Il Consiglio dell’UE ha annunciato di aver raggiunto, unitamente al Parlamento europeo, un accordo su alcuni punti determinanti del Data Act, la cui approvazione definitiva appare sempre più vicina.
La presidenza del Consiglio e i rappresentanti del Parlamento Europeo, in particolare, hanno annunciato di aver raggiunto “un accordo provvisorio su un nuovo regolamento recante norme armonizzate in materia di accesso ed utilizzo equo dei dati”.
L’accordo raggiunto, afferma Erik Slottner, ministro svedese per la pubblica amministrazione, “accelererà la trasformazione digitale della nostra Unione. Una volta entrata in vigore, la legge sui dati sbloccherà il potenziale economico e sociale dei dati e delle tecnologie e contribuirà a un mercato interno dei dati. Rafforzerà il mercato unico, consentendo ai dati di circolare liberamente all’interno dell’UE e tra i settori a vantaggio dei nostri cittadini e delle nostre imprese”.
L’accordo attualmente raggiunto è da accogliersi positivamente alla luce delle difficoltà riscontrate dalla presidenza ceca nel corso del proprio mandato per “mediare una posizione comune”.
Dopo il Data Governance Act, si legge nel comunicato, “il regolamento sulla legge sui dati è la seconda principale iniziativa legislativa derivante dalla strategia europea della Commissione per i dati del febbraio 2020, che mira a rendere l’UE un leader nella nostra società basata sui dati”.
Mentre la legge sulla governance dei dati, infatti, “crea i processi e le strutture per facilitare la condivisione dei dati da parte di aziende, individui e settore pubblico”, il Data Act “chiarisce chi può creare valore dai dati e a quali condizioni. Si tratta di un principio digitale fondamentale che contribuirà a creare un’economia solida ed equa basata sui dati e guiderà la trasformazione digitale dell’UE entro il 2030. Porterà a servizi nuovi e innovativi e prezzi più competitivi per i servizi post-vendita e le riparazioni di oggetti connessi (“Internet of Things” / IoT)”.
Data Governance Act, via libera dal Consiglio UE alla nuova legge sul riutilizzo dei dati
Indice degli argomenti
Gli obiettivi del Data Act
Come anticipato in premessa, il Data Act si pone l’obiettivo di stabilire una serie di regole comuni che disciplinino la condivisione dei dati, sia personali che industriali/commerciali, e il loro riutilizzo in determinati settori.
Più nel dettaglio, il regolamento mira a:
- garantire l’equità nell’allocazione del valore dei dati tra gli attori dell’ambiente digitale;
- stimolare un mercato dei dati competitivo;
- aprire opportunità per l’innovazione basata sui dati;
- rendere i dati più accessibili a tutti.
Nella sua nuova formulazione, ancora da approvare, mira inoltre ad agevolare il cambio di fornitore di servizi di trattamento dei dati, istituisce salvaguardie contro il trasferimento illecito di dati da parte dei fornitori di servizi di cloud computing e prevede lo sviluppo di norme di interoperabilità per il riutilizzo dei dati tra diversi settori.
Come dichiarato nel comunicato, grazie a dette previsioni “la legge sui dati darà sia agli individui che alle aziende un maggiore controllo sui propri dati attraverso un diritto di portabilità rafforzato, copiando o trasferendo facilmente i dati da diversi servizi, in cui i dati vengono generati attraverso oggetti intelligenti, macchine e dispositivi. La nuova legislazione darà potere ai consumatori e alle aziende dando loro voce in capitolo su cosa si può fare con i dati generati dai loro prodotti connessi”.
In tal modo potranno essere contrastati più agevolmente fenomeni di abuso dei dati, in un mercato nel quale detti medesimi dati assumono sempre più valore.
I destinatari del regolamento sono individuati fra:
- i fabbricanti di prodotti e i fornitori di servizi connessi immessi nel mercato interno dell’UE, nonché gli utenti di tali prodotti o servizi;
- i titolari dei dati (c.d. data holders), che mettono gli stessi a disposizione dei c.d. data recipients nell’UE;
- i c.d. data recipients siti nell’UE a cui i dati sono resi disponibili;
- gli enti pubblici e le istituzioni, le agenzie o gli organismi dell’UE che chiedono ai titolari di rendere disponibili i dati in caso di eccezionale necessità;
- i fornitori di servizi di elaborazione dati (ad es. cloud) che li offrono a clienti nell’UE.
Data Act: punti essenziali dell’accordo
Secondo quanto riportato nel comunicato, nell’attesa di poter prendere visione di quella che sarà l’emendata proposta di regolamento, i punti principali dell’accordo raggiunto tra Consiglio e Parlamento sono essenzialmente 6.
In primo luogo, l’accordo politico raggiunto chiarisce quale sia il campo di applicazione del regolamento, che si pone l’obiettivo di consentire a tutti gli utenti di dispositivi interconnessi (siano essi destinati ad un utilizzo privato che industriale, come ad esempio gli elettrodomestici intelligenti o i macchinari industriali connessi alla rete che sono stati oggetto anche delle agevolazioni di Industria 4.0) di accedere ai dati che vengono generati dai dispositivi nel corso del loro utilizzo, “spesso raccolti esclusivamente da produttori e fornitori di servizi”. Tale previsione normativa consentirà anche agli utenti di avere un maggiore controllo sui propri dati, avendo piena comprensione delle informazioni condivise con produttori e fornitori.
Anche con riferimento ai dati generati dai dispositivi dell’internet of things (IoT), l’attenzione, nell’accordo, si è spostata dal prodotto stesso alle funzionalità dei dati che vengono raccolti dai prodotti connessi alla rete.
