presentata a norma dell'articolo 4, paragrafo 1, dello statuto del Mediatore europeo ^[1]

Fatti all’origine della denuncia

1. Ai sensi della legge sui servizi digitali [2], i fornitori di «piattaforme online di dimensioni molto grandi» e di «motori di ricerca online di dimensioni molto grandi»[3] dovrebbero, una volta all'anno, individuare e valutare diligentemente i rischi sistemici derivanti dai loro servizi. Tale valutazione dovrebbe includere rischi quali la diffusione di contenuti illegali e la disinformazione, nonché effetti negativi per l'esercizio dei diritti fondamentali, sui processi elettorali o in relazione alla violenza di genere e alla protezione dei minori [4].

2. Inoltre, almeno una volta all'anno, deve essere effettuato un audit indipendente per valutare la conformità dei fornitori di piattaforme online e motori di ricerca designati ai loro obblighi ai sensi della legge sui servizi digitali [5].

3. La relazione di valutazione dei rischi della piattaforma designata e la relazione di audit del revisore indipendente devono essere rese pubbliche [6].

4. Qualora siano individuati rischi, il fornitore della piattaforma (e/o del motore di ricerca) designata in questione deve mettere in atto misure di attenuazione per far fronte a tali rischi.

5. La Commissione europea monitora e garantisce la conformità delle piattaforme online di dimensioni molto grandi ai loro obblighi ai sensi della legge sui servizi digitali.

6. Nell'aprile 2023 la Commissione ha designato "X" (ex "Twitter") come "piattaforma online di dimensioni molto grandi". Di conseguenza, il fornitore della piattaforma doveva garantire, entro quattro mesi, il rispetto degli obblighi previsti dalla legge sui servizi digitali [7], compreso l'obbligo di effettuare una valutazione annuale del rischio e di riferire in merito alla Commissione.

7. Il 14 settembre 2023 la Commissione ha ricevuto la relazione sulla prima valutazione annuale del rischio di X nell'ambito della legge sui servizi digitali.

8. Il 26 settembre 2023 il denunciante, un giornalista, ha presentato alla Commissione una richiesta [8] di accesso del pubblico ai documenti, chiedendo la divulgazione della relazione di valutazione dei rischi di X.

9. L'8 novembre 2023 la Commissione ha rifiutato di concedere l'accesso del pubblico, invocando la necessità di tutelare gli interessi commerciali della piattaforma in questione [9].

10. Il denunciante ha quindi chiesto alla Commissione di rivedere la sua decisione di rifiutare l'accesso del pubblico (ha presentato una "domanda di conferma").

11. Nel dicembre 2023, sulla base della sua valutazione della relazione di valutazione dei rischi della piattaforma (e di altri elementi), la Commissione ha avviato un'indagine formale [10] sul rispetto da parte della piattaforma degli obblighi previsti dalla legge sui servizi digitali. Nello specifico, la Commissione ha ritenuto che la piattaforma non avesse valutato diligentemente determinati rischi sistemici nell'UE derivanti dalla progettazione e dal funzionamento dei suoi sistemi e dall'uso dei suoi servizi.

12. Nel giugno 2024 la Commissione ha adottato una decisione di conferma sulla richiesta di accesso del denunciante, sostenendo che la relazione di valutazione dei rischi non poteva essere divulgata. In tal modo, la Commissione ha anche invocato la necessità di proteggere la sua indagine in corso ai sensi della legge sui servizi digitali, sostenendo che si applicava una presunzione generale di non divulgazione e che le due eccezioni per la tutela degli interessi commerciali e per la tutela degli obiettivi delle indagini erano strettamente collegate.

13. Nel luglio 2024 la Commissione ha pubblicato constatazioni preliminari di non conformità nel contesto della sua indagine sulla legge sui servizi digitali, individuando tre rimostranze [11].

14. Nel settembre 2024, insoddisfatto del rifiuto della Commissione di concedere l'accesso del pubblico, il denunciante si è rivolto al Mediatore.

L'indagine

15. La Mediatrice ha avviato un'indagine sulla decisione della Commissione di rifiutare l'accesso del pubblico alla relazione di valutazione dei rischi in questione ai sensi della legislazione dell'UE sull'accesso del pubblico ai documenti (regolamento 1049/2001 [12]).

16. Nel corso dell'indagine, la Mediatrice ha ricevuto la risposta della Commissione alla denuncia. Il gruppo di indagine del Mediatore ha inoltre ispezionato la relazione di valutazione dei rischi in questione.

Argomenti presentati

17. Nella sua decisione di conferma la Commissione ha sostenuto che la divulgazione della relazione di valutazione dei rischi pregiudicherebbe lo scopo della sua indagine ai sensi della legge sui servizi digitali, vale a dire garantire mercati equi e contendibili nel settore digitale in tutta l'UE in cui i gatekeeper offrono servizi designati, a vantaggio degli utenti commerciali e degli utenti finali.

18. Più specificamente, la Commissione ha affermato che il fornitore della piattaforma in questione non aveva ancora pubblicato la relazione di valutazione dei rischi e che la piattaforma aveva un legittimo interesse a che la Commissione utilizzasse le informazioni che condivide con essa per lo scopo previsto solo dalla legge sui servizi digitali.

19. La Commissione ha osservato che la sua indagine ai sensi della legge sui servizi digitali era ancora in corso. In considerazione di ciò, la Commissione ha sostenuto che il presente caso "comporta [il] tipo di situazione" in base alla quale i giudici dell'UE hanno riconosciuto la possibilità di applicare una presunzione generale di non divulgazione [13].

