- Urząd Komunikacji Elektronicznej

Obowiązki bardzo dużych platform internetowych i bardzo dużych wyszukiwarek internetowych

Jeżeli Twoja usługa została wskazana przez Komisję Europejską jako bardzo duża platforma internetowa (VLOP) albo bardzo duża wyszukiwarka internetowa (VLOSE), oprócz obowiązków właściwych dla danego rodzaju usługi podlegasz dodatkowym obowiązkom określonym w sekcji 5 rozdziału III DSA.

 

Obowiązki wynikające z DSA mają charakter warstwowy:

• VLOP podlega obowiązkom wspólnym dla dostawców usług pośrednich, obowiązkom właściwym dla hostingu i platform internetowych oraz dodatkowym obowiązkom właściwym dla VLOP;
• VLOSE podlega obowiązkom wspólnym dla dostawców usług pośrednich, obowiązkom właściwym dla wyszukiwarek internetowych oraz dodatkowym obowiązkom właściwym dla VLOSE.

Jeżeli VLOP umożliwia konsumentom zawieranie z przedsiębiorcami umów na odległość, podlega również obowiązkom określonym w art. 30–32 DSA.

Obowiązki określone w sekcji 5 rozdziału III DSA zaczynają mieć zastosowanie po upływie czterech miesięcy od powiadomienia dostawcy o decyzji Komisji wskazującej daną usługę jako VLOP lub VLOSE.

 

Jakie masz obowiązki?

Wykonuj obowiązki wspólne dla dostawców usług pośrednich

Jako dostawca VLOP lub VLOSE podlegasz obowiązkom wspólnym dla dostawców usług pośrednich dotyczącym:

1. punktu kontaktowego dla organów – art. 11 DSA;
2. punktu kontaktowego dla odbiorców usług – art. 12 DSA;
3. przedstawiciela prawnego, jeżeli nie masz siedziby w Unii Europejskiej – art. 13 DSA;
4. warunków korzystania z usług – art. 14 DSA;
5. nakazów dotyczących nielegalnych treści i udzielenia informacji – art. 9 i 10 DSA;
6. sprawozdawczości dotyczącej moderowania treści – art. 15 DSA.

Jeżeli świadczysz VLOP – wykonuj również obowiązki właściwe dla hostingu i platform internetowych

VLOP jest platformą internetową, a więc szczególnym rodzajem usługi hostingu. Do obowiązków wspólnych dochodzą zatem obowiązki właściwe dla obu tych kategorii usług.

 

Wykonuj obowiązki właściwe dla hostingu

Jako dostawca VLOP musisz:

7. zapewnić mechanizm zgłaszania nielegalnych treści – art. 16 DSA;
8. uzasadniać decyzje dotyczące treści lub odbiorców usług w przypadkach określonych w DSA – art. 17 DSA;
9. zawiadamiać właściwe organy o podejrzeniu popełnienia określonych przestępstw zagrażających życiu lub bezpieczeństwu osoby lub osób – art. 18 DSA.

→ Sprawdź swoje obowiązki dostawcy hostingu 

 

Wykonuj obowiązki właściwe dla platform internetowych

Jako dostawca VLOP musisz również:

10. zapewnić wewnętrzny system rozpatrywania skarg – art. 20 DSA;
11. współpracować z certyfikowanymi organami pozasądowego rozstrzygania sporów – art. 21 DSA;
12. priorytetowo traktować zgłoszenia zaufanych podmiotów sygnalizujących – art. 22 DSA;
13. stosować środki ochrony przed nadużywaniem platformy – art. 23 DSA;
14. wykonywać dodatkowe obowiązki w zakresie przejrzystości, w tym dotyczące liczby aktywnych odbiorców oraz Bazy Transparentności DSA – art. 24 DSA;
15. projektować i organizować interfejs zgodnie z wymaganiami DSA – art. 25 DSA;
16. zapewniać przejrzystość reklam i przestrzegać ograniczeń dotyczących reklam opartych na profilowaniu – art. 26 DSA;
17. zapewniać przejrzystość systemów rekomendacji – art. 27 DSA;
18. stosować odpowiednie i proporcjonalne środki zapewniające wysoki poziom prywatności, bezpieczeństwa i ochrony małoletnich, jeżeli platforma jest dla nich dostępna – art. 28 DSA.

