Regolamento (UE) 2021/784

Regolamento (UE) 2021/784 relativo al contrasto della diffusione di contenuti terroristici online

Il regolamento istituisce un sistema armonizzato per contrastare la diffusione al pubblico di contenuti terroristici tramite servizi di hosting, nell’ottica del buon funzionamento del mercato unico digitale e della sicurezza pubblica. La disciplina è costruita attorno a ordini di rimozione rapidi, misure specifiche per i prestatori esposti al rischio, obblighi di trasparenza e un articolato insieme di garanzie procedurali e sostanziali a tutela dei diritti fondamentali.

Finalità e rapporto con altri atti dell’Unione

Il regolamento mira a ridurre l’uso improprio dei servizi di hosting per finalità terroristiche, migliorando la certezza del diritto per i prestatori e la fiducia degli utenti. I considerando insistono sul fatto che il contrasto ai contenuti terroristici deve avvenire in modo complementare alla tutela della libertà di espressione, del pluralismo dei media, della protezione dei dati personali e della libertà d’impresa.

Il regolamento non pregiudica l’applicazione della direttiva 2000/31/CE sul commercio elettronico. In caso di conflitto con la direttiva 2010/13/UE sui servizi di media audiovisivi, quest’ultima prevale per i servizi ivi definiti. La disciplina è inoltre costruita in coerenza con la direttiva (UE) 2017/541, che fornisce il riferimento per la nozione di reati di terrorismo.

Ambito soggettivo e oggettivo di applicazione

L’articolo 1 si applica ai prestatori di servizi di hosting che offrono servizi nell’Unione e che diffondono informazioni al pubblico, indipendentemente dal luogo dello stabilimento principale. La nozione di servizio rilevante è circoscritta a servizi che memorizzano informazioni fornite dal fornitore di contenuti su richiesta di quest’ultimo e che le rendono disponibili al pubblico.

Sono espressamente esclusi i servizi di mero trasporto, caching e altri servizi di infrastruttura internet che non comportano la memorizzazione su richiesta del fornitore di contenuti, nonché i servizi di comunicazione interpersonale privata. Il regolamento non si applica ai materiali diffusi per finalità educative, giornalistiche, artistiche, di ricerca o di prevenzione/lotta al terrorismo, né alle opinioni polemiche o controverse espresse nel dibattito pubblico, se effettivamente riconducibili a tali finalità.

Definizione di contenuti terroristici

L’articolo 2 definisce in modo puntuale i "contenuti terroristici". Vi rientrano materiali che:

• istigano alla commissione di reati di terrorismo, anche mediante apologia o incitamento;
• sollecitano a commettere o a contribuire a commettere reati di terrorismo;
• sollecitano a partecipare alle attività di un gruppo terroristico;
• impartiscono istruzioni per fabbricare o usare esplosivi, armi o sostanze pericolose, ovvero altri metodi o tecniche specifici per commettere o contribuire a reati di terrorismo;
• costituiscono una minaccia di commissione di reati di terrorismo.

Nel valutare se un contenuto rientri in tale definizione, occorre considerare natura, formulazione, contesto e potenziale dannoso del materiale. I materiali educativi, giornalistici, artistici o di sensibilizzazione contro il terrorismo non devono essere qualificati come terroristici.

Ordini di rimozione

L’asse portante del regolamento è l’ordine di rimozione di cui all’articolo 3. L’autorità competente di ogni Stato membro può imporre al prestatore di servizi di hosting la rimozione del contenuto terroristico o la disabilitazione dell’accesso in tutti gli Stati membri.

Il prestatore deve eseguire l’ordine entro un’ora dalla ricezione. Prima del primo ordine nei confronti di un dato prestatore, l’autorità competente deve informarlo delle procedure e dei termini applicabili almeno 12 ore prima, salvo casi di emergenza debitamente giustificati.

Gli ordini di rimozione devono utilizzare il modello dell’allegato I e contenere, tra l’altro:

• identificazione e autenticazione dell’autorità emittente;
• motivazione sufficientemente dettagliata;
• URL esatto e, se necessario, ulteriori elementi di localizzazione;
• base giuridica nel regolamento;
• data, ora e firma elettronica;
• informazioni sui mezzi di ricorso;
• eventuale decisione di non divulgare l’intervento al fornitore di contenuti ai sensi dell’articolo 11, paragrafo 3.

Se il prestatore non può eseguire l’ordine per forza maggiore, impossibilità di fatto o ragioni tecniche/operative obiettivamente giustificabili, deve informare senza ritardo l’autorità emittente con il modello dell’allegato III. Lo stesso vale se l’ordine è viziato da errori manifesti o manca di informazioni sufficienti: in tal caso il prestatore chiede chiarimenti e il termine di un’ora decorre dalla ricezione dei chiarimenti.

