Regolamento (UE) 2024/607

Regolamento di esecuzione (UE) 2024/607: funzionamento del sistema AGORA per il Digital Services Act

Il regolamento disciplina le modalità pratiche e operative del sistema AGORA, la piattaforma informatica della Commissione destinata allo scambio sicuro e interoperabile di informazioni tra le autorità coinvolte nell’attuazione del regolamento (UE) 2022/2065. La finalità è agevolare vigilanza, indagini, esecuzione e monitoraggio sui servizi intermediari, con attenzione particolare alla cooperazione transfrontaliera, alla riservatezza e alla protezione dei dati personali.

Ambito di applicazione e finalità

AGORA è istituito come applicazione software accessibile via internet e costituisce lo strumento ordinario per le comunicazioni che, in assenza del sistema, avverrebbero con posta ordinaria, e-mail o altri mezzi. Il sistema è destinato ai coordinatori dei servizi digitali, alla Commissione, al comitato europeo per i servizi digitali e, quando necessario, ad altre autorità competenti cui sia concesso l’accesso ai fini dei compiti loro attribuiti dal regolamento (UE) 2022/2065.

Definizioni rilevanti

Il regolamento definisce:

• AGORA come il sistema di condivisione delle informazioni istituito e mantenuto dalla Commissione;
• partecipante ad AGORA come i coordinatori dei servizi digitali, la Commissione, il comitato o altre autorità competenti autorizzate;
• utente di AGORA come la persona fisica che opera sotto l’autorità di un partecipante ed è registrata nel sistema;
• amministratore di AGORA come l’utente nominato per la gestione del sistema per conto del partecipante.

Ruoli e responsabilità istituzionali

La Commissione è responsabile della disponibilità del sistema in tutte le lingue ufficiali dell’Unione, della sicurezza, affidabilità, manutenzione e sviluppo dell’infrastruttura, oltre che dell’assistenza tecnica e della formazione degli amministratori e degli utenti. Deve inoltre registrare almeno un amministratore di AGORA per ciascun coordinatore dei servizi digitali e per il comitato, nonché svolgere il monitoraggio del funzionamento della piattaforma.

I coordinatori dei servizi digitali devono nominare almeno un amministratore di AGORA nel proprio Stato membro, garantire che solo gli utenti autorizzati abbiano accesso al sistema e informare senza ritardo la Commissione dell’amministratore nominato. Il comitato ha analoghi obblighi di nomina e di controllo degli accessi.

Gli amministratori di AGORA gestiscono la registrazione degli utenti e la concessione o revoca dell’accesso, fungono da punto di contatto con la Commissione, forniscono assistenza e formazione agli utenti registrati e devono garantire risposte efficaci nell’ambito delle procedure svolte tramite AGORA.

Accesso, riservatezza e valore delle informazioni scambiate

L’accesso è limitato agli amministratori e agli utenti autorizzati. I partecipanti devono predisporre misure adeguate affinché l’accesso ai dati personali sia consentito solo se strettamente necessario per le attività di vigilanza, indagine, esecuzione e monitoraggio. Quando una procedura comporta trattamento di dati personali, vi accedono solo i soggetti che partecipano a quella specifica procedura.

Il regolamento richiama inoltre le norme nazionali o dell’Unione in materia di segreto professionale e obblighi equivalenti di riservatezza. Le informazioni ricevute tramite AGORA non perdono valore probatorio solo perché provengono da un altro Stato membro o sono state trasmesse elettronicamente; possono essere utilizzate come documenti analoghi ottenuti a livello nazionale, nel rispetto del diritto applicabile.

Trattamento dei dati personali

AGORA può trattare dati personali solo se necessario e proporzionato, e solo per finalità ben delimitate:

• supporto alle comunicazioni tra i partecipanti;
• gestione dei casi;
• trasformazioni tecniche e commerciali necessarie per consentire lo scambio di informazioni.

