Dai prodotti contraffatti venduti sui marketplace al design potenzialmente "dipendenza" dei social network: i recenti interventi della Commissione europea nei confronti di AliExpress e Meta mostrano una trasformazione profonda del ruolo delle grandi piattaforme digitali.
Il Digital Services Act (il Regolamento europeo n. 2022/2065) non impone soltanto di rimuovere i contenuti illeciti: richiede alle piattaforme di individuare, valutare e mitigare i rischi derivanti dal funzionamento dei propri servizi e questa nuova responsabilità può assumere rilievo anche nei rapporti con il consumatore.
Il DSA, come riconosciuto da più parti, rappresenta uno dei principali interventi dell'Unione europea per disciplinare il funzionamento dell'ambiente digitale e il suo obiettivo non è soltanto quello di contrastare i contenuti illegali presenti online, ma di costruire un quadro uniforme di trasparenza, responsabilità e controllo dei servizi digitali, intervenendo sui meccanismi attraverso i quali le piattaforme organizzano, indirizzano e rendono possibile l'attività degli utenti.
Tale aspetto è tutt'altro che secondario, in quanto la normativa comunitaria si inserisce nel precedente quadro europeo della direttiva 2000/31/CE sul commercio elettronico, recepita in Italia dal d.lgs. 70/2003, senza semplicemente cancellarne il sistema, ma ampliando il sistema di tutela.
La disciplina degli intermediari rimane quindi, per molti aspetti, fondata sulla distinzione tra fornitore del servizio rete digitale (mere conduit), colui che trasmette informazioni su una rete di comunicazione ed effettua una memorizzazione temporanea delle stesse (caching) e il fornitore di servizi che memorizza informazioni fornite dal destinatario del servizio su sua richiesta (hosting) e sulle relative condizioni di esenzione dalla responsabilità.
Le nuove regole introdotte con il DSA aggiungono qualcosa di nuovo e particolarmente significativo: obblighi autonomi di diligenza, trasparenza, organizzazione e gestione dei rischi, soprattutto per le piattaforme di dimensioni molto grandi.
È proprio questo nuovo livello di responsabilità che emerge con particolare chiarezza da due recenti interventi della Commissione europea.
Da una parte, la Commissione ha inflitto ad AliExpress una sanzione di 550 milioni di euro per la violazione degli obblighi relativi alla valutazione e alla mitigazione dei rischi connessi alla diffusione di prodotti illegali, non sicuri o contraffatti.
Dall'altra, ha formulato conclusioni preliminari nei confronti di Meta, ritenendo che il design di Facebook e Instagram possa violare il DSA per non avere adeguatamente valutato e mitigato i rischi collegati a funzionalità come infinite scroll, autoplay, notifiche push e sistemi di raccomandazione altamente personalizzati.
E si tratta di due storie sicuramente molto diverse se vengono analizzate semplicemente sotto il profilo della vicenda in se, ma che in realtà possono avere un punto comune fondamentale: la Commissione non guarda soltanto a ciò che accade sulla piattaforma, ma anche a come la piattaforma è progettata e organizzata per prevenire ciò che può accadere, laddove determinate condotte possano incidere - direttamente o indirettamente - sul consumatore.
a.- Dalla responsabilità per il singolo contenuto alla responsabilità per il sistema
Il modello tradizionale della responsabilità degli intermediari digitali si è sviluppato attorno a una domanda relativamente semplice: la piattaforma era a conoscenza dell'illiceità di un determinato contenuto e, una volta informata, ha agito per rimuoverlo?
Questo approccio non viene seguito dalle nuove norme introdotte con il Regolamento europeo n. 2022/2065, ove le norme devono essere intese ed interpretate con una prospettiva diversa e più ampia.
Per le piattaforme online e i motori di ricerca di dimensioni molto grandi, l'art. 34 DSA impone di individuare, analizzare e valutare con diligenza i rischi sistemici derivanti dalla progettazione o dal funzionamento del servizio, compresi i sistemi algoritmici, e dall'utilizzo del servizio stesso. La valutazione deve riguardare, tra l'altro, la diffusione di contenuti illegali e altri rischi specificamente individuati dal regolamento.