→ Sprawdź obowiązki dostawcy platformy internetowej 

 

Jeżeli VLOP umożliwia konsumentom zawieranie z przedsiębiorcami umów na odległość

Dochodzą również obowiązki dotyczące:

• identyfikowalności przedsiębiorców – art. 30 DSA;
• zgodności w fazie projektowania – art. 31 DSA;
• informowania konsumentów o nielegalnym produkcie lub usłudze – art. 32 DSA.

→ Sprawdź obowiązki platform umożliwiających konsumentom zawieranie umów z przedsiębiorcami 

 

Jeżeli świadczysz VLOSE – wykonuj również obowiązki właściwe dla wyszukiwarki internetowej

VLOSE podlega obowiązkom właściwym dla wyszukiwarki internetowej. Musisz zatem:

• co najmniej raz na sześć miesięcy publikować informację o średniej liczbie aktywnych miesięcznie odbiorców usługi w Unii – art. 24 ust. 2 DSA;
• na żądanie właściwego Koordynatora ds. usług cyfrowych lub Komisji Europejskiej przekazywać aktualne informacje o liczbie aktywnych odbiorców oraz, jeżeli tego zażądano, informacje dotyczące sposobu dokonania obliczeń – art. 24 ust. 3 DSA.

→ Sprawdź obowiązki dostawcy wyszukiwarki internetowej

 

Dodatkowe obowiązki VLOP i VLOSE

Oprócz obowiązków wynikających z rodzaju świadczonej usługi VLOP i VLOSE podlegają dodatkowym obowiązkom określonym w sekcji 5 rozdziału III DSA.

19. Identyfikuj i oceniaj ryzyka systemowe

Musisz z należytą starannością identyfikować, analizować i oceniać ryzyka systemowe w Unii wynikające z projektu lub funkcjonowania usługi i powiązanych z nią systemów, w tym systemów algorytmicznych, oraz z korzystania z usługi.

Ocena obejmuje w szczególności:

• ryzyko rozpowszechniania nielegalnych treści;
• rzeczywiste lub przewidywalne negatywne skutki dla wykonywania praw podstawowych;
• rzeczywiste lub przewidywalne negatywne skutki dla dyskursu obywatelskiego, procesów wyborczych i bezpieczeństwa publicznego;
• rzeczywiste lub przewidywalne negatywne skutki związane z przemocą ze względu na płeć, ochroną zdrowia publicznego i małoletnich oraz poważne negatywne skutki dla fizycznego i psychicznego dobrostanu osób.

Ocenę należy przeprowadzić do dnia rozpoczęcia stosowania obowiązków VLOP/VLOSE, następnie co najmniej raz w roku oraz przed uruchomieniem funkcji, które mogą mieć krytyczny wpływ na zidentyfikowane ryzyka.

Dokumenty potwierdzające odnoszące się do ocen ryzyka należy przechowywać przez co najmniej trzy lata po przeprowadzeniu oceny.

Podstawa prawna: art. 34 DSA.

20. Stosuj środki zmniejszające ryzyka systemowe

Musisz wprowadzać rozsądne, proporcjonalne i skuteczne środki zmniejszające ryzyko, dopasowane do konkretnych ryzyk systemowych zidentyfikowanych na podstawie art. 34 DSA, ze szczególnym uwzględnieniem wpływu tych środków na prawa podstawowe.

