EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32023R2854
Regulation (EU) 2023/2854 of the European Parliament and of the Council of 13 December 2023 on harmonised rules on fair access to and use of data and amending Regulation (EU) 2017/2394 and Directive (EU) 2020/1828 (Data Act) (Text with EEA relevance)
Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (regolamento sui dati) (Testo rilevante ai fini del SEE)
Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (regolamento sui dati) (Testo rilevante ai fini del SEE)
PE/49/2023/REV/1
GU L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj (BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
Relation | Act | Comment | Subdivision concerned | From | To |
---|---|---|---|---|---|
Modifies | 32017R2394 | aggiunta | allegato punto 29 | 12/09/2025 | |
Modifies | 32020L1828 | aggiunta | allegato I punto 68 | 12/09/2025 |
![]() |
Gazzetta ufficiale |
IT Serie L |
2023/2854 |
22.12.2023 |
REGOLAMENTO (UE) 2023/2854 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
del 13 dicembre 2023
riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (regolamento sui dati)
(Testo rilevante ai fini del SEE)
IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 114,
vista la proposta della Commissione europea,
previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,
visto il parere della Banca centrale europea (1),
visto il parere del Comitato economico e sociale europeo (2),
visto il parere del Comitato delle regioni (3),
deliberando secondo la procedura legislativa ordinaria (4),
considerando quanto segue:
(1) |
Negli ultimi anni, le tecnologie basate sui dati hanno avuto effetti trasformativi su tutti i settori dell’economia. In particolare, la proliferazione di prodotti connessi a internet ha aumentato il volume e il valore potenziale dei dati per i consumatori, le imprese e la società. Dati interoperabili e di elevata qualità provenienti da diversi settori aumentano la competitività e l’innovazione e garantiscono una crescita economica sostenibile. Gli stessi dati possono essere utilizzati e riutilizzati per una varietà di scopi e in misura illimitata, senza alcuna perdita in termini di qualità o quantità. |
(2) |
Gli ostacoli alla condivisione dei dati impediscono un’allocazione ottimale dei dati a vantaggio della società. Tali ostacoli comprendono la mancanza di incentivi per i titolari dei dati a stipulare volontariamente accordi di condivisione dei dati, l’incertezza sui diritti e gli obblighi in relazione ai dati, i costi per la conclusione di contratti e l’implementazione di interfacce tecniche, l’elevato livello di frammentazione delle informazioni in silos di dati, la cattiva gestione dei metadati, l’assenza di norme per l’interoperabilità semantica e tecnica, le strozzature che impediscono l’accesso ai dati, la mancanza di prassi comuni di condivisione dei dati e l’abuso degli squilibri contrattuali per quanto riguarda l’accesso ai dati e il loro uso. |
(3) |
Nei settori caratterizzati dalla presenza di microimprese, piccole imprese e medie imprese di cui all’articolo 2 dell’allegato della raccomandazione 2003/361/CE della Commissione (5) (PMI) vi è spesso una mancanza di capacità e competenze digitali per raccogliere, analizzare e utilizzare i dati, e l’accesso è frequentemente limitato nei casi in cui sono detenuti da un unico operatore o a causa della mancanza di interoperabilità tra i dati, tra i servizi di dati o a livello transfrontaliero. |
(4) |
Al fine di rispondere alle necessità dell’economia digitale e di eliminare gli ostacoli al buon funzionamento del mercato interno dei dati, è necessario stabilire un quadro armonizzato che specifichi chi ha il diritto di utilizzare i dati di un prodotto o di un servizio correlato, a quali condizioni e su quale base. Di conseguenza, gli Stati membri non dovrebbero adottare o mantenere requisiti nazionali supplementari per le questioni che rientrano nell’ambito di applicazione del presente regolamento, salvo ove esplicitamente previsto da quest’ultimo, in quanto ciò inciderebbe sulla sua applicazione diretta e uniforme. Inoltre, l’azione a livello dell’Unione non dovrebbe pregiudicare gli obblighi e gli impegni contenuti negli accordi commerciali internazionali conclusi dall’Unione. |
(5) |
Il presente regolamento garantisce che gli utenti di un prodotto connesso o di un servizio correlato nell’Unione possano accedere tempestivamente ai dati generati dall’uso di tale prodotto connesso o servizio correlato e che tali utenti possano utilizzare i dati, anche condividendoli con terzi di loro scelta. Esso impone ai titolari dei dati l’obbligo di mettere i dati a disposizione degli utenti e dei terzi scelti dagli utenti in determinate circostanze. Garantisce inoltre che i titolari dei dati mettano i dati a disposizione dei destinatari dei dati nell’Unione a condizioni eque, ragionevoli e non discriminatori e in modo trasparente. Le norme di diritto privato sono fondamentali nel quadro generale della condivisione dei dati. Il presente regolamento adegua pertanto le norme di diritto contrattuale e impedisce lo sfruttamento degli squilibri contrattuali che ostacolano l’accesso equo ai dati e il loro utilizzo . Il presente regolamento garantisce inoltre che i titolari dei dati mettano a disposizione degli enti pubblici, della Commissione, della Banca centrale europea o degli organismi dell’Unione, ove vi sia una necessità eccezionale, i dati necessari per lo svolgimento di un compito specifico nell’interesse pubblico. Il presente regolamento mira altresì ad agevolare il passaggio tra servizi di trattamento dei dati e a migliorare l’interoperabilità dei dati e dei meccanismi e servizi di condivisione dei dati nell’Unione. È opportuno non interpretare il presente regolamento come un atto che riconosce o che conferisce ai titolari dei dati un nuovo diritto di utilizzare i dati generati dall’uso di un prodotto connesso o di un servizio correlato. |
(6) |
La generazione dei dati è il risultato delle azioni di almeno due soggetti, in particolare il progettista o il fabbricante di un prodotto connesso, che in molti casi può essere anche un fornitore di servizi correlati, e l’utente del prodotto connesso o del servizio correlato. Ciò solleva questioni di equità nell’economia digitale, in quanto i dati registrati dai prodotti connessi o dai servizi correlati costituiscono un input importante per i servizi post-vendita, ausiliari e di altro tipo. Al fine di realizzare gli importanti vantaggi economici dei dati, anche mediante la condivisione dei dati sulla base di accordi volontari e lo sviluppo di una creazione di valore basata sui dati da parte delle imprese dell’Unione, è preferibile adottare un approccio generale all’assegnazione dei diritti relativi all’accesso e all’uso dei dati rispetto alla concessione di diritti esclusivi di accesso e uso. Il presente regolamento prevede norme orizzontali cui potrebbero dar seguito il diritto dell’Unione o nazionale che affronti le situazioni specifiche dei settori pertinenti. |
(7) |