È un cambio di prospettiva importante: la domanda non è più soltanto:
"Hai rimosso il contenuto illecito quando ti è stato segnalato?"
ma si ampia ad un ulteriore livello:
"Hai organizzato il tuo servizio in modo ragionevole per ridurre la possibilità che quel rischio si verifichi?"
La responsabilità della piattaforma assume così una dimensione che potremmo definire "di assetto": rilevano non soltanto le singole decisioni adottate davanti a un illecito, ma l'adeguatezza dell'organizzazione complessiva del servizio.
Per una grande piattaforma possono quindi diventare rilevanti la progettazione dell'interfaccia, i sistemi di raccomandazione, le procedure di verifica, l'organizzazione della moderazione, i meccanismi di segnalazione, i controlli sui venditori e, più in generale, la capacità di prevenire e mitigare i rischi che derivano dal proprio modello di funzionamento.
E questo nuovo sistema di valutazione della condotta dei nuovi intermediari digitali ha trovato una sua applicazione, in modo diverso, nelle vicende assurte agli onori della cronaca di recente.
b.- AliExpress: il marketplace deve controllare il rischio dei prodotti illegali
Quanto appena sinteticamente, e sicuramente non in modo esaustivo, rappresentato trova una sua rappresentazione nel caso AliExpress che ben rappresenta il nuovo approccio seguito dagli organismi comunitari di controllo.
Nella vicenda di cui trattasi, la Commissione non ha contestato alla piattaforma digitale semplicemente la presenza occasionale di un prodotto contraffatto o pericoloso sul suo spazio telematico.
La questione oggetto delle censure sollevate verso AliExpress riguarda la capacità complessiva del marketplace di valutare e ridurre sistematicamente il rischio della diffusione di prodotti illegali, non sicuri o contraffatti.
La Commissione si è posta un quesito molto semplice: questa piattaforma dispone di sistemi di controllo volti a ridurre/eliminare il rischio della diffusione e vendita verso i consumatori europei di prodotti non sicuri e potenzialmente dannosi o comunque contraffatti?
Avviato il controllo seguendo i principi sopra espressi, ha potuto concludere che AliExpress non aveva adempiuto adeguatamente ai propri obblighi di valutazione e mitigazione del rischio, tutelando, in ultima istanza, tutti i clienti che accedono al suo ambiente telematico.
Per questo, il 20 luglio 2026, ha adottato una decisione con una sanzione di 550 milioni di euro e ha ordinato alla piattaforma di adottare misure correttive, ma il significato della decisione va oltre l'importo della sanzione.
Per comprendere la portata della vicenda occorre spostare l'attenzione dal singolo prodotto al flusso dei prodotti attraverso il marketplace, cosicché la domanda che dobbiamo porci è:
- come vengono identificati i venditori?
- quali verifiche vengono effettuate?
- quali controlli esistono prima che un prodotto venga messo in vendita?
- quanto sono efficaci i sistemi di segnalazione?
- quanto rapidamente vengono rimossi i prodotti illegali?
- cosa accade quando un venditore o un prodotto già segnalato ricompare?
- i sistemi algoritmici contribuiscono a rendere più visibile un prodotto rischioso?
È questa la prospettiva sistemica del DSA, ove la piattaforma digitale non diventa automaticamente il produttore o il venditore del bene, quindi rispondendo direttamente per eventuali violazioni eccepite dal consumatore con riferimento diretto al prodotto venduto.
Ma allo stesso tempo, la piattaforma digitale non è più quel soggetto neutro e che si disinteressa dei prodotti che circolano nel suo marketplace, configurandosi nei suoi confronti una responsabilità non tanto (o non solo) da omesso controllo, ma anche per aver facilitato/amplificato al diffusione sul mercato dei prodotti.
