Fatti all’origine della denuncia

1. La legge sui servizi digitali [1] (DSA) impone ai fornitori di «piattaforme online di dimensioni molto grandi» di valutare annualmente determinati rischi dei loro servizi connessi, ad esempio, alla diffusione di contenuti illegali o agli effetti negativi sull’esercizio dei diritti fondamentali o sulla protezione dei minori.[2] Inoltre, deve essere effettuato un audit indipendente del rispetto della legge sui servizi digitali da parte di tali piattaforme.[3] Qualora siano individuati rischi, il fornitore della piattaforma designata in questione deve mettere in atto misure di attenuazione per far fronte a tali rischi.

2. Le relazioni su tali valutazioni e audit dei rischi devono essere condivise con la Commissione europea, che monitora e garantisce la conformità delle piattaforme online di dimensioni molto grandi ai loro obblighi ai sensi della legge sui servizi digitali. Le relazioni devono inoltre essere rese pubbliche al più tardi tre mesi dopo il ricevimento della relazione di audit.[4] Se una piattaforma risulta inadempiente agli obblighi che le incombono ai sensi della legge sui servizi digitali, la Commissione può infliggere ammende per far rispettare la normativa [5].

3. Il 14 settembre 2023 la Commissione ha ricevuto la relazione sulla prima valutazione annuale del rischio di X a seguito dell'entrata in vigore della legge sui servizi digitali e della designazione della piattaforma come piattaforma online di dimensioni molto grandi.

4. Due settimane dopo, il denunciante, un giornalista, ha chiesto alla Commissione [6] l'accesso del pubblico a tale relazione.

5. Nel novembre 2023 la Commissione ha rifiutato di concedere l'accesso del pubblico, invocando la necessità di tutelare gli interessi commerciali della piattaforma in questione [7].

6. Il denunciante ha successivamente chiesto alla Commissione di rivedere la sua decisione di rifiutare l'accesso del pubblico (presentando una "domanda di conferma").

7. Nel dicembre 2023, sulla base della sua valutazione della relazione di valutazione dei rischi della piattaforma (e di altri elementi), la Commissione ha avviato un'indagine formale [8] sul rispetto da parte della piattaforma degli obblighi previsti dalla legge sui servizi digitali. Nello specifico, la Commissione ha ritenuto che la piattaforma non avesse valutato diligentemente determinati rischi sistemici nell'UE, derivanti dalla progettazione e dal funzionamento dei suoi sistemi e dall'uso dei suoi servizi.

8. Nel giugno 2024 la Commissione ha adottato una decisione di conferma sulla richiesta di accesso del denunciante, sostenendo che la relazione di valutazione dei rischi non poteva essere divulgata. Nel fare ciò, la Commissione ha anche invocato la necessità di proteggere la sua indagine in corso ai sensi della legge sui servizi digitali, sostenendo che si applicava una presunzione generale di non divulgazione e che le due eccezioni per la tutela degli interessi commerciali [9] e per la tutela degli obiettivi delle indagini [10] erano strettamente collegate.

9. Nel luglio 2024 la Commissione ha pubblicato constatazioni preliminari di non conformità nel contesto della sua indagine sulla legge sui servizi digitali, individuando tre rimostranze [11].

10. Nel settembre 2024, insoddisfatto della mancata divulgazione della relazione di valutazione dei rischi, il denunciante si è rivolto al Mediatore.

11. La Mediatrice ha avviato un'indagine sul rifiuto della Commissione di concedere l'accesso del pubblico nel settembre 2024.

12. A seguito dell'ispezione della relazione di valutazione dei rischi e dell'esame delle argomentazioni presentate, anche nella risposta della Commissione alla denuncia, la Mediatrice ha condiviso le sue opinioni preliminari [12] con la Commissione nel novembre 2024.

Il parere preliminare del Mediatore

13. Il Mediatore ha ritenuto in via preliminare irragionevole che la Commissione applichi una presunzione generale di non divulgazione a una relazione di valutazione dei rischi redatta ai sensi della legge sui servizi digitali.

14. Nello specifico, il Mediatore ha ritenuto che le norme applicabili alle relazioni di valutazione dei rischi si discostino in modo significativo dalle circostanze in cui i giudici dell'UE hanno stabilito la possibilità di avvalersi di una presunzione generale. In particolare, la legge sui servizi digitali non prevede norme di accesso privilegiato alle relazioni di valutazione dei rischi, ma impone alle piattaforme di pubblicare tali relazioni, indipendentemente dall'esistenza di un'indagine sulla legge sui servizi digitali in corso da parte della Commissione.

