Il Digital Services Act è entrato in vigore

Il 25 agosto 2023 è entrato in vigore il Digital Services Act: un pacchetto di norme che si applicano a intermediari e fornitori di servizi della società dell’informazione – cioè a social network e piattaforme per la condivisione di contenuti, ecommerce e app store, provider e servizi di hosting e in cloud, piattaforme per la sharing economy, ecc. – e che mirano a introdurre «valori europei nel mercato digitale»¹, come ha tenuto a sottolineare la presidente della Commissione Europea Ursula von der Leyen. Insieme al Digital Markets Act, infatti, il Digital Services Act compone quel Digital Services Package che garantirà ai cittadini europei maggiore trasparenza e sicurezza quando usano servizi digitali.

Il lungo iter e la ratio di un pacchetto di leggi europee destinate ai fornitori di servizi digitali

L’iter che ha portato all’entrata in vigore della norma è stato lungo e articolato e non è ancora del tutto completo.

Le consultazioni pubbliche per un nuovo pacchetto di norme europee sui servizi digitali sono partite nel 2020. Il testo definitivo del Digital Services Act (anche abbreviato in DSA) è stato approvato dal Parlamento europeo il 5 luglio 2022², ma è stato necessario attendere oltre un anno perché le sue previsioni diventassero almeno in parte vincolanti.

Una delle peculiarità del Digital Services Act è, infatti, che si applica in maniera progressiva a seconda della grandezza delle realtà destinatarie. Negli scorsi mesi l’Europa ha stilato una lista di “very large online platforms” e “very large online search engines” che per primi avrebbero dovuto rispettare le previsioni del DSA. Si tratta di piattaforme con più di 45 milioni di utenti mensili attivi in Europa, pari al 10% della popolazione comunitaria, che devono conformarsi fin da subito alla nuova normativa, mentre alle realtà più piccole e con un pubblico più ristretto verrà lasciato più tempo (probabilmente fino a febbraio 2024).

A proposito di “incompletezze”, non è ancora certo quale sarà l’autorità italiana – ma lo stesso vale anche per molti altri paesi europei – che vigilerà sulla corretta applicazione del Digital Services Act: l’ipotesi più accreditata è che sarà compito dell’Autorità per le Garanzie nelle Comunicazioni (AGCOM).

La ratio dei due nuovi pacchetti di leggi europee su servizi e mercati digitali, del resto, come molti addetti ai lavori hanno fatto notare, non è solo aggiornare un quadro normativo vecchio ormai di oltre vent’anni (la precedente Direttiva sul commercio elettronico³ è del 2000) ma anche e soprattutto renderlo più chiaro ed efficiente e uniformarlo, garantendo le stesse tutele a tutti i cittadini europei.

Per questo il Digital Services Act obbliga piattaforme e fornitori di servizi digitali a collaborare con le autorità nazionali, non solo nel caso in cui sia necessario segnalare reati e altre condotte illecite ma più routinariamente, anche attraverso l’operato di una nuova autorità indipendente preposta (il cosiddetto Digital Services Coordinator).

Più in generale, i fornitori di servizi digitali saranno obbligati a sottoporsi periodicamente ad audit da parte di soggetti terzi, siano essi soggetti istituzionali appunto o ricercatori e soggetti accademici.

Le principali novità previste dal Digital Services Act

La principale novità, nell’approccio teorico del Digital Services Act, ha a che vedere non a caso con l’introduzione dell’obbligo per le big tech di effettuare periodicamente una valutazione del rischio sistemico. Si tratta, nella pratica, di riassumere in un apposito documento gli eventuali pericoli per le libertà individuali, la sicurezza degli utenti e dei loro dati personali, la gestione degli interessi e degli affari pubblici che possono derivare da un utilizzo scorretto dei propri servizi. A tale valutazione deve corrispondere un piano di interventi atti a mitigare i rischi individuati e, a valle, il monitoraggio dell’efficacia degli interventi effettuati.

Così le piattaforme dovranno fare più chiarezza su algoritmi e sistemi di profilazione

Tra le altre previsioni del DSA che già si applicano alle piattaforme con più di 45 milioni di utenti in Europa c’è l’obbligo di rendere più chiari termini e condizioni dei servizi e di condividere le informazioni chiave sul funzionamento dei propri algoritmi, specie quando utilizzati per la selezione dei contenuti sia organici e sia a pagamento da proporre agli utenti.

Per quanto riguarda i primi le piattaforme dovranno garantire agli iscritti la possibilità di disattivare la selezione algoritmica e cioè di visualizzare sui feed per primi i post e contenuti pubblicati più di recente, secondo un ordine cronologico e non automaticamente filtrati tenendo conto di interazioni più frequenti o preferenze espresse al momento dell’iscrizione al servizio.

Quanto alla pubblicità, le piattaforme dovranno garantire più trasparenza sia condividendo con gli utenti più informazioni riguardo al motivo per cui visualizzano certi annunci e sia dando loro la possibilità di bloccare in toto la profilazione a scopo commerciale.

Il divieto di pubblicità targettizzata varrà in particolar modo in riferimento ai minori – per cui più in generale il Digital Services Act prevede più tutele durante l’utilizzo dei servizi digitali e contro i pericoli che corrono in Rete – e a quelli che la normativa europea sulla privacy individua come dati particolari (tra cui ci sono, per esempio, i dati sulle condizioni di salute).

Per ogni annuncio pubblicitario, ancora, le piattaforme dovranno tenere traccia in un’apposita libreria di informazioni quali chi lo ha pubblicato, chi lo ha finanziato, per quanto tempo è rimasto visibile e a quali target .