20. In primo luogo, la Commissione ha sostenuto che la relazione di valutazione dei rischi in questione fa parte di una categoria di documenti simili (il suo fascicolo di indagine DSA) ai quali si applicano manifestamente le eccezioni per la tutela degli obiettivi delle indagini e degli interessi commerciali.

21. In secondo luogo, questa categoria di documenti rientra nell'ambito di applicazione di un quadro giuridico settoriale che contiene norme specifiche in materia di accessibilità (simile alle norme in materia di antitrust, aiuti di Stato e controllo delle concentrazioni). In particolare, nelle indagini DSA, la decisione della Commissione deve basarsi su una valutazione complessa dei fatti raccolti durante l'indagine. A tal fine, la Commissione dispone di poteri di indagine analoghi a quelli in materia di diritto della concorrenza e le imprese in questione hanno interessi commerciali analoghi tutelati nell’ambito di tali procedimenti. A tale riguardo, la Commissione ha fatto riferimento alle seguenti disposizioni:

l’articolo 79, paragrafo 4, della legge sui servizi digitali, che sancisce il diritto delle «parti interessate» di accedere al fascicolo della Commissione, il che significa che i terzi non coinvolti non hanno alcun diritto di accesso, e

l'articolo 84 della legge sui servizi digitali, che impone il segreto professionale delle informazioni ottenute nell'ambito di un'indagine, il che significa che le piattaforme interessate hanno il legittimo diritto di aspettarsi che le informazioni che forniscono alla Commissione non siano ulteriormente diffuse;

22. La divulgazione, ha concluso la Commissione, comprometterebbe tali norme di accesso privilegiato [14].

23. In terzo luogo, la Commissione ha ritenuto che la divulgazione pregiudicherebbe il corretto funzionamento dell'indagine sulla legge sui servizi digitali e quindi il suo obiettivo, il che implica che comporterebbe interventi indebiti da parte di terzi [15].

24. In quarto luogo, la Commissione ha affermato che è probabile che raccolga informazioni commercialmente sensibili nel contesto di un'indagine ai sensi della legge sui servizi digitali. Ciò potrebbe comportare informazioni relative all'organizzazione interna, al funzionamento, alle pratiche e alle condotte commerciali di una piattaforma, nonché alle attività e alle strategie in relazione ai potenziali rischi. Il fatto che la legge sui servizi digitali obblighi le imprese a pubblicare le loro relazioni di valutazione dei rischi, pur consentendo loro di occultare «informazioni riservate» nella versione pubblica della relazione, illustra questo punto.

25. La Commissione ha concluso che la divulgazione della relazione di valutazione dei rischi pregiudicherebbe la fiducia reciproca tra la Commissione e le piattaforme designate interessate, nonché i potenziali informatori, in quanto tali parti diventerebbero riluttanti a cooperare. In definitiva, tale perdita di fiducia comprometterebbe la capacità della Commissione di applicare efficacemente la legge sui servizi digitali. Le due eccezioni relative alla tutela degli interessi commerciali e allo scopo delle indagini sarebbero quindi strettamente connesse nel caso di specie.

26. Infine, la Commissione ha ritenuto che non vi sia alcun interesse pubblico prevalente alla divulgazione e che l'interesse pubblico sia meglio tutelato garantendo la conclusione, in tutta serenità, della sua indagine sulla legge sui servizi digitali.

27. Il denunciante ha ritenuto che il ricorso da parte della Commissione a una presunzione generale fosse infondato e contrario ai principi di apertura e trasparenza. Sostiene che esiste una differenza fondamentale tra il tipo di informazioni raccolte nei casi di concorrenza e nelle indagini nell'ambito della legge sui servizi digitali e che la natura unica delle indagini della legge sui servizi digitali, che riguardano la sicurezza pubblica, la partecipazione democratica e l'esercizio dei diritti fondamentali, richiede un maggiore livello di trasparenza e controllo pubblico.

28. Il denunciante ha inoltre sostenuto che il fatto che la Commissione abbia avviato un'indagine amplifica la necessità di trasparenza in quanto la mancata divulgazione impedisce al pubblico di esprimere giudizi informati sulla sicurezza dell'uso dei servizi della piattaforma.

29. In generale, il denunciante ha affermato che la Commissione sembra applicare la presunzione generale anche nei casi in cui non aveva avviato un'indagine formale sulla legge sui servizi digitali, facendo riferimento ad altre due richieste analoghe di accesso del pubblico a documenti che la Commissione aveva negato.

30. Il denunciante ha concluso che l'uso di una presunzione generale significherebbe "che quasi ogni interazione che la Commissione ha avuto con le maggiori società tecnologiche negli ultimi anni potrebbe svanire dietro il velo della non divulgazione". Ciò renderebbe più difficile il lavoro dei giornalisti, anche nel loro ruolo di "controllori sociali", come riconosciuto dalla Corte europea dei diritti dell'uomo.

31. Per quanto riguarda la necessità di tutelare gli interessi commerciali della piattaforma in questione, il denunciante ha ritenuto che le argomentazioni della Commissione non fossero sufficientemente specifiche. Egli ha inoltre sostenuto che le norme sulla pubblicazione delle relazioni di valutazione dei rischi non stabiliscono la riservatezza incondizionata delle informazioni che le imprese condividono con la Commissione ai sensi della legge sui servizi digitali.