Il diritto fondamentale alla protezione dei dati personali è garantito in particolare dai regolamenti (UE) 2016/679 (6) e (UE) 2018/1725 (7) del Parlamento europeo e del Consiglio. La direttiva 2002/58/CE del Parlamento europeo e del Consiglio (8) tutela inoltre la vita privata e la riservatezza delle comunicazioni, definendo anche condizioni per l’archiviazione dei dati personali e non personali nelle apparecchiature terminali e per l’accesso agli stessi da tali apparecchiature. Tali atti legislativi dell’Unione costituiscono la base per un trattamento sostenibile e responsabile dei dati, anche nei casi in cui gli insiemi di dati comprendono una combinazione di dati personali e non personali. Il presente regolamento integra e lascia impregiudicato il diritto dell’Unione in materia di protezione dei dati personali e della vita privata, in particolare i regolamenti (UE) 2016/679 e (UE) 2018/1725 e la direttiva 2002/58/CE. Nessuna disposizione del presente regolamento dovrebbe essere applicata o interpretata in modo da ridurre o limitare il diritto alla protezione dei dati personali o il diritto alla vita privata e alla riservatezza delle comunicazioni. Qualsiasi trattamento di dati personali a norma del presente regolamento dovrebbe rispettare il diritto dell’Unione in materia di protezione dei dati, tra cui il requisito di una valida base giuridica del trattamento a norma dell’articolo 6 del regolamento (UE) 2016/679 e, se del caso, e le condizioni di cui all’articolo 9 di tale regolamento e all’articolo 5, paragrafo 3, della direttiva 2002/58/CE. Il presente regolamento non costituisce una base giuridica per la raccolta o la generazione di dati personali da parte del titolare dei dati. Il presente regolamento impone ai titolari dei dati l’obbligo, dietro richiesta di un utente, di mettere i dati personali a disposizione degli utenti o di terzi scelti dall’utente. Tale accesso dovrebbe essere fornito ai dati personali trattati dal titolare dei dati sulla scorta di una delle basi giuridiche di cui all’articolo 6 del regolamento (UE) 2016/679. Se l’utente non è l’interessato, il presente regolamento non costituisce una base giuridica per consentire l’accesso ai dati personali o per mettere i dati personali a disposizione di terzi e non dovrebbe essere inteso nel senso che conferisce al titolare dei dati un nuovo diritto di utilizzare i dati personali generati dall’uso di un prodotto connesso o di un servizio correlato. In tali casi potrebbe essere nell’interesse dell’utente facilitare il rispetto dei requisiti di cui all’articolo 6 del regolamento (UE) 2016/679. Poiché il presente regolamento non dovrebbe ledere i diritti alla protezione dei dati degli interessati, in tali casi il titolare dei dati può dar seguito alle richieste, tra l’altro, anonimizzando i dati personali o, nel caso in cui i dati prontamente disponibili contengano dati personali di più interessati, trasmettendo solo i dati personali relativi all’utente. |
(8) |
I principi della minimizzazione dei dati e della protezione dei dati fin dalla progettazione e per impostazione predefinita sono essenziali quando il trattamento comporta rischi significativi per i diritti fondamentali delle persone. Tenendo conto dello stato dell’arte, tutte le parti coinvolte nella condivisione dei dati, comprese le condivisioni rientranti nell’ambito di applicazione del presente regolamento, dovrebbero attuare misure tecniche e organizzative per tutelare tali diritti. Tali misure comprendono non solo la pseudonimizzazione e la cifratura, ma anche l’uso di tecnologie sempre più disponibili che consentono di applicare gli algoritmi ai dati e di ricavare informazioni preziose senza la trasmissione tra le parti o la copia non necessaria dei dati stessi, siano essi grezzi o strutturati. |
(9) |
Salvo che disponga altrimenti, il presente regolamento non pregiudica il diritto contrattuale nazionale, comprese le norme sulla formazione, la validità o l’efficacia dei contratti, o le conseguenze della risoluzione di un contratto. Il presente regolamento integra e lascia impregiudicato il diritto dell’Unione volto a promuovere gli interessi dei consumatori e a garantire un livello elevato di protezione dei consumatori, nonché a proteggere la loro salute, la loro sicurezza e i loro interessi economici, in particolare la direttiva 93/13/CEE del Consiglio (9) e le direttive 2005/29/CE (10) e 2011/83/UE (11) del Parlamento europeo e del Consiglio. |
(10) |
Il presente regolamento lascia impregiudicati gli atti giuridici dell’Unione e nazionali che prevedono la condivisione, l’accesso e l’utilizzo dei dati a fini di prevenzione, indagine, accertamento o perseguimento di reati o allo scopo di eseguire sanzioni penali, o a fini doganali e fiscali, indipendentemente dalla base giuridica ai sensi del trattato sul funzionamento dell’Unione europea (TFUE) sulla quale tali atti dell’Unione sono stati adottati, nonché la cooperazione internazionale in tale settore, in particolare sulla base della Convenzione del Consiglio d’Europa sulla criminalità informatica (STE n. 185), firmata a Budapest il 23 novembre 2001. Tali atti comprendono i regolamenti (UE) 2021/784 (12), (UE) 2022/2065 (13) e (UE) 2023/1543 (14) del Parlamento europeo e del Consiglio e la direttiva (UE) 2023/1544 del Parlamento europeo e del Consiglio (15). Il presente regolamento non si applica alla raccolta o alla condivisione, all’accesso o all’utilizzo di dati a norma del regolamento (UE) 2015/847 del Parlamento europeo e del Consiglio (16) e della direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio (17). Il presente regolamento non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e in ogni caso non pregiudica le competenze degli Stati membri in materia di pubblica sicurezza, difesa o sicurezza nazionale, amministrazione doganale e fiscale o salute e sicurezza dei cittadini, indipendentemente dal tipo di entità incaricata dagli Stati membri di svolgere compiti in relazione a tali competenze. |
(11) |
Fatte salve disposizioni specifiche del presente regolamento, il diritto dell’Unione che stabilisce requisiti in materia di progettazione fisica e di dati per i prodotti da immettere sul mercato dell’Unione dovrebbe rimanere impregiudicato. |
(12) |
Il presente regolamento integra e lascia impregiudicato il diritto dell’Unione volto a stabilire requisiti di accessibilità per determinati prodotti e servizi, in particolare la direttiva (UE) 2019/882 del Parlamento europeo e del Consiglio (18). |
(13) |
Il presente regolamento lascia impregiudicati gli atti giuridici dell’Unione e nazionali che prevedono la protezione dei diritti di proprietà intellettuale, comprese le direttive 2001/29/CE (19), 2004/48/CE (20) e (UE) 2019/790 (21) del Parlamento europeo e del Consiglio. |
(14) |