Il focus del DSA è sulla moderazione dei contenuti

Gli utenti dovranno poter segnalare più facilmente post e contenuti illeciti o che per diverse ragioni considerano controversi.

Anche a questo compito assolverà il Compliance Officer di cui le piattaforme più grandi sono obbligate a dotarsi dal nuovo Digital Services Act. Ci dovrà essere, in altre parole, un team dedicato alla moderazione in grado di stabilire codici di condotta chiari e specifici e di giudicare, a valle, ogni caso in maniera trasparente e imparziale.

Una delle critiche spesso mosse alle big tech, specie quando hanno segnalato i contenuti o bloccato i profili di personaggi pubblici o politici dal calibro di Donald Trump, è stato di agire con provvedimenti “ad personam” e senza seguire un iter standard. Qualsiasi utente che si vedrà segnalato o cancellato un post dovrà sapere esattamente perché ciò è avvenuto, insomma, ed eventualmente come e a chi fare reclamo.

Tra le altre previsioni del Digital Services Act ce ne sono anche alcune che scoraggiano quelle pratiche controverse e quei cosiddetti “dark pattern” che in Rete spingono gli utenti a compiere azioni di cui non sono completamente consapevoli o indesiderate, come accettare tutti i cookie pur di poter accedere a un contenuto o a un servizio.

Cosa rischia chi non si adegua al nuovo Digital Services Act

Proprio per la varietà di campi in cui interviene il DSA non è mancato di essere bersaglio di critiche e polemiche.

La maggior parte ha riguardato il rischio che il nuovo pacchetto normativo possa trasformarsi in una sorta di «bavaglio» per le piattaforme e i servizi digitali⁴, una volta che il timore delle sanzioni li spingerà ad avere un atteggiamento più prudente che in passato riguardo a quanto condiviso dagli utenti.

Chi non si dimostri compliant al nuovo Digital Services Act dal 25 agosto 2023 rischia, infatti, sanzioni fino a un massimo del 6% del fatturato annuo totale.

Delle sanzioni – anche se di valore inferiore, perché la percentuale da non superare in questo caso è quella dell’1% del fatturato annuo – possono essere comminate anche alle grandi piattaforme digitali che offrano informazioni scorrette, parziali o fuorvianti o non si preoccupino di rettificarle dopo la segnalazione.

Cosa cambierà su Facebook, Instagram, TikTok, Google con l’entrata in vigore del Digital Services Act

La maggior parte delle “very large online platforms” che operano in Europa e che sapevano da tempo di essere “osservate speciali” da parte dell’Unione Europea si è fatta trovare pronta all’entrata in vigore del Digital Services Act, ciascuna a modo proprio e introducendo feature e impostazioni che le rendessero più compliant alle previsioni del nuovo pacchetto di norme europee in materia di servizi digitali.

TikTok, per esempio, ha annunciato nei primi giorni di agosto 2023 alcuni aggiornamenti tra cui quello in base a cui i tiktoker potranno smettere di visualizzare contenuti personalizzati nella sezione “Per te”, a favore dei contenuti più popolari del momento nel paese in questione.

In maniera simile Meta ha annunciato che, da ottobre, potrebbe chiedere il consenso esplicito degli utenti prima di mostrare pubblicità targettizzate. Si tratta, però, soltanto di una delle azioni intraprese dall’azienda di Zuckerberg per «dare alle persone più controllo sulla propria esperienza su Facebook e Instagram»⁵ in accordo con le previsioni del Digital Services Act, come si legge in un post ufficiale pubblicato sul blog della compagnia.

Tra le novità introdotte vi è la possibilità per gli utenti europei di visualizzare solo post, Storie, reel pubblicati dalle proprie cerchie e in ordine cronologico e risultati di ricerca pertinenti alla chiave digitata, senza che avvenga cioè una selezione da parte dell’algoritmo e dei sistemi automatici delle piattaforme. Da qualche giorno una notifica pop-up avvisa chi accede a Facebook o WhatsApp delle imminenti modifiche alla privacy policy dei rispettivi servizi in ottemperanza all’entrata in vigore del Digital Services Act. Per chi intende approfondire Meta ha messo a disposizione vari materiali, tra cui 22 card riassuntive su come funziona il ranking dei contenuti sulle piattaforme di cui è proprietaria.

In un post pubblicato sul proprio blog aziendale, Google ha fatto sapere di lavorare da tempo per raggiungere gli stessi obiettivi di trasparenza e sicurezza che ispirano il Digital Services Act⁶. Per meglio sposarne le previsioni, però, da Mountain View hanno previsto il rilascio di un nuovo Trasparency Center: qui sarà più facile per gli utenti trovare informazioni dettagliate su come funzionano i diversi servizi e prodotti dell’azienda, oltre che gli appositi strumenti per la segnalazione dei contenuti e i vari report sulla trasparenza. Gli ultimi saranno resi più facilmente accessibili, insieme ad altri dati, anche a esperti e ricercatori. In rispetto delle previsioni del DSA per quanto riguarda la pubblicità online verrà ampliata anche la repository degli annunci pubblicati tramite il sistema Google.

Tra intermediari e fornitori di servizi digitali destinatari delle novità introdotte dal Digital Services Act sono mancate, però, le polemiche. Basti pensare che Amazon e Zalando, già prima della deadline del 25 agosto, hanno fatto ricorso contro la decisione dell’Europa di collocarli tra piattaforme e fornitori di servizi della società dell’informazioni “molto grandi”^{7 8} obbligati per primi a mostrarsi compliant alle previsioni del DSA.