Il DSA nel 2026 — Lettura rapida per gli operatori dell'e-commerce
Il Digital Services Act (Regolamento 2022/2065) è il quadro normativo orizzontale dell'UE per ogni intermediario online che si rivolge agli utenti europei — da un partner di hosting WooCommerce di nicchia fino ad Amazon Marketplace. È entrato in vigore il 16 novembre 2022, si è applicato alle VLOP designate dal 25 agosto 2023, ed è diventato pienamente applicabile a tutti gli intermediari il 17 febbraio 2024. Per i marketplace online, il punto operativo centrale è la verifica del commerciante secondo l'articolo 30 'Know Your Business Customer', il notice-and-action dell'articolo 16, il divieto dei dark pattern dell'articolo 25 e la trasparenza pubblicitaria dell'articolo 26. Per le VLOP si aggiungono la valutazione del rischio sistemico dell'articolo 34, l'audit indipendente dell'articolo 37, l'archivio degli annunci dell'articolo 39 e l'accesso ai dati per i ricercatori dell'articolo 40. Le sanzioni raggiungono il 6% del fatturato globale annuo; l'applicazione è condivisa tra i Coordinatori nazionali dei servizi digitali e la Commissione Europea, con il Comitato europeo per i servizi digitali che coordina i casi transfrontalieri.
Il DSA in sintesi — Dieci obblighi che i venditori online devono mappare
Il DSA è un unico regolamento, ma i suoi obblighi si accumulano a strati a seconda del ruolo che ricopri. Le schede sottostanti riassumono le dieci aree trattate in questa guida — tieni a portata di mano questa mappa mentre leggi ogni approfondimento.
Regolamento 2022/2065 — Panoramica del DSA
Regime orizzontale UE per gli intermediari · efficace dal 17 feb 2024 per tutti · OJEU L 277/1, 27.10.2022
VLOP e VLOSE — Articolo 33
Piattaforme sopra i 45M di utenti attivi medi mensili UE · designate dalla Commissione · finestra di adeguamento di 4 mesi
Trasparenza dei commercianti KYBC — Articolo 30
I marketplace verificano ragione sociale, IVA, numero di registro, indirizzo · pubblicazione prima dell'inserzione
Contenuti illegali e notice-and-action — Articoli 16–17
Meccanismo elettronico di segnalazione semplice · dichiarazione di motivazione · azione tempestiva e diligente
Dark pattern e trasparenza pubblicitaria — Articoli 25–28
Interfacce manipolative vietate · etichettatura degli annunci · nessun targeting basato su profilazione per i minori
Rischio, audit, sanzioni — Articoli 34, 37, 74
Valutazione annuale del rischio sistemico · audit indipendente · sanzioni fino al 6% del fatturato globale
Pronto ad allineare il tuo marketplace al DSA?
Il modulo di conformità UE di Zunapro include la verifica dei commercianti KYBC, la gestione delle segnalazioni ai sensi dell'articolo 16, i modelli di dichiarazione di motivazione e un esportatore di report di trasparenza — tutto integrato nel tuo stack di marketplace esistente.
1. Regolamento DSA 2022/2065 — In vigore dal 17 febbraio 2024 per tutti i venditori
Cos'è il DSA — e perché ha sostituito la direttiva sul commercio elettronico
Il Digital Services Act — formalmente il Regolamento (UE) 2022/2065 del 19 ottobre 2022, pubblicato nella GUUE L 277/1 del 27 ottobre 2022 — è entrato in vigore il 16 novembre 2022, si è applicato alle VLOP/VLOSE designate dal 25 agosto 2023, ed è diventato pienamente applicabile a tutti i servizi intermediari il 17 febbraio 2024. Essendo un regolamento (non una direttiva), si applica direttamente in ogni Stato membro senza necessità di recepimento. La logica dell'esenzione di responsabilità della direttiva sul commercio elettronico 2000/31/CE sopravvive negli articoli 4–6, ma il DSA aggiunge un insieme stratificato di obblighi di diligenza dovuta, calibrati in base al tipo e alle dimensioni del servizio.
Chi rientra nell'ambito di applicazione?
Qualsiasi servizio intermediario offerto a destinatari nell'Unione rientra nell'ambito di applicazione, indipendentemente da dove sia stabilito il fornitore (articolo 2, paragrafo 1). Il DSA definisce quattro categorie sovrapposte: servizi intermediari (semplice trasporto, memorizzazione temporanea, hosting), servizi di hosting (memorizzazione su richiesta dell'utente), piattaforme online (hosting + diffusione pubblica — ogni marketplace, social network, app store), e VLOP/VLOSE designate dalla Commissione sopra la soglia dei 45 milioni di utenti mensili UE (articolo 33).
Il modello di obbligo stratificato
Ogni livello aggiunge doveri sopra il precedente. Un piccolo marketplace di plugin WordPress che serve 10.000 utenti UE rientra nell'esenzione PMI dell'articolo 19; Amazon Marketplace, una VLOP designata, si trova al vertice con l'intero insieme di obblighi. Gli intermediari extra-UE devono inoltre designare un rappresentante legale in uno Stato membro ai sensi dell'articolo 13 del DSA — responsabile in solido con il fornitore per le decisioni, le sanzioni e le richieste di informazioni ai sensi del DSA.
💡 Leggi la guida completa alla mappatura dell'ambito DSA
Albero decisionale per PMI vs piattaforma vs VLOP, regole sul paese di stabilimento, modelli di rappresentante legale e un questionario di autoclassificazione.
2. Piattaforme online di dimensioni molto grandi (VLOP) — la soglia dei 45M+ utenti
Cosa rende una piattaforma "molto grande"?
L'articolo 33 del DSA definisce una VLOP come una piattaforma online con almeno 45 milioni di destinatari attivi medi mensili nell'Unione, calcolati come media semestrale. La stessa soglia si applica alle VLOSE. Il concetto di "destinatario attivo" copre qualsiasi individuo che abbia interagito con il servizio almeno una volta — inclusi i visitatori non registrati. L'articolo 24, paragrafo 2, richiede a ogni piattaforma online di pubblicare i dati sui destinatari attivi ogni sei mesi, fornendo alla Commissione i dati necessari per la designazione.