15. Inoltre, il Mediatore ha ritenuto che, sebbene la legge sui servizi digitali consenta [13] di non divulgare determinate informazioni quando una piattaforma pubblica alla fine la sua relazione di valutazione dei rischi, non è ragionevole concludere da tale disposizione – e alla luce dell'obbligo di pubblicare la relazione – che le relazioni di valutazione dei rischi contengono informazioni commerciali sensibili in tutta la .

16. La Commissione ha espresso disaccordo con il parere preliminare del Mediatore [14].

Raccomandazione del Mediatore

17. Il Mediatore ha pertanto proseguito la sua indagine. A seguito di un'ulteriore valutazione, ha osservato che la legge sui servizi digitali sottolinea l'importanza della trasparenza e della responsabilità dei servizi online e riconosce la necessità di aumentare il livello o la trasparenza e il controllo pubblico per quanto riguarda le piattaforme online di dimensioni molto grandi, a causa del loro ruolo e della loro portata speciali [15].

18. Inoltre, la Mediatrice ha osservato che, sebbene la legge sui servizi digitali preveda un calendario per la pubblicazione delle relazioni di valutazione dei rischi, la pubblicazione deve avvenire indipendentemente dallo stato di avanzamento della valutazione della Commissione. Ciò significa che è irrilevante se la Commissione abbia avviato un'indagine sulla conformità della piattaforma interessata ai suoi obblighi ai sensi della legge sui servizi digitali, se tale indagine sia in corso o se la Commissione debba ancora prendere una decisione sull'eventuale avvio di un'indagine.

19. Il Mediatore ha inoltre ritenuto probabile che la pubblicazione della relazione (o di una sua versione espunta) avvenga di norma prima che la Commissione concluda la sua indagine e, pertanto, che la protezione dei suoi sforzi di esecuzione non pregiudichi la trasparenza e il controllo pubblico delle relazioni di valutazione dei rischi.

20. Il Mediatore ha pertanto sostenuto che non è ragionevole applicare una presunzione generale di non divulgazione alle relazioni di valutazione dei rischi redatte ai sensi della legge sui servizi digitali. Ritiene che, se la piattaforma in questione non ha ancora pubblicato la relazione di valutazione dei rischi in modo proattivo al momento della presentazione di una richiesta di accesso del pubblico, la Commissione dovrebbe tenerne conto nella sua valutazione del documento a norma del regolamento (CE) n. 1049/2001. Se non è chiaro se l'accesso del pubblico possa essere concesso, la Commissione dovrebbe consultare la piattaforma interessata, come previsto dal regolamento (CE) n. 1049/2001 [16].

21. La Mediatrice ha quindi confermato il suo parere preliminare secondo cui il ricorso da parte della Commissione a una presunzione generale di non divulgazione costituiva cattiva amministrazione.

22. Osservando che nel frattempo la piattaforma interessata aveva divulgato una versione espunta della relazione di valutazione dei rischi in questione [17], in linea con i suoi obblighi ai sensi della legge sui servizi digitali, e che il denunciante non era soddisfatto delle espunti effettuati dalla piattaforma, il Mediatore ha formulato la seguente raccomandazione alla Commissione: La Commissione dovrebbe effettuare una valutazione concreta e individuale della relazione di valutazione dei rischi in questione al fine di garantire il più ampio accesso possibile del pubblico, anche alle parti della relazione che sono state omesse nella versione pubblicata dalla piattaforma interessata. Se la Commissione conclude che non è possibile concedere l'accesso a determinate parti della relazione, dovrebbe spiegare perché, in modo specifico ed effettivo, la loro divulgazione è impedita alla luce delle eccezioni di cui all'articolo 4 del regolamento (CE) n. 1049/2001 [18].

23. In risposta [19], la Commissione ha sostenuto che era giustificato applicare alla relazione una presunzione generale di non divulgazione.

24. In particolare, la Commissione ha ribadito che, una volta ricevute, le relazioni di valutazione dei rischi entrano a far parte del suo fascicolo relativo al rispetto della legge sui servizi digitali da parte della rispettiva piattaforma. Tali relazioni non sono quindi solo protette dall’obbligo del segreto professionale, ma sono anche soggette allo specifico regime di accesso applicabile al fascicolo amministrativo della Commissione [20].

