...DA DUBLINO... Dopo l’annuncio del Ministero della Gioventù e dell’Infanzia di aprire un fascicolo per bloccare temporaneamente i servizi di TikTok in Spagna, dopo che è stata resa nota un’indagine di Maldita.es, l’Agenzia Spagnola per la Protezione dei Dati (AEPD) ha rimesso il caso alle autorità irlandesi. La decisione riporta sul tavolo una delle principali peculiarità del modello regolatorio europeo: la supervisione di gran parte delle grandi piattaforme digitali si concentra nel Paese in cui queste hanno stabilito la loro sede principale all’interno dell’Unione Europea, indipendentemente da dove si verifichino le eventuali infrazioni.
Avendo TikTok stabilito la sua sede europea a Dublino, la Commissione per la Protezione dei Dati dell’Irlanda (DPC, per le sue sigle in inglese) è l’autorità di controllo principale incaricata di vigilare sul rispetto della normativa europea in materia di protezione dei dati da parte della società. È quindi l’istituzione che deve istruire le azioni relative al trattamento di informazioni personali che possano derivare dalle denunce presentate in altri Stati membri.
Moncloa aveva persino valutato la possibilità di bloccare l’accesso a determinati link e contenuti specifici della piattaforma che potessero implicare un trattamento illecito dei dati dei minori. L’Esecutivo ha difeso che si tratterebbe di un intervento limitato e giustificato dalla gravità dei fatti. “Una misura concreta, proporzionata e adeguata, con pieno rispetto delle libertà di espressione”, hanno indicato fonti governative.
Tuttavia, l’Agenzia Spagnola per la Protezione dei Dati ha ricordato che le sue competenze non le consentono di disporre unilateralmente una restrizione generale all’accesso a una piattaforma la cui autorità principale di supervisione si trova in un altro Stato membro. “Spetta al Pubblico Ministero e agli organi giudiziari, che costituiscono anche la sede naturale per proporre e, se del caso, accordare giudizialmente, in via generale, la rimozione di contenuti penalmente illeciti e qualsiasi restrizione dell’accesso a un servizio”, aggiunge l’organismo spagnolo.
La distinzione risulta particolarmente rilevante in un momento in cui i governi nazionali cercano risposte più rapide ai rischi che le piattaforme digitali possono generare per gli utenti più giovani. La protezione dei minori, la rimozione dei contenuti illeciti e il trattamento dei dati personali sono ambiti collegati, ma sottoposti a strumenti giuridici e autorità di vigilanza differenti. Una circostanza che impone di coordinare le azioni nazionali e comunitarie prima di adottare misure che possano incidere sul funzionamento di questi servizi.
La finestra unica che conduce a Dublino
La normativa europea stabilisce un quadro armonizzato di protezione dei dati per tutto il blocco comunitario. La sua applicazione si articola, in buona parte, mediante il meccanismo della finestra unica, progettato per evitare che la stessa società debba rispondere dinanzi a procedure indipendenti e potenzialmente contraddittorie in ciascuno degli Stati membri in cui opera.
In questo modo, quando un’impresa svolge attività di trattamento dei dati in più paesi dell’Unione, l’autorità di protezione dei dati dello Stato in cui ha la sede principale assume la funzione di autorità di controllo principale. Questa istituzione coordina le indagini e le decisioni, pur dovendo mantenere una stretta cooperazione con le autorità nazionali interessate.
Nel caso di TikTok, l’Irlanda diventa così la porta d’ingresso istituzionale per buona parte dei reclami europei relativi alla protezione dei dati della piattaforma. Ciò non significa che le autorità spagnole restino completamente fuori gioco. L’AEPD può indagare questioni nell’ambito delle sue competenze, acquisire informazioni e trasmettere le sue conclusioni all’autorità irlandese, che dovrà coordinare la risposta con il resto degli organismi coinvolti.
Il sistema prevede inoltre meccanismi per risolvere divergenze tra le autorità nazionali. Se non esiste consenso su una proposta di risoluzione, il Comitato Europeo per la Protezione dei Dati (CEPD) può intervenire mediante una procedura di coerenza e adottare una decisione vincolante. L’obiettivo è impedire che l’applicazione di una stessa norma europea dipenda esclusivamente dal criterio dell’autorità del paese in cui una multinazionale ha deciso di stabilire la propria sede.
A questo quadro si aggiunge la Legge sui Servizi Digitali (DSA, per le sue iniziali in inglese), che introduce obblighi specifici per le piattaforme in materia di trasparenza, moderazione dei contenuti, gestione dei rischi e protezione degli utenti. La norma esige che gli intermediari dispongano di meccanismi per agire nei confronti di contenuti illeciti quando ne sono a conoscenza, in conformità con gli obblighi che spettano a ciascuna categoria di servizio.
Nel caso delle piattaforme di grandissima dimensione (VLOP, per le sue iniziali in inglese), come TikTok, la supervisione degli obblighi sistemici previsti dalla DSA spetta direttamente alla Commissione europea. Bruxelles dispone di competenze per indagare eventuali inadempienze, richiedere informazioni, ordinare misure correttive e imporre sanzioni quando opportuno. Per questo motivo, l’AEPD prevede di trasferire anche le informazioni raccolte all’istituzione comunitaria affinché possa agire nell’ambito delle sue competenze digitali.
Il caso evidenzia, pertanto, che una stessa controversia può attivare simultaneamente diversi livelli di supervisione europea: la protezione dei dati, la regolamentazione dei servizi digitali e, quando pertinente, l’intervento delle autorità giudiziarie nazionali.