Le prime ondate di designazione
La Commissione ha pubblicato il primo elenco di VLOP/VLOSE il 25 aprile 2023, designando 17 VLOP e 2 VLOSE. Le designazioni rilevanti per l'e-commerce includono Amazon Store, AliExpress, Booking.com, Zalando, Google Shopping, Apple App Store, Google Play, e l'ondata del 2024 ha aggiunto Shein e Temu — entrambe sotto indagine formale del DSA nel 2025–2026. L'elenco totale ha superato i 25+ servizi a metà 2026. Ogni nuova designazione concede alla piattaforma una finestra di adeguamento di quattro mesi per conformarsi all'intero insieme di obblighi VLOP.
Obblighi rafforzati per le VLOP
Le VLOP affrontano un insieme di obblighi rafforzato, che si aggiunge ai doveri generali delle piattaforme online:
- Articolo 34 — valutazione annuale del rischio sistemico (contenuti illegali, diritti fondamentali, dibattito civico, salute pubblica e minori)
- Articolo 35 — misure di mitigazione proporzionate, efficaci e ragionevoli
- Articolo 36 — meccanismo di risposta alle crisi (l'invasione russa dell'Ucraina ha attivato il primo protocollo di crisi)
- Articolo 37 — audit annuale indipendente da parte di un'organizzazione esterna
- Articolo 38 — opzione per gli utenti di disattivare la profilazione del sistema di raccomandazione
- Articolo 39 — archivio pubblico e leggibile da macchina degli annunci per almeno 12 mesi
- Articolo 40 — accesso ai dati per ricercatori verificati e Coordinatori dei servizi digitali
- Articolo 41 — funzione di conformità indipendente che riferisce all'organo di gestione
- Articolo 42 — rendicontazione della trasparenza estesa ogni sei mesi
- Articolo 43 — tassa di vigilanza versata alla Commissione (limitata allo 0,05% del reddito netto annuo)
Punto critico per i marketplace in rapida crescita: se superi i 45 milioni di utenti attivi mensili UE, la Commissione può designarti entro pochi mesi. Costruire l'insieme di controlli VLOP prima della designazione — report di trasparenza, archivio degli annunci, opt-out dal sistema di raccomandazione — è molto più economico che adeguarsi retroattivamente entro una scadenza di quattro mesi. Valutazione della prontezza pre-VLOP →
3. Trasparenza dei commercianti — KYBC per i marketplace online
Articolo 30 — Il cuore della conformità DSA per i marketplace
L'articolo 30 del DSA introduce ciò che gli operatori chiamano KYBC — Know Your Business Customer. Ogni piattaforma online che consente ai consumatori di concludere contratti a distanza con i commercianti deve ottenere, verificare e pubblicare le informazioni essenziali sul commerciante prima di consentirgli di offrire prodotti. È il marketplace, non il commerciante, a portare l'obbligo. L'insieme chiuso di dati include nome, indirizzo, telefono, email del commerciante; una copia del documento di identità o dell'identità elettronica ai sensi del Regolamento eIDAS 910/2014; i dati del conto di pagamento; l'iscrizione al registro delle imprese (HRB in Germania, CCI in Francia, KRS in Polonia); e un'autocertificazione di conformità alla sicurezza dei prodotti/protezione dei consumatori.
Verifica con la "massima diligenza"
L'articolo 30, paragrafo 2, richiede la verifica con la "massima diligenza" rispetto a qualsiasi banca dati ufficiale online liberamente accessibile. Le due che la Commissione si aspetta che ogni marketplace europeo consulti sono il VIES — Sistema di scambio di informazioni sull'IVA (validazione IVA UE in tempo reale) e i registri nazionali delle imprese (Handelsregister in Germania, Registre du Commerce in Francia, KRS in Polonia, Registro Mercantil in Spagna, Registro Imprese in Italia) raggiungibili direttamente o tramite il Sistema di interconnessione dei registri delle imprese dell'UE (BRIS). Se i dati non possono essere verificati, il marketplace deve richiedere una correzione; se il commerciante non si adegua, il marketplace deve sospendere i servizi (articolo 30, paragrafo 3). I dati verificati devono essere pubblicati in una pagina "profilo del commerciante" raggiungibile da ogni inserzione di prodotto (articolo 30, paragrafo 7).
Campionamento casuale per il rilevamento di contraffazioni — Articolo 31
L'articolo 31 del DSA aggiunge che i marketplace devono, a intervalli casuali, verificare se le inserzioni sono state segnalate in banche dati ufficiali leggibili da macchina — soprattutto il sistema di allerta rapida Safety Gate della Commissione per i prodotti non alimentari pericolosi e le banche dati nazionali di applicazione dei diritti di proprietà intellettuale. Le corrispondenze devono essere rimosse e il commerciante deve essere notificato.
📘 Leggi la guida completa all'implementazione del KYBC
Moduli di raccolta dati dell'articolo 30, schemi di integrazione VIES + BRIS, flussi di sospensione, modelli di pagina profilo del commerciante e progettazione del cron per il Safety Gate dell'articolo 31.
4. Procedure di rimozione dei contenuti illegali
L'esenzione di responsabilità sopravvive — con condizioni
Gli articoli 4–6 del DSA riproducono l'esenzione di responsabilità della direttiva sul commercio elettronico: i fornitori di hosting non sono responsabili dei contenuti memorizzati, a condizione che non abbiano conoscenza effettiva dell'attività illegale e che, su segnalazione, agiscano prontamente per rimuovere o disabilitare l'accesso. Il DSA aggiunge un quadro procedurale sopra questa esenzione.