Le categorie di interessati comprendono sia le persone fisiche i cui dati compaiono nei documenti relativi alle attività del Digital Services Act, sia gli amministratori e gli utenti di AGORA. Le categorie di dati trattabili includono dati identificativi, di contatto, relativi al coinvolgimento nel caso, dati di caso e, per amministratori e utenti, nome, indirizzo, recapiti e identificativo utente.

I dati possono essere conservati insieme ai log che registrano flussi e movimenti delle informazioni scambiate. La conservazione deve avvenire mediante infrastrutture informatiche situate nello Spazio economico europeo.

Ruoli privacy: titolarità, contitolarità e responsabilità della Commissione

Il regolamento distingue più scenari di trattamento:

• la Commissione è responsabile del trattamento quando registra gli amministratori;
• è titolare distinto per i propri amministratori e utenti;
• è responsabile del trattamento quando opera per conto di altri partecipanti;
• i coordinatori dei servizi digitali sono titolari distinti per la registrazione dei propri utenti e per i trattamenti svolti da ciascuno di essi all’interno di AGORA;
• quando AGORA è usata per le attività del comitato, i coordinatori dei servizi digitali sono contitolari del trattamento;
• nelle indagini comuni ex articolo 60 del regolamento (UE) 2022/2065, i coordinatori coinvolti sono contitolari;
• le altre autorità competenti, quando trattano dati nell’ambito del sistema, sono titolari distinti.

L’allegato I disciplina in dettaglio la ripartizione delle responsabilità tra contitolari, inclusi punto di contatto, istruzioni al responsabile del trattamento, assistenza reciproca, registro dei trattamenti, informativa agli interessati e gestione delle richieste di esercizio dei diritti.

L’allegato II specifica invece gli obblighi della Commissione come responsabile del trattamento: trattamento solo su istruzione documentata, ricorso a eventuali sub-responsabili, gestione degli accessi, conservazione e cancellazione dei dati, misure di sicurezza, audit, gestione delle modifiche, manutenzione, incidenti di sicurezza e supporto ai titolari per gli adempimenti del GDPR.

Sicurezza e incidenti

La Commissione deve adottare misure di sicurezza fisiche, logiche e organizzative all’avanguardia, garantire controllo degli accessi, piano di sicurezza aggiornato, monitoraggio in tempo reale e capacità di verifica di chi abbia trattato quali dati, quando e per quale finalità. In caso di incidente di sicurezza o violazione dei dati personali, devono attivarsi procedure di segnalazione, comunicazione e rimedio, con coinvolgimento dei titolari interessati, delle autorità di controllo e, se necessario, degli interessati.

Traduzione automatica e multilinguismo

Per superare le barriere linguistiche, AGORA deve essere disponibile in tutte le lingue ufficiali dell’Unione. La Commissione deve mettere a disposizione strumenti di traduzione automatica per i documenti e i messaggi scambiati nel sistema, garantendo al contempo adeguati livelli di sicurezza e riservatezza.

Monitoraggio, relazioni e controlli

La Commissione deve monitorare regolarmente AGORA e valutarne periodicamente le prestazioni. Entro il 17 febbraio 2027 e successivamente ogni tre anni, deve presentare una relazione al Parlamento europeo, al Consiglio e al Garante europeo della protezione dei dati, includendo dati sul funzionamento del sistema, sulle prestazioni dei partecipanti e sugli aspetti di protezione e sicurezza dei dati personali. I partecipanti devono fornire annualmente alla Commissione le informazioni pertinenti per tale relazione.

Spese, attuazione ed entrata in vigore

Le spese di istituzione, manutenzione e funzionamento di AGORA sono coperte dai contributi annuali per le attività di vigilanza riscossi dalla Commissione ai sensi dell’articolo 43, paragrafo 2, del regolamento (UE) 2022/2065 e del regolamento delegato (UE) 2023/1127. Le spese operative a livello nazionale, incluse formazione, assistenza tecnica, sportello di assistenza e adattamenti dei sistemi informatici nazionali, restano a carico dello Stato membro che le sostiene.

Gli Stati membri devono adottare tutte le misure necessarie per garantire l’applicazione efficace del regolamento. Quest’ultimo entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.