Fatta eccezione per i prototipi, i prodotti connessi che ottengono, generano o raccolgono, mediante i loro componenti o sistemi operativi, dati relativi alle loro prestazioni, al loro uso o al loro ambiente e che sono in grado di comunicare tali dati tramite un servizio di comunicazione elettronica, una connessione fisica o l’accesso su dispositivo, spesso denominati «internet delle cose», dovrebbero rientrare nell’ambito di applicazione del presente regolamento. Esempi di tali servizi di comunicazione elettronica comprendono, in particolare, le reti telefoniche terrestri, le reti televisive via cavo, le reti satellitari e le reti di comunicazione in prossimità (NFC). I prodotti connessi sono presenti in tutti gli aspetti dell’economia e della società, tra cui infrastrutture private, civili o commerciali, veicoli, attrezzature sanitarie e legate allo stile di vita, navi, aeromobili, apparecchiature domestiche e beni di consumo, dispositivi medici e sanitari o macchine agricole e industriali. Le scelte di progettazione dei fabbricanti e, se del caso, il diritto dell’Unione o nazionale volto a rispondere alle esigenze specifiche del settore e gli obiettivi o le pertinenti decisioni delle autorità competenti dovrebbero determinare quali dati un prodotto connesso è in grado di mettere a disposizione. |
(15) |
I dati rappresentano la digitalizzazione delle azioni e degli eventi degli utenti e dovrebbero pertanto essere accessibili all’utente. Le norme per l’accesso ai dati provenienti da prodotti connessi e servizi correlati e per il loro utilizzo ai sensi del presente regolamento riguardano sia i dati del prodotto sia i dati del servizio correlato. Con il termine «dati del prodotto» si fa riferimento ai dati generati dall’uso di un prodotto connesso e progettati dal fabbricante in modo tale che un utente, il titolare dei dati o terzi, compreso se del caso il fabbricante, possano reperirli dal prodotto connesso. Con il termine «dati del servizio correlato» si fa riferimento ai dati che rappresentano altresì la digitalizzazione delle azioni o degli eventi degli utenti relativi al prodotto connesso e che sono generati durante la fornitura di un servizio correlato da parte del fornitore. I dati generati dall’uso di un prodotto connesso o di un servizio correlato dovrebbero essere intesi come dati registrati intenzionalmente o dati che derivano indirettamente dall’azione dell’utente, ad esempio i dati relativi all’ambiente o alle interazioni del prodotto connesso. Ciò dovrebbe comprendere i dati sull’uso di un prodotto connesso generati da un’interfaccia utente o tramite un servizio correlato e non dovrebbe limitarsi all’informazione relativa al fatto che tale uso è avvenuto, ma dovrebbe comprendere tutti i dati generati dal prodotto connesso a seguito di tale uso, ad esempio i dati generati automaticamente da sensori e i dati registrati da applicazioni incorporate, incluse le applicazioni indicanti lo stato dell’hardware e i malfunzionamenti. Dovrebbe altresì comprendere i dati generati dal prodotto connesso o dal servizio correlato durante i periodi di inattività dell’utente, ad esempio quando quest’ultimo sceglie di non utilizzare un prodotto connesso per un determinato periodo di tempo ma di tenerlo in modalità stand-by o addirittura spento, in quanto lo stato di un prodotto connesso o dei suoi componenti, ad esempio le batterie, può variare quando il prodotto connesso è in modalità stand-by o spento. I dati che non sono modificati in modo sostanziale, ossia i dati in forma grezza, noti anche come dati fonte o dati primari che si riferiscono a punti di dati generati automaticamente senza alcuna ulteriore forma di trattamento, e i dati che sono stati pretrattati al fine di renderli comprensibili e utilizzabili prima di ulteriori operazioni di trattamento e analisi rientrano nell’ambito di applicazione del presente regolamento. Tali dati comprendono i dati raccolti da un unico sensore o da un gruppo connesso di sensori al fine di rendere i dati raccolti comprensibili per casi d’uso più ampi, determinando una quantità o una qualità fisica o la modifica di una quantità fisica, quale la temperatura, la pressione, la portata, l’audio, il valore del pH, il livello del liquido, la posizione, l’accelerazione o la velocità. Il termine «dati pretrattati» non dovrebbe essere interpretato in modo da imporre al titolare dei dati l’obbligo di effettuare investimenti sostanziali nella pulizia e nella trasformazione dei dati. I dati messi a disposizione dovrebbero comprendere i pertinenti metadati, inclusi il contesto di base e la marca temporale, al fine di rendere i dati utilizzabili, in combinazione con altri dati, come i dati ordinati e classificati con altri punti di dati ad essi relativi, o riformattati in un formato di uso comune. Tali dati sono potenzialmente preziosi per l’utente e sostengono l’innovazione e lo sviluppo di servizi digitali e di altro tipo per tutelare l’ambiente, la salute e l’economia circolare, anche agevolando la manutenzione e la riparazione dei prodotti connessi in questione. Per contro, le informazioni dedotte o ricavate da tali dati, che sono il risultato di ulteriori investimenti nell’attribuzione di valori o informazioni derivanti dai dati, in particolare mediante algoritmi proprietari complessi, compresi quelli appartenenti a un software proprietario, dovrebbero essere considerate escluse dall’ambito di applicazione del presente regolamento e, di conseguenza, non essere soggette all’obbligo del titolare dei dati di metterle a disposizione di un utente o di un destinatario dei dati, salvo diverso accordo tra l’utente e il titolare dei dati. Tali dati potrebbero comprendere in particolare le informazioni ricavate dall’integrazione dei sensori, che consente di dedurre o ricavare i dati da più sensori, raccolti nel prodotto connesso, utilizzando algoritmi proprietari complessi, e che potrebbero essere soggetti a diritti di proprietà intellettuale. |
(16) |
Il presente regolamento consente agli utenti di prodotti connessi di beneficiare di servizi post-vendita, ausiliari e di altro tipo sulla base dei dati raccolti dai sensori incorporati in tali prodotti, in quanto la raccolta di tali dati è potenzialmente utile per il miglioramento delle prestazioni dei prodotti connessi. È importante distinguere tra i mercati per la fornitura di tali prodotti connessi dotati di sensori e servizi correlati, da un lato, e i mercati per i software e i contenuti non correlati, come i contenuti testuali, audio o audiovisivi spesso soggetti a diritti di proprietà intellettuale, dall’altro. Di conseguenza, i dati generati da tali prodotti connessi dotati di sensori quando l’utente registra, trasmette, visualizza o riproduce contenuti, nonché i contenuti stessi, spesso soggetti a diritti di proprietà intellettuale, anche per l’uso da parte di un servizio online, non dovrebbero rientrare nell’ambito di applicazione del presente regolamento. Il presente regolamento non dovrebbe inoltre applicarsi ai dati ottenuti, generati o consultati dal prodotto connesso, o ad esso trasmessi, a fini di archiviazione o altre operazioni di trattamento per conto di altre parti diverse dall’utente, come nel caso di server o infrastrutture cloud gestiti dai rispettivi proprietari interamente per conto di terzi, anche per uso da parte di un servizio online. |
(17) |