Contenuto "manifestamente illegale" vs casi complessi
Il considerando 53 distingue il contenuto manifestamente illegale (contenuti terroristici ai sensi del Regolamento 2021/784, materiale di abuso sessuale su minori, contraffazioni evidenti, illegalità accertata da un tribunale) — con aspettativa di rimozione entro poche ore; il Regolamento TCO impone 1 ora dall'ordine di un'autorità — dai casi complessi o contestati (presunta violazione del copyright, diffamazione, discorso d'odio contestuale) che richiedono una revisione umana diligente.
Ordini delle autorità — Articoli 9 e 10
Le autorità nazionali possono emettere due tipi di ordini: ordini di agire ai sensi dell'articolo 9 contro contenuti illegali (devono specificare la base giuridica, l'URL esatto, l'ambito territoriale motivato, le informazioni sui ricorsi) e ordini di fornire informazioni ai sensi dell'articolo 10 su destinatari specifici. L'intermediario deve rispondere senza indebito ritardo e informare l'autorità emittente dell'azione intrapresa. Gli ordini transfrontalieri vengono notificati tramite la rete dei DSC.
Segnalatori attendibili — Articolo 22
I DSC nazionali conferiscono lo status di segnalatore attendibile a organizzazioni con comprovata competenza (INHOPE per il materiale di abuso sessuale su minori, REACT per le violazioni della proprietà intellettuale, gli organismi nazionali di tutela dei consumatori per i prodotti non sicuri). Le loro segnalazioni devono essere trattate con priorità e senza indebito ritardo (articolo 22, paragrafo 1). I marketplace che non gestiscono costantemente le segnalazioni dei segnalatori attendibili affrontano un controllo DSC intensificato.
5. Meccanismi di notice-and-action
Articolo 16 — Il motore operativo
L'articolo 16 del DSA richiede a ogni fornitore di hosting di gestire meccanismi elettronici facili da usare e accessibili che consentano a chiunque di segnalare elementi specifici di contenuto presumibilmente illegale. Una segnalazione conforme deve contenere una spiegazione motivata del perché il contenuto è illegale, gli URL esatti, il nome e l'email del segnalante (con limitate eccezioni per il materiale di abuso sessuale su minori), e una dichiarazione in buona fede sull'accuratezza. Il fornitore deve confermare la ricezione senza indebito ritardo, prendere una decisione tempestiva, diligente, non arbitraria e oggettiva, e comunicare se la decisione è stata automatizzata (articolo 16, paragrafo 6).
Dichiarazione di motivazione — Articolo 17
Quando un fornitore limita la visibilità, demonetizza, sospende o termina un elemento o account di un utente, l'articolo 17 richiede una dichiarazione di motivazione chiara e specifica che copra: la natura della restrizione; i fatti e le circostanze su cui si basa; il fondamento giuridico o la clausola dei termini di servizio invocata; e le possibilità di ricorso (reclamo interno ai sensi dell'articolo 20, risoluzione extragiudiziale ai sensi dell'articolo 21, controllo giurisdizionale). Ogni dichiarazione deve inoltre essere inviata alla banca dati di trasparenza del DSA gestita dalla Commissione — un archivio pubblicamente consultabile che ha registrato oltre 30 miliardi di dichiarazioni di motivazione entro metà 2026.
Reclamo interno e risoluzione extragiudiziale
L'articolo 20 richiede alle piattaforme online di mantenere un sistema di gestione dei reclami interno gratuito e facilmente accessibile per almeno sei mesi dopo la decisione, adottata sotto supervisione umana. L'articolo 21 apre quindi la strada a organismi certificati di risoluzione extragiudiziale delle controversie; la piattaforma deve impegnarsi in buona fede.
📨 Leggi la guida completa al notice-and-action
Schema del modulo web dell'articolo 16, triage automatizzato con le corsie prioritarie dell'articolo 22, modelli di dichiarazione di motivazione dell'articolo 17 e schemi API per l'invio alla banca dati di trasparenza.
6. Dark pattern vietati — Articolo 25
Cosa vieta l'articolo 25
Articolo 25 del DSA: "I fornitori di piattaforme online non progettano, organizzano o gestiscono le loro interfacce online in un modo che inganni o manipoli i destinatari del loro servizio o che comunque distorca o comprometta materialmente la capacità dei destinatari del loro servizio di prendere decisioni libere e informate." È il primo divieto orizzontale e codificato dell'UE sui dark pattern. Esempi concreti dal considerando 67: grandi pulsanti "Accetta tutto" abbinati a minuscoli link "Rifiuta", richieste ripetute e insistenti sulla disiscrizione, flussi asimmetrici tra annullamento e registrazione, opzioni predefinite pre-selezionate, timer di conto alla rovescia falsi e vergogna da conferma.
Sovrapposizione con UCPD e GDPR
L'articolo 25, paragrafo 2, si applica fatta salva la direttiva sulle pratiche commerciali sleali 2005/29/CE (UCPD) e il GDPR. Lo stesso dark pattern può innescare tre azioni parallele: DSC ai sensi del DSA, autorità nazionale di tutela dei consumatori ai sensi dell'UCPD, e autorità di protezione dei dati ai sensi dell'articolo 7 del GDPR per i pattern relativi al consenso. Le Linee guida EDPB 03/2022 sul design ingannevole rimangono il testo di riferimento per la sovrapposizione in materia di protezione dei dati.
Cosa dovrebbero verificare per prime le piattaforme di marketplace
- Banner dei cookie — opt-in/opt-out simmetrici, nessuna preselezione
- Flusso di annullamento — stesso numero di clic della registrazione
- Upsell del marketplace — nessun timer falso, nessuna affermazione non verificabile del tipo "X persone stanno guardando"
- Resi e rimborsi — stessa evidenza della conferma dell'ordine
- Chiusura dell'account — raggiungibile nelle impostazioni senza labirinti telefonici o chatbot
7. Trasparenza della pubblicità online — Articoli 26 e 39
Articolo 26 — L'obbligo universale di etichettatura degli annunci
L'articolo 26 del DSA richiede a ogni piattaforma online di garantire che, per ogni annuncio, il destinatario possa identificare in modo chiaro, conciso e inequivocabile: (a) che l'informazione è un annuncio pubblicitario (etichetta prominente, opzionalmente standardizzata da un atto della Commissione); (b) la persona fisica o giuridica per conto della quale viene mostrato l'annuncio; (c) la persona che ha pagato per l'annuncio se diversa; (d) informazioni significative sui principali parametri utilizzati per targettizzare il destinatario e come questi possano essere modificati. Il considerando 68 chiarisce che le etichette devono rimanere visibili in ogni visualizzazione — nessuna etichetta "sponsorizzato" nascosta e rivelata solo dopo un clic.
