Servicii digitale cu algoritmi transparenți, concurență sănătoasă - ce promit cele două regulamente europene noi DSA si DMA

Mulțumim pentru contribuțiile sale la acest articol lui Cezar, intern ApTI.

În toamna anului 2022, Parlamentul și Consiliul European au adoptat două regulamente care își propun să creeze un ecosistem online mai sigur, mai neintruziv și o piață de aplicații software echilibrată. Ambele regulamente au intrat deja în vigoare, iar presa din Europa a descris cu mult optimism efectele pe care le vor produce.

ApTI subliniază importanța celor două regulamente - Digital Services Act și Digital Markets Act - și pornește un proiect de urmărire a implementării acestora. Urmărim atât acțiunile instituțiilor statelor membre ale Uniunii Europene, cât și acțiunile companiilor mari de tech. Ne propunem să cartografiem reacțiile și efectele pe care DSA și DMA le vor avea asupra Internetului și drepturilor digitale.

Denumirile în Română a celor două regulamente sunt Regulamentul pentru Piețele Digitale (Digital Market Act), respectiv Regulamentul pentru Serviciile Digitale (Digital Service Act). În continuare, ne vom referi la ele folosind acronimele numelor în limba engleză (DSA și DMA), acestea fiind acronimele pe care le veți găsi cel mai des folosite în presă și în articolele de specialitate.

Cele două regulamente au fost concepute pentru a adresa două probleme de pe agenda europeană: limitarea monopolurilor de facto ale marilor întreprinderi care controlează accesul la unele servicii din piețele de servicii digitale și armonizarea legislațiilor naționale în ceea ce privește conținutul platformelor online, inclusiv reglementarea lor centralizată în cazul marilor actori.

Digital Markets Act

Digital Markets Act (DMA) vizează în principal activitatea marilor companii care oferă servicii digitale. Regulamentul definește termenul de controlori de acces (gatekeepers) și îl folosește pentru a se referi la companii mari, care oferă servicii digitale unui număr atât de mare de utilizatori, încât ele pot restrânge accesul la piață unor produse competitoare. Între acești gatekeepers se vor număra:

• platforme de media socială (Facebook, Twitter, Instagram, etc.);
• motoarele de căutare (Google, Bing, etc.);
• furnizori importanți de servicii digitale (Microsoft, Apple, etc.).

O parte din prevederile regulamentul DMA relevate pentru utilizatorii finali sunt:

1. Interzicerea utilizării datelor colectate de platforme prin servicii subsidiare. Spre exemplu, Facebook nu ar putea utiliza datele colectate de aplicația WhatsApp pentru a informa propriul algoritm de livrare de conținut personalizat pe Facebook.
2. Asigurarea dreptului de a instala și a îndepărta software după bunul plac utilizatorilor de dispozitive digitale. Spre exemplu, proprietarul unui smartphone Android ar putea dezinstala Google Play și alte aplicații preinstalate pe dispozitiv. Utilizatorul unui smartphone iPhone ar putea instala aplicații din afara App Store-ului Apple. 
3. Interzicerea acordării de tratament preferențial propriilor servicii în servirea de conținut. Spre exemplu, Google nu ar putea să-și promoveze propriile servicii în detrimentul altor alternative în rezultatele de căutare. 

O prevedere importantă a regulamentului este obligația companiilor gatekeeper care oferă servicii de a interopera cu alte produse similare, ale altor companii. În alte cuvinte, o aplicație precum WhatsApp trebuie să interopereze cu alte aplicații de instant messaging - să permită trimiterea și primirea de mesaje, fișiere etc. Această interoperare trebuie să fie cerută explicit de o altă companie care oferă un serviciu similar.  Companiile care nu sunt desemnate gatekeepers nu sunt obligate să-și modifice aplicațiile de instant messaging pentru a interopera cu alte produse similare.

Regulamentul DMA spune că această interoperabilitate se va implementa fără a sacrifice garanțiile de securitate și de confidențialitate - în alte cuvinte, fără a afecta funcționarea end-to-end encryption. Utilizatorii serviciilor de instant messaging pot să aleagă să folosească, sau nu, această funcționalitate, de a trimite mesaje dintr-o aplicație către alta.

Deși ideea sună bine, în practică s-ar putea să ridice probleme mai complexe decât cele pe care vrea să le rezolve. ApTI, precum și alte organizații de drepturi digitale, urmăresc discuțiile și propunerile de implementare din acest spațiu. Una dintre aplicațiile care oferă end-to-end encryption și pe care noi o recomandăm și o folosim - Signal - nu va fi afectată de această obligație. Însă WhatsApp, un produs Meta, va fi afectată. WhatsApp folosește același algoritm de end-to-end encryption pe care-l folosește Signal și ne dorim ca garanțiile de securitatea pe care le oferă să rămână intacte, chiar și în condițiile unei interconectări.

DMA va începe să se aplice din primăvara anului 2023. Prima sarcină a Comisiei Europene va fi să decidă cine sunt controlorii de acces până pe 6 septembrie 2023. Aceștia se vor conforma noului regulament până pe 6 martie 2024.

Comisia Europeană este cea care va pune în aplicare regulamentul DMA. În cazul în care un gatekeeper nu se supune regulamentului DMA, poate primi amenzi de până la 10% din cifra de afaceri anuală sau 20% în cazul unor încălcări repetate. Comisia poate impune penalități suplimentare.