L’ordine diventa definitivo allo scadere del termine di ricorso, se non è impugnato, o se è confermato in esito al ricorso.

Ordini di rimozione transfrontalieri

L’articolo 4 disciplina i casi in cui l’autorità emittente si trovi in uno Stato membro diverso da quello dello stabilimento principale o del rappresentante legale del prestatore. In tali ipotesi, una copia dell’ordine deve essere trasmessa contemporaneamente all’autorità dello Stato membro competente in base allo stabilimento o al rappresentante.

Questa autorità può esaminare l’ordine, entro 72 ore dal ricevimento, per verificare se esso violi in modo grave o manifesto il regolamento o i diritti fondamentali della Carta. Il prestatore e il fornitore di contenuti possono richiedere tale esame entro 48 ore dal ricevimento dell’ordine o delle informazioni dell’articolo 11, paragrafo 2. Se la violazione è accertata, l’ordine cessa di avere effetti giuridici e il prestatore deve ripristinare immediatamente i contenuti.

Misure specifiche per i prestatori esposti a contenuti terroristici

L’articolo 5 introduce un secondo livello di intervento, distinto dall’ordine di rimozione: le misure specifiche. Esse si applicano ai prestatori che siano stati qualificati come "esposti a contenuti terroristici" sulla base di una decisione dell’autorità competente fondata su elementi oggettivi, come il ricevimento di due o più ordini di rimozione definitivi nei 12 mesi precedenti.

Il prestatore, una volta ricevuta la decisione, deve comunicare entro tre mesi e poi annualmente le misure adottate e da adottare. L’autorità può imporre misure ulteriori se quelle già adottate risultano insufficienti.

Le misure specifiche possono includere:

• personale o mezzi tecnici per individuare e rimuovere rapidamente i contenuti terroristici;
• meccanismi di segnalazione da parte degli utenti;
• strumenti di moderazione o sensibilizzazione;
• ogni altra misura idonea individuata dal prestatore.

Tali misure devono essere efficaci, mirate, proporzionate e non discriminatorie, tenendo conto della gravità dell’esposizione, delle capacità tecniche, della solidità finanziaria, del numero di utenti e del volume di contenuti ospitati. Se comportano l’uso di strumenti tecnici, devono essere accompagnate da salvaguardie adeguate, in particolare controlli umani, per evitare rimozioni errate di contenuti leciti.

Resta espressamente fermo che non sorge alcun obbligo generale di sorveglianza né un obbligo generale di ricerca attiva di fatti o circostanze illecite, ai sensi dell’articolo 15 della direttiva 2000/31/CE. Il regolamento non impone neppure l’obbligo di usare strumenti automatizzati.

Conservazione dei contenuti e dei dati

L’articolo 6 impone ai prestatori di conservare i contenuti terroristici rimossi o resi inaccessibili, nonché i dati necessari per:

• i ricorsi amministrativi o giurisdizionali e i reclami;
• la prevenzione, accertamento, indagine o perseguimento dei reati di terrorismo.

Il periodo ordinario di conservazione è di sei mesi dalla rimozione o disabilitazione. Può essere prorogato, su richiesta dell’autorità competente o di un organo giurisdizionale, per il tempo necessario se pende un procedimento di ricorso. I contenuti conservati devono essere protetti da adeguate salvaguardie tecniche e organizzative e trattati solo per le finalità previste.

Trasparenza, ricorsi e reclami

Il regolamento costruisce un sistema di garanzie procedurali articolato.

Ai sensi dell’articolo 7, il prestatore deve chiarire nelle condizioni contrattuali la propria politica di contrasto ai contenuti terroristici, spiegando, ove applicabile, il funzionamento delle misure specifiche e degli strumenti automatizzati. Se adotta misure nell’anno civile, deve pubblicare una relazione sulla trasparenza entro il 1° marzo dell’anno successivo.

L’articolo 8 impone un corrispondente obbligo alle autorità competenti, che devono pubblicare relazioni annuali con dati su ordini di rimozione, misure specifiche, controlli e sanzioni, senza compromettere indagini o sicurezza nazionale.

Gli articoli 9 e 10 garantiscono il ricorso effettivo: il prestatore e il fornitore di contenuti possono impugnare gli ordini di rimozione e le decisioni sulle misure specifiche davanti agli organi giurisdizionali competenti. Inoltre, il prestatore deve offrire un meccanismo di reclamo semplice ed efficace per le rimozioni o disabilitazioni conseguenti a misure specifiche; deve decidere tempestivamente e rispondere entro due settimane. Se il reclamo è accolto, i contenuti vanno ripristinati senza indebito ritardo.

Informazione al fornitore di contenuti e segretezza temporanea

L’articolo 11 prevede, in via generale, che il prestatore informi il fornitore di contenuti quando rimuove o disabilita l’accesso. Su richiesta, deve indicare i motivi o fornire copia dell’ordine di rimozione.

