Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di legge sui servizi digitali

(Il testo integrale del parere è disponibile in inglese, francese e tedesco sul sito del GEPD www.edps.europa.eu)

(2021/C 149/03)

Il 15 dicembre 2020 la Commissione ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo a un mercato unico dei servizi digitali (legge sui servizi digitali) e che modifica la direttiva 2000/31/CE.

Il GEPD sostiene l’obiettivo della Commissione di promuovere un ambiente online trasparente e sicuro, definendo competenze e responsabilità per i prestatori di servizi intermediari, e in particolare per le piattaforme online, come i social media e i mercati online.

Il GEPD si compiace del fatto che la proposta miri a integrare, anziché sostituire, le tutele esistenti nell’ambito del regolamento (UE) 2016/679 e della direttiva 2002/58/CE. Ciò detto, la proposta avrà chiaramente un impatto sul trattamento dei dati personali. Il GEPD ritiene necessario garantire la complementarità nella supervisione e nella sorveglianza delle piattaforme online e di altri prestatori di servizi di hosting.

Alcune attività nel contesto delle piattaforme online presentano rischi crescenti non solo per i diritti dei singoli, ma anche per la società nel suo insieme. Sebbene la proposta preveda una serie di misure di attenuazione dei rischi, sono necessarie garanzie supplementari, in particolare per quanto riguarda la moderazione dei contenuti, la pubblicità online e i sistemi di raccomandazione.

La moderazione dei contenuti dovrebbe avvenire nel rispetto dello Stato di diritto. Tenuto conto del monitoraggio endemico del comportamento delle persone, in particolare nel contesto delle piattaforme online, la legge sui servizi digitali dovrebbe delineare quando gli sforzi volti a contrastare i «contenuti illegali» legittimano l’uso di strumenti automatizzati per individuare, identificare e contrastare i contenuti illegali. La profilazione a fini di moderazione dei contenuti dovrebbe essere vietata, a meno che il prestatore possa dimostrare che tali misure sono strettamente necessarie per far fronte ai rischi sistemici esplicitamente individuati dalla legge sui servizi digitali.

Data la molteplicità dei rischi associati alla pubblicità mirata online, il GEPD esorta i colegislatori a prendere in considerazione norme aggiuntive che vadano oltre la trasparenza. Tali misure dovrebbero comprendere un’eliminazione graduale che porti al divieto della pubblicità mirata sulla base di un tracciamento pervasivo, nonché restrizioni in relazione alle categorie di dati che possono essere trattati per finalità di orientamento e alle categorie di dati che possono essere divulgati agli inserzionisti o a terzi per consentire o agevolare la pubblicità mirata.

Conformemente ai requisiti in materia di protezione dei dati fin dalla progettazione e di default, i sistemi di raccomandazione dovrebbero, in modo predefinito, non essere basati sulla profilazione. Dato il loro notevole impatto, il GEPD raccomanda inoltre misure supplementari per promuovere ulteriormente la trasparenza e il controllo degli utenti in relazione ai sistemi di raccomandazione.

Più in generale, il GEPD raccomanda l’introduzione di requisiti di interoperabilità minimi per le piattaforme online di dimensioni molto grandi e la promozione dello sviluppo di norme tecniche a livello europeo, conformemente alla normativa dell’Unione applicabile in materia di normazione europea.

Tenuto conto dell’esperienza e degli sviluppi relativi al centro di coordinamento digitale, il GEPD raccomanda vivamente di fornire una base giuridica esplicita e completa per la cooperazione e lo scambio di informazioni pertinenti tra le autorità di controllo, ciascuna nel rispettivo settore di competenza. La legge sui servizi digitali dovrebbe garantire una cooperazione istituzionalizzata e strutturata tra le autorità di vigilanza competenti, comprese le autorità di protezione dei dati, le autorità di tutela dei consumatori e le autorità garanti della concorrenza.

1. INTRODUZIONE E CONTESTO

1. Il 15 dicembre 2020 la Commissione ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo a un mercato unico dei servizi digitali (legge sui servizi digitali) e che modifica la direttiva 2000/31/CE ( 1 )

2. Plasmare il futuro digitale dell’Europa , in cui la Commissione ha confermato l’intenzione di elaborare regole nuove e rivedute per approfondire il mercato interno dei servizi digitali, aumentando e armonizzando le responsabilità delle piattaforme online e dei prestatori di servizi di informazione e rafforzando la sorveglianza sulle politiche dei contenuti delle piattaforme nell’UE La proposta fa seguito alla comunicazione, in cui la Commissione ha confermato l’intenzione di elaborare regole nuove e rivedute per approfondire il mercato interno dei servizi digitali, aumentando e armonizzando le responsabilità delle piattaforme online e dei prestatori di servizi di informazione e rafforzando la sorveglianza sulle politiche dei contenuti delle piattaforme nell’UE ( 2 )