Articolo 28 — Protezione dei minori
L'articolo 28, paragrafo 2, del DSA vieta ai fornitori di mostrare annunci basati sulla profilazione (articolo 4, paragrafo 4, del GDPR) quando sono consapevoli, con ragionevole certezza, che il destinatario è un minore. I marketplace con account soggetti a controllo dell'età (giocattoli, materiale scolastico, giochi) necessitano di una regola tecnica chiara che disabiliti la profilazione per gli account under-18.
Articolo 26, paragrafo 3 — Nessuna profilazione su dati di categoria speciale
L'articolo 26, paragrafo 3, vieta gli annunci basati sulla profilazione che utilizzano dati di categoria speciale ai sensi dell'articolo 9, paragrafo 1, del GDPR (razza, opinioni politiche, religione, salute, vita sessuale, orientamento sessuale, dati biometrici, appartenenza sindacale). Si applica a tutte le piattaforme online, non solo alle VLOP.
Articolo 39 — Archivio degli annunci per le VLOP
L'articolo 39 del DSA richiede a ogni VLOP di mantenere un archivio pubblico, ricercabile e leggibile da macchina degli annunci, che copra l'intero periodo di visualizzazione e fino a un anno dopo l'ultima visualizzazione dell'annuncio — contenuto dell'annuncio, identità dell'inserzionista, periodo di visualizzazione, portata totale per Stato membro e parametri di targeting, con accesso API per i ricercatori. La constatazione preliminare della Commissione su X (Twitter) del luglio 2024 ha esplicitamente citato le carenze dell'archivio degli annunci ai sensi dell'articolo 39. Per i marketplace con prodotti di inserzioni sponsorizzate native, l'archivio dell'articolo 39 è l'elemento più visibile dell'infrastruttura VLOP.
8. Requisiti di valutazione del rischio per le VLOP
Articolo 34 — Le quattro categorie di rischio
L'articolo 34 del DSA obbliga ogni VLOP/VLOSE a identificare, analizzare e valutare diligentemente i rischi sistemici derivanti dalla progettazione e dal funzionamento del proprio servizio, almeno annualmente e prima di implementare funzionalità che possano avere un impatto critico. Sono obbligatorie quattro categorie: (a) diffusione di contenuti illegali; (b) effetti sui diritti fondamentali (dignità, privacy, protezione dei dati, libertà di espressione, non discriminazione, diritti dei minori, tutela dei consumatori); (c) effetti sul dibattito civico, sui processi elettorali e sulla sicurezza pubblica; (d) effetti sulla violenza di genere, sulla salute pubblica, sui minori e sul benessere fisico/mentale.
Misure di mitigazione — Articolo 35
L'articolo 35 richiede misure di mitigazione ragionevoli, proporzionate ed efficaci, calibrate sui rischi identificati — adattamento dei sistemi di raccomandazione, demonetizzazione di categorie di contenuto, restrizione del targeting pubblicitario, rafforzamento della moderazione, approfondimento della cooperazione con i segnalatori attendibili. Il piano di mitigazione deve essere documentato, riesaminato annualmente e condiviso con la Commissione e il DSC di stabilimento.
Audit indipendente — Articolo 37
L'articolo 37 richiede a ogni VLOP/VLOSE di sottoporsi, a proprie spese e almeno annualmente, ad audit indipendenti della conformità al capo III e degli impegni relativi ai codici di condotta (articoli 45–47). Il revisore deve essere privo di conflitti di interesse (nessun lavoro di consulenza sullo stesso ambito nei 12 mesi precedenti) e produrre un parere di audit — positivo, positivo con osservazioni, o negativo. Qualsiasi parere diverso da un positivo pulito comporta un rapporto di attuazione dell'audit che indica le misure correttive.
Risposta alle crisi — Articolo 36
La Commissione può, su raccomandazione del Comitato, richiedere alle VLOP di applicare misure specifiche di risposta alle crisi durante una circostanza straordinaria che minacci la sicurezza pubblica o la salute pubblica dell'UE. Il primo protocollo di crisi è stato attivato dopo l'invasione russa dell'Ucraina nel 2022; il conflitto tra Israele e Hamas dell'ottobre 2023 ha innescato lettere della Commissione a diverse VLOP che invocavano gli articoli 34–36.
9. Sanzioni fino al 6% del fatturato globale
Il quadro sanzionatorio — Articolo 74
L'articolo 74 del DSA conferisce agli Stati membri — e alla Commissione per le VLOP — il potere di imporre tre tipi di sanzioni: sanzioni fino al 6% del fatturato mondiale annuo per violazioni sostanziali; sanzioni fino all'1% per informazioni scorrette o fuorvianti, mancata risposta, o rifiuto dell'ispezione; e penalità di mora periodiche fino al 5% del fatturato mondiale medio giornaliero al giorno fino alla cessazione della violazione. Per un colosso con oltre 200 miliardi di dollari di fatturato globale, una penalità giornaliera del 5% ammonta a decine di milioni di euro al giorno — pensata per forzare una rapida correzione.