32. Infine, il denunciante ha sostenuto che esiste un interesse pubblico prevalente alla divulgazione, in quanto aiuterebbe il pubblico a gestire i rischi connessi all'uso dei servizi della piattaforma in questione. A tale riguardo, osserva che le istituzioni pubbliche di tutta Europa hanno preso in considerazione la possibilità di cessare l'uso dei servizi della piattaforma a causa di preoccupazioni in materia di disinformazione, e che alcuni lo hanno fatto. La divulgazione, ha detto, aiuterebbe quindi anche le autorità pubbliche a decidere se la piattaforma è un luogo appropriato per gli annunci pubblici.

33. Quando ha risposto alla denuncia nell'ottobre 2024, la Commissione ha fornito un aggiornamento sullo stato di avanzamento della sua indagine sulla legge sui servizi digitali. Ha affermato di aver avuto diversi scambi con il fornitore della piattaforma in questione e di aver emesso risultanze preliminari. Tuttavia, tali risultanze preliminari riguardavano solo alcune delle questioni individuate, cosicché l'indagine sulla legge sui servizi digitali era ancora pienamente in corso.

34. La Commissione ha inoltre informato la Mediatrice che la relazione di audit indipendente era stata adottata nell'agosto 2024 e che la piattaforma avrebbe dovuto pubblicare la sua relazione di valutazione dei rischi entro il 27 novembre 2024. La Commissione ha ritenuto che la divulgazione della relazione di valutazione dei rischi della piattaforma a norma del regolamento (CE) n. 1049/2001, prima della scadenza di tale termine, pregiudicherebbe gli interessi commerciali della piattaforma.

Il parere preliminare del Mediatore

35. Il 15 novembre 2024 la Mediatrice ha condiviso il suo parere preliminare [16] con la Commissione secondo cui è irragionevole applicare una presunzione generale di non divulgazione a una relazione di valutazione dei rischi a norma della legge sui servizi digitali, sulla base della necessità di tutelare lo scopo di un'indagine sulla conformità della piattaforma alla legge sui servizi digitali e la necessità di tutelare gli interessi commerciali.

36. Nello specifico, il Mediatore ha ritenuto che le norme applicabili alle relazioni di valutazione dei rischi si discostino in modo significativo dalle circostanze in cui i giudici dell'UE hanno stabilito la possibilità di avvalersi di una presunzione generale. In particolare, la legge sui servizi digitali non prevede norme di accesso privilegiato alle relazioni di valutazione dei rischi, ma impone alle piattaforme di pubblicare tali relazioni, indipendentemente dall'esistenza di un'indagine sulla legge sui servizi digitali in corso da parte della Commissione.

37. Inoltre, il Mediatore ha ritenuto che, sebbene la legge sui servizi digitali consenta effettivamente [17] di non divulgare determinate informazioni quando una piattaforma pubblica la sua relazione di valutazione dei rischi, è irragionevole concludere da tale disposizione - e dato l'obbligo di pubblicare la relazione - che le relazioni di valutazione dei rischi contengono informazioni commerciali sensibili in tutta la .

38. Il Mediatore ha inoltre chiesto alla Commissione di rispondere a una serie di domande sollevate dal quadro giuridico della legge sui servizi digitali.

39. Il 27 novembre 2024, ossia alla data di scadenza del termine prescritto, la piattaforma interessata ha pubblicato una versione espunta della relazione di valutazione dei rischi di cui trattasi [18].

40. Il denunciante ha commentato la pubblicazione della relazione di valutazione dei rischi, ritenendo che le "parti chiave" della relazione fossero state omesse.

41. Nel marzo 2025 la Commissione ha risposto [19] alle osservazioni preliminari della Mediatrice, ribadendo la sua posizione secondo cui la relazione di valutazione dei rischi in questione fa parte del suo fascicolo di indagine sulla legge sui servizi digitali e, pertanto, si applica una presunzione generale di non divulgazione, basata sulla necessità di tutelare gli interessi commerciali della piattaforma interessata nonché lo scopo dell'indagine sulla legge sui servizi digitali in corso.

42. Inoltre, la Commissione ha affermato che la legge sui servizi digitali e il regolamento (CE) n. 1049/2001 perseguono obiettivi coerenti. Più specificamente, la legge sui servizi digitali contiene diverse disposizioni in materia di trasparenza che sono fondamentali per consentire un maggiore controllo e responsabilità pubblici, che, a loro volta, sono strumentali all'obiettivo più ampio della legge sui servizi digitali, vale a dire garantire un ambiente online sicuro, prevedibile e affidabile, in cui i diritti fondamentali sono tutelati. In tale contesto, la Commissione ha affermato che la pubblicazione della relazione di valutazione dei rischi e della relazione di audit è fondamentale per comprendere in che modo i fornitori di piattaforme online di dimensioni molto grandi identificano, analizzano e attenuano i rischi sistemici derivanti dai loro servizi.

43. Pur riconoscendo l'"interesse pubblico preminente" che le disposizioni della legge sui servizi digitali rispecchiano, la Commissione ha osservato che tali norme proteggono anche determinate informazioni che le piattaforme designate possono occultare dalla versione pubblica delle loro relazioni di valutazione dei rischi. Ciò dimostra che le relazioni di valutazione del rischio possono contenere informazioni commercialmente sensibili.