È necessario stabilire norme relative ai prodotti che sono connessi a un servizio correlato al momento dell’acquisto, della locazione o del noleggio in modo tale che la sua assenza impedirebbe al prodotto connesso di svolgere una o più delle sue funzioni, oppure che è successivamente connesso al prodotto dal fabbricante o da un terzo al fine di ampliare o adattare la funzionalità del prodotto connesso. Tali servizi correlati comportano lo scambio di dati tra il prodotto connesso e il fornitore del servizio e dovrebbero essere intesi come esplicitamente collegati all’attivazione delle funzioni del prodotto connesso, come i servizi che, se del caso, trasmettono comandi al prodotto connesso che sono in grado di influenzarne l’azione e il comportamento. I servizi che non incidono sul funzionamento del prodotto connesso e che non comportano la trasmissione di dati o comandi al prodotto connesso da parte del fornitore del servizio non dovrebbero essere considerati servizi correlati. Tali servizi potrebbero includere, ad esempio, servizi ausiliari di consulenza, di analisi o finanziari o regolari servizi di riparazione e manutenzione. I servizi correlati possono essere offerti come parte del contratto di compravendita, di locazione o di noleggio. I servizi correlati potrebbero anche essere forniti per prodotti dello stesso tipo e gli utenti potrebbero ragionevolmente aspettarsi che siano forniti in considerazione della natura del prodotto connesso e di qualsiasi dichiarazione pubblica resa dal venditore, dal locatore, dal noleggiante o da altre persone nei precedenti anelli della catena di transazioni commerciali, compreso il fabbricante, o per loro conto. Tali servizi correlati possono generare essi stessi dati utili per l’utente indipendentemente dalle capacità di raccolta dei dati del prodotto connesso con il quale sono interconnessi. Il presente regolamento dovrebbe applicarsi anche a un servizio correlato che non è fornito dal venditore, dal locatore o dal noleggiante stesso, bensì da un terzo. In caso di dubbi sul fatto che la fornitura del servizio faccia parte del contratto di compravendita, di locazione o di noleggio, è opportuno applicare il presente regolamento. Ai sensi del presente regolamento, non si considerano servizi correlati né l’approvvigionamento di energia né la fornitura di connettività. |
(18) |
L’utente di un prodotto connesso dovrebbe essere inteso come una persona fisica o giuridica, ad esempio un’impresa, un consumatore o un ente pubblico, che è proprietario di un prodotto connesso, ha ricevuto determinati diritti temporanei, ad esempio in virtù di un contratto di locazione o di noleggio, per accedere ai dati ottenuti dal prodotto connesso o per utilizzarli, o che riceve servizi correlati per il prodotto connesso. Tali diritti di accesso non dovrebbero modificare né pregiudicare in alcun modo i diritti degli interessati che eventualmente interagiscono con un prodotto connesso o un servizio correlato per quanto riguarda i dati personali generati dal prodotto connesso o durante la fornitura del servizio correlato. L’utente sopporta i rischi e gode dei vantaggi derivanti dall’uso del prodotto connesso e dovrebbe beneficiare anche dell’accesso ai dati che esso genera. L’utente dovrebbe pertanto avere il diritto di trarre vantaggio dai dati generati da tale prodotto connesso e da qualsiasi servizio correlato. Un proprietario, locatario o noleggiante dovrebbe altresì essere considerato un utente, anche quando più entità possono essere considerate utenti. In presenza di più utenti, ciascun utente può contribuire in modo diverso alla generazione dei dati ed essere interessato a varie forme di utilizzo, come la gestione della flotta per un’impresa di leasing o soluzioni di mobilità per le persone che utilizzano un servizio di car sharing. |
(19) |
Per «alfabetizzazione in materia di dati» si intendono le competenze, le conoscenze e la comprensione che consentono agli utenti, ai consumatori e alle imprese, in particolare le PMI che rientrano nell’ambito di applicazione del presente regolamento, di acquisire consapevolezza in merito al valore potenziale dei dati da essi generati, prodotti e condivisi e ai quali sono motivate a offrire e fornire accesso conformemente alle pertinenti norme giuridiche. L’alfabetizzazione in materia di dati dovrebbe andare oltre l’apprendimento di strumenti e tecnologie e mirare a dotare i cittadini e le imprese della capacità di beneficiare di un mercato dei dati inclusivo ed equo. La diffusione di misure di alfabetizzazione in materia di dati e l’introduzione di adeguate azioni di seguito potrebbero contribuire a migliorare le condizioni di lavoro e, in ultima analisi, sostenere il consolidamento e il percorso di innovazione dell’economia dei dati nell’Unione. Le autorità competenti dovrebbero promuovere strumenti e adottare misure volte a migliorare l’alfabetizzazione in materia di dati tra gli utenti e le entità che rientrano nell’ambito di applicazione del presente regolamento e la consapevolezza dei loro diritti e obblighi che ne derivano. |
(20) |
Nella pratica, non tutti i dati generati dai prodotti connessi o dai servizi correlati sono facilmente accessibili agli utenti e le possibilità relative alla portabilità dei dati generati da prodotti connessi a internet sono spesso limitate . Gli utenti non sono in grado di ottenere i dati necessari per avvalersi dei fornitori di servizi di riparazione e di altri servizi e le imprese non sono in grado di introdurre servizi innovativi, convenienti e più efficienti. In molti settori i fabbricanti sono in grado di determinare, attraverso il controllo della progettazione tecnica dei prodotti connesso o dei servizi correlati, quali dati sono generati e le modalità per potervi accedere, anche se non hanno alcun diritto legale a tali dati. È pertanto necessario garantire che i prodotti connessi siano progettati e fabbricati e che i servizi correlati siano progettati e forniti in modo tale che i dati del prodotto e del servizio correlato, compresi i pertinenti metadati necessari per interpretare e utilizzare tali dati, anche al fine di reperirli, utilizzarli o condividerli, siano sempre accessibili in modo facile e sicuro a un utente, a titolo gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico. I dati del prodotto e i dati di un servizio correlato che un titolare dei dati ottiene o può ottenere legittimamente dal prodotto connesso o dal servizio correlato, ad esempio attraverso la progettazione del prodotto connesso, il contratto del titolare dei dati con l’utente per la fornitura dei servizi correlati e i mezzi tecnici per accedere ai dati, senza che ciò implichi uno sforzo sproporzionato, sono definiti «dati prontamente disponibili». I dati prontamente disponibili non includono i dati generati dall’uso di un prodotto connesso quando la progettazione del prodotto non prevede che tali dati siano archiviati o trasmessi al di fuori del componente in cui sono generati o del prodotto connesso nel suo complesso. Il presente regolamento non dovrebbe pertanto essere inteso in modo da imporre l’obbligo di archiviare i dati nell’unità di calcolo centrale di un prodotto connesso. L’assenza di tale obbligo non dovrebbe impedire al fabbricante o al titolare dei dati di concordare volontariamente con l’utente di procedere a tali adattamenti. Gli obblighi di progettazione di cui al presente regolamento non pregiudicano inoltre il principio della minimizzazione dei dati sancito dall’articolo 5, paragrafo 1, lettera c), del regolamento (UE) 2016/679 e non dovrebbero essere intesi nel senso di imporre l’obbligo di progettare prodotti connessi e servizi correlati in modo tale da archiviare o altrimenti trattare dati personali diversi dai dati personali necessari rispetto alle finalità per le quali sono trattati. Si potrebbero introdurre norme di diritto dell’Unione o nazionale per indicare ulteriori specificità, come i dati del prodotto che dovrebbero essere accessibili da prodotti connessi o servizi correlati, poiché tali dati possono essere essenziali per il funzionamento, la riparazione o la manutenzione efficienti di tali prodotti connessi o servizi correlati. Qualora successivi aggiornamenti o modifiche di un prodotto connesso o di un servizio correlato, a opera del fabbricante o di un’altra parte, comportino dati accessibili aggiuntivi o una limitazione dei dati inizialmente accessibili, tali modifiche dovrebbero essere comunicate all’utente nel contesto dell’aggiornamento o della modifica. |