Tuttavia, l’autorità competente può decidere che, per ragioni di pubblica sicurezza, la motivazione non sia divulgata per il tempo necessario, non oltre sei settimane, prorogabili di ulteriori sei settimane se la segretezza resta giustificata. In tal caso il prestatore deve astenersi dal divulgare qualsiasi informazione relativa alla rimozione o disabilitazione.

Autorità competenti, cooperazione e punti di contatto

Gli articoli 12, 13, 14 e 15 disciplinano l’architettura istituzionale del regolamento.

Ogni Stato membro deve designare una o più autorità competenti per:

• emettere gli ordini di rimozione;
• esaminare gli ordini di rimozione;
• vigilare sull’attuazione delle misure specifiche;
• irrogare sanzioni.

Deve inoltre essere istituito un punto di contatto presso l’autorità che emette gli ordini di rimozione, e le informazioni relative devono essere pubbliche. Gli Stati membri dovevano notificare le autorità competenti alla Commissione entro il 7 giugno 2022; la Commissione deve mantenere un registro online.

Le autorità competenti devono operare in modo obiettivo, non discriminatorio e nel pieno rispetto dei diritti fondamentali, senza ricevere istruzioni da altri organismi, salva la supervisione costituzionale nazionale. Devono anche scambiarsi informazioni, coordinarsi e cooperare tra loro e, se del caso, con Europol, per evitare duplicazioni e interferenze con indagini in corso.

I prestatori di servizi di hosting devono designare un proprio punto di contatto per ricevere gli ordini di rimozione per via elettronica e trattarli rapidamente; le informazioni di contatto devono indicare le lingue utilizzabili e includere almeno una lingua ufficiale dello Stato membro di stabilimento o del rappresentante legale.

Giurisdizione e rappresentante legale per i prestatori extra-UE

L’articolo 16 stabilisce che, ai fini degli articoli 5, 18 e 21, è competente lo Stato membro in cui il prestatore ha lo stabilimento principale. Se il prestatore non ha stabilimento principale nell’Unione, la competenza spetta allo Stato membro in cui risiede o è stabilito il rappresentante legale.

Se il prestatore extra-UE non designa un rappresentante legale, tutti gli Stati membri sono competenti. L’articolo 17 impone ai prestatori privi di stabilimento principale nell’Unione di designare per iscritto un rappresentante legale nell’Unione, cui conferire poteri e risorse adeguati per ricevere, attuare ed eseguire ordini e decisioni. Il rappresentante legale può essere ritenuto responsabile per le violazioni del regolamento, senza escludere la responsabilità del prestatore.

Sanzioni

L’articolo 18 obbliga gli Stati membri a prevedere sanzioni per le violazioni del regolamento, limitatamente agli articoli e paragrafi ivi specificati, tra cui gli obblighi in materia di ordini di rimozione, misure specifiche, conservazione, trasparenza, cooperazione, punti di contatto e rappresentante legale.

Le sanzioni devono essere effettive, proporzionate e dissuasive. Nell’individuazione della sanzione occorre valutare:

• natura, gravità e durata della violazione;
• dolo o colpa;
• precedenti;
• solidità finanziaria;
• livello di cooperazione;
• dimensioni del prestatore, con particolare attenzione a micro, piccole e medie imprese;
• grado di colpa alla luce delle misure tecniche e organizzative adottate.

Per la inosservanza sistematica o persistente dell’obbligo di rimozione entro un’ora, le sanzioni pecuniarie possono arrivare fino al 4% del fatturato mondiale del precedente esercizio finanziario.

Atti delegati, monitoraggio, relazione e valutazione

Gli articoli 19 e 20 attribuiscono alla Commissione il potere di adottare atti delegati per integrare i requisiti tecnici degli strumenti elettronici usati per trasmettere gli ordini di rimozione e per modificare gli allegati. La delega è conferita per un periodo indeterminato dal 7 giugno 2022 ed è revocabile dal Parlamento europeo o dal Consiglio.

Gli articoli 21, 22 e 23 prevedono un sistema di monitoraggio e valutazione. Gli Stati membri devono trasmettere ogni anno alla Commissione, entro il 31 marzo, informazioni sulle misure adottate nell’anno precedente. La Commissione deve presentare una relazione sull’applicazione entro il 7 giugno 2023 e procedere a una valutazione entro il 7 giugno 2024, anche sull’efficacia delle salvaguardie e sull’impatto sui diritti fondamentali. È altresì prevista la valutazione della necessità e fattibilità di una piattaforma europea sui contenuti terroristici online.

Entrata in vigore e applicazione

L’articolo 24 prevede che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma si applichi solo dal 7 giugno 2022. Trattandosi di regolamento, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.