Digital Service Act: gli obblighi per i prestatori di servizi di memorizzazione

Come anticipato nel precedente contributo il Regolamento (UE) n. 2022/2065, cd. Digital Service Act (DSA) che diventerà pienamente efficace dal 17 febbraio 2024, introduce nuovi obblighi per i servizi di comunicazione elettronica che ricoprono il ruolo di intermediari.

Tali obblighi sono graduati a seconda della tipologia di servizio e dalla quantità di utenti che usufruiscono dei servizi.

Abbiamo già esaminato le previsioni applicabili ai soggetti che offrono servizi intermediari di base (mere conduit e caching), nell'ambito dei principi generali che riguardano la responsabilità dei prestatori e gli obblighi di trasparenza ed informazione.

Tali soggetti hanno specifici obblighi di eseguire gli ordini delle Autorità, indicando un apposito punto di contatto e predisponendo una relazione annuale di trasparenza.

Quando l'intermediario presta un servizio di memorizzazione a tali obblighi se ne aggiungono di ulteriori che il medesimo deve rispettare proprio per la specificità del servizio prestato. Infatti, mentre i prestatori dei servizi di intermediazione di mere conduit e di caching per il legislatore europeo sono considerati per così dire neutrali rispetto ai dati che transitano sui loro sistemi (avvenendo tale transito per ragioni prevalentemente tecniche), i fornitori di servizi di memorizzazione di informazioni vengono gravati di obblighi aggiuntivi, proprio per il fatto di mantenere il possesso di tali dati (dato che in questo caso la memorizzazione è non temporanea) ed allo scopo di meglio definire le condizioni a cui si può applicare il generale principio di non responsabilità da parte degli stessi rispetto alle informazioni memorizzate.

I servizi di memorizzazione non temporanea delle informazioni

Il Digital Service Act definisce il servizio di memorizzazione delle informazioni (cd. hosting) come quello consistente nel memorizzare informazioni fornite da un destinatario del servizio su richiesta dello stesso (art. 3, c. 1, lett. g) punto iii)).

Nell'ambito di tale categoria di servizi rientrano i servizi cloud, la memorizzazione di informazioni di siti web, i servizi di referenziazione a pagamento, quelli che consentono la condivisione di informazioni e contenuti online (compresa la condivisione e memorizzazione di file).

Sul punto preme ricordare che la Corte di Giustizia Europea (causa C-161/17) ha distinto l'hosting provider in passivo, ossia di prestazione di un servizio meramente tecnico e automatico, da quello cd. attivo, che oltre a memorizzare le informazioni provvede poi ad organizzarle.

In verità il concetto di servizio di memorizzazione delle informazioni quale servizio di puro hosting non appare chiaramente definito nel DSA, dato che, ad una lettura superficiale, potrebbe essere confuso con il servizio di piattaforma online, la quale oltre a memorizzare le informazioni provvede, su richiesta del destinatario del servizio, a diffonderle al pubblico, ossia a metterle a disposizione ad un numero potenzialmente illimitato di destinatari.

Attenendosi al mero dato letterale qualsiasi fornitori di servizi hosting di siti web potrebbe ricadere, quindi, nel concetto di piattaforma online, dato che la diffusione online dei contenuti del sito è normalmente un elemento del servizio stesso.

Un canone di interpretazione si ritrova però nel Considerando n. 13, che chiarisce di dover ritenersi esclusa l'applicazione della categoria delle piattaforme online quando la diffusione al pubblico sia solo una caratteristica minore o meramente accessoria connessa intrinsecamente a un altro servizio o una funzionalità minore del servizio principale (elementi che vengono richiamati nella definizione di piattaforma online per escluderne l'applicazione in presenza degli stessi).

In tale ottica, un servizio di mero hosting (ossia di hosting passivo) che si limita a mettere a disposizione lo spazio hardware per memorizzare le informazioni, eventualmente anche offrendo specifici servizi come il collegamento di tale spazio alla rete, l'indirizzamento delle comunicazioni e gli altri servizi usualmente connessi alla realizzazione e fruizione di un sito web, non potrà essere ricompreso nell'alveo delle piattaforme online, dato che la diffusione al pubblico costituisce un servizio accessorio rispetto tutto il resto.

Sicuramente il legislatore europeo avrebbe fatto meglio a riprendere la distinzione tra hosting passivo e hosting attivo, includendo tra i requisiti delle piattaforme online anche l'attività di organizzazione dei contenuti, così eliminando qualsiasi dubbio circa i soggetti inclusi nella definizione, anche in considerazione del fatto che da detta inclusione discendono una serie di obblighi aggiuntivi.