(21) |
Laddove più persone o entità siano considerate utenti, ad esempio in caso di comproprietà o laddove un proprietario, locatario o noleggiatore condivida diritti di accesso ai dati o di utilizzo degli stessi, la progettazione del prodotto connesso o del servizio correlato o dell’interfaccia pertinente dovrebbe consentire a tutti gli utenti di avere accesso ai dati che generano. All’ utente di prodotti connessi che generano dati è in genere richiesto di creare un account utente. Tale account consente l’identificazione dell’utente da parte del titolare dei dati, che può essere il fabbricante. Può anche essere utilizzato come mezzo di comunicazione e per presentare e trattare richieste di accesso ai dati. Nel caso in cui più fabbricanti o fornitori di servizi correlati abbiano venduto, dato in locazione o noleggiato prodotti connessi o fornito servizi correlati, integrati insieme, allo stesso utente, l’utente dovrebbe rivolgersi a ciascuna delle parti con cui ha concluso un contratto. I fabbricanti o i progettisti di un prodotto connesso generalmente utilizzato da più persone dovrebbero porre in essere i meccanismi necessari per consentire, se del caso, account utente separati per le singole persone o la possibilità per più persone di utilizzare lo stesso account utente. Le soluzioni per gli account dovrebbero consentire agli utenti di eliminare i propri account e cancellare i dati ad essi connessi e potrebbero consentire agli utenti di interrompere l’accesso ai dati, il loro utilizzo o la loro condivisione o di presentare richieste di interruzione, in particolare tenendo conto delle situazioni in cui la proprietà o l’uso del prodotto connesso cambiano. L’accesso dovrebbe essere accordato all’utente su semplice richiesta, tramite un meccanismo che consenta l’esecuzione automatica e non richieda un esame o un’autorizzazione da parte del fabbricante o del titolare dei dati. Ciò significa che i dati dovrebbero essere messi a disposizione solo quando l’utente desidera effettivamente l’accesso. Qualora l’esecuzione automatizzata della richiesta di accesso ai dati non sia possibile, ad esempio attraverso un account utente o un’applicazione mobile complementare fornita con il prodotto connesso o il servizio correlato, il fabbricante dovrebbe informare l’utente in merito alle modalità di accesso ai dati. |
(22) |
I prodotti connessi possono essere progettati in modo da rendere alcuni dati direttamente accessibili da un archivio dati sul dispositivo o da un server remoto al quale i dati sono comunicati. L’accesso all’archivio dati sul dispositivo può essere consentito tramite reti locali via cavo o senza fili collegate a un servizio di comunicazione elettronica accessibile al pubblico o a una rete mobile. Il server può essere il server locale del fabbricante o quello di un terzo o di un fornitore di servizi cloud. Si ritiene che i responsabili del trattamento quali definiti all’articolo 2, punto 8), del regolamento (UE) 2016/679 non fungano da titolari dei dati. Tuttavia, essi possono essere specificamente incaricati dal titolare del trattamento, quale definito all’articolo 2, punto 7), del regolamento (UE) 2016/679, di rendere i dati disponibili. I prodotti connessi possono essere progettati in modo da consentire all’utente o a un terzo di trattare i dati del prodotto connesso, su un’istanza di calcolo del fabbricante o in un ambiente di tecnologia dell’informazione (IT) scelti dall’utente o dal terzo. |
(23) |
Gli assistenti virtuali svolgono un ruolo crescente nella digitalizzazione degli ambienti dei consumatori e professionali e fungono da interfaccia di facile utilizzo per riprodurre contenuti, ottenere informazioni o attivare prodotti connessi a internet . Gli assistenti virtuali possono fungere da punto di accesso unico, ad esempio, in un ambiente domestico intelligente e registrare quantità significative di dati pertinenti sul modo in cui gli utenti interagiscono con i prodotti connessi a internet , compresi quelli fabbricati da altre parti; possono inoltre sostituire l’uso di interfacce fornite dal fabbricante quali schermi tattili o applicazioni per smartphone. L’utente potrebbe voler mettere tali dati a disposizione di fabbricanti terzi e consentire così la realizzazione di nuovi servizi intelligenti. Gli assistenti virtuali dovrebbero essere contemplati dai diritti di accesso ai dati di cui al presente regolamento. Dovrebbero essere contemplati dai diritti di accesso ai dati di cui al presente regolamento anche i dati generati quando un utente interagisce con un prodotto connesso tramite un assistente virtuale fornito da un’entità diversa dal fabbricante del prodotto connesso. Tuttavia, solo i dati derivanti dall’interazione tra l’utente e un prodotto connesso o un servizio correlato attraverso l’assistente virtuale dovrebbero rientrare nell’ambito di applicazione del presente regolamento. I dati prodotti dall’assistente virtuale non correlati all’uso di un prodotto connesso o di un servizio correlato non rientrano nell’ambito di applicazione del presente regolamento. |
(24) |
Prima di concludere un contratto per l’acquisto, la locazione o il noleggio di un prodotto connesso, è opportuno che il venditore, il locatore o il noleggiante, che può essere il fabbricante, fornisca all’utente informazioni sui dati del prodotto che il prodotto connesso può generare, compresi il tipo, il formato e il volume stimato di tali dati, in modo chiaro e comprensibile. Tra queste potrebbero rientrare informazioni sulle strutture e i formati dei dati, i vocabolari, gli schemi di classificazione, le tassonomie e gli elenchi dei codici, ove disponibili, nonché informazioni chiare e sufficienti pertinenti per l’esercizio dei diritti dell’utente sulle modalità di archiviazione e reperimento dei dati o di accesso agli stessi, comprese le condizioni di utilizzo e la qualità del servizio delle interfacce di programmazione delle applicazioni oppure, se del caso, la fornitura di kit di sviluppo software. Tale obbligo garantisce la trasparenza dei dati del prodotto generati e migliora la facilità di accesso per l’utente. L’obbligo di informazione potrebbe essere soddisfatto, ad esempio, mantenendo un identificatore uniforme di risorse (URL) stabile sul web, distribuibile come link web o codice QR, che conduce alle informazioni pertinenti e che il venditore, il locatore o il noleggiante, che può essere il fabbricante, potrebbe fornire all’utente prima della conclusione del contratto di acquisto, locazione o noleggio di un prodotto connesso. In ogni caso, è necessario che l’utente possa archiviare le informazioni in modo che siano accessibili per consultazione futura e in modo da consentire la riproduzione inalterata delle informazioni conservate. Non ci si può attendere che il titolare dei dati conservi i dati a tempo indeterminato in considerazione delle esigenze dell’utente del prodotto connesso; tuttavia, tale titolare dovrebbe attuare una ragionevole politica di conservazione dei dati, se del caso, in linea con il principio di limitazione della conservazione di cui all’articolo 5, paragrafo1, lettera e), del regolamento (UE) 2016/679, che consenta l’effettiva applicazione dei diritti di accesso ai dati di cui al presente regolamento. L’obbligo di fornire informazioni non pregiudica l’obbligo per il titolare del trattamento di fornire informazioni all’interessato ai sensi degli articoli 12, 13 e 14 del regolamento (UE) 2016/679. L’obbligo di fornire informazioni prima della conclusione di un contratto per la fornitura di un servizio correlato dovrebbe incombere al potenziale titolare dei dati, indipendentemente dal fatto che il titolare dei dati concluda un contratto di acquisto, locazione o noleggio di un prodotto connesso. Le informazioni dovrebbero essere fornite all’utente anche in caso di variazione delle stesse nel corso della durata di vita del prodotto connesso o del periodo contrattuale per il servizio correlato, in particolare laddove la finalità per la quale tali dati devono essere utilizzati cambi rispetto alla finalità originariamente specificata. |
(25) |
È opportuno non considerare il presente regolamento come un atto che conferisce ai titolari dei dati un nuovo diritto di utilizzare i dati del prodotto o di un servizio correlato. Se il fabbricante di un prodotto connesso è un titolare dei dati, la base per l’utilizzo di dati non personali da parte del fabbricante dovrebbe essere un contratto tra il fabbricante e l’utente. Tale contratto dovrebbe far parte di un accordo per la fornitura del servizio correlato, che può essere fornito unitamente al contratto di vendita, di locazione o di noleggio relativo al prodotto connesso. Qualsiasi clausola contrattuale che preveda che il titolare dei dati possa utilizzare i dati del prodotto o di un servizio correlato dovrebbe essere trasparente per l’utente, anche per quanto riguarda le finalità per le quali il titolare dei dati intende utilizzare i dati. Tali finalità potrebbero includere il miglioramento del funzionamento del prodotto connesso o dei servizi correlati, lo sviluppo di nuovi prodotti o servizi o l’aggregazione di dati allo scopo di mettere a disposizione di terzi i dati derivati ottenuti, a condizione che tali dati derivati non consentano l’identificazione di dati specifici trasmessi al titolare dei dati dal prodotto connesso o consentano a terzi di ricavare tali dati dall’insieme di dati. Qualsiasi modifica del contratto dovrebbe essere subordinata al consenso informato dell’utente. Il presente regolamento non preclude alle parti di convenire condizioni contrattuali che abbiano l’effetto di escludere o limitare l’uso dei dati non personali, o di talune categorie di dati non personali, da parte del titolare dei dati. Inoltre, non preclude alle parti di convenire di mettere a disposizione di terzi, direttamente o indirettamente, anche, se del caso, tramite un altro titolare dei dati, i dati del prodotto o di un servizio correlato. Il presente regolamento non preclude altresì requisiti normativi settoriali specifici ai sensi del diritto dell’Unione, o del diritto nazionale compatibile con il diritto dell’Unione, che escluderebbero o limiterebbero l’uso di alcuni di tali dati da parte del titolare dei dati per motivi ben definiti di ordine pubblico. Il presente regolamento non impedisce agli utenti, nel caso di relazioni tra imprese, di mettere i dati a disposizione di terzi o dei titolari dei dati a qualsiasi clausola contrattuale lecita, anche accettando di limitare o circoscrivere l’ulteriore condivisione di tali dati o di ricevere un compenso proporzionale, ad esempio in cambio della rinuncia al diritto di utilizzare o condividere tali dati. Sebbene la nozione di «titolare dei dati» non comprenda generalmente gli enti pubblici, può includere le imprese pubbliche. |
(26) |
Per favorire l’emergere di mercati liquidi, equi ed efficienti per i dati non personali, gli utenti dei prodotti connessi dovrebbero poter condividere i dati con altri, anche a fini commerciali, con uno sforzo giuridico e tecnico minimo. Attualmente è spesso difficile per le imprese giustificare i costi per il personale o per l’informatica necessari per preparare insiemi di dati non personali o prodotti di dati e offrirli a potenziali controparti attraverso i servizi di intermediazione dei dati, compresi i mercati dei dati. Un ostacolo sostanziale alla condivisione dei dati non personali da parte delle imprese dipende pertanto dalla mancanza di prevedibilità dei rendimenti economici derivanti dagli investimenti nella cura e nella messa a disposizione degli insiemi di dati o dei prodotti di dati. Affinché nell’Unione emergano mercati liquidi, equi ed efficienti per i dati non personali è necessario chiarire quale soggetto ha il diritto di offrire tali dati su un mercato. Gli utenti dovrebbero pertanto avere il diritto di condividere dati non personali con destinatari dei dati per finalità commerciali e non commerciali. Tale condivisione dei dati potrebbe essere effettuata direttamente dall’utente mediante un titolare dei dati su richiesta dell’utente o mediante servizi di intermediazione dei dati. I servizi di intermediazione dei dati, disciplinati dal regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio (22), potrebbero agevolare l’economia dei dati instaurando relazioni commerciali tra utenti, destinatari dei dati e terzi e possono aiutare gli utenti a esercitare il loro diritto di utilizzare i dati, ad esempio garantendo l’ anonimizzazione dei dati personali o l’aggregazione dell’accesso ad essi da parte di molteplici singoli utenti. Qualora l’obbligo di un titolare dei dati di metterli a disposizione degli utenti o di terzi non si applichi a determinati dati, la portata dei dati in questione potrebbe essere specificata nel contratto concluso tra l’utente e il titolare dei dati per la fornitura di un servizio correlato, in modo che gli utenti possano determinare facilmente quali dati possono condividere con i destinatari dei dati o con terzi. I titolari dei dati non dovrebbero mettere a disposizione di terzi i dati del prodotto non personali a fini commerciali o non commerciali diversi dall’esecuzione del loro contratto con l’utente, fatti salvi gli obblighi giuridici ai sensi del diritto dell’Unione o nazionale che impongono a un titolare dei dati di mettere i dati a disposizione. Se del caso, i titolari dei dati dovrebbero vincolare contrattualmente i terzi a non condividere ulteriormente i dati da essi ricevuti. |
