Il Comitato europeo per la protezione dei dati (EDPB) ha approvato le Linee guida 3/2025 sul rapporto tra il Digital Services Act (Reg. UE 2022/2065, “DSA”) e il GDPR (Reg. UE 2016/679), ora sottoposte a consultazione pubblica.
Il documento chiarisce molteplici questioni di data protection essenziali per assicurare che la conformità al DSA avvenga nel pieno rispetto della normativa sulla protezione dei dati personali.
Questo, a partire dagli aspetti di protezione dei dati personali che i providers devono considerare per garantire la piena conformità dei processi previsti nelle indagini volontarie per contrastare i contenuti illegali o disabilitarne l’accesso, nei meccanismi di segnalazione e azione, così come nel sistema interno di gestione dei reclami.
Tra i vari aspetti oggetto di approfondimento, risultano di particolare interesse le indicazioni relative alla disciplina del DSA per la protezione delle persone minori d’età in Rete.
È chiarito che, per rispettare l’obbligo di adozione di misure adeguate e proporzionate per garantire un elevato livello di tutela della vita privata, di sicurezza e di protezione dei minori (art. 28 DSA), i fornitori di piattaforme online accessibili da queste categorie di persone devono anzitutto verificare la possibilità di soddisfare tali obiettivi senza raccogliere né altrimenti trattare i dati personali dei minori, in applicazione dei principi di necessità e proporzionalità.
Nel caso in cui la raccolta dei dati fosse ritenuta necessaria e proporzionata, è specificato che i providers, a determinate condizioni, potrebbero provvedervi in base alla condizione di liceità relativa alla necessità di adempiere gli obblighi di legge loro imposti dal DSA stesso.
Rispetto ai sistemi di “garanzia dell’età” (“age assurance”), è precisato che i providers possono anche prevedere processi che non richiedano l’identificazione dell’utenza (ad esempio, tramite tecnologie privacy-preserving). Più in particolare, è affermato che le piattaforme online dovrebbero evitare di implementare meccanismi di age assurance che abilitino l’identificazione puntuale degli utenti (ad esempio, richiedendo la trasmissione di un valido documento d’identità), quanto meno sulla sola base dell’art. 28 del DSA.
Coerentemente al GDPR, laddove sia ritenuto necessario prevedere misure di age assurance, il provider deve attenersi a un approccio di tipo risk-based, in modo tale che l’obiettivo di impedire l’accesso dei minori alla piattaforma sia assicurato prevenendo al contempo possibili effetti avversi per gli altri utenti del servizio.
Articoli Correlati