44. La Commissione ha inoltre sostenuto che la riservatezza delle relazioni di valutazione dei rischi doveva essere garantita durante l'intera procedura: al ricevimento della relazione da parte della Commissione per proteggere il suo processo decisionale in merito all'opportunità di avviare un'indagine e dopo l'avvio di un'indagine a norma della legge sui servizi digitali per garantire una procedura imparziale ed efficace e un adeguato impegno con la piattaforma. La Commissione ha inoltre ritenuto che ciò includesse il periodo successivo alla pubblicazione della relazione di valutazione dei rischi da parte della piattaforma interessata.

45. Nel complesso, la Commissione ha sostenuto che la divulgazione della relazione, in qualsiasi fase, i) eluderebbe il sistema di comunicazione per la trasparenza stabilito nella legge sui servizi digitali, ii) comprometterebbe lo scopo delle sue indagini sulla legge sui servizi digitali e iii) eluderebbe l'accesso specifico al fascicolo e le norme in materia di riservatezza stabilite nella legge sui servizi digitali. La Commissione ha inoltre osservato che, ai sensi del considerando 85 della legge sui servizi digitali, "si prevede che le successive valutazioni dei rischi si basino l'una sull'altra e mostrino l'evoluzione dei rischi individuati".

46. Inoltre, la Commissione ha sostenuto che la divulgazione della relazione di valutazione dei rischi pregiudicherebbe l’obiettivo di un audit ai sensi dell’articolo 37 della legge sui servizi digitali, compreso il seguito dato a quest’ultima. Ha sostenuto che "le reazioni del pubblico alle relazioni di valutazione dei rischi possono causare interferenze con il lavoro dei revisori che devono analizzarle nell'ambito del loro esercizio di audit, nonché con la possibilità per i fornitori di attuare raccomandazioni di audit o misure alternative per affrontare potenziali inadempienze", come indicato nella relazione di audit.

47. Infine, la Commissione ha dichiarato che le sue norme [20] sulle modalità di attuazione del regolamento (CE) n. 1049/2001 "riconoscevano"che una presunzione generale di non divulgazione si applica ai documenti che rientrano nelle procedure della legge sui servizi digitali.

48. Per quanto riguarda la serie di domande condivise dalla Mediatrice, la Commissione ha dichiarato che, in generale, monitora la pubblicazione tempestiva delle relazioni di valutazione dei rischi da parte dei fornitori di piattaforme online di dimensioni molto grandi e valuta le espunzioni effettuate e la "motivazione" in cui devono giustificare eventuali esplosioni. La Commissione ha inoltre ritenuto che le espunzioni che le piattaforme possono effettuare nella versione pubblica delle loro relazioni di valutazione dei rischi a norma della legge sui servizi digitali rispecchino le eccezioni alla trasparenza di cui all'articolo 4 del regolamento (CE) n. 1049/2001.

49. A seguito della risposta della Commissione, la Mediatrice ha dato alla denunciante la possibilità di formulare osservazioni, anche in merito alle sue opinioni preliminari.

50. In risposta, il denunciante ha osservato che la Commissione aveva esplicitamente riconosciuto un interesse pubblico particolarmente rilevante a sapere in che modo i fornitori individuano e attenuano i rischi sistemici e che ciò dovrebbe essere considerato un interesse pubblico prevalente alla divulgazione.

51. Il denunciante ha inoltre ribadito la sua posizione secondo cui la legge sui servizi digitali è distinta dalle norme dell'UE in materia di concorrenza e ha affermato che l'applicazione di una presunzione generale di non divulgazione significherebbe che le relazioni di valutazione dei rischi sarebbero disponibili al pubblico solo con un ritardo significativo.

52. Inoltre, il denunciante ha sostenuto che la Commissione sembrava applicare la legge sui servizi digitali senza dare attuazione al diritto di accesso ai documenti dell'UE ai sensi del regolamento (CE) n. 1049/2001.

53. Infine, il denunciante ha affermato che la Commissione sembrava disposta a valutare le espunzioni effettuate dai fornitori di piattaforme online di grandi dimensioni solo dopo aver pubblicato la loro relazione di valutazione dei rischi. Secondo il denunciante, ciò sarebbe insufficiente ai fini della trasparenza.

Valutazione del Mediatore dopo la risposta della Commissione alle osservazioni preliminari

54. La legge sui servizi digitali istituisce un regime specifico di trasparenza per le valutazioni dei rischi che devono essere effettuate annualmente dalle piattaforme online di dimensioni molto grandi.

55. In particolare, la legge sui servizi digitali impone alle piattaforme designate di pubblicare la loro relazione di valutazione dei rischi al più tardi tre mesi dopo il completamento dell'audit annuale indipendente sul rispetto da parte della rispettiva piattaforma degli obblighi previsti dalla legge sui servizi digitali.[21] Tali disposizioni sulla trasparenza proattiva nella legge sui servizi digitali devono essere conciliate con il regime di trasparenza reattiva istituito dal regolamento (CE) n. 1049/2001 che si applica quando la Commissione riceve una richiesta di accesso del pubblico alle relazioni di valutazione dei rischi redatte a norma della legge sui servizi digitali. Nessuno dei due quadri giuridici prevale sull'altro.

56. Ai sensi del regolamento (CE) n. 1049/2001, le istituzioni dell'UE devono effettuare, in linea di principio, una valutazione concreta e individuale del contenuto di ciascun documento richiesto al fine di decidere se l'accesso del pubblico possa essere concesso, in tutto o in parte [22]. 

57. In deroga a tale norma, i giudici dell’Unione hanno riconosciuto che le istituzioni dell’Unione possono applicare una presunzione generale di non divulgazione a determinate categorie di documenti ai quali si applicano manifestamente considerazioni analoghe sul motivo per cui non possono essere divulgati. In tal caso, l’istituzione interessata non è tenuta ad esaminare il contenuto specifico dei documenti richiesti.

