Testo dell'articoloVigente
Art. 5 Reg. (UE) 2022/2065 – Memorizzazione temporanea
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
1. Nella prestazione di un servizio della società dell'informazione consistente nel trasmettere, su una rete di comunicazione, informazioni fornite da un destinatario del servizio, il prestatore non è responsabile della memorizzazione automatica, intermedia e temporanea di tali informazioni effettuata al solo scopo di rendere più efficiente o più sicuro il successivo inoltro delle informazioni ad altri destinatari del servizio su loro richiesta, a condizione che detto prestatore:
a) non modifichi le informazioni;
b) si conformi alle condizioni di accesso alle informazioni;
c) si conformi alle norme sull'aggiornamento delle informazioni, indicate in un modo ampiamente riconosciuto e utilizzato dalle imprese del settore;
d) non interferisca con l'uso lecito di tecnologia ampiamente riconosciuta e utilizzata nel settore per ottenere dati sull'impiego delle informazioni; e
e) agisca prontamente per rimuovere le informazioni che ha memorizzato, o per disabilitare l'accesso alle stesse, non appena venga effettivamente a conoscenza del fatto che le informazioni all'origine della trasmissione sono state rimosse dalla rete o che l'accesso alle informazioni è stato disabilitato, oppure che un organo giurisdizionale o un'autorità amministrativa ha ordinato la disabilitazione dell'accesso a tali informazioni o ne ha disposto la rimozione.
2. Il presente articolo lascia impregiudicata la possibilità, conformemente all'ordinamento giuridico dello Stato membro, che un'autorità giudiziaria o amministrativa esiga che il prestatore del servizio impedisca o ponga fine a una violazione.
In sintesi
Indice dei contenuti
Il caching come categoria intermedia di responsabilità
Il Regolamento (UE) 2022/2065 - il Digital Services Act (DSA) - costruisce un sistema graduato di esenzioni di responsabilità per i prestatori di servizi intermediari, articolato in tre livelli: mere conduit (articolo 4), caching (articolo 5) e hosting (articolo 6). L'articolo 5 si occupa specificamente della memorizzazione temporanea, tecnica essenziale al funzionamento dell'infrastruttura internet, che consiste nell'immagazzinare copie di contenuti trasmessi al fine di accelerare le richieste successive e ridurre il carico sulle reti.
Il caching non è un'attività marginale: i grandi operatori di reti di distribuzione di contenuti (CDN), i provider di servizi internet e i server proxy inversi effettuano caching su scala industriale. La norma riconosce questa realtà tecnica ed economica, assicurando che la memorizzazione intermedia non esponga il prestatore a responsabilità per i contenuti trasmessi, purché la sua condotta resti rigorosamente neutra e tecnica.
Le cinque condizioni cumulative per l'esenzione
L'esenzione di cui all'articolo 5 non è automatica: richiede il rispetto cumulativo di cinque condizioni, la cui mancanza anche di una sola fa venir meno il beneficio.
Prima condizione - non modifica: il prestatore non deve alterare le informazioni memorizzate. Qualsiasi intervento sul contenuto - anche di tipo redazionale, di compressione con perdita di informazione, o di filtraggio selettivo - può compromettere l'esenzione. La neutralità del prestatore di caching rispetto al contenuto è il presupposto logico dell'intero regime.
Seconda condizione - condizioni di accesso: il prestatore deve rispettare le modalità di accesso stabilite per le informazioni originarie. Se il contenuto è soggetto a restrizioni di accesso (ad esempio autenticazione, limitazioni geografiche o temporali), la copia in cache deve replicare tali restrizioni.
Terza condizione - norme di aggiornamento: il prestatore deve conformarsi alle norme sull'aggiornamento delle informazioni, indicate in modo ampiamente riconosciuto e utilizzato dalle imprese del settore. Il riferimento tecnico tipico sono le intestazioni HTTP di controllo della cache (Cache-Control, Expires, ETag), standard de facto del protocollo HTTP che indicano la durata massima della validità della copia in cache.
Quarta condizione - tecnologie di misurazione: il prestatore non deve interferire con le tecnologie ampiamente riconosciute e utilizzate nel settore per misurare l'impiego delle informazioni, come i sistemi di analytics e di conteggio delle visualizzazioni. Un prestatore che manipolasse questi sistemi per gonfiare o ridurre artificialmente le metriche di accesso uscirebbe dall'ambito dell'esenzione.