Il principio è particolarmente importante per il consumatore: la dimensione e la complessità tecnologica della piattaforma non possono diventare un alibi per rinunciare a controlli adeguati.
c. Meta: quando è il design della piattaforma a generare il rischio
Il caso Meta porta questa stessa logica in un territorio completamente diverso.
La Commissione ha formulato, il 10 luglio 2026, conclusioni preliminari secondo cui il design di Instagram e Facebook potrebbe violare il DSA, contestando la modalità mediante la quale l'utente fruisce delle immagini e video attraverso queste piattaforme.
L'indagine riguarda funzionalità come lo scorrimento infinito, la riproduzione automatica, le notifiche push e i sistemi di raccomandazione altamente personalizzati che produrrebbero effetti di potenziale "dipendenza" per coloro che si iscrivono a questi servizi.
Secondo la Commissione, Meta non avrebbe adeguatamente valutato i rischi del design e del possibile danno al benessere fisico e mentale degli utenti, compresi minori e adulti vulnerabili, e le misure adottate non sarebbero risultate sufficientemente efficaci.
Qui il problema non è quindi principalmente la presenza di un contenuto illecito.
È l'architettura stessa del servizio.
Il feed, le notifiche, l'autoplay, la personalizzazione e gli strumenti che determinano quali contenuti vengono mostrati all'utente possono contribuire a creare determinati comportamenti.
È una novità concettuale importante: il diritto europeo comincia a guardare alla piattaforma non soltanto come al luogo nel quale vengono pubblicati i contenuti, ma come a un ambiente tecnologico che può orientare concretamente il comportamento dell'utente.
Il design diventa quindi giuridicamente rilevante.
d.- Dalla "neutralità tecnologica" alla responsabilità di design e di governance
Il DSA non stabilisce che ogni conseguenza negativa prodotta da una piattaforma comporti automaticamente la responsabilità giuridica nei confronti del gestore.
La questione è più precisa, in quanto il regolamento impone specifici obblighi di prevenzione e mitigazione dei rischi e, soprattutto, impone alle piattaforme di dimensioni molto grandi di interrogarsi preventivamente sulle conseguenze del proprio modello di funzionamento.
Questo significa che possono diventare rilevanti:
- le scelte di progettazione del servizio;
- le caratteristiche dell'interfaccia;
- i sistemi algoritmici di raccomandazione;
- i meccanismi di profilazione;
- le procedure di moderazione;
- i sistemi di verifica dei venditori;
- i meccanismi di segnalazione;
- le informazioni fornite agli utenti;
- le misure adottate per proteggere minori e soggetti vulnerabili.
La piattaforma deve, quindi, essere in grado di dimostrare non soltanto di avere una policy, ma di avere adottato misure adeguate e concretamente efficaci e che possano tutelare l'utente.
È il passaggio dalla semplice compliance alla accountability.
Non basta dire: "Abbiamo un sistema di controllo"
La domanda diventa:
"Il sistema di controllo è adeguato al rischio e funziona realmente?"
e.- Il consumatore e la nuova centralità dell'informazione
La trasformazione non riguarda soltanto la sicurezza, ma si spinge anche alla modalità di interazione della piattaforma con l'utente.
Una parte significativa del DSA è infatti dedicata alla trasparenza e alla capacità dell'utente di comprendere il funzionamento della piattaforma.
Le grandi piattaforme devono fornire informazioni sulle principali caratteristiche dei sistemi di raccomandazione e, in determinati casi, offrire la possibilità di non essere soggetti a sistemi di raccomandazione basati sulla profilazione.
Il consumatore digitale viene così considerato non soltanto come destinatario del servizio, ma come soggetto che deve poter comprendere, almeno nei suoi elementi essenziali, perché determinati contenuti, prodotti o annunci gli vengono mostrati.