58. Tale giurisprudenza comprende, ad esempio, i documenti del fascicolo amministrativo della Commissione sul riesame degli aiuti di Stato [23], i documenti scambiati tra la Commissione e le parti notificanti o i terzi nel contesto delle procedure di controllo delle concentrazioni [24], i documenti relativi alla fase precontenziosa in corso di una procedura di infrazione [25] e i documenti relativi alle indagini in corso da parte dell'Ufficio europeo per la lotta antifrode (OLAF)[26].

59. Tali procedure hanno in comune il fatto che le norme settoriali alle quali sono disciplinate non prevedono il diritto dei terzi di accedere al rispettivo fascicolo amministrativo della Commissione. Inoltre, la Commissione è vincolata dalla riservatezza. Di conseguenza, i pertinenti quadri giuridici settoriali mirano in primo luogo a garantire il rispetto del segreto professionale nelle procedure pertinenti. Il loro obiettivo è quindi molto diverso dall’obiettivo del regolamento n. 1049/2001, che è quello di garantire la massima trasparenza possibile, tra l’altro, del processo decisionale dell’amministrazione dell’Unione. Pertanto, i giudici hanno ritenuto che, se il pubblico avesse avuto accesso al fascicolo amministrativo della Commissione in tali casi (sulla base del regolamento n. 1049/2001), ciò avrebbe rimesso in discussione il sistema istituito da tali norme e, pertanto, avrebbe compromesso lo scopo stesso di tali indagini (e, in alcuni casi, anche gli interessi commerciali).

60. La Commissione ha sostenuto che il regime di trasparenza istituito dalla legge sui servizi digitali è di natura altrettanto restrittiva e che, pertanto, la giurisprudenza sulle presunzioni generali di non divulgazione si applica, per analogia, alle relazioni di valutazione dei rischi redatte ai sensi della legge sui servizi digitali. In particolare, la Commissione ha sostenuto che il fatto che, ai sensi della legge sui servizi digitali, le «parti interessate» abbiano il diritto [27] di accedere al suo fascicolo di indagine significa che il pubblico in generale è escluso da tale accesso. Inoltre, sulla base dell'obbligo del segreto professionale [28], i fornitori di piattaforme online di dimensioni molto grandi si aspettano legittimamente che la Commissione non divulghi alcuna informazione che condividono con essa. La Commissione ha inoltre fatto riferimento alla possibilità che le piattaforme possano occultare [29] determinate informazioni prima di pubblicare le loro relazioni di valutazione dei rischi.

61. La Mediatrice ribadisce la sua posizione secondo cui le norme che si applicano alle relazioni di valutazione dei rischi redatte a norma della legge sui servizi digitali da piattaforme online di dimensioni molto grandi si discostano in modo significativo dalle circostanze in cui i giudici dell'UE hanno riconosciuto la possibilità di avvalersi di una presunzione generale di non divulgazione.

62. In generale, contrariamente ai quadri giuridici settoriali in relazione ai quali i giudici dell'UE hanno riconosciuto che può essere applicata una presunzione generale, la legge sui servizi digitali sottolinea l'importanza della trasparenza e della responsabilità dei servizi online. Per quanto riguarda le piattaforme online di dimensioni molto grandi, la legge sui servizi digitali riconosce che, a causa del loro ruolo e della loro portata speciali, è necessario un maggiore livello di trasparenza e di controllo pubblico [30]. Per conseguire tali obiettivi, le piattaforme dedicate devono divulgare una quantità significativa di informazioni, comprese quelle che potrebbero essere considerate sensibili dal punto di vista commerciale, come il numero dei loro destinatari mensili in ciascuno Stato membro [31].

63. Nella stessa ottica, le piattaforme online designate devono pubblicare la loro relazione annuale di valutazione dei rischi e devono farlo al più tardi tre mesi dopo il completamento dell'audit indipendente.[32] In particolare, la pubblicazione deve avvenire indipendentemente dal fatto che la Commissione abbia avviato un'indagine sulla conformità della piattaforma interessata ai suoi obblighi ai sensi della legge sui servizi digitali, se tale indagine sia in corso o se la Commissione debba ancora prendere una decisione sull'eventuale avvio di un'indagine.

64. Come dimostra il caso di specie, non è improbabile che il termine prescritto per la pubblicazione della relazione di valutazione dei rischi scada prima che la Commissione possa concludere la sua indagine. Sembra infatti che, nella maggior parte dei casi in cui la Commissione decide di avviare un'indagine, la relazione di valutazione dei rischi (una versione espunta) sarà resa pubblica prima dell'avvio di un'indagine o mentre l'indagine è ancora in corso. In altre parole, il legislatore sembra aver ritenuto che la tutela degli sforzi di applicazione della Commissione non pregiudichi la trasparenza e il controllo pubblico delle relazioni di valutazione dei rischi.

65. Il Mediatore riconosce che la legge sui servizi digitali consente di non divulgare determinate informazioni quando una piattaforma designata pubblica la sua relazione di valutazione dei rischi, comprese le informazioni commercialmente sensibili. Tuttavia, dato che la relazione deve essere resa pubblica ad un certo punto, è irragionevole ritenere che le relazioni di valutazione del rischio conterrebbero informazioni commerciali sensibili in tutta la . Non vi è nulla nel testo delle pertinenti disposizioni della legge sui servizi digitali che possa suffragare una siffatta interpretazione. Per lo stesso motivo, le piattaforme non possono legittimamente aspettarsi che le loro relazioni di valutazione dei rischi siano interamente coperte dal principio del segreto professionale.