Quinta condizione - rimozione a seguito di conoscenza effettiva: il prestatore deve agire prontamente per rimuovere le informazioni memorizzate - o per disabilitarne l'accesso - non appena «venga effettivamente a conoscenza» del fatto che le informazioni originarie sono state rimosse, che l'accesso è stato disabilitato, o che un'autorità giudiziaria o amministrativa ne ha ordinato la rimozione o la disabilitazione.
Il concetto di «conoscenza effettiva» nel caching
La quinta condizione introduce nel caching il medesimo meccanismo di attivazione dell'obbligo di intervento che caratterizza il regime dell'hosting: la conoscenza effettiva. Nel caching, tuttavia, la conoscenza effettiva ha una connotazione prevalentemente tecnica: il prestatore viene a sapere che la copia in cache è diventata irregolare quando l'origine ha rimosso i contenuti, quando un'autorità ha emesso un ordine, o quando riceve una notifica in tal senso.
A differenza del meccanismo di notice and action previsto per l'hosting dall'articolo 16 DSA, l'articolo 5 non introduce uno specifico obbligo procedurale di notifica verso il prestatore di caching. Tuttavia, nella pratica, un'autorità che emetta un ordine di rimozione nei confronti del gestore del contenuto originario potrà contestualmente notificarlo anche ai prestatori di caching noti, che saranno tenuti ad agire prontamente.
Rapporto con l'articolo 4 (mere conduit) e con l'articolo 6 (hosting)
Il sistema tripartito degli articoli 4-6 DSA riflette la progressiva intensità del coinvolgimento del prestatore con i contenuti:
Le tre categorie non sono sempre nettamente distinguibili nella realtà tecnologica: un server che effettui caching di contenuti dinamici personalizzati si avvicina all'hosting; un CDN che distribuisca contenuti statici è caching tipico. In caso di incertezza qualificatoria, la distinzione tra le categorie incide direttamente sul regime applicabile e sulla portata degli obblighi.
Il potere delle autorità nazionali e il coordinamento con il DSA
Il paragrafo 2 dell'articolo 5 chiarisce che l'esenzione di responsabilità «lascia impregiudicata la possibilità» per le autorità giudiziarie o amministrative nazionali di imporre al prestatore obblighi di impedire o porre fine a una violazione. Questo significa che anche il prestatore di caching che rispetti tutte le condizioni dell'esenzione può ricevere ordini inibitòri da parte di autorità nazionali.
Questa precisazione è coerente con il sistema DSA nel suo complesso: le esenzioni di responsabilità non proteggono il prestatore dagli ordini di rimozione di cui all'articolo 9, che si applicano trasversalmente a tutte le categorie di intermediari, né dagli obblighi specifici imposti nel quadro della vigilanza coordinata tra il coordinatore dei servizi digitali del luogo di stabilimento e la Commissione europea per le piattaforme di dimensioni molto grandi (VLOP).
Applicazione pratica e coordinamento con il diritto dell'e-commerce
L'articolo 5 DSA sostituisce, a partire dal 17 febbraio 2024, l'articolo 13 della direttiva 2000/31/CE (direttiva e-commerce), come disposto dall'articolo 89 DSA. Il contenuto sostanziale dell'esenzione rimane in larga misura analogo a quello della direttiva previgente, con alcune precisazioni terminologiche e sistematiche che ne chiariscono il coordinamento con il framework complessivo del DSA.
Le imprese che operano come CDN, reverse proxy o provider di servizi di accelerazione web devono verificare che i propri sistemi tecnici rispettino ciascuna delle cinque condizioni. In particolare, devono dotarsi di procedure operative per ricevere ed eseguire prontamente gli ordini delle autorità (quinta condizione) e per rispettare le intestazioni di controllo della cache (terza condizione). La mancanza di queste procedure può esporre il prestatore a responsabilità per i contenuti mantenuti in cache oltre la loro validità o dopo un ordine di rimozione.
Il caching nei sistemi multi-livello e nei servizi cloud
Nella pratica contemporanea, il caching si dispiega su più livelli dell'infrastruttura internet: caching lato client (browser), caching presso i server proxy del provider di accesso, caching nei punti di scambio internet (IXP), caching nelle CDN regionali e globali, e caching applicativo nei server dell'origine. Ciascuno di questi livelli può potenzialmente ospitare copie di contenuti illeciti o oggetto di ordini di rimozione.
