Gentile Presidente,

Vi scrivo per condividere i miei punti di vista preliminari in questo caso e per chiarire una serie di questioni che sono sorte.

Il caso riguarda il rifiuto della Commissione europea di concedere l'accesso del pubblico alla relazione di valutazione dei rischi 2023 elaborata dal fornitore di X, una piattaforma online di dimensioni molto grandi (VLOP) ai sensi della legge sui servizi digitali.

Nella fase iniziale, la Commissione ha rifiutato di concedere l’accesso del pubblico sulla base della necessità di tutelare gli interessi commerciali della piattaforma interessata. Il denunciante ha quindi chiesto alla Commissione di rivedere tale decisione, contestando la natura sensibile delle informazioni contenute nel documento. Sostiene inoltre che esiste un interesse pubblico prevalente a conoscere le misure che la piattaforma sta adottando per affrontare eventuali rischi.

Poco dopo, nel dicembre 2023, la Commissione ha avviato [1] un'indagine formale sulla conformità della piattaforma alla legge sui servizi digitali. Nello specifico, la Commissione ha ritenuto che la piattaforma non avesse valutato diligentemente determinati rischi sistemici nell'UE derivanti dalla progettazione e dal funzionamento dei suoi sistemi o dall'uso dei suoi servizi.

Nel giugno 2024 la Commissione ha adottato una decisione di conferma, confermando il suo diniego di accesso alla relazione controversa. In tal modo, la Commissione ha anche invocato la necessità di proteggere la sua indagine in corso ai sensi della legge sui servizi digitali, sostenendo che si applicava una presunzione generale di riservatezza e che le due eccezioni per la tutela degli interessi commerciali e per la tutela delle indagini erano strettamente connesse.

Nella sua risposta alla denuncia, la Commissione ha inoltre affermato che le risultanze preliminari pubblicate nell'estate 2024 riguardavano solo una parte della sua indagine sulla legge sui servizi digitali e che la parte restante è ancora in una fase iniziale. Inoltre, non è chiaro quando l'indagine sarà completata. La Commissione ha inoltre spiegato che la piattaforma interessata deve pubblicare la relazione di valutazione dei rischi in questione entro il 27 novembre 2024 e ha ritenuto di non essere in grado di divulgare (in qualsiasi parte) la relazione prima della scadenza di tale termine.

Sulla base dell’esame delle informazioni fornite al mio ufficio e della relazione controversa, ritengo in via preliminare che sia irragionevole applicare una presunzione generale di riservatezza a una relazione di valutazione dei rischi redatta conformemente all’articolo 34 della legge sui servizi digitali.

Come riconosciuto dalla Commissione stessa, la giurisprudenza non ha finora stabilito che una presunzione generale possa essere applicata ai documenti relativi alle indagini a norma dell'articolo 66, paragrafo 1, della legge sui servizi digitali. La giurisprudenza pertinente potrebbe quindi essere applicata nel migliore dei casi per analogia. Tuttavia, le parti pertinenti della legge sui servizi digitali applicabili alle relazioni di valutazione dei rischi si discostano in modo significativo dalle circostanze in cui i giudici dell'UE hanno in passato stabilito la possibilità di avvalersi di una presunzione generale.

In particolare, la giurisprudenza sulle presunzioni generali si basa in larga misura sul fatto che i quadri giuridici pertinenti prevedono un accesso restrittivo ai fascicoli amministrativi della Commissione e che la divulgazione comprometterebbe l'obiettivo di tali norme in materia di accesso privilegiato. Tuttavia, lo stesso non si può dire per le relazioni di valutazione dei rischi ai sensi della legge sui servizi digitali.

Più specificamente, come riconosciuto dalla Commissione, le relazioni di valutazione dei rischi devono essere messe a disposizione del pubblico dalla piattaforma stessa. Sebbene la legge sui servizi digitali consenta [2] di non divulgare determinate informazioni al momento della pubblicazione della relazione da parte della piattaforma, dato l'obbligo di pubblicazione, da tale disposizione non sembra ragionevole che le relazioni di valutazione del rischio contengano informazioni sensibili in tutto il loro contenuto.

Inoltre, il calendario per la pubblicazione della relazione inizia a decorrere indipendentemente dal fatto che sia stata avviata o sia in corso un'indagine ai sensi dell'articolo 66, paragrafo 1, della legge sui servizi digitali. Piuttosto, la piattaforma interessata è giuridicamente tenuta a pubblicare la relazione anche se è stata avviata un'indagine o non è stata completata entro il termine per renderla pubblica. In tal caso, il termine per la pubblicazione scadrà il 27 novembre 2024. Tuttavia, sulla base delle informazioni fornite dalla Commissione, sembra impossibile che la sua indagine sia stata completata entro tale data. Poiché la legge sui servizi digitali non prevede una sospensione o una proroga del termine pertinente nei casi in cui vi sia un'indagine, sembra irragionevole che le relazioni di valutazione del rischio debbano essere integralmente respinte mentre è in corso un'indagine a norma dell'articolo 66, paragrafo 1, della legge sui servizi digitali.