66. Il Mediatore ribadisce pertanto la sua opinione secondo cui non è ragionevole applicare una presunzione generale di non divulgazione alle relazioni di valutazione dei rischi redatte ai sensi della legge sui servizi digitali, sulla base della necessità di tutelare lo scopo di un'indagine sulla legge sui servizi digitali e/o la necessità di tutelare gli interessi commerciali.

67. In risposta alle osservazioni preliminari del Mediatore, la Commissione ha inoltre sostenuto che la divulgazione della relazione di valutazione dei rischi in questione, al momento della decisione di conferma, avrebbe compromesso l'audit indipendente in corso sulla conformità della piattaforma ai suoi obblighi ai sensi della legge sui servizi digitali.

68. La relazione di audit in questo caso è stata completata nell'agosto 2024. Pertanto, quando la Commissione ha adottato la sua decisione di conferma sulla richiesta di accesso del denunciante nel giugno 2024, l'audit era ancora in corso.

69. Tuttavia, a norma dell'articolo 42, paragrafo 4, della legge sui servizi digitali, le piattaforme online di dimensioni molto grandi possono decidere di pubblicare la loro relazione di valutazione dei rischi prima del completamento dell'audit indipendente. La disposizione pertinente prevede che la pubblicazione della relazione di valutazione dei rischi avvenga al più tardi tre mesi dopo il completamento dell'audit. Essa non vieta la pubblicazione anticipata della relazione.

70. Sebbene il legislatore abbia quindi collegato il calendario per la pubblicazione proattiva della relazione di valutazione dei rischi al completamento dell'audit indipendente, ciò non implica che le richieste di accesso del pubblico a norma del regolamento (CE) n. 1049/2001 debbano necessariamente essere respinte prima di tale data, dando così luogo all'applicazione di una presunzione generale di non divulgazione. Piuttosto, se la piattaforma interessata non ha ancora pubblicato la relazione di valutazione dei rischi in modo proattivo, la Commissione dovrebbe tenerne conto nella sua valutazione del documento a norma del regolamento (CE) n. 1049/2001 e, se non è chiaro se l'accesso del pubblico possa essere concesso, la Commissione dovrebbe consultare la piattaforma per ottenere il suo parere sull'eventuale applicazione di una delle eccezioni di cui all'articolo 4 del regolamento (CE) n. 1049/2001. Ciò darà inoltre alla piattaforma la possibilità di rispondere alla richiesta di accesso e, se lo desidera, di pubblicare la sua relazione di valutazione dei rischi prima di quanto avrebbe potuto prevedere.

71. Questo punto di vista è suffragato dalle seguenti osservazioni.

72. In primo luogo, come indicato in precedenza, l’articolo 42, paragrafo 4, della legge sui servizi digitali non osta a che le piattaforme pubblichino le loro relazioni di valutazione dei rischi prima del completamento dell’audit indipendente. In effetti, sembrerebbe che, per il periodo più recente, diverse piattaforme/motori di ricerca designati abbiano già pubblicato le loro relazioni di valutazione dei rischi, sebbene il secondo audit indipendente non sia ancora stato completato.  

73. In secondo luogo, il Mediatore osserva che, nel caso di specie, la Commissione ha pubblicato [33] informazioni dettagliate sulla sua indagine sul rispetto, da parte della piattaforma, dei suoi obblighi ai sensi della legge sui servizi digitali, comprese le questioni specifiche che sta valutando e le sue constatazioni preliminari di non conformità, prima che l'audit fosse completato. In tale contesto, è difficile vedere in che modo la divulgazione (parziale) della relazione di valutazione dei rischi della piattaforma avrebbe potuto compromettere l'audit indipendente allora in corso.

74. Infine, il Mediatore osserva che, d'ora in poi, le piattaforme designate dovranno effettuare una valutazione del rischio su base annuale. Alla luce del tempo che la procedura dinanzi alla Commissione e l'audit indipendente possono impiegare, le relazioni di valutazione dei rischi di una piattaforma potrebbero riguardare argomenti simili ogni anno. L'uso di una presunzione generale potrebbe quindi portare a una situazione in cui la Commissione non valuta una relazione di valutazione dei rischi ai sensi del regolamento (CE) n. 1049/2001 per un periodo di tempo significativo, anche se l'ambito dell'indagine sulla legge sui servizi digitali, il cui scopo la Commissione intende proteggere, è molto più limitato rispetto all'ambito di una relazione di valutazione dei rischi. Pertanto, l'applicazione di una presunzione generale di non divulgazione potrebbe impedire la trasparenza e il controllo pubblico delle piattaforme online di dimensioni molto grandi che il legislatore ha ritenuto essenziali. In altre parole, il ricorso a una presunzione generale rischia di compromettere uno degli obiettivi fondamentali della legge sui servizi digitali, ossia la trasparenza.

75. Alla luce di quanto precede, il Mediatore ritiene irragionevole applicare una presunzione generale di non divulgazione alle relazioni di valutazione dei rischi a norma della legge sui servizi digitali e che la Commissione avrebbe dovuto effettuare una valutazione individuale della relazione in questione al momento in cui ha esaminato la domanda di conferma del denunciante. La Mediatrice conferma pertanto il suo parere preliminare secondo cui il ricorso da parte della Commissione a una presunzione generale di non divulgazione costituiva cattiva amministrazione.

