1. Cos'è il Digital Services Act e cosa intende raggiungere
Il Digital Services Act (DSA) è il Regolamento (UE) 2022/2065, noto anche come Regolamento sui servizi digitali. Stabilisce un quadro comune per i servizi intermediari che operano nell'Unione Europea e fissa obblighi di diligenza, trasparenza e responsabilità. Il suo obiettivo è favorire un ambiente online più sicuro e proteggere i diritti fondamentali degli utenti, senza trasformare la regolamentazione in un obbligo indiscriminato di rivedere preventivamente ogni pubblicazione.
Il DSA si comprende meglio come una norma su come vengono forniti e governati i servizi online, non come un'unica lista di contenuti consentiti. Le sue regole coprono i servizi di intermediazione, di hosting e le piattaforme online, con doveri che aumentano in base alla funzione del servizio e, in alcuni casi, alla sua scala. Pertanto, non basta chiedere se un'azienda è un social network: conta anche se ospita contenuti degli utenti, facilita transazioni o agisce come motore di ricerca.
Il regolamento è stato approvato nel 2022, è entrato in vigore lo stesso anno ed è diventato applicabile in modo generale il 17 febbraio 2024. Questa differenza tra entrata in vigore e applicazione conta: la prima indica che la norma fa parte dell'ordinamento; la seconda, da quando le sue disposizioni sono richieste in modo generale. Le piattaforme online e i motori di ricerca designati come molto grandi avevano obblighi prima, da agosto 2023.
Il DSA integra, ma non sostituisce, altre norme europee. In particolare, non deve essere confuso con il Digital Markets Act (DMA): il DSA affronta la sicurezza, la trasparenza e le responsabilità di intermediazione; il DMA regola determinate pratiche di grandi piattaforme designate come gatekeeper. La stessa azienda può essere soggetta a entrambi per ragioni diverse, ma l'etichetta di gatekeeper non determina da sola la sua categoria sotto il DSA.
2. A quali servizi si applica e come vengono classificati
L'ambito include i servizi utilizzati per collegare le persone a beni, servizi o contenuti online. Tra gli esempi abituali figurano social network, mercati digitali, app store, web hosting e motori di ricerca. La classificazione giuridica dipende dalla funzione concreta del servizio: un provider di hosting memorizza informazioni fornite dagli utenti; una piattaforma online diffonde quelle informazioni al pubblico; e un mercato online consente a consumatori e venditori di concludere contratti a distanza.
L'obbligo non si limita alle società costituite nell'UE. Il punto pratico è se il servizio è offerto a utenti dell'Unione, anche se il provider ha sede altrove. In questi casi, il DSA prevede obblighi di contatto e cooperazione con le autorità, oltre agli altri doveri applicabili. Per un'azienda, il primo controllo è quindi delimitare i servizi offerti nell'UE e documentare il ruolo che ciascuno svolge.
Il DSA distribuisce gli obblighi a strati. Ci sono doveri di base per i servizi intermediari e requisiti aggiuntivi per l'hosting, le piattaforme online, i mercati, le piattaforme di molto grandi dimensioni e i motori di ricerca di molto grandi dimensioni. Non esiste una categoria generale di “piattaforma media” equivalente alle etichette informali che a volte appaiono nei riassunti: la soglia rilevante per la designazione di molto grandi dimensioni è di più di 45 milioni di destinatari attivi mensili nell'UE, soggetta ai criteri e alle procedure stabiliti dal regolamento.
Le piccole e microimprese hanno esenzioni da determinati obblighi aggiuntivi, ma questo non le esclude automaticamente dall'intero DSA. L'esenzione dipende dalla categoria del servizio e dalla dimensione aziendale, e cessa di applicarsi a certi doveri quando la piattaforma è designata di molto grandi dimensioni. È opportuno evitare la semplificazione “piccola, quindi non regolamentata”: l'analisi corretta è identificare il servizio, l'attività, la dimensione e l'obbligo concreto.
3. Obblighi comuni e doveri secondo la funzione
Doveri di base degli intermediari
Tra gli obblighi generali figurano disporre di un punto di contatto per le autorità e, ove appropriato, per gli utenti; spiegare nei propri termini di servizio come gestiscono le restrizioni di contenuto; e pubblicare rapporti di trasparenza con informazioni sulla moderazione. Questi doveri trasformano decisioni che prima potevano risultare opache in processi che devono poter essere spiegati e documentati.
I servizi di hosting devono offrire meccanismi per notificare contenuti presuntamente illeciti. Al ricevimento di una notifica sufficientemente precisa, il provider deve trattarla con diligenza e comunicare la decisione in modo motivato a chi di competenza. Notificare non equivale a dimostrare automaticamente un'infrazione: l'obbligo è stabilire una procedura accessibile e agire con diligenza, non rimuovere senza analisi qualsiasi materiale segnalato.