Questa approccio legislativo assume particolare rilievo quando l'algoritmo incide sulle scelte economiche espresse dal consumatore: se quest'ultimo non visualizza un determinato prodotto, prezzo, venditore o pubblicità non semplicemente perché lo ha cercato, ma perché un sistema algoritmico ha deciso di mostrarglielo, il funzionamento di quel sistema diventa parte dell'ambiente nel quale la decisione economica viene assunta.
Ed è proprio questa asimmetria informativa che il DSA cerca di ridurre, introducendo nuove forme di responsabilità civile della piattaforma digitale.
f.- Algoritmi e dark patterns: le nuove "regole del gioco"
Come è noto, gli algoritmi sono ormai una parte essenziale del mercato digitale e determinano quali prodotti vengono mostrati, quali contenuti vengono raccomandati, quali annunci vengono visualizzati e, in molti casi, quale esperienza digitale viene proposta al singolo utente.
In tal senso, l'intervento normativo avviato con il Regolamento n. 2022/2065 considera rilevante anche la progettazione dell'interfaccia, introducendo specifici divieti e limiti nell'utilizzo degli algoritmi verso i fruitori del servizio digitale.
L'art. 25 vieta alle piattaforme online di progettare, organizzare o gestire le proprie interfacce in modo da ingannare o manipolare gli utenti o da compromettere significativamente la loro capacità di assumere decisioni libere e informate.
È la disciplina dei cosiddetti dark patterns (per un approfondimento, clicca qui).
Pensiamo, ad esempio, a un percorso nel quale iscriversi a un servizio è semplicissimo mentre disdirlo è deliberatamente complicato; a impostazioni predefinite difficili da modificare; a scelte presentate in maniera non neutrale; oppure a interfacce che spingono l'utente verso una determinata decisione economica.
Il DSA considera questi meccanismi non come una semplice questione di "user experience", ma come un possibile problema giuridico, in quanto la scelta del consumatore non viene formalmente impedita, ma condizionata in modo determinante e quindi indirizzata.
E anche qui emerge un collegamento diretto con la tutela del consumatore.
La libertà della scelta economica non dipende infatti soltanto dalla correttezza dell'informazione scritta, ma anche dall'architettura tecnologica che diviene elemento condizionante della volontà dell'utente.
In termini più semplici, la correttezza dell'intermediario digitale non viene più valutata in termini di trasparenza e correttezza delle informazioni offerte all'utente, ma anche dal modo in cui quella informazione viene presentata e dalla struttura del percorso decisionale.
g.- Minori, pubblicità e salute mentale
La stessa logica preventiva trova applicazione nella protezione dei minori, ove l'intervento attraverso il DSA è ancora più incisivo, in quanto vengono introdotte una serie di garanzie specifiche, tra cui il divieto per le piattaforme di presentare pubblicità basata sulla profilazione dei minori e limitazioni alla pubblicità mirata fondata su particolari categorie di dati personali.
Per le piattaforme di dimensioni molto grandi, la valutazione dei rischi deve inoltre considerare anche gli effetti negativi sulla salute fisica e mentale e i rischi specifici per i minori.
È significativo che il legislatore europeo abbia quindi deciso di guardare anche alla struttura del servizio, e non soltanto ai contenuti che vi circolano.
Il Digital Service Act (DSA) non tutela i minori limitandosi alla rimozione dei contenuti illegali o dannosi, ma decide, ancora una volta, di spingersi a verificare come sono progettate le piattaforme e come creano/sviluppano i propri messaggi verso i minori.
In continuità con il GDPR, il DSA vieta alle piattaforme di presentare pubblicità basata sulla profilazione quando hanno una ragionevole certezza che l’utente sia un minore, e introduce limiti molto stringenti all’uso di categorie particolari di dati personali (ad esempio dati sulla salute o sull’orientamento sessuale) per fini di targeting pubblicitario, anche se l’utente presta il consenso.
Per questo il DSA vieta i cosiddetti dark pattern nelle interfacce e richiede, in combinazione con il principio di privacy by design e by default del GDPR, che i servizi accessibili ai minori siano configurati in modo da offrire per default il massimo livello di protezione, trasparenza e controllo sulla profilazione e sulla pubblicità.