Il DSA non specifica a quale livello di caching si applica l'articolo 5: la norma si riferisce genericamente al «prestatore» che effettua «memorizzazione automatica, intermedia e temporanea». Questa formulazione ampia include tutti i livelli dell'infrastruttura, purché la memorizzazione sia effettivamente automatica (non frutto di una scelta editoriale), intermedia (non l'origine né la destinazione finale) e temporanea (funzionale al transito, non alla conservazione permanente).
Nel contesto dei servizi cloud, la qualificazione come caching o come hosting dipende dalla funzione specifica del servizio: un servizio di object storage che conservi permanentemente i dati è hosting; un servizio di edge caching che replica temporaneamente i contenuti nei punti di presenza geografici è caching. La scelta della qualificazione corretta è essenziale per determinare il regime applicabile e, in caso di contenziosi, l'onere della prova spetta alla parte che invoca l'esenzione.
Infine, è rilevante notare che l'articolo 5 DSA, come il precedente articolo 13 della direttiva e-commerce, non prevede un obbligo di monitoraggio attivo per i prestatori di caching. L'articolo 8 DSA (divieto di obbligo generale di sorveglianza) si applica anche a questa categoria: il prestatore di caching non è tenuto a esaminare proattivamente il contenuto delle informazioni che memorizza per rilevarne il carattere eventualmente illecito. L'obbligo di intervento nasce solo dalla conoscenza effettiva, non da un monitoraggio preventivo.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Che cos'è il caching ai sensi del DSA e chi è soggetto all'articolo 5?
Il caching è la memorizzazione automatica, intermedia e temporanea di informazioni effettuata al solo scopo di rendere più efficiente o più sicuro il successivo inoltro a destinatari che ne facciano richiesta. Sono soggetti all'articolo 5 i prestatori di servizi della società dell'informazione che effettuano questa attività, come le reti di distribuzione di contenuti (CDN), i server proxy inversi e i provider di servizi di accelerazione web.
Se ricevo un ordine di rimozione da un'autorità, devo rimuovere anche le copie in cache?
Sì. La quinta condizione dell'articolo 5 impone di agire prontamente per rimuovere le informazioni memorizzate - o per disabilitarne l'accesso - non appena si venga effettivamente a conoscenza di un ordine di un'autorità giudiziaria o amministrativa. La mancata esecuzione dell'ordine fa venire meno l'esenzione di responsabilità.
Il caching è distinto dall'hosting? Quali sono le differenze pratiche?
Sì. Il caching (articolo 5) è una memorizzazione temporanea, automatica e funzionale all'efficienza della trasmissione, senza una scelta autonoma del prestatore sui contenuti. L'hosting (articolo 6) implica una memorizzazione stabile a richiesta del destinatario. Le due categorie hanno regimi di responsabilità distinti: l'hosting è soggetto anche agli obblighi di notice and action (articolo 16) e, per le piattaforme, a numerosi ulteriori obblighi; il caching è disciplinato esclusivamente dall'articolo 5.
Se il mio sistema di caching modifica le immagini per comprimerle, perdo l'esenzione?
Dipende dal tipo di modifica. La prima condizione impone che il prestatore non modifichi le informazioni. Una compressione con perdita di dati (lossy compression) che altera il contenuto percepibile dall'utente potrebbe essere qualificata come modifica. È prudente limitarsi a tecniche di compressione senza perdita (lossless) o, comunque, effettuare solo trasformazioni tecniche che non alterino il contenuto informativo delle risorse.
L'esenzione dell'articolo 5 protegge anche da sanzioni penali o solo da responsabilità civile?
Il DSA disciplina la responsabilità dei prestatori di servizi intermediari nel contesto del diritto civile e degli obblighi regolatori. L'esenzione di responsabilità può avere rilevanza anche in sede penale, nella misura in cui esclude la condotta attiva del prestatore, ma l'applicazione delle norme penali nazionali rimane di competenza degli Stati membri. L'articolo 5, paragrafo 2, conferma che le autorità nazionali possono sempre emettere ordini inibitori indipendentemente dall'esenzione.