Piattaforme online e mercati
Le piattaforme online devono offrire meccanismi interni di reclamo per determinate decisioni di moderazione e facilitare opzioni di risoluzione extragiudiziale. Hanno anche obblighi in materia di trasparenza pubblicitaria e sistemi di raccomandazione. Nei mercati, il DSA aggiunge misure di tracciabilità dei commercianti: l'operatore deve raccogliere e verificare informazioni pertinenti sui venditori prima di consentirgli di offrire prodotti o servizi ai consumatori, entro i limiti stabiliti dalla norma.
Per un negozio digitale, questo cambia la gestione operativa dei venditori e degli avvisi: non basta avere un modulo di contatto generico. Deve poter identificare il commerciante, conservare le informazioni richieste e reagire a prodotti o servizi illeciti. In un social network, invece, il focus quotidiano può essere sulla notifica di contenuti, la motivazione delle decisioni e gli strumenti per reclamare. Gli obblighi si sovrappongono quando un unico servizio svolge più funzioni.
Pubblicità, raccomandazioni e rischi
Il DSA richiede che gli annunci siano identificati come pubblicità e che si indichi chi li presenta e, ove appropriato, chi li finanzia. Inoltre, vieta di presentare pubblicità basata su profili mediante categorie speciali di dati personali e limita la pubblicità mirata ai minori quando la piattaforma sa con ragionevole certezza che l'utente è minorenne. La regolamentazione non si riassume correttamente come una proibizione generale di tutta la pubblicità personalizzata: bisogna prestare attenzione alla base e alle condizioni concrete di segmentazione.
Le piattaforme di molto grandi dimensioni e i motori di ricerca di molto grandi dimensioni devono valutare e mitigare i rischi sistemici legati ai loro servizi. La valutazione considera, tra gli altri aspetti, la diffusione di contenuti illeciti, gli effetti sui diritti fondamentali, i processi civici e la sicurezza pubblica. Vengono inoltre aggiunte audit indipendenti e obblighi rafforzati di trasparenza. Non tutte le piattaforme devono effettuare quella valutazione sistemica: è uno strato specifico per i servizi designati di molto grandi dimensioni.
Il DSA mantiene il principio secondo cui non si impone agli intermediari un obbligo generale di monitorare tutte le informazioni trasmesse o memorizzate. Questo non li esonera dall'agire a conoscenza di illegalità né dal rispettare procedure concrete. La distinzione pratica è tra sorveglianza generale preventiva —che non è richiesta come regola universale— e doveri di risposta, trasparenza e mitigazione che si applicano secondo il servizio.
4. Confronto pratico per scala e tipo di servizio
La tabella riassume esempi di obblighi; non sostituisce la classificazione giuridica né intende elencare ogni articolo. “Piccolo”, “medio” e “grande” non sono tre livelli generali con pacchetti automatici: ciò che è determinante è la categoria funzionale del servizio, le esenzioni applicabili e, per lo strato più rigoroso, la designazione formale di molto grandi dimensioni. Gli obblighi indicati si basano sugli strati descritti dal DSA.
| Servizio o scala | Esempio di dovere rilevante | Cosa deve verificare l'organizzazione |
|---|---|---|
| Intermediario, indipendentemente dalla dimensione | Punto di contatto, termini trasparenti e rapporti di trasparenza | Quali servizi fornisce e quali decisioni di moderazione adotta |
| Hosting | Meccanismo di notifica di contenuti presuntamente illeciti e trattamento diligente | Accessibilità del canale, registrazione del caso e motivazione della decisione |
| Piattaforma online | Reclami interni, informazioni sugli annunci e sistemi di raccomandazione | Se memorizza contenuti e li diffonde al pubblico |
| Mercato online | Raccolta e verifica delle informazioni dei commercianti | Identità del venditore, tracciabilità e risposta a offerte illecite |
| Piattaforma o motore di ricerca di molto grandi dimensioni | Valutazione e mitigazione dei rischi sistemici, audit e trasparenza rafforzata | Designazione ufficiale e portata dei rischi del servizio |
Un esempio aiuta a leggere la tabella. Un'azienda che offre hosting per pubblicazioni può dover disporre di un canale di notifica, anche se il suo servizio non è un social network. Se inoltre organizza quelle pubblicazioni in uno spazio accessibile al pubblico e soddisfa la definizione di piattaforma online, si aggiungono obblighi propri di quella funzione. La classificazione si fa per attività, non per l'etichetta commerciale che l'azienda sceglie.
Una piattaforma che supera i 45 milioni di destinatari attivi mensili nell'UE non deve autodichiararsi automaticamente di molto grandi dimensioni a partire da un calcolo informale. La Commissione Europea designa i servizi che soddisfano i criteri del regolamento e pubblica quelle designazioni. Il numero orienta sulla soglia legale, ma lo status e i suoi obblighi rafforzati dipendono dalla designazione prevista dalla norma.