Nel caso di Meta, questa impostazione emerge con particolare evidenza: l’attenzione delle istituzioni europee non si concentra soltanto sui singoli post o contenuti problematici, ma sull’intero modello di business fondato sulla profilazione intensiva, sulla combinazione di dati tra servizi e su scelte di design che possono spingere gli utenti – minori inclusi – a restare connessi più a lungo e ad accettare il tracking.
La “nuova regola applicabile” è quindi che la protezione dei minori e della loro salute mentale richiede di interrogarsi sull’architettura complessiva del servizio digitale: sistemi di raccomandazione, logiche di engagement, configurazioni predefinite e interfacce devono essere progettati in modo da ridurre strutturalmente i rischi, non semplicemente da gestire ex post i contenuti più estremi o visibilmente dannosi.
Se infinite scroll, notifiche, autoplay e sistemi di raccomandazione personalizzati possono contribuire a un uso compulsivo, il problema non può essere affrontato esclusivamente eliminando singoli contenuti, ed occorre interrogarsi sul design complessivo.
È esattamente il tipo di valutazione che la Commissione sta ora effettuando nei confronti di Meta.
h.- Il punto di contatto con il diritto dei consumatori
Ed è qui che le nuove regole assumono, a nostro avviso, una particolare importanza, in quanto il DSA non sostituisce il Codice del consumo, il GDPR, la disciplina sulle pratiche commerciali scorrette o le altre norme che regolano i rapporti tra professionisti e consumatori.
Tutte queste diverse normative continuano ad avere oggetti, presupposti e rimedi propri che non vengono alterati dal Regolamento n. 2022/2065 che può però interagire con tutti questi disposizioni.
Una violazione degli obblighi DSA può, a seconda delle circostanze concrete, assumere rilievo anche nella valutazione della condotta tenuta dalla piattaforma nei confronti del consumatore.
Si pensi alla mancata informazione su elementi essenziali del servizio, all'utilizzo di sistemi manipolativi, alla mancata predisposizione di meccanismi effettivi di segnalazione o alla mancata adozione di misure adeguate rispetto a rischi che la piattaforma era tenuta a valutare.
Il problema non è soltanto stabilire se la piattaforma abbia violato il DSA, ma bisogna spingersi a chiedersi anche quali conseguenze quella violazione abbia prodotto nel rapporto concreto con l'utente o con il consumatore.
i.- La responsabilità civile della piattaforma: un passaggio da non sottovalutare
Contrariamente a quanto sostenuto da taluni, non riteniamo corretto sostenere che una violazione del DSA renda automaticamente la piattaforma responsabile per ogni danno subito dal consumatore anche sotto altri profili.
Il regolamento europeo, tuttavia, contiene una disposizione estremamente importante.
L'art. 54 Digital Service Act stabilisce infatti che i destinatari dei servizi hanno il diritto di chiedere, conformemente al diritto dell'Unione e al diritto nazionale, il risarcimento dei danni o delle perdite subiti a causa di una violazione, da parte dei fornitori di servizi intermediari, degli obblighi loro imposti dal regolamento.
Questa disposizione apre una prospettiva importante, poiché la sanzione della Commissione appartiene al piano dell'enforcement pubblico, mentre il risarcimento del singolo utente appartiene invece al piano della tutela privata.
Sono due piani distinti, ma che diventano comunicanti, in quanto la violazione accertata dall'autorità non determina automaticamente il risarcimento del singolo consumatore: occorrerà verificare la specifica violazione, il danno, il nesso causale e gli ulteriori presupposti richiesti dal diritto applicabile.
Fatta questa doverosa precisazione, chi scrive ritiene però che la violazione del DSA da parte di una piattaforma può rappresentare il presupposto per accertare il danno sofferto dal consumatore/utente, presupposto per chiedere la tutela risarcitoria quando il pregiudizio sia conseguenza della violazione degli obblighi posti dal regolamento.
