Pogoda 
Prezydent podpisał ustawę tworzącą w Polsce krajowy system egzekwowania Aktu o usługach cyfrowych – DSA. W medialnym przekazie najłatwiej sprowadzić tę informację do stwierdzenia, że Polska będzie mogła wreszcie karać platformy internetowe.
Z punktu widzenia przedsiębiorców znacznie ważniejszy jest jednak inny wniosek. DSA nie jest nowym prawem. Jego zasadnicza część jest stosowana w Unii Europejskiej od 17 lutego 2024 r. Zmienia się natomiast otoczenie, w którym polscy przedsiębiorcy będą musieli wykazać, że rzeczywiście wykonują wynikające z niego obowiązki.
Powstaje krajowy regulator wyposażony w kompetencje do przyjmowania skarg użytkowników, żądania informacji, prowadzenia kontroli i postępowań oraz nakładania kar.
To istotnie zmienia perspektywę. Przez ostatnie lata można było traktować DSA jako kolejny europejski akt regulacyjny wymagający wdrożenia do dokumentacji przedsiębiorstwa. Teraz znacznie ważniejsze staje się pytanie: czy w razie skargi użytkownika albo kontroli regulatora przedsiębiorca będzie potrafił wykazać, jak jego procedury działają w praktyce?
Najpierw trzeba ustalić, kim właściwie jesteśmy. Pierwszym błędem byłoby utożsamienie DSA wyłącznie z największymi platformami społecznościowymi. Rozporządzenie posługuje się znacznie szerszą kategorią dostawców usług pośrednich. Obejmuje ona różne modele działalności, a zakres obowiązków zależy m.in. od rodzaju świadczonej usługi, charakteru przedsiębiorcy oraz jego wielkości. Inne obowiązki może mieć podmiot świadczący usługę hostingu, inne platforma internetowa, jeszcze inne bardzo duża platforma lub wyszukiwarka internetowa. Dlatego pierwszy element audytu nie powinien polegać na sprawdzeniu, czy na stronie internetowej znajduje się „procedura DSA”. Najpierw należy prawidłowo zakwalifikować prowadzoną działalność. To pozornie oczywiste, ale właśnie od tej kwalifikacji zależy odpowiedź na znacznie ważniejsze pytanie: które obowiązki rzeczywiście dotyczą konkretnego przedsiębiorcy?
Procedura zgłaszania treści nie może być atrapą. Jednym z podstawowych obszarów regulowanych przez DSA są mechanizmy pozwalające zgłaszać informacje uznawane za nielegalne.
W praktyce przedsiębiorca powinien odpowiedzieć sobie na kilka prostych pytań. Czy użytkownik rzeczywiście może łatwo dokonać zgłoszenia? Dokąd takie zgłoszenie trafia? Kto je analizuje? Według jakich kryteriów podejmowana jest decyzja? Jak długo trwa reakcja? Czy przedsiębiorstwo potrafi później odtworzyć cały proces i wykazać, dlaczego określona decyzja została podjęta? Największym błędem regulacyjnym może bowiem okazać się przekonanie, że posiadanie formularza oznacza posiadanie działającego mechanizmu. Nie oznacza. Mechanizm istnieje dopiero wtedy, kiedy za formularzem stoi proces.
Moderacja treści wymaga uzasadnienia. Operator platformy znajduje się w trudnej pozycji. Z jednej strony oczekuje się od niego skutecznej reakcji na treści nielegalne. Z drugiej – jego działania ingerują w prawa użytkowników. Dlatego znaczenie ma nie tylko to, czy określona treść została usunięta, konto ograniczone albo dostęp do informacji zablokowany. Znaczenie ma również sposób podjęcia tej decyzji i jej uzasadnienie. Przedsiębiorca powinien więc sprawdzić, czy jego proces moderacji pozwala ustalić, na jakiej podstawie podjęto konkretną decyzję, jakie okoliczności zostały uwzględnione i w jaki sposób poinformowano o niej użytkownika. To szczególnie istotne tam, gdzie moderacja jest częściowo automatyczna. Algorytm może wspomagać proces. Nie zwalnia jednak przedsiębiorstwa z odpowiedzialności za sposób jego zorganizowania.
Trzeba przygotować się również na użytkownika, który się nie zgadza. DSA nie kończy relacji z użytkownikiem w momencie podjęcia decyzji moderacyjnej. Platformy objęte odpowiednimi obowiązkami muszą zapewnić mechanizmy pozwalające kwestionować określone decyzje. To oznacza konieczność spojrzenia na proces z drugiej strony. Nie tylko: „jak szybko usuwamy treści?”, ale również: „co robimy, gdy użytkownik twierdzi, że usunęliśmy je niesłusznie?”. Kto rozpatruje skargę? Czy osoba albo zespół analizujący odwołanie ma dostęp do informacji potrzebnych do rzeczywistego zweryfikowania wcześniejszej decyzji? Czy odwołanie jest faktycznie rozpatrywane, czy jedynie automatycznie potwierdza pierwotny wynik? I ponownie – czy pozostaje po tym dokumentacja?
Regulamin przestaje być dokumentem, którego nikt nie czyta. Przez wiele lat regulamin serwisu internetowego traktowano przede wszystkim jako instrument kontraktowy. DSA istotnie zwiększa jego znaczenie regulacyjne. Zasady dotyczące ograniczania informacji przekazywanych przez użytkowników powinny być opisane w sposób zrozumiały i transparentny. Dotyczy to również stosowanych narzędzi, procedur, środków moderacji oraz – w odpowiednim zakresie – algorytmicznego podejmowania decyzji i kontroli wykonywanej przez człowieka. Dlatego aktualizacja regulaminu nie powinna polegać na dopisaniu kilku przepisów DSA do istniejącego dokumentu. Regulamin powinien odpowiadać temu, jak przedsiębiorstwo rzeczywiście działa. Rozbieżność między dokumentacją a praktyką jest często większym problemem niż niedoskonałość samego dokumentu.