25. La Commissione ha inoltre sostenuto che la divulgazione (parziale) di una relazione di valutazione dei rischi, che non è ancora stata resa pubblica dalla piattaforma interessata ai sensi della legge sui servizi digitali, priverebbe la piattaforma del suo diritto di occultare informazioni riservate. Inoltre, anche se la Commissione dovesse consultare la piattaforma interessata, in assenza di una risposta, la Commissione sarebbe tenuta a valutare informazioni altamente sensibili per decidere se la divulgazione possa causare "vulnerabilità significative" di interessi protetti. Ciò, a sua volta, comporterebbe il rischio di contestazioni giuridiche da parte della piattaforma interessata e comprometterebbe lo scopo stesso della comunicazione della valutazione del rischio e del dialogo con la piattaforma. La Commissione ha inoltre sostenuto che la divulgazione comprometterebbe il suo ruolo di monitoraggio e vigilanza e il diritto della piattaforma di essere ascoltata.

26. Per quanto riguarda un eventuale interesse pubblico prevalente alla divulgazione, la Commissione ha ritenuto che l'interesse a controllare la conformità delle piattaforme online di dimensioni molto grandi ai loro obblighi ai sensi della legge sui servizi digitali e a comprendere i rischi connessi all'uso dei servizi di una piattaforma costituisca un interesse privato, simile all'interesse di una persona a esercitare i propri diritti di difesa nei procedimenti giudiziari a suo carico.

27. La Commissione ha inoltre affermato che il diritto di accesso non può derivare dalla sua prassi di rendere pubbliche le informazioni relative alle sue risultanze e ai progressi compiuti in un'indagine sulla legge sui servizi digitali.

28. Infine, la Commissione ha affermato di non aver contestato le informazioni riservate trattenute dalla piattaforma al momento della pubblicazione di una versione espunta della relazione di valutazione dei rischi in questione.

29. Nelle sue osservazioni sulla risposta della Commissione, il denunciante ha ribadito di ritenere eccessiva l'applicazione da parte della Commissione di una presunzione generale di non divulgazione a praticamente tutti i documenti relativi alle indagini DSA in corso.

30. Il denunciante ha inoltre sostenuto che la Commissione "sembrava sprezzante" di qualsiasi possibilità di un interesse pubblico prevalente alla divulgazione.

31. Inoltre, il denunciante ha ritenuto che, se la Commissione dovesse generalmente rifiutare l'accesso del pubblico alle relazioni di valutazione dei rischi a norma del regolamento (CE) n. 1049/2001, ciò impedirebbe al pubblico di esaminare e contestare eventuali esplosioni effettuate dalle piattaforme stesse.

Valutazione del Mediatore dopo la raccomandazione

32. Il Mediatore non è convinto che una presunzione generale di non divulgazione possa essere applicata alle relazioni di valutazione dei rischi redatte a norma della legge sui servizi digitali.

33. Sebbene la legge sui servizi digitali richieda il segreto professionale, le piattaforme designate non possono legittimamente aspettarsi che tutte le informazioni fornite in una relazione di valutazione dei rischi (che dovrebbe essere resa pubblica) rimangano riservate.

34. Piuttosto, solo le informazioni che possono ragionevolmente essere considerate sensibili possono legittimamente essere negate. Né sembra ragionevole che la divulgazione ai sensi del regolamento n. 1049/2001 priverebbe la piattaforma interessata del suo diritto di occultare informazioni riservate o del suo diritto di essere ascoltata. Il regolamento (CE) n. 1049/2001 prevede la possibilità stessa di consultare un autore terzo, qualora non sia evidente se un documento o alcune sue parti possano o non possano essere divulgati.

35. Inoltre, il Mediatore è preoccupato per il rifiuto della Commissione di effettuare una valutazione individuale della relazione di valutazione dei rischi sulla base del fatto che l'eventuale assenza di una risposta da parte del terzo imporrebbe a quest'ultimo di decidere autonomamente quali parti divulgare.

36. Se questa argomentazione dovesse essere seguita, nessun documento creato da terzi potrebbe mai essere divulgato a causa della potenziale mancanza di una risposta a una consultazione di terzi.

