di profilazione del GDPR è preciso e intenzionale. L'articolo 4, punto 4), GDPR definisce la profilazione come «qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica».
Un sistema di raccomandazione che ordina i contenuti esclusivamente in base all'ora di pubblicazione (cronologico) o in base alla popolarità aggregata (trending senza personalizzazione individuale) non si basa sulla profilazione e rispetta automaticamente l'obbligo dell'articolo 38. Viceversa, un algoritmo che adatta l'ordine dei contenuti mostrati a ciascun utente in base alla storia di navigazione, ai «mi piace», alla durata di visione dei video precedenti o alle caratteristiche demografiche, utilizza profilazione e rientra nell'ambito di applicazione della norma.
L'obbligo dell'opzione non profilata: portata e modalità
L'articolo 38 non vieta la profilazione nei sistemi di raccomandazione - il che sarebbe incompatibile con il modello di business di quasi tutte le VLOP - ma impone che l'utente abbia almeno un'alternativa non profilata per ciascun sistema di raccomandazione impiegato. L'utente non deve essere obbligato a usarla come impostazione predefinita, ma deve poterla scegliere. Il testo non specifica che l'alternativa non profilata debba essere la scelta predefinita (quella è una questione aperta che la Commissione potrebbe affrontare con orientamenti applicativi), ma in conformità al divieto di dark pattern di cui all'articolo 25 DSA, l'opzione non profilata non può essere resa volutamente difficile da trovare o usare.
Le modalità concrete variano in base al tipo di piattaforma: un social network può offrire un feed cronologico; una piattaforma video può ordinare i contenuti per popolarità generale invece che per preferenze individuali; un marketplace può ordinare i risultati per rilevanza testuale o per prezzo invece che per adattamento al profilo acquirente. L'importante è che l'alternativa sia genuina e non si limiti a rimuovere un singolo segnale di profilazione mantenendo tutti gli altri.
Connessione con l'articolo 27 e la trasparenza generale
L'articolo 27 DSA, applicabile a tutte le piattaforme online (non solo alle VLOP), impone di informare i destinatari sui parametri principali dei sistemi di raccomandazione e sulle relative opzioni di modifica, anche mediante l'accesso a sistemi di raccomandazione non basati su profilazione se offerti. L'articolo 38 rafforza questo obbligo per le VLOP e VLOSE rendendolo non solo informativo ma sostanziale: non basta spiegare che esiste un'alternativa, bisogna concretamente offrirla.
Va anche tenuto conto dell'articolo 35 DSA, che impone alle VLOP e VLOSE di adottare misure di attenuazione dei rischi sistemici, inclusi quelli legati all'amplificazione algoritmica di contenuti dannosi (disinformazione, discorsi d'odio, contenuti che minacciano la salute pubblica). I sistemi di raccomandazione sono identificati come uno dei principali vettori di tali rischi: un algoritmo che massimizza l'engagement tendendo a premiare contenuti emotivamente polarizzanti può amplificare la disinformazione su scala sistemica. L'obbligo dell'articolo 38 contribuisce a mitigare tali rischi offrendo un'alternativa non dipendente dai meccanismi di engagement profilato.
Tutela dei minori e sistemi di raccomandazione
L'articolo 28 DSA vieta alle piattaforme di presentare pubblicità profilata ai minori e impone misure adeguate per la loro tutela. In questo contesto, l'articolo 38 assume rilevanza pratica immediata: una piattaforma usata prevalentemente da utenti minorenni potrebbe essere tenuta ad attivare l'opzione non profilata come impostazione predefinita per i minori, anche in assenza di un obbligo esplicito in tal senso nell'articolo 38, combinando i due articoli in via interpretativa. I coordinatori dei servizi digitali nazionali e la Commissione potranno chiarire questo punto mediante orientamenti applicativi.
Implicazioni per i modelli di business pubblicitari
L'obbligo dell'opzione non profilata ha implicazioni commerciali rilevanti per le VLOP che monetizzano principalmente attraverso la pubblicità comportamentale: un feed non personalizzato tende a generare tassi di engagement inferiori, e di conseguenza CPM (costi per mille impressioni) più bassi per gli inserzionisti. Tuttavia la norma non impone che l'alternativa non profilata sia di qualità inferiore in termini di esperienza utente: le piattaforme sono libere di investire in algoritmi di raccomandazione non profilati basati su segnali aggregati (popolarità, freschezza, qualità editoriale) che possono risultare competitivi rispetto alla profilazione individuale, come dimostrato da alcune applicazioni di motori di ricerca.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
L'articolo 38 si applica anche alle piattaforme online standard che non sono VLOP?
No. L'articolo 38 è riservato alle VLOP e VLOSE designate ai sensi dell'articolo 33 DSA (piattaforme e motori di ricerca con oltre 45 milioni di utenti attivi mensili nell'UE). Le piattaforme standard sono soggette solo agli obblighi di trasparenza dell'articolo 27, senza l'obbligo di offrire un'alternativa non profilata.
Un feed cronologico semplice è sufficiente a soddisfare l'obbligo dell'articolo 38?
Sì, un feed che ordina i contenuti esclusivamente per data di pubblicazione, senza alcuna personalizzazione basata sul profilo dell'utente, non utilizza profilazione ai sensi del GDPR e soddisfa l'obbligo. Occorre però che questa opzione sia genuinamente accessibile e non ostacolata da dark pattern.
Le piattaforme VLOP devono rendere l'opzione non profilata l'impostazione predefinita?
L'articolo 38 non lo impone esplicitamente: basta offrire l'opzione. Tuttavia, il divieto di dark pattern (art. 25 DSA) e le norme sulla tutela dei minori (art. 28) possono imporre che, per determinate categorie di utenti o contesti, l'opzione non profilata sia quella predefinita. La Commissione può adottare orientamenti applicativi su questo punto.
Un sistema di raccomandazione basato solo su fattori geografici o linguistici usa 'profilazione' ai sensi del DSA?
Dipende: se la localizzazione è trattata come dato personale individuale (GPS del dispositivo associato al profilo utente) rientra nella profilazione GDPR. Se il sistema usa solo la lingua del browser o una regione generica non associata a un singolo utente, non è profilazione ai sensi dell'art. 4 GDPR. La distinzione è rilevante per stabilire se scatta l'obbligo dell'art. 38.
Quali sanzioni sono previste per le VLOP che violano l'articolo 38?
La violazione degli obblighi delle VLOP è soggetta alla vigilanza diretta della Commissione europea. Ai sensi dell'articolo 74, paragrafo 1, DSA, la Commissione può infliggere sanzioni pecuniarie fino al 6% del fatturato totale mondiale annuo del prestatore. In caso di violazioni persistenti, l'articolo 76 prevede misure periodiche di penalità.