W zależności od zidentyfikowanego ryzyka środki mogą dotyczyć m.in.:

• projektu, cech i funkcjonowania usługi;
• warunków korzystania z usług i sposobu ich egzekwowania;
• procesów moderowania treści;
• systemów algorytmicznych, w tym systemów rekomendacji;
• systemów reklamowych;
• procesów wewnętrznych i zasobów;
• współpracy z właściwymi podmiotami;
• ochrony praw dziecka, w tym – w stosownych przypadkach – narzędzi weryfikacji wieku i kontroli rodzicielskiej.

Podstawa prawna: art. 35 DSA.

21. Poddawaj się niezależnemu audytowi

Co najmniej raz w roku musisz na własny koszt poddać się niezależnemu audytowi oceniającemu przestrzeganie obowiązków określonych w rozdziale III DSA oraz odpowiednich zobowiązań podjętych na podstawie kodeksów postępowania i protokołów kryzysowych.

Musisz zapewnić organizacji przeprowadzającej audyt współpracę i pomoc niezbędną do jego skutecznego, wydajnego i terminowego przeprowadzenia.

Jeżeli opinia audytowa nie jest pozytywna, musisz należycie uwzględnić zalecenia operacyjne. W terminie jednego miesiąca od ich otrzymania musisz przyjąć sprawozdanie z realizacji audytu, określające środki podjęte w celu wdrożenia zaleceń albo – jeżeli zalecenia nie zostały wdrożone – wyjaśniające przyczyny i wskazujące ewentualne środki alternatywne.

Podstawa prawna: art. 37 DSA.

22. Zapewnij opcję systemu rekomendacji nieopartą na profilowaniu

Jeżeli korzystasz z systemów rekomendacji, musisz zapewnić co najmniej jedną opcję dla każdego systemu rekomendacji, która nie jest oparta na profilowaniu w rozumieniu RODO.

Obowiązek ten dotyczy zarówno VLOP, jak i VLOSE korzystających z systemów rekomendacji.

Podstawa prawna: art. 38 DSA.

23. Prowadź repozytorium reklam

Jeżeli prezentujesz reklamy na swoim interfejsie internetowym, musisz prowadzić publicznie dostępne repozytorium reklam.

Repozytorium musi być dostępne za pomocą niezawodnego narzędzia umożliwiającego wyszukiwanie według wielu kryteriów oraz za pośrednictwem API.

Informacje należy udostępniać przez cały okres prezentowania reklamy i przez rok od jej ostatniego zaprezentowania. Repozytorium nie może zawierać danych osobowych odbiorców, którym reklama była lub mogła być prezentowana.

Podstawa prawna: art. 39 DSA.

24. Zapewniaj dostęp do danych

Na uzasadniony wniosek właściwego Koordynatora ds. usług cyfrowych lub Komisji Europejskiej musisz zapewnić dostęp do danych niezbędnych do monitorowania i oceny przestrzegania DSA, w rozsądnym terminie określonym we wniosku.

Na żądanie musisz również wyjaśnić projekt, logikę funkcjonowania i testowanie systemów algorytmicznych, w tym systemów rekomendacji.

DSA przewiduje również – na określonych w nim zasadach – dostęp do danych dla zweryfikowanych badaczy oraz dostęp badaczy do określonych danych publicznie dostępnych na interfejsach VLOP lub VLOSE.

Podstawa prawna: art. 40 DSA.

→ Dowiedz się więcej o dostępie do danych dla badaczy

25. Ustanów niezależną komórkę nadzoru przestrzegania DSA

Musisz ustanowić komórkę nadzoru przestrzegania DSA niezależną od komórek operacyjnych, składającą się z co najmniej jednego pracownika ds. nadzoru przestrzegania DSA, w tym kierownika tej komórki.

Komórka musi posiadać wystarczające uprawnienia, status i zasoby oraz dostęp do organu zarządzającego.

Do jej zadań należy m.in. monitorowanie przestrzegania DSA, współpraca z właściwym Koordynatorem i Komisją Europejską, kwestie związane z ryzykiem systemowym oraz organizowanie i nadzorowanie działań związanych z niezależnym audytem.