37. Inoltre, le istituzioni dell’Unione non possono mai basarsi esclusivamente sulla valutazione di un terzo, anche se rispondono a una consultazione. Essi devono sempre effettuare la propria valutazione, tenendo conto del punto di vista del terzo. La posizione della Commissione sembra essere in contrasto con l'obbligo previsto dal regolamento (CE) n. 1049/2001 di effettuare una valutazione concreta e individuale, anche nel caso in cui si chieda l'accesso a un documento contenente eventuali informazioni commercialmente sensibili.

38. La Mediatrice è inoltre in disaccordo con la posizione della Commissione secondo cui il controllo della conformità di una piattaforma online di dimensioni molto grandi ai suoi obblighi ai sensi della legge sui servizi digitali, al fine di comprendere i potenziali gravi rischi che l'uso dei suoi servizi comporta e se e in che modo tali rischi sono affrontati dalla piattaforma, costituisce un interesse privato. Come dimostrano le azioni della Commissione [21], i servizi offerti dalle piattaforme online di dimensioni molto grandi possono consentire gravi violazioni dei diritti fondamentali quali il furto di identità, la violenza sessuale e le violazioni dei diritti dei minori. Tali gravi violazioni della legge, che in alcune giurisdizioni sono, inoltre, molto difficili da perseguire e contro le quali le vittime trovano molto difficile difendersi, difficilmente possono essere considerate una questione domestica o privata delle singole vittime. Al contrario, possono generare problemi sociali molto gravi e, di conseguenza, una minaccia per la democrazia e la società in generale. Alla luce anche della rapidità con cui vengono sviluppati nuovi strumenti di intelligenza artificiale e delle nuove possibilità tecniche che essi offrono, vi è un crescente e importante interesse pubblico a ricevere, in modo tempestivo, l'accesso alle informazioni relative ai rischi che i servizi offerti dalle piattaforme online di dimensioni molto grandi (potrebbero) comportare. Tale forma di trasparenza consente agli utenti di prendere decisioni informate sulla sicurezza dell'utilizzo dei servizi di una piattaforma e informa il dibattito pubblico in corso in molti Stati membri dell'UE sull'opportunità e sul tipo di modifiche normative che potrebbero essere necessarie per affrontare tali rischi.

39. Come rilevato dalla stessa Commissione nella sua risposta alla raccomandazione del Mediatore, uno degli obiettivi della legge sui servizi digitali è quello di tutelare efficacemente i diritti fondamentali [22]. Informazioni tempestive sul modo in cui le piattaforme online di dimensioni molto grandi si adoperano per prevenire violazioni dei diritti fondamentali sui loro servizi contribuiscono a tale obiettivo. Inoltre, la trasparenza diventa ancora più importante quando una piattaforma non rispetta l'obbligo di fornire ai ricercatori l'accesso alle informazioni, compromettendo in tal modo "effettivamente la ricerca su diversi rischi sistemici nell'Unione europea"[23].

40. Pertanto, la Mediatrice ritiene che la Commissione avrebbe dovuto valutare le argomentazioni presentate dal denunciante per determinare se stabilissero un interesse pubblico prevalente alla divulgazione.

41. Infine, il Mediatore ritiene improbabile che la divulgazione (parziale) delle relazioni di valutazione dei rischi a norma del regolamento (CE) n. 1049/2001 pregiudichi la fiducia reciproca su cui si basa il dialogo tra la Commissione e le piattaforme designate. Le piattaforme online di dimensioni molto grandi sono giuridicamente obbligate a cooperare con la Commissione e a fornirle informazioni pertinenti per una valutazione della loro conformità alla legge sui servizi digitali. La Commissione può infliggere ammende se una piattaforma designata non rispetta i suoi obblighi. In ogni caso, come indicato in precedenza, se la Commissione avesse avuto dubbi sulla divulgazione di alcune parti della relazione di valutazione dei rischi, avrebbe potuto consultare la piattaforma in merito alla richiesta di accesso.

42. Per quanto riguarda il precedente riferimento del Mediatore alle informazioni sull’indagine DSA della Commissione relativa alla piattaforma in questione che aveva pubblicato prima del completamento dell’audit pertinente, ciò mirava unicamente a sottolineare l’opinione del Mediatore secondo cui la divulgazione non avrebbe potuto pregiudicare l’audit. Pur rilevando che la Commissione non fa più riferimento alla necessità di tutelare lo scopo dell'audit indipendente, la Mediatrice ritiene che il fatto che alcune informazioni fossero già state divulgate dalla Commissione al momento della decisione di conferma sia un elemento che avrebbe dovuto essere preso in considerazione nel contesto della valutazione della richiesta di accesso del denunciante, come rilevato dalla stessa Commissione nella sua risposta alla raccomandazione della Mediatrice.