3. Secondo la relazione, i servizi digitali nuovi e innovativi hanno contribuito in modo decisivo alle trasformazioni economiche e sociali avvenute nell’Unione e nel resto del mondo. Allo stesso tempo, dall’uso di questi servizi sono scaturiti nuovi rischi e nuove sfide, che interessano sia la società nel suo complesso, sia le singole persone che si avvalgono di tali servizi ( 3 )

4. La proposta mira ad assicurare le condizioni migliori per la prestazione di servizi digitali innovativi nel mercato interno, a contribuire alla sicurezza online e alla protezione dei diritti fondamentali e a istituire una struttura di governance solida e duratura per una vigilanza efficace sui prestatori di servizi intermediari ( 4 ) . A tal fine, la proposta: — contiene disposizioni sull’esenzione dalla responsabilità dei prestatori di servizi intermediari (capo II); — stabilisce «obblighi in materia di dovere di diligenza», adattati al tipo e alla natura del servizio intermediario interessato (capo III); — contiene disposizioni concernenti l’attuazione e l’esecuzione del regolamento proposto (capo IV).

5. Il GEPD è stato consultato informalmente sul progetto di proposta di legge sui servizi digitali il 27 novembre 2020. Il GEPD si compiace del fatto di essere stato consultato in questa fase iniziale della procedura.

6. Oltre alla proposta di legge sui servizi digitali, la Commissione ha adottato anche una proposta di regolamento del Parlamento europeo e del Consiglio relativo a mercati equi e contendibili nel settore digitale (legge sui mercati digitali) ( 5 ) . Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il GEPD è stato consultato anche in merito alla proposta di legge sui mercati digitali, che è oggetto di un parere distinto.

3. CONCLUSIONI

93. Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni:

Per quanto riguarda il rapporto con il regolamento (UE) 2016/679 e la direttiva 2002/58/CE:

— allineare la formulazione dell’articolo 1, paragrafo 5, lettera i), della proposta all’attuale formulazione dell’articolo 1, paragrafo 5, lettera b), della direttiva 2000/31/CE; e

— chiarire che la proposta non si applica alle questioni relative alla responsabilità dei titolari del trattamento e dei responsabili del trattamento.

Per quanto riguarda la moderazione dei contenuti e la notifica di sospetti di reati:

— chiarire che non tutte le forme di moderazione dei contenuti richiedono l’attribuzione a uno specifico interessato e che, conformemente ai requisiti di minimizzazione dei dati e di protezione dei dati fin dalla progettazione e di default, la moderazione dei contenuti non dovrebbe comportare, per quanto possibile, alcun trattamento di dati personali;

— garantire che la moderazione dei contenuti avvenga nel rispetto dello Stato di diritto, delineando quando gli sforzi volti a contrastare i «contenuti illegali» legittimano l’uso di strumenti automatizzati e il trattamento dei dati personali per individuare, identificare e contrastare i contenuti illeciti;

— specificare che la profilazione a fini di moderazione dei contenuti dovrebbe essere vietata, a meno che il prestatore possa dimostrare che tali misure sono strettamente necessarie per far fronte ai rischi sistemici esplicitamente individuati dalla proposta;

— chiarire se e in quale misura i prestatori di servizi intermediari sono autorizzati a notificare spontaneamente i sospetti di reati alle autorità di contrasto o giudiziarie, al di fuori del caso previsto dall’articolo 21 della proposta;

— specificare che qualsiasi prestatore di servizi di hosting che si avvale di strumenti automatizzati di moderazione dei contenuti dovrebbe garantire che tali strumenti non producano risultati discriminatori o ingiustificati;

— estendere il requisito di cui all’articolo 12, paragrafo 2, della proposta a tutte le forme di moderazione dei contenuti, indipendentemente dal fatto che tale moderazione abbia luogo in conformità ai termini e alle condizioni del prestatore o a qualsiasi altra base; e precisare che le misure devono essere «necessarie» oltre ad essere «proporzionate» agli obiettivi perseguiti;

— rafforzare gli obblighi di trasparenza di cui all’articolo 14, paragrafo 6, e all’articolo 15, paragrafo 2, lettera c), della proposta, precisando ulteriormente le informazioni da fornire alle persone interessate, in particolare in caso di utilizzo di strumenti automatizzati per la moderazione dei contenuti, fatti salvi l’obbligo di informare e i diritti degli interessati a norma del regolamento (UE) 2016/679;