Il track record dell'applicazione della Commissione 2024–2026
- X (ex Twitter) — procedimento avviato a dicembre 2023; constatazioni preliminari a luglio 2024 sull'inganno legato alla spunta blu (Art. 25), l'archivio degli annunci (Art. 39), l'accesso dei ricercatori (Art. 40)
- TikTok — procedimento avviato a febbraio 2024 sulla protezione dei minori (Art. 28), l'archivio degli annunci, l'accesso dei ricercatori, la valutazione del rischio
- Meta (Facebook, Instagram) — procedimento avviato ad aprile 2024 sulla pubblicità ingannevole, la trasparenza degli annunci politici, le lacune nel meccanismo di reclamo
- AliExpress — procedimento avviato a marzo 2024 sul rischio di prodotti illegali (Art. 34), la trasparenza pubblicitaria, l'accesso dei ricercatori, la tracciabilità dei prodotti
- Temu, Shein — procedimenti avviati nel 2024–2025 su prodotti illegali, design che induce dipendenza, rischio per la tutela dei consumatori
Applicazione da parte dei DSC nazionali
I DSC nazionali gestiscono l'applicazione quotidiana nei confronti delle non-VLOP: l'ARCOM (Francia) sulle carenze nelle segnalazioni ai sensi dell'articolo 16, la BNetzA (Germania) sulle lacune KYBC dell'articolo 30, l'AGCOM (Italia) sulla qualità delle dichiarazioni dell'articolo 17, la Coimisiún na Meán (Irlanda) che coordina i casi correlati alle VLOP per i fornitori con sede negli Stati Uniti stabiliti a Dublino.
🛡️ Leggi la watch-list sull'applicazione del DSA
Monitoraggio trimestrale di ogni procedimento formale, constatazione preliminare e sanzione — con gli obblighi citati e le misure correttive imposte. Più una checklist di autovalutazione per le piattaforme PMI.
10. Checklist pratica DSA per l'e-commerce 2026
La base universale (ogni intermediario, articoli 11–17)
- Contatto per le autorità (Art. 11) + contatto per i destinatari (Art. 12) — canali pubblicati separati
- Rappresentante legale UE (Art. 13) — solo fornitori extra-UE; indicato sul sito web
- Trasparenza dei termini di servizio (Art. 14) — linguaggio semplice; sintesi adatta ai minori se possono accedere
- Report di trasparenza (Art. 15) — annuale, leggibile da macchina; ordini, segnalazioni, moderazione di propria iniziativa, reclami
- Notice-and-action (Art. 16) — modulo elettronico semplice; conferma di ricezione; divulgazione delle decisioni automatizzate
- Dichiarazione di motivazione (Art. 17) — copre visibilità, monetizzazione, restrizioni ad account/contenuti; invio alla banca dati di trasparenza
Livello piattaforma online (aggiungere gli articoli 19–28, salvo esenzione PMI)
- Autoclassificazione PMI (Art. 19); gestione dei reclami interna (Art. 20) (6 mesi, gratuita, sotto supervisione umana)
- Risoluzione extragiudiziale delle controversie (Art. 21); coda prioritaria per i segnalatori attendibili (Art. 22)
- Misure contro gli abusi (Art. 23) — politica di sospensione pubblicata per i trasgressori recidivi e i segnalanti abusivi
- Report di trasparenza semestrali (Art. 24) con il parametro dei destinatari attivi
- Audit sui dark pattern (Art. 25); etichettatura e parametri degli annunci (Art. 26); protezione dei minori (Art. 28) (nessun annuncio basato su profilazione)
Livello specifico per marketplace (Articoli 30–32)
- KYBC (Art. 30) — raccolta, verifica (VIES + registro), pubblicazione, sospensione dei commercianti non conformi
- Art. 31 — campionamento casuale su Safety Gate + proprietà intellettuale; Art. 32 — notifica diretta all'acquirente quando un prodotto non sicuro ha raggiunto i clienti negli ultimi 6 mesi
Livello VLOP (Articoli 33–43, solo sopra i 45M di utenti attivi medi mensili UE)
- Valutazione del rischio (Art. 34) + mitigazione (Art. 35) + audit annuale indipendente (Art. 37)
- Opt-out dal sistema di raccomandazione (Art. 38); archivio degli annunci (Art. 39) (conservazione di 12 mesi); accesso ai dati per i ricercatori (Art. 40)
- Funzione di conformità indipendente (Art. 41); report semestrali rafforzati (Art. 42); tassa di vigilanza (Art. 43) (≤ 0,05% del reddito netto)
Quadro giuridico 2026 — Il Regolamento 2022/2065 nel contesto
DSA, DMA e il "Brussels effect"
Il DSA non è isolato. Il Digital Markets Act — Regolamento (UE) 2022/1925 — pubblicato nella GUUE L 265/1 del 12 ottobre 2022 — è entrato in applicazione il 2 maggio 2023 e integra il DSA prendendo di mira i gatekeeper con obblighi ex ante sui servizi di piattaforma di base. Nel 2026 i gatekeeper designati sono Alphabet, Amazon, Apple, Booking, ByteDance, Meta e Microsoft; ciascuno è stato designato con specifici servizi di piattaforma di base rientranti nell'ambito (ad esempio Amazon Marketplace, Apple App Store, Google Search). I due regolamenti insieme formano la "costituzione digitale" dell'UE per i servizi online.
