Regolamento (UE) 2021/1232

Regolamento (UE) 2021/1232 sulla deroga temporanea per la lotta agli abusi sessuali online sui minori

Il regolamento introduce una disciplina provvisoria e molto circoscritta per consentire ad alcuni fornitori di servizi di comunicazione interpersonale indipendenti dal numero di continuare a usare, nel rispetto del GDPR, tecnologie di rilevazione degli abusi sessuali online sui minori. La scelta del legislatore UE risponde all’esigenza di evitare un vuoto normativo dopo l’estensione di tali servizi all’ambito della direttiva 2002/58/CE e di prevenire una frammentazione del mercato interno, in attesa di un quadro a lungo termine.

Contesto e ratio

Nei considerando il regolamento evidenzia che i servizi di messaggistica, VoIP e posta elettronica web-based rientrano nell’ambito della direttiva 2002/58/CE dal 21 dicembre 2020, con conseguente applicazione delle regole sulla riservatezza delle comunicazioni. Tuttavia, alcuni fornitori avevano già adottato volontariamente tecnologie di scansione e segnalazione per individuare materiale pedopornografico e adescamento di minori, attività considerate fondamentali per identificare le vittime, contenere la circolazione di materiale illecito e supportare le indagini.

Il regolamento precisa però che tali attività incidono sui diritti alla vita privata, alla riservatezza delle comunicazioni e alla protezione dei dati personali, per cui possono proseguire solo entro limiti di stretta necessità, proporzionalità e minimizzazione, con garanzie tecniche e procedurali rafforzate.

Ambito oggettivo e soggettivo

La disciplina si applica ai fornitori di servizi di comunicazione interpersonale indipendenti dal numero, come definiti dalla direttiva (UE) 2018/1972. L’oggetto del trattamento riguarda dati personali e altri dati connessi alla fornitura del servizio, limitatamente alle attività di:

• individuazione di materiale pedopornografico online;
• segnalazione alle autorità di contrasto e alle organizzazioni che agiscono nell’interesse pubblico contro gli abusi sessuali sui minori;
• rimozione del materiale pedopornografico online;
• individuazione dell’adescamento di minori e segnalazione dei casi rilevati.

Il regolamento esclude espressamente la scansione delle comunicazioni audio. Restano inoltre impregiudicate le norme nazionali sul segreto professionale e le regole applicabili ad altri trattamenti non coperti dalla deroga.

Definizioni chiave

L’articolo 2 chiarisce i concetti centrali:

• il "materiale pedopornografico online" comprende la pedopornografia e lo spettacolo pornografico come definiti dalla direttiva 2011/93/UE;
• l’"adescamento di minori" coincide con la condotta intenzionale punita dall’articolo 6 della direttiva 2011/93/UE;
• gli "abusi sessuali online sui minori" comprendono sia il materiale pedopornografico online sia l’adescamento di minori.

Condizioni sostanziali della deroga

La deroga agli articoli 5, paragrafo 1, e 6, paragrafo 1, della direttiva 2002/58/CE opera solo se il trattamento rispetta una serie di condizioni cumulative.

In particolare, l’articolo 3 richiede che il trattamento sia:

• strettamente necessario;
• proporzionato;
• limitato ai dati sul contenuto e ai dati relativi al traffico strettamente necessari;
• limitato a quanto indispensabile per le finalità di rilevazione, segnalazione e rimozione.

Le tecnologie impiegate devono essere conformi allo stato dell’arte e le meno invasive della vita privata. Se utilizzate per scansionare testo, non devono essere in grado di dedurre la sostanza del contenuto delle comunicazioni, ma solo di rilevare schemi ricorrenti che facciano emergere possibili abusi sessuali sui minori.

Per le nuove tecnologie, l’articolo 3, paragrafo 1, lettera d), richiede che il fornitore informi l’autorità competente delle misure adottate per dimostrare la conformità al parere scritto reso in consultazione preventiva ai sensi dell’articolo 36 GDPR. Il regolamento definisce come "nuove" le tecnologie non utilizzate da alcun fornitore nell’Unione prima del 2 agosto 2021 per i servizi in questione.

Garanzie tecniche e organizzative

Il regolamento impone un sistema di garanzie articolato. I fornitori devono:

• adottare procedure interne contro abusi, accessi non autorizzati e trasferimenti non autorizzati di dati;
• prevedere controllo umano e, se necessario, intervento umano nel trattamento;
• evitare la segnalazione alle autorità o alle organizzazioni se il materiale non è stato previamente confermato da un controllo umano;
• usare tecnologie sufficientemente affidabili, minimizzando i falsi positivi e correggendo senza indugio gli errori;
• limitare per l’adescamento l’uso di indicatori chiave pertinenti e di fattori di rischio oggettivamente identificati, come la differenza di età e il probabile coinvolgimento di un minore, lasciando fermo il diritto alla verifica umana.