— modificare l’articolo 15, paragrafo 2, della proposta per dichiarare inequivocabilmente che dovrebbero in ogni caso essere fornite le informazioni sugli strumenti automatizzati utilizzati per individuare e identificare contenuti illeciti, indipendentemente dal fatto che la successiva decisione abbia comportato o meno l’uso di strumenti automatizzati;

— imporre a tutti i prestatori di servizi di hosting, e non solo alle piattaforme online, di fornire un meccanismo di reclamo facilmente accessibile, come previsto dall’articolo 17 della proposta;

— inserire un termine ultimo all’articolo 17 della proposta per la decisione della piattaforma sul reclamo e indicare che il meccanismo di reclamo da istituire lascia impregiudicati i diritti e i mezzi di ricorso a disposizione degli interessati a norma del regolamento (UE) 2016/679 e della direttiva 2002/58/CE;

— specificare ulteriormente, mediante l’inserimento in un allegato, qualsiasi altro reato (diverso dall’abuso sessuale di minori) che soddisfi la soglia di cui all’articolo 21 della proposta e possa dar luogo a un obbligo di notifica;

— prendere in considerazione l’introduzione di misure supplementari per garantire la trasparenza e l’esercizio dei diritti degli interessati, fatte salve, ove strettamente necessario, limitazioni rigorosamente definite (ad esempio, se necessario per tutelare la riservatezza di un’indagine in corso) in conformità ai requisiti di cui all’articolo 23, paragrafi 1 e 2, del regolamento (UE) 2016/679; e

— definire chiaramente il termine «informazioni pertinenti», di cui all’articolo 21 della proposta, fornendo un elenco esaustivo delle categorie di dati da comunicare, nonché di tutte le categorie di dati che dovrebbero essere conservati al fine di sostenere ulteriori indagini da parte delle pertinenti autorità di contrasto, se necessario.

Per quanto riguarda la pubblicità online:

— prendere in considerazione norme aggiuntive che vadano oltre la trasparenza, compresa un’eliminazione graduale che porti al divieto della pubblicità mirata sulla base di un tracciamento pervasivo;

— prendere in considerazione restrizioni in relazione a) alle categorie di dati che possono essere trattati per finalità di orientamento; b) alle categorie di dati o di criteri in base ai quali gli annunci possono essere mirati o notificati; e c) alle categorie di dati che possono essere divulgati agli inserzionisti o a terzi per consentire o agevolare la pubblicità mirata; e

— chiarire ulteriormente il riferimento alla persona fisica o giuridica per conto della quale viene visualizzata la pubblicità negli articoli 24 e 30 della proposta;

— aggiungere ai requisiti di cui all’articolo 24 un nuovo elemento che imponga al fornitore della piattaforma di informare gli interessati se la pubblicità è stata selezionata utilizzando un sistema automatizzato (ad esempio scambio di messaggi o piattaforma) e, in tal caso, indicare l’identità della persona fisica o giuridica responsabile del sistema o dei sistemi;

— specificare all’articolo 30, paragrafo 2, lettera d), che il registro deve riportare informazioni anche sull’esclusione di uno o più gruppi specifici di destinatari del servizio dal pubblico destinatario;

— sostituire il riferimento ai «principali parametri» con «parametri» e chiarire ulteriormente quali parametri dovrebbero essere divulgati come minimo per costituire «informazioni rilevanti» ai sensi degli articoli 24 e 30 della proposta; e

— prendere in considerazione requisiti analoghi che si applicano per garantire la tracciabilità degli operatori commerciali (articolo 22 della proposta) in relazione agli utenti dei servizi di pubblicità online (articoli 24 e 30 della proposta).

Per quanto riguarda i sistemi di raccomandazione:

— chiarire che, conformemente ai requisiti della protezione dei dati fin dalla progettazione e di default, i sistemi di raccomandazione dovrebbero, in modo predefinito, non essere basati sulla «profilazione» ai sensi dell’articolo 4, paragrafo 4, del regolamento (UE) 2016/679;

— prevedere che le informazioni relative al ruolo e al funzionamento dei sistemi di raccomandazione siano presentate separatamente, in modo da essere facilmente accessibili, chiare per i non addetti ai lavori e concise;

— prevedere che, conformemente ai requisiti in materia di protezione dei dati fin dalla progettazione e di default, i sistemi di raccomandazione dovrebbero, in modo predefinito, non essere basati sulla «profilazione» ai sensi dell’articolo 4, paragrafo 4, del regolamento (UE) 2016/679; e