Regolamenti correlati che i marketplace devono considerare
- GDPR — Regolamento (UE) 2016/679 — supervisionato dalle autorità nazionali di protezione dei dati e coordinato dall'EDPB; si sovrappone agli articoli 26–28 del DSA su profilazione e consenso
- Direttiva e-Privacy 2002/58/CE — cookie e comunicazioni elettroniche; ancora applicabile in attesa del Regolamento e-Privacy
- Direttiva UCPD 2005/29/CE — pratiche commerciali sleali; strumento primario per le comunicazioni commerciali ingannevoli, si sovrappone all'articolo 25 del DSA sui dark pattern
- Direttiva sui diritti dei consumatori 2011/83/UE — diritto di recesso di 14 giorni, informazioni precontrattuali, modello di modulo di recesso
- Direttiva Omnibus 2019/2161 — protezione dei consumatori modernizzata, trasparenza dei marketplace, divulgazione del posizionamento a pagamento (rilevante per la trasparenza del sistema di raccomandazione dell'articolo 27 del DSA)
- Regolamento sulla sicurezza dei prodotti 2023/988 — applicabile dal 13 dicembre 2024; i marketplace online hanno specifici doveri di tracciabilità e notifica
- Regolamento TCO 2021/784 — contenuti terroristici online; rimozione entro 1 ora su ordine dell'autorità
- Regolamento eIDAS 910/2014 (rivisto dal 2024/1183) — identificazione elettronica; la fonte del riferimento al documento di identità nell'articolo 30 del DSA
Autorità degli Stati membri
Ogni Stato membro ha designato un Coordinatore dei servizi digitali. Esempi incontrati dai marketplace online nel 2026 includono:
| Paese | Autorità DSC | Ambito nell'applicazione 2026 |
|---|---|---|
| Germania | Bundesnetzagentur (BNetzA) | KYBC, marketplace di e-commerce |
| Francia | ARCOM | Notice-and-action, protezione dei minori |
| Italia | AGCOM | Dichiarazione di motivazione, trasparenza pubblicitaria |
| Spagna | CNMC | KYBC per marketplace, trasparenza del sistema di raccomandazione |
| Irlanda | Coimisiún na Meán | Coordinamento correlato alle VLOP (molti fornitori statunitensi) |
| Paesi Bassi | ACM | Casi di marketplace transfrontalieri |
| Polonia | UKE (Ufficio delle comunicazioni elettroniche) | DSC nazionale; correlato ad Allegro |
Nel 2026 la conformità non è opzionale. La Commissione è passata dal dialogo preparatorio (2023) ai procedimenti formali (2024) alle constatazioni preliminari (2024–2025) e ora alle prime sanzioni (2026). Zunapro offre un pacchetto di conformità DSA — motore KYBC, gestore delle segnalazioni dell'articolo 16, modelli di dichiarazione di motivazione dell'articolo 17 ed esportatore della banca dati di trasparenza — insieme alle integrazioni per marketplace. Scopri il pacchetto di conformità DSA →
Come diventare conformi al DSA — Passo dopo passo per il 2026
1. Classifica il tuo servizio
- Intermediario / hosting / piattaforma online / VLOP — esamina le definizioni dell'articolo 3
- Esenzione PMI dell'articolo 19 — meno di 50 dipendenti e meno di 10 milioni di euro di fatturato, e non designato come VLOP
- Ti stai avvicinando ai 45M di utenti attivi medi mensili UE? — la prontezza pre-VLOP diventa urgente
2. Nomina i contatti obbligatori
- Contatto per le autorità (Art. 11) + contatto per i destinatari (Art. 12) — canali pubblicati separati
- Rappresentante legale UE (Art. 13) — solo fornitori extra-UE; contratto vincolante; indicato sul sito web
3. Pubblica il livello di trasparenza
- Divulgazioni nei termini di servizio (Art. 14) (regole di moderazione, ricorsi, uso di decisioni algoritmiche)
- Report annuale di trasparenza (Art. 15); dato sui destinatari attivi (Art. 24, paragrafo 2) aggiornato ogni sei mesi
4. Configura il notice-and-action e la dichiarazione di motivazione
- Implementa un modulo web ai sensi dell'articolo 16 con lo schema a quattro campi; triage (manifestamente illegale vs complesso; priorità ai segnalatori attendibili)
- Genera dichiarazioni ai sensi dell'articolo 17 per ogni decisione restrittiva; invia alla banca dati di trasparenza della Commissione tramite API pubblica
5. Costruisci il flusso di lavoro KYBC (marketplace)
- Raccogli l'insieme chiuso di dati dell'articolo 30, paragrafo 1, al momento dell'onboarding del commerciante; valida l'IVA tramite VIES e il registro tramite BRIS
- Ciclo di riverifica di 30 giorni; pubblica una pagina profilo del commerciante da ogni inserzione; attiva il campionamento Safety Gate + proprietà intellettuale dell'articolo 31
6. Connettiti tramite Zunapro (integrazione in 10 minuti)
- Accedi a Zunapro e apri il modulo Europa / DSA
- Scegli il tuo profilo di ruolo — PMI, piattaforma online, marketplace, pre-VLOP
- Collega le fonti di identità — VIES, BRIS, eIDAS, Safety Gate
- Attiva l'acquisizione delle segnalazioni e i metadati pubblicitari — semplici interruttori per canale
- Vai live — la prima esecuzione del report di trasparenza viene generata entro un ciclo
Centralizza la tua conformità al DSA in un unico pannello UE
Gli articoli 11–43 mappati su moduli pronti da distribuire — KYBC, acquisizione delle segnalazioni, modelli di dichiarazione di motivazione, invio alla banca dati di trasparenza, archivio degli annunci (VLOP) e API per i ricercatori (VLOP). Un pannello, una traccia di audit, ogni Stato membro.
Attiva la conformità DSA →FAQ sul Digital Services Act 2026
Quando si applica il Digital Services Act ai venditori online?
Il Regolamento (UE) 2022/2065 — il Digital Services Act — è entrato in vigore il 16 novembre 2022 ed è diventato pienamente applicabile a tutti i servizi intermediari nell'UE il 17 febbraio 2024. Le piattaforme online di dimensioni molto grandi (VLOP) e i motori di ricerca online di dimensioni molto grandi (VLOSE) designati sono soggetti agli obblighi rafforzati dal 25 agosto 2023.
Ogni marketplace online, servizio di hosting o intermediario che si rivolge agli utenti dell'UE — indipendentemente da dove sia stabilito il fornitore — rientra nell'ambito di applicazione dal 17 febbraio 2024. I fornitori extra-UE devono nominare un rappresentante legale ai sensi dell'articolo 13 in uno Stato membro.
Cos'è una piattaforma online di dimensioni molto grandi (VLOP) secondo il DSA?