Kierownik komórki musi być niezależnym członkiem kadry kierowniczej wyższego szczebla i podlegać bezpośrednio organowi zarządzającemu. Jego imię i nazwisko oraz dane kontaktowe należy przekazać właściwemu Koordynatorowi i Komisji Europejskiej.

Podstawa prawna: art. 41 DSA.

26. Wykonuj dodatkowe obowiązki w zakresie przejrzystości i sprawozdawczości

Sprawozdania dotyczące moderowania treści, o których mowa w art. 15 DSA, musisz opublikować najpóźniej dwa miesiące od dnia rozpoczęcia stosowania obowiązków właściwych dla VLOP lub VLOSE, a następnie publikować je co najmniej raz na sześć miesięcy.

Musisz również wykonywać dodatkowe obowiązki dotyczące informacji o liczbie odbiorców w poszczególnych państwach członkowskich oraz przekazywania właściwemu Koordynatorowi i Komisji, a następnie – z uwzględnieniem wyjątków określonych w DSA – publikowania informacji związanych z:

• oceną ryzyka;
• środkami zmniejszającymi ryzyko;
• audytem;
• realizacją zaleceń audytowych;
• konsultacjami przeprowadzonymi w celu wsparcia oceny i zmniejszania ryzyka.

Podstawa prawna: art. 42 DSA.

→ Dowiedz się więcej o sprawozdawczości

27. Uiszczaj roczną opłatę nadzorczą

Komisja Europejska pobiera od dostawców VLOP i VLOSE roczną opłatę nadzorczą za każdą usługę wskazaną jako VLOP lub VLOSE, zgodnie z zasadami określonymi w art. 43 DSA i odpowiednich aktach przyjętych przez Komisję.

Podstawa prawna: art. 43 DSA.

28. Obowiązki w sytuacji kryzysowej

Mechanizm reagowania kryzysowego określony w art. 36 DSA nie jest zwykłym, stale wykonywanym obowiązkiem VLOP lub VLOSE.

W przypadku wystąpienia kryzysu Komisja Europejska może – na warunkach określonych w art. 36 DSA – przyjąć decyzję zobowiązującą dostawcę VLOP lub VLOSE m.in. do:

• oceny, czy i w jaki sposób funkcjonowanie i wykorzystywanie usługi znacząco przyczynia się lub może znacząco przyczyniać się do poważnego zagrożenia;
• określenia i zastosowania skutecznych i proporcjonalnych środków służących zapobieganiu temu wpływowi, jego eliminowaniu lub ograniczaniu;
• przedstawiania Komisji sprawozdań dotyczących przeprowadzonych ocen i zastosowanych środków.

Mechanizm dotyczy nadzwyczajnych okoliczności prowadzących do poważnego zagrożenia dla bezpieczeństwa publicznego lub zdrowia publicznego w Unii lub jej znacznych częściach.

Podstawa prawna: art. 36 DSA.

 

DSA nie nakłada ogólnego obowiązku monitorowania

Także dostawcy VLOP i VLOSE nie podlegają ogólnemu obowiązkowi monitorowania przekazywanych lub przechowywanych informacji ani aktywnego ustalania faktów lub okoliczności wskazujących na nielegalną działalność.

 

Pamiętaj

Status VLOP lub VLOSE oznacza dodatkową warstwę obowiązków i nie zastępuje obowiązków wynikających z rodzaju świadczonej usługi.

W przypadku VLOP zakres obowiązków ustalasz kaskadowo: obowiązki wspólne → hosting → platforma internetowa → jeżeli dotyczy, platforma umożliwiająca zawieranie umów B2C → VLOP.

W przypadku VLOSE: obowiązki wspólne → wyszukiwarka internetowa → VLOSE.

Samo osiągnięcie progu liczby aktywnych odbiorców określonego w art. 33 DSA nie powoduje automatycznie uzyskania statusu VLOP lub VLOSE. Konieczna jest decyzja Komisji Europejskiej wskazująca daną usługę jako VLOP lub VLOSE.