Una recente iniziativa di enforcement della Commissione europea relativa all’applicazione del Digital Services Act (“DSA“) offre importanti indicazioni sul modo in cui le autorità europee sembrano intendere gli obblighi di gestione del rischio imposti alle piattaforme online di maggiori dimensioni. Dalle informazioni rese pubbliche emerge un’attenzione particolare verso tre categorie di rischi: la presenza di offerte fraudolente, i fenomeni di phishing e la trasparenza dei contenuti promozionali.
La vicenda appare particolarmente interessante perché consente di comprendere come la Commissione stia progressivamente passando da una visione del DSA incentrata sulla rimozione dei contenuti illeciti a una più ampia valutazione delle misure organizzative e tecniche adottate dagli operatori per prevenire il verificarsi di tali fenomeni.
Gli obblighi di gestione del rischio previsti dal DSA
Gli articoli 34 e 35 del DSA impongono alle Very Large Online Platforms di identificare, analizzare e valutare periodicamente i rischi sistemici derivanti dal funzionamento dei propri servizi e di adottare misure adeguate per mitigarli.
La logica sottostante è nota ad altri ambiti della regolazione digitale. Analogamente a quanto avviene in materia di protezione dei dati personali o cybersecurity, il legislatore europeo non pretende l’azzeramento del rischio. Ciò che viene richiesto è l’esistenza di un processo strutturato di identificazione, valutazione e mitigazione dei rischi ragionevolmente prevedibili.
Fino ad oggi, tuttavia, era rimasto relativamente poco chiaro quali fenomeni la Commissione avrebbe concretamente considerato rilevanti ai fini di tali obblighi e quale livello di diligenza si sarebbe aspettata dalle piattaforme.
Le recenti attività di enforcement iniziano a fornire alcune indicazioni.
Una nozione ampia di rischio sistemico
Un primo elemento di interesse riguarda il tipo di rischi su cui si concentra l’attenzione della Commissione.
Le comunicazioni ufficiali fanno riferimento non soltanto a contenuti illegali in senso stretto, ma anche a offerte fraudolente, fenomeni di impersonificazione e annunci potenzialmente idonei a compromettere gli interessi economici degli utenti.
Si tratta di un profilo particolarmente rilevante perché suggerisce che il concetto di rischio sistemico possa comprendere non solo la diffusione di contenuti illeciti, ma più in generale tutte quelle dinamiche suscettibili di incidere sulla sicurezza e sull’affidabilità dell’ecosistema digitale.
Se questa interpretazione verrà confermata, le piattaforme potrebbero essere chiamate a dimostrare non soltanto l’esistenza di procedure di rimozione dei contenuti problematici, ma anche la presenza di efficaci meccanismi di prevenzione delle frodi.
Il DSA entra nelle scelte di progettazione delle piattaforme
L’aspetto forse più innovativo riguarda però l’approccio adottato rispetto ai fenomeni di phishing.
Le informazioni pubblicate dalla Commissione mostrano che l’attenzione delle autorità non sembra limitarsi alle condotte poste in essere dagli autori delle frodi. L’analisi riguarda anche aspetti quali le modalità di condivisione dei dati degli utenti, il funzionamento dei sistemi di messaggistica e l’effettiva idoneità delle misure implementate per impedire utilizzi abusivi delle informazioni trattate attraverso la piattaforma.
In altre parole, l’oggetto della valutazione non è soltanto il comportamento degli utenti ma anche il design del servizio.
Ciò rappresenta un passaggio significativo. Per anni il dibattito sulla responsabilità degli intermediari digitali si è concentrato prevalentemente sui contenuti pubblicati dagli utenti. Le recenti iniziative della Commissione sembrano invece indicare una crescente attenzione verso le scelte architetturali e organizzative che possono facilitare oppure ostacolare determinati abusi.
Sotto questo profilo, il DSA sembra avvicinarsi sempre più alle logiche del privacy by design e del security by design già affermatesi in altri settori della regolazione digitale.
Conclusioni
Le prime attività di applicazione del Digital Services Act sembrano indicare che la Commissione intenda concentrarsi non soltanto sui singoli illeciti, ma anche sull’effettiva capacità delle piattaforme di governare i rischi sistemici generati dai propri servizi.
La questione centrale non è più soltanto se una frode si sia verificata, ma se l’operatore possa dimostrare di avere fatto tutto ciò che era ragionevolmente possibile per prevenirla. È proprio in questo passaggio dalla reazione alla prevenzione che si coglie una delle principali innovazioni introdotte dal Digital Services Act.