43. Alla luce di quanto precede, il Mediatore conferma la sua constatazione di cattiva amministrazione.

Conclusioni

Sulla base dell'indagine, il Mediatore archivia il caso con le seguenti conclusioni:

Il ricorso a una presunzione generale di non divulgazione e, quindi, il rifiuto di effettuare una valutazione concreta e individuale della relazione di valutazione dei rischi di cui trattasi costituivano un caso di cattiva amministrazione da parte della Commissione europea.

Il denunciante e la Commissione saranno informati della presente decisione.

Teresa Anjinho Mediatore
europeo

Strasburgo, 07/05/2026

[1] Regolamento (UE) 2022/2065 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali): http://data.europa.eu/eli/reg/2022/2065/oj.

[2] Articolo 34 della legge sui servizi digitali.

[3] Articolo 37 della legge sui servizi digitali.

[4] Articolo 42, paragrafo 4, della legge sui servizi digitali.

[5] Articoli 73 septies della legge sui servizi digitali.

[6] Ai sensi del regolamento (CE) n. 1049/2001 relativo all'accesso del pubblico ai documenti del Parlamento europeo, della Commissione e del Consiglio: http://data.europa.eu/eli/reg/2001/1049/oj.

[7] Conformemente all'articolo 4, paragrafo 2, primo trattino, del regolamento (CE) n. 1049/2001.

[8] A norma dell'articolo 66, paragrafo 1, della legge sui servizi digitali - numero di fascicolo dell'indagine: DSA.100.100.

[9] Articolo 4, paragrafo 2, primo trattino, del regolamento 1049/2001.

[10] Articolo 4, paragrafo 2, terzo trattino, del regolamento 1049/2001.

[11] Cfr.: https://digital-strategy.ec.europa.eu/it/news/commission-sends-preliminary-findings-x-breach-digital-services-act.

[12] Il testo integrale delle osservazioni preliminari del Mediatore è disponibile all'indirizzo: https://www.ombudsman.europa.eu/en/doc/correspondence/en/199731.

[13] Articolo 42, paragrafo 5, della legge sui servizi digitali.

[14] Il testo integrale della risposta della Commissione al parere preliminare del Mediatore è disponibile all'indirizzo:

https://www.ombudsman.europa.eu/doc/correspondence/214482.

[15] Cfr., ad esempio, i considerando 65 e 100 della legge sui servizi digitali.

[16] A norma dell'articolo 4, paragrafo 4, del regolamento (CE) n. 1049/2001.

[17] La versione pubblicata della relazione è disponibile all'indirizzo: https://digital-strategy.ec.europa.eu/it/policies/dsa-brings-transparency #ecl-inpage-lsets8qr.

[18] Il testo integrale della raccomandazione del Mediatore è disponibile all'indirizzo: https://www.ombudsman.europa.eu/en/recommendation/en/214486.

[19] Il testo integrale della risposta della Commissione alla raccomandazione del Mediatore è disponibile all'indirizzo: https://www.ombudsman.europa.eu/doc/correspondence/223606

[20] A norma dell'articolo 84 e dell'articolo 79, paragrafo 4, della legge sui servizi digitali.

[21] Ad esempio, la Commissione ha istituito un gruppo di esperti su un'Internet più sicura per i minori che sta valutando il modo migliore per proteggere i minori da contenuti dannosi online, compresi approcci quali l'età minima per i social media (https://digital-strategy.ec.europa.eu/en/policies/expert-group-safer-internet). La Commissione ha inoltre avviato indagini sulla conformità di diverse piattaforme online di dimensioni molto grandi alla legge sui servizi digitali, anche per quanto riguarda la protezione dei minori, la progettazione che crea dipendenza, i contenuti illegali e i rischi elettorali (https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-and-vloses).

[22] Cfr., ad esempio, il considerando 9 della legge sui servizi digitali.

[23] Cfr.: https://ec.europa.eu/commission/presscorner/detail/it/ip_25 _2934.