Digital Services Act

Digital Services Act (DSA) propune un set de obligații, standardizate și aplicate individual în toate statele membre UE, pentru furnizorii de servicii digitale.

Printre furnizorii de servicii digitale vizați de DSA se numără:

• servicii intermediare (furnizori de servicii de Internet, furnizori de nume de domeniu);
• platforme de comerț online (Emag, OLX etc.);
• furnizori de servicii de găzduire (Amazon Web Services, Google Cloud etc.);
• platforme de media socială (Facebook, Twitter, TikTok etc.).

Odată cu adoptarea DSA, furnizorii de servicii digitale vor fi responsabili pentru conținutul pe care îl găzduiesc, în anumite condiții specificate mai detaliat decât reglementarea precedentă ( directiva e-commerce implementată în legislația națională prin Legea 365/2022).

Noul regulament reprezintă un instrument legal mai puternic pentru tragerea la răspundere a furnizorilor de servicii digitale pentru găzduirea de conținut considerat ilegal. Mai mult, furnizorii de servicii digitale vor avea noi obligații față de utilizatorii lor, obligații menite să încurajeze transparența activității lor și responsabilitatea de consecințele acesteia, atât pentru proprii utilizatori, cât și pentru marea comunitatea digitală europeană din care fac parte.

DSA diferențiază între platformele online foarte mari (very large online platforms - VLOP) și platformele online mai mici, cele dintâi fiind supuse unor obligații adiționale. Încadrarea unei companii în grupul de VLOP se face în primul rând în baza mărimii companiei. Sunt luate în considerare și tipul de serviciu pe care îl oferă și numărul de utilizatori pe care-i are în UE.

Concret, un VLOP are:

• peste 45 de milioane de destinatari activi ai serviciilor în UE;
• mai mult de 50 de angajați;
• sau o cifră de afaceri anuală mai mare de 10 milioane de euro.

Fiecare întreprindere trebuie să definească termenul de destinatar activ al serviciilor sale în Uniunea Europeană.

DSA introduce noi obligații pentru acei furnizori care primesc eticheta de VLOP, printre care:

• obligația de a detalia cum funcționează algoritmii folosiți de platformă (pentru ranking-ul produselor, pentru ordonare timeline-ului etc.)
• obligația de a publica registre cu publicitatea online pe care o arată utilizatorilor, cu informații precum care este produsul căruia i se face publicitate, care e entitatea care face publicitatea și cine a plătit publicitatea;
• obligația de a crea un mecanism pentru introducerea plângerilor și exercitarea căilor de atac și soluționarea extrajudiciară a litigiilor.

De asemenea, DSA interzice platformelor considerate VLOP să arate reclame personalizate copiilor. Datele sensibile, din categorii speciale conform GDPR, nu pot fi folosite pentru a livra reclame personalizate, nici măcar adulților.

DSA introduce o nouă instituție care trebuie să fie înființată sau desemnată în fiecare stat membru UE, numită coordonator de servicii digitale (digital service coordinator - DSC). Aceasta va fi responsabilă de investigarea sau limitarea conținutului ilegal și tragerea la răspundere a furnizorilor de servicii digitale pentru găzduirea de conținut ilegal și nerespectarea noilor obligații stipulate de regulament.

Aceste măsuri pot fi inițiate de DSC la sesizarea altor instituții publice sau organizații private cu statutul de notificator de încredere (trusted flagger). Sarcina principală a notificatorilor de încredere este de a atrage atenția furnizorilor de servicii digitale cu privire la prezența de conținut ilegal pe platformele lor. Conform art. 22(3) al DSA, notificatorii de încredere sunt obligați să raporteze anual toate notificările înaintate furnizorilor de servicii digitale și măsurile luate ulterior de platforme în baza acestora. Notificatorii de încredere sunt desemnați de către DSC. O entitate poate aplica pentru acest statut, însă numirea sa notificator de încredere rămâne la latitudinea DSC, această instituție fiind capabilă și de revocarea acestui statut sub anumite condiții.

ApTI urmărește în mare trei aspecte cheie ale implementării regulamentului DSA, care poate sa afecteze drepturile digitale:

• Cine va fi coordonatorul de servicii digitale (DSC) în România și ce independentă reală va avea acesta?
• Cum vor fi nominalizați notificatorii de încredere și care va fi transparența acestora?
• Ce va fi considerat conținut ilegal și cine va decide acest lucru?

Instituția DSC, conform regulamentului DSA, trebuie să fie independentă politic și trebuie să aibă o expertiză pe măsura atribuțiilor sale. Vom detalia, în articole care urmează, care este analiza noastră legată de atribuțiile DSA și de instituțiile românești care ar putea îndeplini acest rol.

DSA a început să se aplice de pe 16 noiembrie 2022. Furnizorii de servicii online trebuie să-și facă cunoscute numerele de utilizatori finali activi până pe 17 Februarie 2023.

După aceea, Comisia Europeană va desemna întreprinderile de tip VLOP până pe 27 februarie 2023. Noul regulament se va aplica întâi acestora începând cu 27 mai 2023. Din 27 ianuarie 2024 noul regulament o să se aplice tuturor furnizorilor de servicii digitale. Până atunci, fiecare stat al uniunii va trebui să desemneze un DSC funcțional.