Il rifugio europeo delle grandi tecnologiche
La particolarità dell’Irlanda non si comprende soltanto dal funzionamento della legislazione comunitaria. Da decenni, il Paese ha strutturato gran parte del proprio modello economico intorno all’attrazione di investimenti esteri e delle grandi multinazionali tecnologiche. Dublino è diventata uno dei principali centri tecnologici e fiscali d’Europa, con la presenza di compagnie come Google, Meta, Apple, TikTok o Microsoft, che hanno stabilito lì la propria sede europea o importanti centri operativi.
La strategia irlandese ha storicamente combinato una fiscalità aziendale competitiva con un contesto favorevole agli investimenti internazionali, una politica che ha consentito al Paese di attirare alcune delle maggiori compagnie al mondo. Il risultato è un’elevata concentrazione di attività economica, occupazione qualificata e operazioni societarie legate al settore tecnologico.
Questa posizione ha anche conseguenze regolatorie. La concentrazione delle sedi europee delle grandi piattaforme in Irlanda ha trasferito alle sue autorità una responsabilità di supervisione che supera ampiamente le dimensioni del suo mercato nazionale. La Commissione irlandese per la protezione dei dati deve gestire indagini che riguardano centinaia di milioni di utenti europei e alcune delle società con maggiore capacità economica e tecnologica al mondo.
Bruxelles ha mantenuto un dibattito ricorrente sui rischi che comporta questa concentrazione di competenze. Una supervisione eccessivamente lenta o un’applicazione poco rigorosa delle norme può generare differenze nel livello di protezione dei cittadini europei. Allo stesso tempo, le decisioni delle autorità nazionali possono avere ripercussioni economiche di ampia portata, soprattutto nei paesi in cui l’attività di queste multinazionali rappresenta una parte importante dell’occupazione, degli investimenti e delle entrate fiscali.
Per l’Irlanda, la presenza di queste società costituisce uno dei pilastri del suo modello economico. Un eventuale trasferimento delle sue operazioni in altri territori avrebbe conseguenze sull’occupazione, sulla riscossione tributaria e sul peso del settore tecnologico nel suo prodotto interno lordo. Questa dipendenza introduce una tensione istituzionale difficile da risolvere: il paese deve garantire il rispetto di una legislazione europea che può richiedere misure decisive contro alcune delle principali aziende insediate nel suo territorio, mantenendo al tempo stesso un modello economico strettamente legato alla sua presenza.
Un’autorità travolta dalle grandi piattaforme
A questa equazione si aggiunge un problema di capacità amministrativa. La concentrazione nella Commissione irlandese per la protezione dei dati di una parte sostanziale delle grandi indagini europee ha generato per anni critiche sulla disponibilità di risorse e sulla velocità dei procedimenti. Fonti dell’UE hanno messo in discussione in diverse occasioni i tempi delle indagini irlandesi, che possono protrarsi per anni prima di giungere a una risoluzione definitiva. Sono esistite anche discrepanze sulla proporzionalità delle sanzioni inizialmente proposte e sulla capacità delle autorità di imporre misure correttive con sufficiente rapidità.
La difficoltà non è esclusivamente tecnica. Le indagini contro le grandi piattaforme richiedono di analizzare volumi ingenti di informazioni, strutture aziendali complesse e trattamenti di dati che incidono simultaneamente su mercati diversi. Inoltre, le società dispongono di importanti team legali e regolatori per difendere le proprie posizioni durante i procedimenti amministrativi. La giurisprudenza e la pratica di vigilanza irlandesi hanno dato priorità, in determinati fascicoli, agli accordi di conformità e a procedure di indagine prolungate rispetto a interventi cautelari più immediati. Un approccio che in alcune occasioni si è scontrato con la posizione di altre autorità nazionali, tra cui quella spagnola, favorevoli a risposte più rapide a fronte di determinati rischi per i cittadini.
Il sistema europeo contempla tuttavia meccanismi per impedire che queste differenze finiscano per indebolire l’applicazione delle norme. Quando un’autorità nazionale presenta una proposta di risoluzione che altre istituzioni considerano insufficiente, il Comitato europeo per la protezione dei dati può intervenire per risolvere le divergenze e adottare decisioni vincolanti. Ciò consente, tra le altre cose, di esigere modifiche nelle risoluzioni e di adeguare le misure o le sanzioni previste quando non esiste accordo tra gli organismi coinvolti.
Il fascicolo su TikTok torna a mettere alla prova questo equilibrio tra la competenza nazionale, la vigilanza comunitaria e la capacità di reazione delle istituzioni europee. La Spagna chiede una risposta di fronte ai possibili rischi che riguardano i minori, ma la decisione su gran parte degli obblighi di protezione dei dati della piattaforma passa per un’autorità situata a oltre 1.500 chilometri da Madrid.
Da Dublino, dove si concentra una parte sostanziale del potere tecnologico europeo, la questione trascende ormai il caso specifico di TikTok. L’Unione Europea ha costruito un quadro normativo comune per controllare le grandi piattaforme, ma la sua applicazione continua a dipendere da un’architettura istituzionale in cui competenze e risorse non sono sempre distribuite in modo equilibrato. Ed è proprio quella distanza tra l’ambizione regolatoria di Bruxelles e la capacità effettiva delle sue autorità nazionali a tornare sotto esame.