Una piattaforma online di dimensioni molto grandi (VLOP) è una piattaforma online con oltre 45 milioni di destinatari attivi medi mensili nell'UE, formalmente designata come tale dalla Commissione Europea ai sensi dell'articolo 33 del DSA. La prima ondata (aprile 2023) ha designato 17 VLOP e 2 VLOSE, tra cui Amazon Store, AliExpress, Booking.com, Zalando, Google Shopping, Apple App Store e Google Play.
Le VLOP affrontano obblighi più severi: valutazioni annuali del rischio sistemico (articolo 34), audit indipendenti (articolo 37), risposta alle crisi (articolo 36), accesso ai dati per i ricercatori (articolo 40), archivio pubblico degli annunci (articolo 39) e una tassa di vigilanza dello 0,05% versata alla Commissione Europea.
Cosa significa la trasparenza dei commercianti (KYC) per i marketplace online?
L'articolo 30 del DSA — noto come obbligo 'Know Your Business Customer' (KYBC) — richiede a ogni marketplace online che consenta ai consumatori di concludere contratti a distanza con i commercianti di verificare e pubblicare le informazioni essenziali sul commerciante prima di consentirgli di utilizzare la piattaforma.
I dati richiesti includono ragione sociale, numero di iscrizione al registro delle imprese, identificativo IVA, indirizzo, telefono, email, dati del conto di pagamento e un'autocertificazione di conformità alla normativa UE sulla sicurezza dei prodotti. I marketplace devono impiegare 'la massima diligenza' per verificare questi dati tramite fonti affidabili (VIES, registri nazionali delle imprese tramite BRIS) e sospendere i commercianti che non si conformano.
Con quale rapidità deve essere rimosso il contenuto illegale ai sensi del DSA?
Il DSA non impone un'unica scadenza legale per la rimozione, ma l'articolo 16 richiede ai fornitori di hosting di agire 'in modo tempestivo, diligente, non arbitrario e oggettivo' al ricevimento di una segnalazione sufficientemente motivata. Il Regolamento TCO 2021/784 richiede separatamente un'azione entro 1 ora per i contenuti terroristici su ordine di un'autorità.
In pratica, il contenuto manifestamente illegale (materiale di abuso sessuale su minori, contenuti terroristici, beni palesemente contraffatti) deve essere rimosso entro poche ore; i casi complessi (presunta violazione del copyright, diffamazione) richiedono una revisione umana entro pochi giorni. I segnalatori attendibili (articolo 22) hanno priorità — le loro segnalazioni devono essere trattate senza indebito ritardo e prima delle segnalazioni ordinarie.
Cos'è un meccanismo di notice-and-action?
L'articolo 16 del DSA richiede a ogni fornitore di hosting — inclusi i marketplace online — di gestire un meccanismo elettronico di notifica e azione facile da usare e accessibile, che consenta a qualsiasi individuo o entità di segnalare contenuti specifici presumibilmente illegali. La segnalazione deve contenere una spiegazione del motivo per cui il contenuto è illegale, l'URL/posizione precisa, i dati di contatto del segnalante e una dichiarazione in buona fede sull'accuratezza.
I fornitori devono confermare la ricezione senza indebito ritardo, prendere una decisione in modo tempestivo, comunicare la decisione con motivazione ai sensi dell'articolo 17 (dichiarazione di motivazione), e informare l'utente sulle possibilità di ricorso, incluso il trattamento interno dei reclami (articolo 20) e la risoluzione extragiudiziale delle controversie (articolo 21).
Quali dark pattern sono vietati dal DSA?
L'articolo 25 del DSA vieta alle piattaforme online di progettare, organizzare o gestire le proprie interfacce in un modo che inganni o manipoli i destinatari o che comunque distorca o comprometta materialmente la loro capacità di prendere decisioni libere e informate.
Esempi evidenziati dalla Commissione e dalle Linee guida EDPB 03/2022 includono: pulsanti visivamente prominenti per un'opzione contro link minuscoli per l'opzione opposta, richieste ripetute e insistenti di riconsiderare una disiscrizione, opt-in predefiniti alla condivisione dei dati, timer di conto alla rovescia falsi, e flussi di annullamento confusi. Il DSA integra le norme esistenti della direttiva sulle pratiche commerciali sleali (UCPD) e si applica anche quando il dark pattern non viola il GDPR.
Quale trasparenza pubblicitaria richiede il DSA?
L'articolo 26 del DSA richiede a ogni piattaforma online di etichettare chiaramente ogni annuncio, identificare la persona fisica o giuridica per conto della quale l'annuncio viene mostrato, identificare la persona fisica o giuridica che ha pagato per l'annuncio (se diversa), e divulgare i parametri significativi utilizzati per targettizzare il destinatario specifico — incluso se sia stata utilizzata la profilazione ai sensi dell'articolo 4, paragrafo 4, del GDPR.
L'articolo 28 vieta gli annunci rivolti ai minori basati sulla profilazione. L'articolo 39 impone un obbligo aggiuntivo alle VLOP: un archivio pubblico e leggibile da macchina degli annunci, mantenuto per almeno un anno dopo l'ultima visualizzazione dell'annuncio, con accesso API per i ricercatori.
Cos'è una valutazione del rischio sistemico ai sensi del DSA?
L'articolo 34 del DSA obbliga ogni VLOP e VLOSE a valutare, almeno annualmente e prima di implementare nuove funzionalità significative, i rischi sistemici derivanti dalla progettazione, dal funzionamento e dall'uso del proprio servizio.
Sono obbligatorie quattro categorie di rischio: (1) diffusione di contenuti illegali; (2) effetti sui diritti fondamentali (privacy, libertà di espressione, non discriminazione, diritti dei minori); (3) effetti sul dibattito civico, sui processi elettorali e sulla sicurezza pubblica; (4) effetti sulla violenza di genere, sulla salute pubblica, sui minori e sul benessere fisico/mentale. L'articolo 35 richiede misure di mitigazione ragionevoli, proporzionate ed efficaci. Gli auditor indipendenti ai sensi dell'articolo 37 verificano sia la valutazione sia la mitigazione.
