L’account di tale Danny Mekić sparisce dalla piattaforma senza che lui riceva alcun avviso. Lo scopre da altri utenti, che gli segnalano di non riuscire più a trovare il suo profilo. Era l’ottobre 2023: Mekić, imprenditore e noto esperto di privacy olandese, aveva condiviso un articolo dell’emittente pubblica NOS che discuteva le critiche ai piani europei per contrastare il materiale pedopornografico online. Il termine contenuto nell’articolo aveva attivato il sistema automatico di rilevamento di X, che aveva imposto una restrizione silenziosa al profilo – il cosiddetto shadowban – rendendolo invisibile agli altri utenti. Nessuna notifica, nessuna spiegazione.
X invoca il segreto aziendale, il tribunale non cede
Mekić aveva richiesto l’accesso ai propri dati personali già nel ottobre 2023. X aveva risposto a novembre, ma in modo che il ricercatore giudicò del tutto insufficiente. Da lì la decisione di rivolgersi al tribunale distrettuale di Amsterdam.
Il giudice di primo grado aveva ordinato a X di consegnare le informazioni entro un mese, stabilendo una penale di 4.000 euro per ogni giorno di inadempimento senza alcun tetto massimo. L’ordine riguardava un insieme articolato di dati: le logiche del sistema decisionale automatizzato che aveva prodotto il shadowban, i cosiddetti “reputation score” associati al profilo, le etichette applicate all’account e i dati provenienti dal sistema interno denominato Guano, che registra tutte le azioni di monitoraggio compiute da X su un profilo utente. Ad agosto 2024, X aveva trasmesso alcune informazioni, ma solo a condizione che Mekić firmasse un accordo di riservatezza. Lui aveva rifiutato. La piattaforma aveva quindi impugnato le penali, sostenendo di aver fatto tutto quanto era in suo potere per adempiere, e aveva contemporaneamente tentato – senza successo – di ottenere un’ingiunzione per impedire a Mekić di parlare pubblicamente della vicenda. La Corte d’Appello di Amsterdam ha respinto entrambe le richieste, rilevando che X aveva piena capacità di ottemperare all’ordine e aveva deliberatamente scelto di fornire solo una parte delle informazioni richieste, stimata intorno al 10% del totale.
La decisione di appello esclude alcuni elementi dalla disclosure: X non dovrà rivelare i timestamp precisi che mostrano i tempi di risposta del sistema di rilevamento, né le identità dei dipendenti coinvolti. Su questo la corte ha accolto le argomentazioni della piattaforma, che aveva sostenuto come quei dati potessero essere sfruttati da bot per aggirare i meccanismi di controllo.
Cosa dicono GDPR e DSA su trasparenza e decisioni automatizzate
Il caso Mekić si colloca all’incrocio tra due normative europee che negli ultimi anni hanno ridisegnato gli obblighi delle piattaforme digitali nei confronti degli utenti. Il GDPR, all’articolo 15, riconosce a chiunque il diritto di accedere ai propri dati personali detenuti da un titolare del trattamento, con l’obbligo per quest’ultimo di fornire informazioni significative sulla logica dei sistemi decisionali automatizzati quando questi producono effetti rilevanti sull’interessato. L’articolo 22 dello stesso regolamento aggiunge una protezione specifica per le decisioni basate esclusivamente su trattamenti automatizzati, riconoscendo il diritto dell’utente a ottenere un intervento umano, a esprimere la propria posizione e a contestare la decisione. Il DSA, all’articolo 17, impone alle piattaforme di comunicare agli utenti le restrizioni imposte ai loro contenuti o ai loro account, specificando i motivi e le possibilità di ricorso disponibili. Il tribunale di Amsterdam aveva già chiarito nella sentenza di primo grado che il fatto che i parametri del sistema di rilevamento siano stati originariamente definiti da esseri umani non trasforma la decisione in una decisione umana: ciò che rileva è l’assenza di intervento umano nel momento in cui la restrizione viene applicata, e quella restrizione rientra pienamente nella categoria delle decisioni automatizzate soggette agli obblighi informativi del GDPR.
La Corte d’Appello di Amsterdam ha confermato le penali e respinto l’appello di X sul merito della disclosure.