5. Cosa cambia per utenti, imprese e autorità
Per gli utenti, l'effetto più visibile è che determinate decisioni su contenuti o account devono essere accompagnate da una spiegazione e possono essere impugnate mediante i meccanismi previsti. Esistono anche vie per notificare contenuti presuntamente illeciti e, nelle piattaforme di molto grandi dimensioni, opzioni relative a raccomandazioni non personalizzate. Il DSA amplia strumenti e trasparenza; non garantisce che ogni reclamo vada a buon fine né trasforma ogni decisione di moderazione in una risoluzione giudiziaria.
Un esempio: se una piattaforma limita una pubblicazione, la persona interessata può consultare la motivazione e, ove appropriato, utilizzare il meccanismo interno di reclamo. Se ritiene che il materiale di un altro account sia illegale, può usare il canale di notifica. Sono processi distinti: impugnare una decisione propria non è la stessa cosa di segnalare contenuti altrui, e nessuno elimina la possibilità di ricorrere ad altre vie legali applicabili.
Per un'azienda, l'applicazione pratica inizia con un inventario dei servizi, una matrice degli obblighi e responsabili interni. A seconda dell'attività, può essere necessario stabilire flussi per la moderazione, la gestione dei reclami, la trasparenza pubblicitaria, la verifica dei commercianti o la valutazione dei rischi. La decisione utile non è assumere uno strumento di conformità generico senza diagnosi, ma identificare prima quali obblighi si attivano e quale evidenza operativa permetterà di dimostrare che sono rispettati.
Le autorità nazionali supervisionano la maggior parte dei servizi sotto la coordinazione del sistema europeo, mentre la Commissione ha competenze specifiche, in particolare rispetto alle piattaforme e ai motori di ricerca di molto grandi dimensioni. Il design cerca cooperazione transfrontaliera perché un servizio può operare in numerosi Stati contemporaneamente. Per le aziende, questo significa che le consultazioni e i requisiti non devono essere trattati come incidenti isolati: conviene conservare documentazione coerente su decisioni, avvisi e misure adottate.
Il regolamento prevede multe per inadempienza che possono raggiungere fino al 6% del volume di affari annuo mondiale del provider, con condizioni e procedure definite nella norma. Non è una sanzione automatica né una tariffa uniforme per qualsiasi errore. La gravità, la natura dell'inadempienza e il processo di supervisione contano; per questo, presentare la percentuale massima senza contesto esagererebbe ciò che significa in una situazione concreta.
6. Come effettuare una prima valutazione e dove consultare
Una revisione iniziale può essere organizzata come un flusso di decisione, utile per il team legale, di prodotto e di operazioni:
- Identificare il servizio offerto a utenti dell'UE e descrivere le sue funzioni reali.
- Classificare la funzione: intermediazione, hosting, piattaforma online, mercato o motore di ricerca, tra altre categorie pertinenti.
- Verificare dimensione ed esenzioni, inclusa se esiste una designazione ufficiale di molto grandi dimensioni.
- Mappare gli obblighi applicabili e assegnare responsabili, procedure, registri e canali di reclamo.
- Rivedere e aggiornare l'analisi quando cambiano il servizio, la scala o le decisioni regolatorie.
In un'azienda che vende prodotti attraverso un mercato proprio, il primo passo non è assumere che “è solo e-commerce”. Deve determinare se il servizio consente anche a commercianti terzi di offrire prodotti e concludere contratti con consumatori; se così è, i doveri di tracciabilità possono essere rilevanti. Un'applicazione che consente di pubblicare contenuti può anche essere hosting, anche se il suo nome commerciale non contiene la parola piattaforma.
La fonte normativa principale è il Regolamento (UE) 2022/2065 pubblicato nella Gazzetta Ufficiale dell'Unione Europea. La Commissione Europea offre spiegazioni sull'ambito, i diritti degli utenti e il funzionamento generale del DSA. Per una decisione di conformità, è preferibile ricorrere al testo del regolamento e alle orientazioni ufficiali, perché i riassunti divulgativi possono semplificare categorie o mescolare regole del DSA con quelle del DMA, protezione dei dati o altre norme.
Il DSA è, in sintesi, un quadro graduato per rendere verificabili le responsabilità di intermediazione: quale servizio viene offerto, come viene trattato il contenuto, quali informazioni vengono fornite e quali rischi vengono valutati. La lettura pratica consiste nel classificare l'attività prima di applicare un elenco di obblighi. Così si evita sia di sottovalutare i doveri di un servizio piccolo sia di attribuire a tutte le piattaforme le esigenze riservate a quelle di molto grandi dimensioni.