Il Digital Services Act (Reg. UE 2022/2065, DSA) è uno dei principali tasselli della normativa sul digitale UE, disciplinando temi come la responsabilità dei provider e gli obblighi di diligenza per i fornitori di servizi intermediari (es. le piattaforme online). In relazione agli obblighi di diligenza, il DSA pone regole specifiche anche in materia di condizioni contrattuali e pubblicità online.
Molteplici norme previste dal DSA presentano complesse questioni di protezione dei dati personali, materia regolata principalmente dal GDPR (Regolamento UE 2016/679). Considerato che le regole del DSA non derogano agli obblighi previsti dal GDPR, i due regolamenti si applicano contestualmente, generando difficoltà interpretative di non poco conto per gli operatori.
Per chiarire l’interazione tra DSA e GDPR, è di recente intervenuto il Comitato europeo per la protezione dei dati (EDPB), che riunisce le autorità garanti UE.
Le linee guida dell’EDPB affrontano questioni di rilevante interesse, che vanno dal trattamento dei dati personali nel contesto dei meccanismi obbligatori di “notice and action”, alle norme in tema di dark patterns, trasparenza della pubblicità online e divieto di impiego di dati sensibili per la pubblicità basata sulla profilazione.
Tra gli argomenti esaminati e che avevano generato significative incertezze, vi è quello del trattamento dei dati delle persone minori d’età. Viene chiarito che questo trattamento può essere fondato sulla base giuridica degli obblighi previsti dal regolamento a protezione dei minori, sebbene nel rispetto di determinati limiti. In particolare, sui meccanismi di “age assurance” è specificato che i provider di piattaforme online dovrebbero evitare modalità che prevedano l’identificazione online univoca degli utenti e, comunque, non dovrebbero stimarne o verificarne l’età e archiviarne in via permanente le relative informazioni giustificando tali operazioni sull’adempimento degli obblighi del regolamento sui servizi digitali. Per l’accertamento dell’età senza identificare l’utente, possono essere impiegate tecnologie “privacy-preserving” disponibili allo stato dell’arte (come i metodi crittografici della zero-knowledge proof). In merito, si tenga comunque presente che a tendere gli operatori dovranno allinearsi anche alla nuova disciplina che sarà prevista nello EU Kids Act, al momento in corso di discussione presso l’UE.
Ulteriori indicazioni riguardano la cooperazione tra le autorità che monitorano il rispetto della normativa sulla protezione dei dati personali (in Italia, il Garante privacy) da una parte e quelle competenti per il rispetto del DSA dall’altra, cioè il coordinatore dei servizi digitali (in Italia, l’AGCM) e la Commissione. L’accento è posto sugli obblighi di consultazione reciproca di tali autorità, ritenuti centrali anche per garantire il rispetto del principio del ne bis in idem ed evitare che un operatore sia sanzionato due volte per la medesima condotta alla luce dei due diversi regolamenti. Ciò potrebbe accadere, ad esempio, se un operatore inviasse pubblicità basata sulla profilazione verso persone minori d’età.
Articoli Correlati