I clienti dei servizi cloud potranno, grazie al nuovo assetto di norme contenuto nel Data Act, per come sin qui emendato, passare efficacemente da un fornitore di servizi di trattamento dati all’altro e mettere in atto “ulteriori garanzie contro i trasferimenti illeciti di dati”.
Il testo dell’accordo, come riportato nel comunicato, contiene anche una serie di misure inerenti alla condivisione dei dati, alle ipotesi di risarcimento nei confronti degli interessati ed agli strumenti di risoluzione delle controversie. In particolare, “contiene misure volte a prevenire l’abuso degli squilibri contrattuali nei contratti di condivisione dei dati a causa di clausole contrattuali abusive imposte da una parte con una posizione contrattuale significativamente più forte”.
Non solo: il testo rende anche una serie di ulteriori orientamenti in merito a quello che potrebbe essere il ragionevole compenso da corrispondere alle imprese per la messa a disposizione, nei confronti dell’utente, dei dati.
Il testo dell’accordo non si limita ad approfondire la tutela dei dati personali, ma si preoccupa anche di garantire che vi sia un livello adeguato di protezione dei segreti commerciali e dei diritti di proprietà intellettuale, introducendo garanzie pertinenti contro possibili comportamenti abusivi attuati dai titolari dei dati.
Sono introdotti poi, per gli Enti pubblici, la Commissione, la Banca Centrale Europea e gli organismi dell’Unione Europea, dei meccanismi che consentono a detti enti di accedere e utilizzare, in specifiche circostanze, ai dati detenuti dal settore privato, purché si tratti di circostanze eccezionali, in particolare in caso di emergenza pubblica, come inondazioni e incendi, o per svolgere un compito di interesse pubblico.
Dette misure sono funzionali ad accelerare ed agevolare l’intervento delle autorità pubbliche dinanzi al verificarsi di circostanze di natura straordinaria, che interessano l’intera Comunità e consentono di offrire maggior tutela ai cittadini coinvolti nei descritti eventi straordinari.
Da ultimo, il nuovo testo, per come emendato dall’accordo e secondo quanto riportato nel citato comunicato, chiarisce in modo più approfondito l’interazione tra la legge sui dati e la legislazione orizzontale e settoriale esistente, come la legge sulla governance dei dati (Data Governance Act) e il Regolamento generale sulla protezione dei dati (RGPD).
Le critiche mosse al testo dell’accordo
A seguito dell’annuncio del nuovo accordo raggiunto, non sono mancate le critiche al Data Act ed al suo contenuto. In particolare, la Computer & Communications Industry Association (CCIA) ha affermato, con comunicato del 28.06.2023, che l’accordo politico raggiunto dai negoziatori del Parlamento europeo e del Consiglio dell’UE, seppur attuato nelle migliori delle intenzioni, “rischia di ostacolare l’innovazione basata sui dati”.
Sebbene l’obiettivo generale perseguito dal Data act sia quello “di consentire sia ai consumatori che alle aziende di spostare determinati set di dati senza soluzione di continuità da qualsiasi dispositivo connesso, comprese le app e il software utilizzati su tali dispositivi, a qualsiasi servizio di terze parti che desiderano”, allo stato attuale, secondo le ricostruzioni svolte dalla CCIA, limiterebbe la scelta dei consumatori.
Ciò in quanto l’accordo, per come strutturato, vieta agli utenti “di trasferire dati a dispositivi o servizi connessi di propria scelta, se questi sono gestiti da società designate “gatekeeper” ai sensi del Digital Markets Act (DMA), come le aziende tecnologiche popolari”.
Ciò comporterebbe “che qualsiasi azienda che riceve una richiesta di portabilità dei dati non sarebbe più in grado di rispettare il Regolamento generale sulla protezione dei dati (GDPR) se deve rifiutare tale richiesta sulla base del fatto che la legge sui dati non consente il trasferimento dei dati a servizi gestiti da un cosiddetto gatekeeper. Allo stesso modo, una società gatekeeper potrebbe non essere in grado di rispettare il proprio obbligo di garantire il diritto di portabilità dei dati degli utenti ai sensi del DMA”.
L’accordo mancherebbe anche di garanzie che impediscano ai concorrenti di sfruttare i dati raccolti da altri produttori di dispositivi e fornitori di servizi per attuare tattiche di concorrenza sleale. Mentre, infatti, “le imprese possono rifiutarsi di rivelare i loro segreti commerciali in casi limitati, le nuove norme non riescono a proteggere i segreti commerciali quando i rifiuti di accesso sono contestati. Questo, a sua volta, incentiverà le aziende a raccogliere meno dati e frenare le richieste di condivisione dei dati che potrebbero essere potenzialmente abusive”.
Da ultimo, le restrizioni imposte sui flussi di dati e sui servizi cloud rischiano di rendere nulle le decisioni di adeguatezza e gli altri meccanismi previsti dal GDPR per attuare trasferimenti di dati al di fuori dello Spazio Economico Europeo, ponendo “le basi per la progettazione e l’implementazione di requisiti di esclusione del mercato contro i fornitori di servizi cloud dell’UE e internazionali soggetti a leggi straniere”.
Le prossime tappe
Il Consiglio UE ha annunciato, nel medesimo comunicato, che l’accordo provvisorio attualmente raggiunto dovrà ora essere approvato in via definitiva dal Consiglio e dal Parlamento europeo. Una volta ottenuta l’approvazione, sarà dunque adottato da entrambe le istituzioni a seguito di una revisione giuridico-linguistica.
La prossima presidenza spagnola del Consiglio sottoporrà, inoltre, il testo all’approvazione dei rappresentanti degli Stati membri (Coreper).