(27) |
Nei settori caratterizzati dalla concentrazione di un piccolo numero di fabbricanti che forniscono agli utenti finali prodotti connessi, vi possono essere solo opzioni limitate a disposizione degli utenti per l’accesso, l’utilizzo e la condivisione dei dati. In tali circostanze i contratti potrebbero essere insufficienti per conseguire l’obiettivo di conferire maggiori poteri agli utenti , rendendo difficile per gli utenti ottenere valore dai dati generati dai prodotti connessi che acquistano, prendono in locazione o noleggiano. Di conseguenza le imprese innovative più piccole hanno un potenziale limitato nell’offrire soluzioni basate sui dati in modo competitivo e a favore di un’economia dei dati diversificata nell’Unione. Il presente regolamento dovrebbe pertanto basarsi sui recenti sviluppi in settori specifici, come il codice di condotta sulla condivisione dei dati agricoli mediante contratto. Potrebbero dunque essere adottate norme di diritto dell’Unione o nazionale per rispondere alle necessità e agli obiettivi settoriali specifici. Inoltre, i titolari dei dati non dovrebbero utilizzare dati prontamente disponibili che non sono dati personali al fine di ottenere informazioni sulla situazione economica, sulle risorse o sui metodi di produzione dell’utente o sul loro utilizzo da parte di quest’ultimo in qualsiasi altro modo che possa compromettere la posizione commerciale di tale utente sui mercati in cui è attivo. Ciò potrebbe riguardare l’utilizzo di conoscenze sulle prestazioni complessive di un’impresa o di un’azienda agricola in trattative contrattuali con l’utente in merito alla potenziale acquisizione dei prodotti o della produzione agricola dell’utente a danno di quest’ultimo, o l’utilizzo di tali informazioni per alimentare banche di dati più ampie su alcuni mercati in forma aggregata ad esempio, banche di dati sulle rese delle colture per la prossima stagione di raccolta, in quanto tale utilizzo potrebbe incidere negativamente sull’utente in modo indiretto. L’utente dovrebbe disporre dell’interfaccia tecnica necessaria per gestire le autorizzazioni, preferibilmente con opzioni di autorizzazione dettagliate, come «consenti una sola volta» o «consenti durante l’utilizzo di questa app o servizio», compresa la possibilità di revocare tali autorizzazioni. |
(28) |
Nei contratti tra un titolare dei dati e un consumatore in quanto utente di un prodotto connesso o di un servizio correlato che genera dati, si applica la normativa dell’Unione in materia di consumatori, in particolare le direttive 93/13/CEE e 2005/29/CE, per garantire che il consumatore non sia soggetto a clausole contrattuali abusive. Ai fini del presente regolamento le clausole contrattuali abusive imposte unilateralmente a un’impresa non dovrebbero essere vincolanti per tale impresa. |
(29) |
I titolari dei dati possono richiedere un’adeguata identificazione dell’utente per verificare il diritto dell’utente di accedere ai dati. Nel caso di dati personali trattati da un responsabile del trattamento per conto del titolare del trattamento, i titolari dei dati dovrebbero garantire che la richiesta di accesso sia ricevuta e trattata dal responsabile del trattamento. |
(30) |
L’utente dovrebbe essere libero di utilizzare i dati per qualsiasi finalità legittima. Ciò include la fornitura dei dati che l’utente ha ricevuto nell’esercizio dei suoi diritti di cui al presente regolamento a un terzo che offre un servizio post-vendita che può essere in concorrenza con un servizio fornito da un titolare dei dati, o l’incarico al titolare dei dati di agire in tal senso. La richiesta dovrebbe essere presentata dall’utente o da un terzo autorizzato che agisce per conto dell’utente, compreso un fornitore di un servizio di intermediazione dei dati. I titolari dei dati dovrebbero garantire che i dati messi a disposizione del terzo siano tanto accurati, completi, affidabili, pertinenti e aggiornati quanto i dati ai quali il titolare stesso può essere in grado o avere il diritto di accedere in virtù dell’uso del prodotto connesso o del servizio correlato. Nel trattamento dei dati dovrebbero essere rispettati eventuali diritti di proprietà intellettuale. È importante mantenere gli incentivi a investire in prodotti con funzionalità basate sull’uso di dati provenienti da sensori integrati in tali prodotti. |
(31) |
La direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio (23) prevede che l’acquisizione, l’utilizzo o la divulgazione di un segreto commerciale sono da considerarsi leciti, tra l’altro, quando sono richiesti o autorizzati dal diritto dell’Unione o dal diritto nazionale. Sebbene imponga ai titolari dei dati di comunicare determinati dati agli utenti, o a terzi scelti dall’utente, anche qualora tali dati rientrino nella categoria dei dati che possono essere protetti in quanto segreti commerciali, il presente regolamento dovrebbe essere interpretato in modo da preservare la protezione conferita ai segreti commerciali a norma della direttiva (UE) 2016/943. In tale contesto, i titolari dei dati dovrebbero poter richiedere all’utente o a terzi scelti dall’utente di preservare la riservatezza dei dati considerati segreti commerciali. A tal fine, i titolari dei dati dovrebbero individuare i segreti commerciali prima della divulgazione e dovrebbero avere la possibilità di concordare con gli utenti, o con terzi scelti dall’utente, le misure necessarie per preservarne la riservatezza, anche mediante l’uso di clausole contrattuali tipo, accordi di riservatezza, protocolli di accesso rigorosi e norme tecniche, nonché mediante l’applicazione di codici di condotta. Oltre all’utilizzo delle clausole contrattuali tipo che devono essere elaborate e raccomandate dalla Commissione, l’istituzione di codici di condotta e la definizione di norme tecniche relative alla protezione dei segreti commerciali nel trattamento dei dati potrebbero contribuire al conseguimento dell’obiettivo del presente regolamento e dovrebbero essere incoraggiate. Qualora non vi sia un accordo sulle misure necessarie oppure l’utente o terzi scelti dall’utente non attuino le misure concordate o pregiudichino la riservatezza dei segreti commerciali, il titolare dei dati dovrebbe poter bloccare o sospendere la condivisione dei dati identificati come segreti commerciali. In tali casi il titolare dei dati dovrebbe fornire, senza indebito ritardo, la decisione all’utente o al terzo per iscritto e notificare all’autorità competente dello Stato membro in cui è stabilito il titolare dei dati di aver bloccato o sospeso la condivisione dei dati e indicare quali misure non sono state concordate o attuate e, se del caso, di quali segreti commerciali è stata pregiudicata la riservatezza. I titolari dei dati non possono, in linea di principio, rifiutare una richiesta di accesso ai dati ai sensi del presente regolamento unicamente sulla base del fatto che determinati dati sono considerati segreti commerciali, poiché ciò sovvertirebbe gli effetti attesi del presente regolamento. Tuttavia, in circostanze eccezionali, un titolare dei dati che detenga un segreto commerciale dovrebbe poter