AL VIA LE NUOVE NORME SULLA C.D. “DATA ECONOMY”. PARLAMENTO E CONSIGLIO RAGGIUNGONO L’ACCORDO SUL DATA GOVERNANCE ACT

In data 30 novembre 2021, il Parlamento e il Consiglio hanno raggiunto un accordo provvisorio^[1] in merito alla nuova legislazione sulla governance europea dei dati (c.d. “EU Data Governance Act”)^[2], una proposta di regolamento presentata dalla Commissione in data 25 novembre 2020 al fine di introdurre norme che facilitino la condivisione dei dati in tutta l’Unione, garantendo al contempo un ecosistema affidabile e aperto.

La proposta trova la sua ratio nella Strategia europea per i dati^[3], che delinea le misure politiche e gli investimenti da impegnare per mantenere l’Unione all’avanguardia dell’economia agile basata sui dati, rispettando e promuovendo nel contempo i valori fondamentali che costituiscono i capisaldi delle società europee. L’uso dei dati, infatti, comporta enormi potenzialità economiche e sociali, che possono essere correttamente sfruttate solamente facendo sì che gli stessi possano venire condivisi con fiducia e siano facili da riutilizzare dal punto di vista tecnico. Il Data Governance Act, pertanto, si propone di allineare gli interventi promossi dagli Stati Membri al fine di creare un vero e proprio mercato unico dei dati e sostenere lo sviluppo di spazi comuni europei, compiendo così un deciso passo in avanti verso un maggiore impiego dei c.d. “Big Data”^[4].

La proposta introduce in primo luogo delle disposizioni intese a facilitare il riutilizzo di certe categorie di dati detenuti da soggetti pubblici, e protetti per motivi di riservatezza commerciale, riservatezza statistica, protezione dei diritti di proprietà intellettuale di terzi nonché protezione dei dati personali^[5]. Più particolarmente, il Regolamento prevede che gli enti pubblici che intendono concedere il riutilizzo di tali categorie di dati siano tenuti a prevedere condizioni non discriminatorie, proporzionate ed oggettivamente giustificate in relazione al tipo e alla natura dei dati stessi ed alle finalità del loro riutilizzo^[6]. Al fine di assicurare la creazione di un ecosistema aperto di condivisione, inoltre, il Regolamento impone un divieto generale di concludere accordi di esclusiva per il riutilizzo di dati detenuti dai soggetti pubblici, con un’eccezione prevista per quelli necessari alla fornitura di un servizio o di un prodotto di interesse generale, ma a condizione che siano rispettate le norme europee e nazionali in materia di appalti pubblici e di aggiudicazione delle concessioni^[7].

In secondo luogo, la proposta intende promuovere la diffusione dei servizi di condivisione dei dati, con una specifica disciplina volta a garantirne l’affidabilità. Nello specifico, la fornitura di tali servizi è soggetta ad una procedura di notifica, che si differenzia a seconda che si tratti di servizi di intermediazione tra le persone giuridiche titolari dei dati, di servizi di intermediazione tra interessati che intendono mettere a disposizione i propri dati personali, e di servizi di c.d. cooperative di dati^[8]. Tale fornitura, inoltre, è soggetta a diverse condizioni quali, tra le altre, i) il divieto per il fornitore di utilizzare i dati per i quali fornisce servizi per scopi diversi dalla messa a disposizione degli stessi ai relativi utenti, ii) procedure per prevenire pratiche fraudolente o abusive in relazione all’accesso ai dati da parte dei soggetti richiedenti, iii) misure tecniche, giuridiche ed organizzative al fine di impedire il trasferimento dei dati non personali, e iv) una procedura di accesso al servizio equa, trasparente e non discriminatoria, sia per i titolari che per gli utenti dei dati^[9]. Inoltre, è previsto un meccanismo di supervisione sulle attività dei fornitori di servizi di condivisione dei dati, la cui competenza è attribuita alle autorità nazionali designate dagli Stati Membri^[10].