Si tratta di un elemento che merita particolare attenzione anche sotto il profilo delle azioni collettive.
l.- Dalla sanzione pubblica alla tutela individuale e collettiva
Qui siamo chiamati ad operare un doveroso e breve approfondimento in merito alla diversa tutela dei diritti del consumatore che può avvenire con l'azione collettiva e quella individuale.
Da una parte vi è l'autorità pubblica: la Commissione europea, per le piattaforme e i motori di ricerca di dimensioni molto grandi, e i Coordinatori dei servizi digitali degli Stati membri per le rispettive competenze.
Dall'altra vi sono gli utenti, i consumatori e le associazioni che possono utilizzare gli strumenti previsti dal diritto dell'Unione e nazionale.
Il DSA prevede, a tal proposito, che i destinatari dei servizi possano rivolgersi a organismi, organizzazioni o associazioni che possiedano determinati requisiti per esercitare i diritti loro conferiti dal regolamento per loro conto.
L'art. 86 richiama espressamente anche la direttiva (UE) 2020/1828 sulle azioni rappresentative.
La conseguenza è importante soprattutto quando il problema non riguarda un singolo consumatore, ma una pluralità di utenti esposti alla medesima condotta e allo stesso rischio.
Pensiamo alla diffusione sistematica di prodotti pericolosi attraverso un marketplace oppure all'utilizzo di un determinato meccanismo di interfaccia potenzialmente idoneo a condizionare le scelte economiche di una moltitudine di consumatori.
In situazioni di questo tipo, la violazione di obblighi di organizzazione, informazione o prevenzione può assumere una rilevanza che va oltre il singolo rapporto.
Da questo punto di vista, occorre osservare in senso positivo la possibilità di intervento collettivo per la tutela degli interessi del consumatore, il quale ben difficilmente si attiva in proprio per violazioni che, in molti casi, non comportano un danno rilevante dal punto di vista economico.
Da questo punto di vista, le condotte previste dal DSA e le relative violazioni possono essere considerate come parametro per valutare il modus operandi della piattaforma
È probabilmente questo uno degli aspetti più interessanti dal punto di vista consumeristico perché la norma comunitaria diviene un parametro normativo di riferimento per valutare la correttezza e la trasparenza della piattaforma digitale nei confronti dell'utente.
Non significa, come chiarito in precedenza, che ogni violazione del DSA coincida automaticamente con una pratica commerciale scorretta o con un illecito civile, ma, piuttosto, che l'accertamento della violazione di uno specifico obbligo DSA può assumere rilievo, insieme agli altri elementi del caso concreto, per verificare se la piattaforma abbia agito secondo gli standard di diligenza, trasparenza e correttezza richiesti dall'ordinamento.
Si pensi, ad esempio, alla piattaforma che rappresenti il proprio marketplace come un ambiente sicuro e affidabile mentre, secondo quanto accertato dalle autorità, i suoi sistemi di controllo siano strutturalmente inadeguati a impedire la diffusione di prodotti illegali.
Oppure alla piattaforma che non fornisca informazioni sufficienti sul funzionamento dei propri sistemi di raccomandazione o che utilizzi interfacce idonee a compromettere la libertà di scelta dell'utente.
Od anche la piattaforma digitale che, in modo poco trasparente, utilizzi determinati dark patterns per poter carpire e riutilizzare le informazioni personali del singolo utente che naviga all'interno dello spazio digitale.
In questi casi la violazione DSA potrebbe intrecciarsi con altre discipline, tra cui quella sulle pratiche commerciali scorrette, sugli obblighi informativi, sulla trasparenza contrattuale e sulla responsabilità per danni, violazione del diritto alla riservatezza dei dati personali.
Sarà naturalmente necessario valutare caso per caso il rapporto tra le diverse norme e verificare la sussistenza di tutti i presupposti richiesti per il rimedio concretamente invocato.
Nessun commento:
Posta un commento