Reklama i systemy rekomendacji też wymagają sprawdzenia. DSA ingeruje również w sposób prezentowania reklam i funkcjonowania systemów rekomendacji. Użytkownik powinien móc rozpoznać, że ma do czynienia z reklamą, wiedzieć, w czyim imieniu jest ona prezentowana oraz uzyskać informacje pozwalające zrozumieć podstawowe parametry jej kierowania. W przypadku platform wykorzystujących systemy rekomendacyjne znaczenie ma z kolei transparentność podstawowych parametrów decydujących o tym, dlaczego użytkownik widzi określone treści.
To obszar, w którym compliance przestaje być domeną wyłącznie prawników. Potrzebna jest współpraca działu prawnego, marketingu, IT, product ownerów oraz osób odpowiedzialnych za monetyzację platformy. Prawnik może napisać prawidłową klauzulę. Nie naprawi nią źle zaprojektowanego produktu.
Marketplace powinien spojrzeć również na swoich sprzedawców. Szczególne obowiązki dotyczą platform umożliwiających konsumentom zawieranie umów z przedsiębiorcami. Tu problemem nie jest już wyłącznie treść zamieszczana przez użytkownika. Znaczenie ma także identyfikowalność przedsiębiorcy korzystającego z platformy oraz sposób projektowania interfejsu umożliwiającego mu oferowanie produktów lub usług. Dla operatora marketplace oznacza to potrzebę ponownego przyjrzenia się onboardingowi sprzedawców. Jakie informacje zbieramy? Czy je weryfikujemy? Czy potrafimy powiązać konkretnego sprzedawcę z ofertą? Co dzieje się, jeżeli po rozpoczęciu współpracy pojawiają się informacje podważające wiarygodność przekazanych danych? To już nie jest wyłącznie problem relacji marketplace–sprzedawca. Staje się elementem odpowiedzialności regulacyjnej samej platformy.
Najważniejszy może okazać się nie dokument, lecz dowód. Wejście do polskiego systemu realnego nadzoru nad DSA zmienia jeszcze jedną rzecz. Przedsiębiorca powinien zacząć patrzeć na compliance nie tylko przez pryzmat obowiązku, lecz również możliwości udowodnienia jego wykonania.
Możemy posiadać procedurę moderacji. Ale czy wiemy, kiedy została zastosowana? Możemy szkolić pracowników. Ale czy potrafimy wykazać, kto został przeszkolony i kiedy? Możemy deklarować określony czas reakcji na zgłoszenia. Ale czy system informatyczny pozwala sprawdzić rzeczywisty czas ich obsługi? Możemy posiadać procedurę odwoławczą. Ale czy umiemy wykazać, ile odwołań zostało uwzględnionych, a ile oddalonych i z jakich przyczyn? W regulowanym biznesie różnica pomiędzy „robimy to” a „potrafimy wykazać, że to robimy” jest fundamentalna.
Nie każda platforma potrzebuje rewolucji. Nie oznacza to, że każdy przedsiębiorca prowadzący działalność internetową powinien teraz rozpoczynać wielomiesięczny projekt compliance. Wręcz przeciwnie. Pierwszym krokiem powinien być stosunkowo krótki przegląd. Jak kwalifikuje się nasza usługa na gruncie DSA? Które obowiązki rzeczywiście nas dotyczą? Które zostały już wdrożone? Gdzie istnieje rozbieżność pomiędzy regulaminem, procedurą a działaniem produktu? Czy pozostawiamy dowody pozwalające wykazać prawidłowość naszych działań?
Dopiero odpowiedzi na te pytania pokażą, czy potrzebne są poważniejsze zmiany. W wielu przedsiębiorstwach okaże się zapewne, że znaczna część wymaganych procesów już istnieje. Problemem może być raczej ich uporządkowanie, uzupełnienie i udokumentowanie.
Regulator pojawia się na końcu procesu. Przygotowanie powinno nastąpić wcześniej. Podpisana ustawa nie powoduje, że DSA nagle zaczyna obowiązywać. Powoduje coś innego. W Polsce powstaje wreszcie pełniejszy instytucjonalny mechanizm jego egzekwowania. Prezes UKE będzie mógł rozpatrywać skargi użytkowników, żądać informacji, prowadzić kontrole i postępowania oraz stosować środki przewidziane prawem. W określonych obszarach kompetencje będą wykonywali również Prezes UOKiK i Przewodniczący KRRiT.
Dla przedsiębiorców jest to dobry moment, żeby nie czekać na pierwsze pytanie regulatora. Compliance najtaniej przeprowadza się wtedy, kiedy można jeszcze spokojnie sprawdzić proces, poprawić regulamin, zmienić formularz, dostosować system IT i przeszkolić ludzi. Znacznie drożej robi się to wtedy, gdy punktem wyjścia jest skarga użytkownika, wezwanie do przedstawienia informacji albo wszczęte postępowanie.
Dlatego podpisanie polskiej ustawy wdrażającej instytucjonalnie DSA potraktowałbym przede wszystkim jako sygnał dla zarządów przedsiębiorstw prowadzących platformy internetowe: nie pytajcie już tylko, czy macie wdrożone DSA. Zapytajcie, czy gdy jutro regulator poprosi o pokazanie, jak je wdrożyliście, będziecie potrafili mu to rzeczywiście pokazać.
Autor: Jarosław Chałas, Partner Zarządzający, Radca Prawny w Kancelarii Prawnej Chałas i Wspólnicy