76. Il Mediatore osserva che nel frattempo la piattaforma interessata ha divulgato una versione espunta della relazione di valutazione dei rischi in questione nella presente indagine, in linea con i suoi obblighi ai sensi dell'articolo 42, paragrafo 4, della legge sui servizi digitali. Si può pertanto presumere che la Commissione abbia già valutato le espunzioni effettuate dalla piattaforma, alla luce delle eccezioni di cui all'articolo 42, paragrafo 5, della legge sui servizi digitali. In tale contesto, il Mediatore è incoraggiato a conoscere il parere della Commissione secondo cui le espunzioni che le piattaforme designate possono effettuare a norma della legge sui servizi digitali dovrebbero rispecchiare le eccezioni all'accesso del pubblico di cui all'articolo 4 del regolamento (CE) n. 1049/2001. Ciò sembra implicare che la relazione di valutazione dei rischi in questione sia stata nel frattempo divulgata al pubblico nella misura in cui la Commissione ritiene che l'accesso possa essere fornito ai sensi del regolamento (CE) n. 1049/2001. Tuttavia, la valutazione della Commissione al riguardo non è stata condivisa e, pertanto, non ha potuto essere riesaminata.

77. Il Mediatore osserva che il denunciante ha contestato le espunzioni effettuate dalla piattaforma interessata e ha sostenuto che esse appaiono eccessive. La pubblicazione proattiva di una versione espunta della relazione di valutazione dei rischi in questione da parte della piattaforma interessata non ha quindi risolto il reclamo. Alla luce di quanto precede, il Mediatore ritiene necessario proseguire l'indagine e rivolgere alla Commissione la seguente raccomandazione: La Commissione dovrebbe effettuare una valutazione concreta e individuale della relazione di valutazione dei rischi in questione al fine di garantire il più ampio accesso possibile del pubblico, anche alle parti della relazione che sono state omesse nella versione pubblicata dalla piattaforma interessata. Se la Commissione conclude che non è possibile concedere l'accesso a determinate parti della relazione, dovrebbe spiegare perché, in modo specifico ed effettivo, la loro divulgazione è impedita alla luce delle eccezioni di cui all'articolo 4 del regolamento (CE) n. 1049/2001.

78. Infine, il Mediatore osserva che le nuove norme dettagliate della Commissione [34] per l'applicazione del regolamento (CE) n. 1049/2001, adottate dopo la decisione di conferma nel caso di specie, sono attualmente contestate dinanzi al Tribunale [35]. Le norme dettagliate prevedono la possibilità di applicare una presunzione generale di non divulgazione ai "documenti che rientrano nelle procedure ai sensi della legge sui servizi digitali". A meno che e fino a quando la Corte non emetterà una sentenza sulla legittimità di tali norme, il Mediatore non prenderà posizione sulle norme dettagliate in quanto tali. Poiché le norme dettagliate devono in ogni caso rimanere in linea con il regolamento (CE) n. 1049/2001 [36], il Mediatore continuerà a valutare la conformità delle singole decisioni di conferma adottate dalla Commissione, che sono portate alla sua attenzione, con il regolamento (CE) n. 1049/2001, come interpretato dagli organi giurisdizionali dell'UE, e con i principi di buona amministrazione.

Raccomandazione

Sulla base dell'indagine relativa alla presente denuncia, il Mediatore formula la seguente raccomandazione alla Commissione:

La Commissione europea dovrebbe effettuare una valutazione concreta e individuale della relazione di valutazione dei rischi in questione al fine di garantire il più ampio accesso possibile del pubblico, anche alle parti della relazione che sono state omesse nella versione pubblicata dalla piattaforma interessata. Se la Commissione conclude che non è possibile concedere l'accesso a determinate parti della relazione, dovrebbe spiegare perché, in modo specifico ed effettivo, la loro divulgazione è impedita alla luce delle eccezioni di cui all'articolo 4 del regolamento (CE) n. 1049/2001.

La Commissione e il denunciante saranno informati della presente raccomandazione. Conformemente all'articolo 4, paragrafo 2, dello statuto del Mediatore europeo, la Commissione trasmette un parere circostanziato entro il 3 febbraio 2026.

Teresa Anjinho Mediatore
europeo

Strasburgo, 03/11/2025

 

[1] Disponibile all'indirizzo: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2021.253.01.0001.01.ENG&toc=OJ%3AL%3A2021%3A253%3ATOC.

[2] Regolamento (UE) 2022/2065 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali): http://data.europa.eu/eli/reg/2022/2065/oj.

[3] Le piattaforme online e i motori di ricerca online sono considerati "molto grandi" se il numero medio mensile di utenti attivi del loro servizio all'interno dell'Unione europea è pari o superiore a 45 milioni, articolo 33 della legge sui servizi digitali.

[4] Cfr. articolo 34 della legge sui servizi digitali.

[5] Cfr. articolo 37 della legge sui servizi digitali.

[6] Cfr. articolo 42, paragrafi 4 e 5, della legge sui servizi digitali.

[7] A norma dell'articolo 34, paragrafo 1, e dell'articolo 33, paragrafo 6, secondo comma, della legge sui servizi digitali.

[8] Ai sensi del regolamento (CE) n. 1049/2001 relativo all'accesso del pubblico ai documenti del Parlamento europeo, della Commissione e del Consiglio: http://data.europa.eu/eli/reg/2001/1049/oj.