Quanto sono elevate le sanzioni del DSA?
L'articolo 74 del DSA conferisce al Coordinatore dei servizi digitali (o alla Commissione Europea per le VLOP) il potere di imporre sanzioni fino al 6% del fatturato mondiale annuo del fornitore per violazioni degli obblighi sostanziali. Possono essere imposte penalità di mora periodiche fino al 5% del fatturato mondiale medio giornaliero per la non conformità continuata. La mancata fornitura di informazioni corrette comporta sanzioni fino all'1% del fatturato mondiale.
La Commissione ha già avviato procedimenti formali contro diverse VLOP, tra cui X, TikTok, Meta, AliExpress, Temu e Shein; X ha ricevuto una constatazione preliminare nel luglio 2024 per l'inganno legato alla spunta blu, le carenze nell'archivio degli annunci e i blocchi all'accesso ai dati per i ricercatori.
Il DSA si applica ai piccoli marketplace e alle microimprese?
Sì — il DSA si applica a tutti gli intermediari che offrono servizi nell'UE, ma gli obblighi sono calibrati in base alle dimensioni. L'articolo 19 esenta le micro e piccole imprese (meno di 50 dipendenti e 10 milioni di euro di fatturato) dagli obblighi più onerosi della "piattaforma online", come il trattamento interno dei reclami (articolo 20), la risoluzione extragiudiziale delle controversie (articolo 21), i segnalatori attendibili (articolo 22), le misure contro gli abusi (articolo 23) e il livello di tracciabilità dei commercianti dell'articolo 30.
Gli obblighi di base — punti di contatto (articoli 11–12), rappresentanti legali per i fornitori extra-UE (articolo 13), trasparenza dei termini di servizio (articolo 14), notice-and-action (articolo 16) e dichiarazioni di motivazione (articolo 17) — si applicano comunque a tutti.
Come interagisce il DSA con il Digital Markets Act (DMA)?
Il Digital Services Act (Regolamento 2022/2065) e il Digital Markets Act (Regolamento 2022/1925) formano un pacchetto normativo complementare. Il DSA disciplina il modo in cui tutti gli intermediari gestiscono i contenuti, la trasparenza e i diritti degli utenti, indipendentemente dal potere di mercato. Il DMA impone norme di concorrenza ex ante a un insieme più ristretto di 'gatekeeper' — attualmente Alphabet, Amazon, Apple, Booking, ByteDance, Meta e Microsoft — che controllano "servizi di piattaforma di base" come marketplace, app store, browser, motori di ricerca e servizi pubblicitari.
Un marketplace di e-commerce può essere sia una VLOP ai sensi del DSA sia un gatekeeper ai sensi del DMA (Amazon Marketplace è entrambe le cose); i team di conformità gestiscono tipicamente un unico programma integrato che copre entrambi i regolamenti e la loro sovrapposizione con il GDPR.
Chi fa rispettare il DSA in ciascuno Stato membro?
Ogni Stato membro dell'UE deve designare uno o più Coordinatori dei servizi digitali (DSC) — autorità di regolamentazione indipendenti responsabili della supervisione del DSA sul proprio territorio. Esempi includono ARCOM (Francia), Bundesnetzagentur (Germania), AGCOM (Italia), CNMC (Spagna), Coimisiún na Meán (Irlanda) e UKE (Polonia).
La Commissione Europea supervisiona direttamente le VLOP e le VLOSE. Il Comitato europeo per i servizi digitali — composto da tutti i DSC e presieduto dalla Commissione — coordina l'applicazione transfrontaliera e risolve le controversie giurisdizionali. Per le sovrapposizioni in materia di protezione dei dati, il Comitato europeo per la protezione dei dati (EDPB) e le autorità nazionali di protezione dei dati cooperano tramite le procedure dell'articolo 60 del GDPR.
Ho bisogno di un rappresentante legale nell'UE?
Se il tuo servizio è stabilito al di fuori dell'UE ma viene offerto a destinatari dell'UE, sì — l'articolo 13 del DSA richiede di designare un rappresentante legale stabilito in uno degli Stati membri in cui offri i servizi. Il rappresentante riceve le decisioni, le sanzioni e le richieste di informazioni ai sensi del DSA per conto del fornitore ed è responsabile in solido per la non conformità.
Il rappresentante DSA è concettualmente simile al rappresentante ai sensi dell'articolo 27 del GDPR, ma i due ruoli non sono intercambiabili. La maggior parte dei venditori extra-UE nomina due rappresentanti separati o un unico fornitore specializzato che offre entrambi i servizi in un unico contratto.
Quanto tempo richiede l'integrazione DSA con Zunapro?
Circa 10 minuti per una configurazione di base PMI / piattaforma online — incluse le pagine di contatto degli articoli 11/12, l'audit dei termini di servizio dell'articolo 14, il modulo di segnalazione dell'articolo 16 e i modelli di dichiarazione di motivazione dell'articolo 17. Lo stack completo per marketplace con KYBC dell'articolo 30, verifica VIES + BRIS e campionamento Safety Gate dell'articolo 31 si completa tipicamente entro un giorno lavorativo.
Per le piattaforme che si avvicinano alla soglia dei 45M di utenti attivi medi mensili UE, Zunapro predispone in anticipo i moduli VLOP — archivio degli annunci, opt-out dal sistema di raccomandazione, API per i ricercatori, modelli di valutazione del rischio pronti per l'audit — così una designazione della Commissione può essere gestita entro la finestra statutaria di 4 mesi senza interventi di emergenza.
Rendi il tuo marketplace conforme al DSA in un unico pannello
Il Regolamento 2022/2065 mappato end-to-end — verifica KYBC, notice-and-action, dichiarazione di motivazione, trasparenza pubblicitaria, modelli di valutazione del rischio e invio alla banca dati di trasparenza. Standard blu e oro dell'UE. Attivalo oggi stesso.
🇪🇺 Attiva la conformità DSA →Hai bisogno di aiuto?
Servizio correlato: Marketplace