— includere i seguenti requisiti aggiuntivi nell’articolo 29 della proposta: — indicare in una parte ben visibile della piattaforma il fatto che la piattaforma utilizza un sistema di raccomandazione e un controllo con le opzioni disponibili in modo facile per l’utente; — informare l’utente della piattaforma se il sistema di raccomandazione è un sistema decisionale automatizzato e, in tal caso, indicare l’identità della persona fisica o giuridica responsabile della decisione; — consentire agli interessati di visualizzare, in modo facile per l’utente, qualsiasi profilo o profili collegati utilizzati per organizzare il contenuto della piattaforma per il destinatario del servizio; — consentire ai destinatari del servizio di personalizzare i sistemi di raccomandazione sulla base almeno di criteri naturali di base (ad esempio tempo, argomenti di interesse, ecc.); e — offrire agli utenti un’opzione facilmente accessibile per cancellare qualsiasi profilo o profili usati per organizzare i contenuti che vedono.

Per quanto riguarda l’accesso da parte dei ricercatori abilitati:

— prevedere che, conformemente ai requisiti in materia di protezione dei dati fin dalla progettazione e di default, i sistemi di raccomandazione dovrebbero, in modo predefinito, non essere basati sulla «profilazione» ai sensi dell’articolo 4, paragrafo 4, del regolamento (UE) 2016/679; e

— riformulare l’articolo 26, paragrafo 1, lettera c), della proposta per fare riferimento a ripercussioni negative sistemiche, effettive o prevedibili, sulla tutela della salute pubblica, dei minori, del dibattito civico, o a effetti reali o prevedibili sui processi elettorali e sulla sicurezza pubblica, in particolare in relazione al rischio di manipolazione intenzionale del servizio, anche mediante un uso non autentico o uno sfruttamento automatizzato del servizio;

— ampliare l’articolo 31 per consentire almeno la verifica dell’efficacia e della proporzionalità delle misure di attenuazione; e

— valutare modalità per facilitare la ricerca dell’interesse pubblico più in generale, anche al di fuori del contesto del monitoraggio della conformità alla proposta.

Per quanto riguarda l’interoperabilità delle piattaforme:

— prendere in considerazione l’introduzione di requisiti minimi di interoperabilità per le piattaforme online di dimensioni molto grandi e promuovere lo sviluppo di norme tecniche a livello europeo, conformemente alla normativa dell’Unione applicabile in materia di normazione europea.

Per quanto riguarda l’attuazione, la cooperazione, le sanzioni e l’esecuzione:

— garantire la complementarità nella vigilanza e nella sorveglianza delle piattaforme online e di altri prestatori di servizi di hosting, in particolare — fornendo una base giuridica esplicita per la cooperazione tra le autorità competenti, ciascuna nell’ambito della rispettiva sfera di competenza; — richiedendo una cooperazione istituzionalizzata e strutturata tra le autorità di vigilanza competenti, comprese le autorità di protezione dei dati; e — facendo esplicito riferimento alle autorità competenti che partecipano alla cooperazione e individuando le circostanze in cui dovrebbe svolgersi la cooperazione;

— fare riferimento alle autorità competenti nel settore del diritto della concorrenza, nonché al comitato europeo per la protezione dei dati nei considerando della proposta;

— garantire che i coordinatori dei servizi digitali, le autorità competenti e la Commissione abbiano anche il potere e il dovere di consultare le autorità competenti pertinenti, comprese le autorità garanti della protezione dei dati, nel contesto delle loro indagini e valutazioni della conformità alla proposta;

— chiarire che le autorità di vigilanza competenti ai sensi della proposta dovrebbero essere in grado di fornire, su richiesta delle autorità di controllo competenti a norma del regolamento (UE) 2016/679 o di propria iniziativa, tutte le informazioni ottenute nel contesto di audit e indagini relativi al trattamento di dati personali e includere una base giuridica esplicita a tal fine;

— garantire una maggiore coerenza tra i criteri di cui all’articolo 41, paragrafo 5, all’articolo 42, paragrafo 2, e all’articolo 59 della proposta; e

— consentire al comitato europeo dei servizi digitali di emettere pareri di propria iniziativa e di emettere pareri su questioni diverse dalle misure adottate dalla Commissione.

Bruxelles, 10 febbraio 2021. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2020) 825 final.

(2) COM(2020) 67 final, pag. 12.

(3) COM(2020) 825 final, pag. 1.

(4) COM(2020) 825 final, pag. 2.

(5) COM(2020) 842 final.