In terzo luogo, la proposta si occupa anche del c.d. “altruismo dei dati”^[11], con norme volte a facilitare la condivisione volontaria dei dati da parte di persone fisiche e imprese, per finalità di interesse pubblico. Più particolarmente, gli enti che intendono raccogliere dati per finalità di interesse generale, e che soddisfano i requisiti di cui all’articolo 16^[12] del Regolamento, dovranno richiedere di essere iscritti nel registro delle “organizzazioni per l’altruismo dei dati riconosciute”^[13] e mantenere registri completi e accurati per quanto riguarda tutte le persone fisiche o giuridiche cui è stata data la possibilità di trattare i dati, la durata e la finalità del trattamento nonché le eventuali tariffe corrisposte da coloro che trattano i dati^[14]. Tali enti, inoltre, dovranno informare i titolari dei dati in merito, da un lato, alle finalità di interesse generale per le quali consentono il trattamento dei loro dati da parte di un utente e, dall’altro, ad eventuali trattamenti effettuati al di fuori dell’Unione^[15].

La proposta, infine, prevede l’istituzione di un Comitato europeo per l’innovazione in materia di dati incaricato, tra le altre, cose, di assistere e consigliare la Commissione nel rafforzamento dell’interoperabilità dei servizi di condivisione dei dati, nella gestione dei rapporti con le autorità nazionali nonché nello sviluppo di prassi coerenti degli enti pubblici e degli organismi competenti per il trattamento delle richieste di riutilizzo dei dati^[16].

Il testo oggetto dell’accordo tra Parlamento e Consiglio presenta alcune modifiche rispetto a quello originariamente proposto dalla Commissione, che tuttavia non ne alterano né la struttura né gli obiettivi.

Per quanto riguarda i rapporti con le disposizioni in materia di tutela dei dati personali di cui al Regolamento generale sulla protezione dei dati (General Data Protection Regulation, GDPR)^[17], l’accordo sembra accogliere alcune delle richieste avanzate dal Comitato europeo per la protezione dei dati (European Data Protection Board, EDPB) e dal Garante europeo della protezione dei dati (European Data Protection Supervisor, EDPS) nel loro parere congiunto del 10 marzo 2021^[18]. Più particolarmente, è stato inserito un nuovo comma nell’articolo 1 del Regolamento ove si precisa che le relative disposizioni non alterano in alcun modo gli obblighi previsti dal GDPR, e che in nessun caso il Regolamento stesso crea nuove basi giuridiche per il trattamento dei dati personali. Inoltre, sono state inserite le definizioni di “consenso” e “permesso” onde evitare che, come temuto dall’EDPB e dall’EDPS, quest’ultimo venga interpretato come una condizione alternativa al consenso dell’interessato per la condivisione dei dati piuttosto che come un requisito complementare.

Per quanto riguarda gli accordi di esclusiva, il nuovo testo del Regolamento prevede una riduzione della durata massima degli accordi consentiti, che da tre anni passerebbe a due anni e mezzo per quelli esistenti e a soli dodici mesi per quelli nuovi.

Per quanto riguarda gli enti pubblici, l’obbligo di assistere i riutilizzatori di dati pubblici a richiedere il consenso degli interessati e/o l’autorizzazione delle entità i cui diritti e interessi possono essere affetti da tale riutilizzo, è stato sostituito da un semplice impegno a fare il massimo possibile in tal senso.

L’accordo, infine, ha modificato la data di prima applicazione del Regolamento, che è stata portata a quindici mesi dalla sua entrata in vigore, invece dei dodici originariamente previsti, di modo tale da concedere agli Stati Membri un lasso di tempo sufficiente per prepararsi alla sua implementazione.

Il Data Governance Act dovrà ora essere approvato dal Parlamento e dal Consiglio e, una volta entrato in vigore, introdurrà novità di grande rilievo nelle società europee del ventunesimo secolo. Per la prima volta, infatti, verrà approvata una normativa direttamente applicabile negli Stati Membri e dedicata specificamente alla condivisione dei dati, destinata ad allargarsi con l’adozione degli atti delegati e di implementazione previsti dal regolamento stesso. L’utilizzo del regolamento per introdurre le nuove norme è destinato a consentire un perseguimento più efficace ed omogeneo degli obiettivi della Strategia europea per i dati per quanto riguarda lo sviluppo della data driven economy e la tutela dei diritti fondamentali dei cittadini. L’istituzione del Comitato europeo per l’innovazione in materia di dati, infine, garantirà una struttura istituzionale idonea ad offrire all’Unione strumenti ed infrastrutture normative altamente specializzati in un settore sempre più centrale per l’economia europea.

Scarica l’articolo