Gli obblighi per i prestatori dei servizi di memorizzazione non temporanea

La Sezione 2 del Capo III del DSA prevede alcuni obblighi specifici per i prestatori di servizi di memorizzazione (che rientrano nella più ampia attività di cd. content moderation) che si aggiungono a quelli già previsti per tutti i prestatori in generale. È bene precisare che tali obblighi sono estesi anche alle piattaforme online, le quali per il Regolamento costituiscono un sottoinsieme dei servizi di memorizzazione delle informazioni.

Il primo obbligo riguarda la necessità che il prestatore renda disponibile un meccanismo per consentire di segnalare la presenza all'interno del servizio di contenuti illegali (art. 16).

Si tratta della del riconoscimento a “qualsiasi persona o ente” della facoltà di segnalare tali contenuti mediante meccanismi di facile accesso ed esclusivamente per via elettronica.

Le segnalazioni devono essere sufficientemente precise e motivate (e, quindi, non è possibile inviare delle segnalazioni senza alcuna spiegazione, anche per evitare comportamenti volti unicamente a danneggiare gli utenti che pubblicano informazioni sui servizi degli intermediari).

In particolare, le segnalazioni devono avere i seguenti elementi:

1. La motivazione per cui il segnalante ritiene illegale il contenuto;
2. L'indicazione dell'ubicazione del contenuto (come un indirizzo o URL) ed eventuali informazioni supplementari per identificarlo, tenuto conto anche delle specificità del servizio;
3. il nome e l'indirizzo di posta elettronica del segnalante, tranne si tratti di reati a sfondo sessuale di cui alla direttiva 2011/93/CE;
4. una dichiarazione con cui il segnalante conferma che è in buona fede e che le informazioni contenute nella segnalazione sono esatte e complete.

È evidente, quindi, che le segnalazioni circa i contenuti illegali non possono essere anonime e devono contenere gli elementi specifici che consentano sia di individuare tale contenuto sia di comprendere il motivo per cui il segnalante lo ritiene illegale.

Il segnalante, inoltre, deve indicare un indirizzo di posta elettronica a cui deve essere inviata una conferma della ricezione della segnalazione da parte del prestatore di servizi di memorizzazione nonché, una volta adottata, l'esito della decisione sui contenuti segnalati, con le informazioni relative alla possibilità di ricorrere contro tale decisione.

È bene evidenziare che se la segnalazione è svolta in modo da consentire allo stesso di individuare il contenuto illegale “senza un esame giuridico dettagliato” viene meno la presunzione di non responsabilità del prestatore dei servizi di memorizzazione di cui all'art. 6, e questi potrà essere chiamato a risarcire i danni o a rispondere delle eventuali conseguenze derivanti dal permanere del contenuto illegale.

Il secondo obbligo comune a tutti i prestatori di servizi di memorizzazione è quello di motivazione, la quale deve essere fornita in maniera chiara e facilmente comprensibile.

L'art. 17 prevede che nell'imporre delle restrizioni ai destinatari del servizio per l'illiceità dei contenuti da questi forniti o per incompatibilità degli stessi con le condizioni generali di contratto che disciplinano il servizio, il prestatore debba fornire delle specifiche motivazioni agli utenti, purchè siano conosciute le coordinate elettroniche degli stessi.

In particolare, l'obbligo di motivazione sussiste qualora siano applicate restrizioni alla visibilità di informazioni fornite dal destinatario del servizio, compresa quelle che hanno effetto di rimuoverli, disabilitarne l'accesso o retrocederli rispetto ad altri. Ugualmente è obbligatorio fornire una motivazione in caso di provvedimenti di sospensione, cessazione o altre limitazioni relative alla possibilità di effettuare pagamenti in denaro, di usufruire del servizio o che coinvolgano l'account dell'utente.

Interessante notare che l'obbligo di motivazione non sussiste quando si tratti di informazioni che si rivelano “contenuti commerciali ingannevoli ad alta diffusione” (le cd. fake news).

Il Regolamento indica anche quali elementi debba contenere la motivazione, tra cui il tipo di restrizione applicata e la sua estensione territoriale, i fatti e le circostanze alla base della decisione (incluso se la stessa sia il frutto di una segnalazione o di indagini autonome), gli eventuali strumenti automatizzati per adottare la decisione, la base giuridica invocata, l'eventuale clausola contrattuale violata e l'indicazione dei mezzi di ricorso a disposizione del destinatario contro tale decisione.

Il terzo ed ultimo obbligo specifico per i prestatori di servizi intermediari di memorizzazione riguarda l'attività di contrasto alla commissione di reati. L'art. 18, infatti, stabilisce che il prestatore debba informare senza indugio le autorità giudiziarie o di contrasto di uno o più Stati membri nel caso in cui abbia il sospetto che sia stato commesso, si stia commettendo o sarà commesso un reato che comporta la minaccia per la vita o la sicurezza di una o più persone.

Si tratta, evidentemente, di gravi reati che, proprio per tale loro caratteristica, richiedono di far attivare il prestatore di servizi che possa venirne a conoscenza.