Regolamento (UE) 2024/2916

Modulo standard per la relazione sul trattamento dei dati personali ai sensi del regolamento (UE) 2021/1232

Il regolamento di esecuzione (UE) 2024/2916 della Commissione dà attuazione all’articolo 3, paragrafo 4, del regolamento (UE) 2021/1232, introducendo un modulo standard per la relazione sul trattamento dei dati personali che i fornitori di servizi devono pubblicare e trasmettere all’autorità di controllo competente e alla Commissione. Il considerando evidenzia l’esigenza di migliorare la comunicazione delle informazioni e di garantire una raccolta uniforme dei dati.

Ambito soggettivo e funzione del modulo

L’obbligo riguarda i fornitori di servizi di comunicazione interpersonale indipendenti dal numero, nell’ambito degli adempimenti informativi previsti dal regolamento (UE) 2021/1232, relativo alla deroga temporanea a talune disposizioni della direttiva 2002/58/CE per l’uso di tecnologie finalizzate alla lotta contro gli abusi sessuali online sui minori. Il presente atto non disciplina in via autonoma il trattamento, ma standardizza il contenuto della rendicontazione.

Contenuto della relazione: struttura generale

Il modulo allegato organizza i dati da comunicare in categorie numerate e impone di fornire informazioni molto dettagliate su:

• tipo e volume dei dati trattati;
• base giuridica del trattamento ai sensi del regolamento (UE) 2016/679;
• eventuali trasferimenti di dati personali al di fuori dell’Unione;
• numero di casi identificati di abusi sessuali online sui minori;
• reclami, ricorsi e relativi esiti;
• numero e tasso di errori delle tecnologie di rilevamento;
• misure adottate per contenere i falsi positivi;
• politiche di conservazione e garanzie di protezione dei dati;
• soggetti terzi con cui i dati sono condivisi.

Dati trattati e basi giuridiche

La relazione deve descrivere separatamente i metadati relativi agli utenti e i dati relativi al contenuto dello scambio online. Per i contenuti, il modulo richiede la distinzione tra immagini, video, altri file e testo, con indicazione del volume trattato e, ove richiesto, della ripartizione tra utenti dell’UE ed extra UE. Deve inoltre essere indicato il motivo specifico del trattamento ai sensi del GDPR; quando la base invocata è l’articolo 6, paragrafo 1, lettera c) o e), occorre precisare l’atto dell’Unione o nazionale su cui si fonda la base giuridica ai sensi dell’articolo 6, paragrafo 3, GDPR.

Trasferimenti di dati al di fuori dell’Unione

Il modulo richiede di indicare, ove applicabile, le basi giuridiche del capo V del GDPR che sorreggono i trasferimenti di dati personali al di fuori dell’Unione. Devono essere specificati i casi in cui il trasferimento è avvenuto, lo scopo del trasferimento e la relativa base giuridica applicata.

Individuazione degli abusi sessuali online sui minori

Una parte centrale della relazione concerne il numero di casi identificati di abusi sessuali online sui minori. Il modulo distingue tra:

• materiale pedopornografico noto, cioè materiale confermato come tale;
• possibile materiale pedopornografico nuovo, distinto da quello noto;
• adescamento di minori.

Per ciascuna categoria, il modulo richiede dati quantitativi su segnalazioni, immagini, video, altri file, conti utente segnalati come mittenti o destinatari, e, per l’adescamento, sui conti utente segnalati come fonte. È inoltre richiesta la distinzione tra utenti dell’UE e, in alcuni punti, utenti extra UE.

Reclami, ricorsi e riesami

Il modulo impone di riportare il numero di casi in cui un utente ha presentato un reclamo tramite meccanismo interno di ricorso o dinanzi all’autorità giudiziaria, con indicazione degli esiti. Per ciascuna categoria (materiale pedopornografico noto, nuovo e adescamento) devono essere indicati:

• contenuti rimossi e successivamente ripristinati;
• conti utente sospesi e poi ripristinati;
• numero di reclami interni o giudiziari;
• motivi dei reclami, se disponibili;
• tempi medi per decidere sul ripristino o per dare esecuzione alla decisione dell’autorità giudiziaria.

Tasso di errore delle tecnologie di rilevamento

Il regolamento dedica un’intera sezione al numero e al tasso di errori delle tecnologie utilizzate. Il tasso di errore è definito come il rapporto tra gli elementi di contenuto automaticamente contrassegnati come abusi sessuali online sui minori e quelli che, dopo verifica umana, non risultano tali, rapportato al totale degli elementi automaticamente segnalati. Per ciascuna tecnologia e per ciascuna categoria (materiale noto, materiale nuovo, adescamento) devono essere indicati:

• numero di elementi o conti automaticamente contrassegnati;
• numero di falsi positivi;
• tasso di errore percentuale;
• numero di elementi o conti sottoposti a verifica umana;
• altre constatazioni rilevanti.

Misure per limitare i falsi positivi

Il modulo richiede di descrivere nel dettaglio le misure adottate per limitare il tasso di errore. Tra queste figurano, per il materiale pedopornografico noto, controlli sulla qualità degli hash, vaglio prima dell’inserimento nelle banche dati, verifica umana sistematica o a campione, formazione degli addetti alla verifica, controlli periodici sulla qualità delle decisioni, riscontri di NCMEC o di altre organizzazioni di interesse pubblico, feedback delle autorità di contrasto e riscontri sugli esiti dei reclami.

Per il materiale pedopornografico nuovo e per l’adescamento, il modulo prevede misure analoghe, ma riferite ai classificatori di IA e alla tecnologia di rilevamento, oltre a meccanismi di verifica umana e monitoraggio continuo del risultato conseguito dopo l’introduzione delle misure.

Conservazione dei dati e garanzie di protezione

La relazione deve indicare le politiche di conservazione per gli elementi di contenuto individuati come abusi sessuali online sui minori, per i dati non relativi al contenuto connessi alle segnalazioni e per i dati relativi ai reclami e alle violazioni delle regole di condotta. Deve essere specificata la durata dei periodi di conservazione per ciascuna categoria.

Sul piano delle garanzie, il modulo richiede di descrivere:

• tecniche di deidentificazione, pseudonimizzazione e anonimizzazione;
• cifratura standard di settore per i dati in transito;
• strategie di governance dei dati e programmi di privacy;
• restrizioni di accesso e obblighi di riservatezza;
• procedure di riesame delle strategie di anonimizzazione e governance;
• piani di risposta agli incidenti di sicurezza;
• ulteriori misure tecniche e organizzative per la sicurezza dei dati.

Meccanismo interno di ricorso e accesso degli utenti

La relazione deve chiarire se il meccanismo interno di ricorso informa l’interessato dei fatti rilevanti, prevede una procedura di valutazione delle domande dell’utente, dispone di un canale di comunicazione dedicato, informa il soggetto del completamento della valutazione e trasmette informazioni supplementari ai destinatari indicati dal regolamento (UE) 2021/1232. Deve inoltre essere descritto il diritto di accesso degli utenti ai propri dati quando il conto sia sospeso o cancellato per materiale pedopornografico o adescamento.

Soggetti con cui i dati sono condivisi

L’ultima sezione del modulo richiede l’indicazione delle organizzazioni di interesse pubblico contro gli abusi sessuali sui minori con cui i dati sono stati condivisi. È espressamente menzionato il National Centre for Missing and Exploited Children (NCMEC) e, una volta istituito, il Centro dell’UE di prevenzione e lotta contro l’abuso sessuale su minori.

Entrata in vigore e applicabilità

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Come atto di esecuzione della Commissione, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.