Per alcune tecnologie già in uso prima del 2 agosto 2021, la consultazione preventiva ex articolo 36 GDPR può essere completata entro il 3 aprile 2022, purché la procedura sia stata avviata prima del 3 settembre 2021 e vi sia piena cooperazione con l’autorità di controllo.

Informazione agli utenti, ricorsi e trasparenza

I fornitori devono informare gli utenti in modo chiaro, visibile e comprensibile che si sono avvalsi della deroga, spiegando la logica delle misure adottate, il loro impatto sulla riservatezza delle comunicazioni e la possibile condivisione dei dati con autorità di contrasto e organizzazioni specializzate.

Se il contenuto viene rimosso, il conto bloccato o il servizio sospeso, gli utenti devono ricevere indicazioni sulle modalità di ricorso, sul reclamo all’autorità di controllo e sul diritto al ricorso giurisdizionale. L’articolo 5 ribadisce il diritto a un ricorso giurisdizionale effettivo in caso di violazione dei diritti dell’utente.

Conservazione dei dati e segnalazione dei sospetti

La conservazione è fortemente limitata. I dati trattati e i dati personali generati possono essere conservati solo per le finalità tassative indicate nel regolamento, tra cui:

• segnalazione immediata alle autorità competenti;
• blocco del conto o sospensione del servizio;
• creazione di un hash per materiale affidabilmente identificato;
• gestione di reclami e ricorsi;
• risposta a richieste delle autorità giudiziarie o di contrasto.

In ogni caso, la conservazione non può superare 12 mesi dalla data di identificazione del presunto abuso sessuale online sui minori. Ogni sospetto ragionevole e verificato deve essere segnalato senza indugio alle autorità nazionali competenti o alle organizzazioni pertinenti.

Obblighi di reporting e elenco pubblico delle organizzazioni

Il regolamento istituisce un sistema di accountability verso la Commissione e le autorità di controllo.

I fornitori devono pubblicare e trasmettere, entro il 3 febbraio 2022 e poi entro il 31 gennaio di ogni anno, una relazione contenente, tra l’altro:

• tipo e volume dei dati trattati;
• base giuridica GDPR del trattamento;
• motivi dei trasferimenti verso paesi terzi, se applicabili;
• numero dei casi individuati, distinti tra materiale pedopornografico e adescamento;
• numero dei reclami e l’esito;
• numero e tasso di falsi positivi;
• misure per ridurre gli errori e risultati conseguiti;
• politica di conservazione e garanzie GDPR;
• nomi delle organizzazioni con cui i dati sono stati condivisi.

Parallelamente, i fornitori devono comunicare alla Commissione, entro il 3 settembre 2021, l’elenco delle organizzazioni che agiscono nell’interesse pubblico contro gli abusi sessuali sui minori a cui segnalano i casi. La Commissione pubblica l’elenco entro il 3 ottobre 2021 e lo aggiorna costantemente.

Ruolo delle autorità di controllo e orientamenti EDPB

Le autorità di controllo designate ai sensi del GDPR monitorano il trattamento rientrante nel regolamento nell’ambito delle proprie competenze e poteri. La Commissione deve inoltre chiedere al comitato europeo per la protezione dei dati di adottare orientamenti, entro il 3 settembre 2021, per assistere le autorità nella valutazione della conformità al GDPR delle tecnologie esistenti e nuove impiegate per queste finalità.

Statistiche degli Stati membri e relazione della Commissione

Gli Stati membri devono rendere pubbliche e trasmettere alla Commissione, entro il 3 agosto 2022 e poi annualmente, statistiche su:

• numero totale delle segnalazioni di abusi sessuali online sui minori;
• minori identificati, distinti per genere;
• autori di reato condannati.

Sulla base delle relazioni dei fornitori e delle statistiche nazionali, la Commissione deve presentare entro il 3 agosto 2023 una relazione sull’applicazione del regolamento, valutando in particolare:

• le condizioni del trattamento ex articolo 3, paragrafo 1, lettera a), punto ii), e lettere b), c) e d);
• la proporzionalità della deroga;
• gli sviluppi tecnologici e la loro capacità di aumentare l’accuratezza e ridurre i falsi positivi.

Durata e rapporto con il quadro futuro

Il regolamento è espressamente temporaneo: si applica fino al 3 agosto 2024. Il considerando finale chiarisce che esso serve a coprire il periodo necessario all’adozione di un quadro giuridico a lungo termine; qualora tale quadro venga adottato ed entri in vigore prima di tale data, esso dovrà abrogare il presente regolamento.

Profili pratici per operatori e consulenti

Per i professionisti, il regolamento impone una verifica puntuale di conformità su almeno cinque piani: base giuridica GDPR, design e governance della tecnologia, minimizzazione e conservazione dei dati, trasparenza verso gli utenti e predisposizione di processi di ricorso e reporting. La disciplina è costruita per consentire la prosecuzione di pratiche volontarie di contrasto agli abusi sessuali online sui minori senza introdurre una sorveglianza generalizzata o indebolire la crittografia end-to-end, che il regolamento non intende vietare né compromettere.