[9] Conformemente all'articolo 4, paragrafo 2, primo trattino, del regolamento (CE) n. 1049/2001.

[10] A norma dell'articolo 66, paragrafo 1, della legge sui servizi digitali. Il numero di file è DSA.100.100.

[11] https://digital-strategy.ec.europa.eu/it/news/commission-sends-preliminary-findings-x-breach-digital-services-act.

[12] Cfr. nota 8.

[13] La Commissione ha fatto riferimento, tra l’altro, alla sentenza della Corte (Grande Sezione) del 29 giugno 2010, Commissione/Technische Glaswerke Ilmenau, C-139/07 P, punto 54: https://curia.europa.eu/juris/document/document.jsf?text=&docid=84749&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=1621734.

[14] La Commissione ha fatto riferimento, tra l'altro, alla sentenza della Corte del 27 febbraio 2014, Commissione/EnBW, C-365/12 P, punti 81 e seguenti: https://curia.europa.eu/juris/document/document.jsf?text=&docid=148392&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=1621734.

[15] La Commissione ha fatto riferimento, tra l’altro, alla sentenza del Tribunale del 26 maggio 2016, International Management Group/Commissione, T-110/15, punto 32: https://curia.europa.eu/juris/document/document.jsf?text=&docid=178781&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=1645716.

[16] Il testo integrale delle osservazioni preliminari del Mediatore è disponibile all'indirizzo: https://www.ombudsman.europa.eu/en/doc/correspondence/en/199731.

[17] Articolo 42, paragrafo 5, della legge sui servizi digitali.

[18] Cfr.: https://transparency.x.com/it/reports/dsa-risk-assessment-report.

[19] Il testo integrale della risposta della Commissione alle osservazioni preliminari del Mediatore è disponibile all'indirizzo:

https://www.ombudsman.europa.eu/doc/correspondence/214482.

[20] Cfr. le modalità di applicazione del regolamento (CE) n. 1049/2001 della Commissione relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202403080#anx_1:~:text=p.%C2%A060).-,ALLEGATO,Consiglio%20per quanto riguarda%20pubblico%20accesso%20to%20europeo%20Parlamento%2C%20Consiglio%20e%20Commissione%20documenti,-considerando%3A

[21] Articolo 42, paragrafo 4, della legge sui servizi digitali.

[22] Cfr., ad esempio, sentenza del Tribunale di primo grado del 13 aprile 2005, Verein für Konsumenteninformation/Commissione, T-2/03, punti 69 e seguenti: https://curia.europa.eu/juris/document/document.jsf?text=&docid=60314&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=59073.

[23] Sentenza della Corte del 29 giugno 2010, Commissione/Technische Glaswerke Ilmenau, C ‑139/07 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=84749&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=267909.

[24] Sentenza della Corte del 28 giugno 2012, Commissione/Agrofert, C-477/10 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=124461&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=267626.

[25] Sentenza della Corte del 14 novembre 2013, LPN/Commissione, C-514/11 P e C-605/11 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=144492&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=8482072.

[26] Sentenza del Tribunale del 1o settembre 2021, Homoki/Commissione, T-517/19: https://curia.europa.eu/juris/document/document.jsf?text=&docid=245503&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=6145602.

[27] Articolo 79, paragrafo 4, della legge sui servizi digitali.

[28] Articolo 84 della legge sui servizi digitali.

[29] Articolo 42, paragrafo 5, della legge sui servizi digitali.

[30] Cfr., ad esempio, i considerando 65 e 100 della legge sui servizi digitali.

[31] Cfr. articolo 42, paragrafo 3, della legge sui servizi digitali.

[32] Articolo 42, paragrafo 4, della legge sui servizi digitali.

[33] Il 18 dicembre 2023 la Commissione ha informato il pubblico in merito all'avvio di un'indagine, cfr.: https://ec.europa.eu/commission/presscorner/detail/it/ip_23 _6709. Il 12 luglio 2024 la Commissione ha reso pubbliche le sue prime risultanze preliminari, cfr.: https://ec.europa.eu/commission/presscorner/detail/it/ip_24 _3761.

[34] Cfr. nota 20.

[35] Causa T-146/25, De Capitani e altri/Commissione: https://curia.europa.eu/juris/liste.jsf?lgrec=fr&td=;ALL&language=en&num=T-146/25&jur=T e causa T-641/25, ClientEarth/Commissione: https://curia.europa.eu/juris/liste.jsf?lgrec=fr&td=;ALL&language=en&num=T-641/25&jur=T.

[36] In linea con l'articolo 15, paragrafo 3, del trattato sul funzionamento dell'Unione europea, che impone a ciascuna istituzione, organo o organismo di "elaborare nel proprio regolamento interno disposizioni specifiche relative all'accesso ai propri documenti, conformemente ai regolamenti di cui al secondo comma". Il Tribunale ha dichiarato che il regolamento di procedura adottato dalla Commissione (nelle cause riunite T-371/20 e T-554/20, Pollinis/Commissione, punto 93) o le conclusioni adottate dal Consiglio (nella causa T-255/24, Nouwen/Consiglio, punto 103) devono rimanere in linea con il regolamento 1049/2001. In quest’ultima causa, la Corte ha dichiarato che “[l]a portata degli obblighi che incombono a un’istituzione dell’Unione in forza del regolamento n. 1049/2001, come interpretati dal giudice dell’Unione, non può dipendere dal contenuto di atti, quali le conclusioni del Consiglio, adottati dall’istituzione interessata stessa”.