Per lo stesso motivo, il fatto che i diritti della difesa delle parti interessate comprendano il diritto di accedere al fascicolo della Commissione non può essere ragionevolmente inteso nel senso che vieta la divulgazione al pubblico della relazione di valutazione dei rischi.

Per quanto riguarda l'obbligo del segreto professionale di cui all'articolo 84 della legge sui servizi digitali, osservo che ciò riguarda solo le informazioni sensibili. Ciò non significa tuttavia che tutte le informazioni ottenute dalla Commissione ai sensi della legge sui servizi digitali debbano, in quanto tali, essere considerate riservate.

Sulla base di ciò, non sono convinto che la Commissione fosse legittimata ad applicare una presunzione generale di riservatezza alla relazione di valutazione dei rischi in questione, un documento che i colegislatori hanno stabilito dovesse essere condiviso con il pubblico, ed è mia opinione preliminare che ciò costituisse cattiva amministrazione.

Pertanto, ritengo che la Commissione avrebbe dovuto valutare il contenuto della relazione al fine di decidere se l’accesso del pubblico, compreso l’accesso parziale, potesse essere concesso. A tal fine, la Commissione avrebbe potuto consultare la piattaforma interessata per ottenere il suo parere sulla misura in cui avrebbe potuto considerare la relazione commercialmente sensibile.

Inoltre, non ritengo che l'imminente scadenza del termine per la pubblicazione della relazione da parte della piattaforma renda obsoleta una valutazione della Commissione in questa fase. Anche se la piattaforma rende pubblica la relazione entro il termine prescritto, non effettuerà la stessa valutazione in termini di pubblicazione proattiva della Commissione quando risponderà a una richiesta di accesso del pubblico ai documenti a norma del regolamento (CE) n. 1049/2001. In tale contesto, il parere della piattaforma sulla misura in cui la relazione dovrebbe essere divulgata al pubblico potrebbe differire dalla posizione della Commissione a seguito di una valutazione ai sensi del regolamento 1049/2001.

Tuttavia, apprezzo il fatto che la legge sui servizi digitali sia un quadro relativamente nuovo che pone questioni giuridiche che non sono ancora state discusse. Per questo motivo, sarei grato alla Commissione se potesse rispondere anche ai seguenti quesiti:

1. La Commissione (o qualsiasi altro soggetto) monitora la pubblicazione tempestiva delle relazioni di valutazione dei rischi da parte delle piattaforme online di dimensioni molto grandi? In caso affermativo, quali misure prende se una piattaforma non pubblica la relazione in tempo?

2. Se una piattaforma online di dimensioni molto grandi rifiuta parti di una relazione di valutazione dei rischi quando la pubblica, valuta la Commissione se le esplosioni sono in linea con l'articolo 42, paragrafo 5, della legge sui servizi digitali? In caso affermativo, quali sono le conseguenze se ritiene che le modifiche apportate dalla piattaforma siano eccessive?

3. In che modo la Commissione, in generale, comprende il rapporto tra trasparenza proattiva e reattiva delle relazioni di valutazione dei rischi ai sensi della legge sui servizi digitali?

4. Come interpreta la Commissione l'articolo 42, paragrafo 5, della legge sui servizi digitali alla luce del regolamento (CE) n. 1049/2001 e delle eccezioni di cui all'articolo 4 di tale regolamento?

Le sarei grato di ricevere la risposta della Commissione alle mie osservazioni e domande preliminari entro il 17 febbraio 2025 ^[3].

Le sarei infine grato se la Commissione potesse informare il mio ufficio se ritiene riservate le informazioni contenute nella presente lettera, se possibile entro il 22 novembre 2024. Qualora la Commissione confermasse che la lettera non contiene informazioni riservate, intendo condividerla con il denunciante e pubblicarla sul sito web del Mediatore.

Cordiali saluti,

Emily O'Reilly Mediatore
europeo

Strasburgo, 15/11/2024

[1] Conformemente all'articolo 66, paragrafo 1, della legge sui servizi digitali.

[2] Articolo 42, paragrafo 5, della legge sui servizi digitali.

[3] Se si desidera presentare documenti o informazioni che si considerano riservati e che non dovrebbero essere divulgati al denunciante, contrassegnarli come "riservati". Le e-mail crittografate possono essere inviate alla nostra casella di posta dedicata.