rifiutare, caso per caso, una richiesta per i dati specifici in questione se può dimostrare all’utente o al terzo che, malgrado le misure tecniche e organizzative adottate dall’utente o dal terzo, è altamente probabile che la divulgazione di tale segreto commerciale produca un grave danno economico. Un grave danno economico implica perdite economiche gravi e irreparabili. Il titolare dei dati dovrebbe debitamente motivare il proprio rifiuto, per iscritto e senza indebito ritardo, all’utente o al terzo e notificarne l’autorità competente. Tale motivazione dovrebbe basarsi su elementi oggettivi che dimostrino il rischio concreto di grave danno economico previsto a seguito della divulgazione di dati specifici, nonché i motivi per cui le misure adottate per salvaguardare i dati richiesti non sono ritenute sufficienti. In tale contesto si può tenere conto di un possibile impatto negativo sulla cibersicurezza. Fatto salvo il diritto di presentare ricorso dinanzi a un organo giurisdizionale di uno Stato membro, qualora intendano contestare la decisione del titolare dei dati di rifiutare, bloccare o sospendere la condivisione dei dati, l’utente o un terzo possono presentare un reclamo all’autorità competente, la quale dovrebbe decidere, senza indebito ritardo, se e a quali condizioni la condivisione dei dati debba iniziare o riprendere, o può convenire con il titolare dei dati di deferire la questione a un organismo di risoluzione delle controversie. Le eccezioni ai diritti di accesso ai dati di cui al presente regolamento non dovrebbero in alcun caso limitare il diritto di accesso e il diritto alla portabilità dei dati degli interessati a norma del regolamento (UE) 2016/679. |
(32) |
L’obiettivo del presente regolamento non è solo promuovere lo sviluppo di prodotti connessi o di servizi correlati nuovi e innovativi e stimolare l’innovazione nei servizi post-vendita, ma anche stimolare lo sviluppo di servizi completamente nuovi che utilizzano i dati in questione, anche sulla base di dati provenienti da una varietà di prodotti connessi o servizi correlati. Allo stesso tempo, il presente regolamento mira a evitare di compromettere gli incentivi agli investimenti per il tipo di prodotto connesso da cui i dati sono ottenuti, ad esempio mediante l’uso di dati per sviluppare un prodotto connesso concorrente considerato intercambiabile o sostituibile dagli utenti, in particolare in base alle caratteristiche del prodotto connesso, al suo prezzo e all’uso previsto. Il presente regolamento non prevede alcun divieto di sviluppare un servizio correlato utilizzando i dati ottenuti a norma del regolamento stesso, in quanto ciò avrebbe un effetto deterrente indesiderato sull’innovazione. Vietare l’uso dei dati consultati a norma del presente regolamento per sviluppare un prodotto connesso concorrente protegge gli sforzi di innovazione dei titolari dei dati. Se un prodotto connesso sia in concorrenza con il prodotto connesso da cui provengono i dati dipende dal fatto che i due prodotti connessi siano o meno in concorrenza sullo stesso mercato del prodotto. Ciò deve essere determinato sulla base dei principi consolidati del diritto dell’Unione in materia di concorrenza per la definizione del mercato rilevante del prodotto. Tuttavia, le finalità legittime per l’uso dei dati potrebbero comprendere l’ingegneria inversa, a condizione che sia conforme ai requisiti stabiliti dal presente regolamento e dal diritto dell’Unione o nazionale. Ciò può verificarsi ai fini della riparazione o del prolungamento della durata di vita di un prodotto connesso o della fornitura di servizi post-vendita per prodotti connessi. |
(33) |
Un terzo cui sono messi a disposizione i dati può essere una persona fisica o giuridica, ad esempio un consumatore, un’impresa, un organismo di ricerca, un’organizzazione senza fini di lucro o un’entità che agisce a titolo professionale. Nel mettere i dati a disposizione del terzo, un titolare dei dati non dovrebbe abusare della sua posizione per cercare di ottenere un vantaggio competitivo in mercati in cui il titolare dei dati e il terzo possono trovarsi in concorrenza diretta. Pertanto il titolare dei dati non dovrebbe utilizzare dati prontamente disponibili al fine di ottenere informazioni sulla situazione economica, sulle risorse o sui metodi di produzione del terzo o sul loro utilizzo da parte di quest’ultimo in qualsiasi altro modo che possa compromettere la posizione commerciale del terzo sui mercati in cui quest’ultimo è attivo. L’utente dovrebbe poter condividere dati non personali con terzi per finalità commerciali. Previo accordo con l’utente e fatte salve le disposizioni del presente regolamento, i terzi dovrebbero poter trasferire ad altri terzi i diritti di accesso ai dati concessi dall’utente, anche in cambio di un compenso. Gli intermediari di dati tra impresa e impresa e i sistemi di gestione delle informazioni personali, denominati servizi di intermediazione dei dati nel regolamento (UE) 2022/868, possono aiutare gli utenti o i terzi a stabilire relazioni commerciali con un numero indeterminato di potenziali controparti per qualsiasi finalità legittima rientrante nell’ambito di applicazione del presente regolamento. Essi potrebbero svolgere un ruolo determinante nell’aggregare l’accesso ai dati in modo da facilitare le analisi dei megadati o l’apprendimento automatico, purché gli utenti mantengano il pieno controllo sulla facoltà di fornire o meno i propri dati a tale aggregazione e sulle condizioni commerciali alle quali i loro dati devono essere utilizzati. |
(34) |
In particolare, quando l’utente è una persona fisica, l’uso di un prodotto connesso o di un servizio correlato può generare dati che si riferiscono all’interessato. Il trattamento di tali dati è soggetto alle norme stabilite ai sensi del regolamento (UE) 2016/679, anche qualora i dati personali e non personali all’interno di un insieme di dati siano indissolubilmente legati. L’interessato può essere l’utente o un’altra persona fisica. I dati personali possono essere richiesti solo da un titolare del trattamento o da un interessato. A norma del regolamento (UE) 2016/679, un utente che è l’interessato ha, in determinate circostanze, il diritto di accedere ai dati personali che lo riguardano e tale diritto non è pregiudicato dal presente regolamento. A norma del presente regolamento l’utente che è una persona fisica ha inoltre il diritto di accedere a tutti i dati generati dall’utilizzo del prodotto connesso, personali e non personali. Se l’utente non è l’interessato ma un’impresa, ivi incluso un imprenditore individuale, ma non nei casi di uso domestico condiviso del prodotto connesso, l’utente è considerato un titolare del trattamento. Di conseguenza tale utente che, in qualità di titolare del trattamento, intenda richiedere dati personali generati dall’uso di un prodotto connesso o di un servizio correlato, deve disporre di una base giuridica per il trattamento dei dati come previsto dall’articolo 6, paragrafo 1, del regolamento (UE) 2016/679, come il consenso dell’interessato o l’esecuzione di un contratto di cui l’interessato è parte. Tale utente dovrebbe garantire che l’interessato sia adeguatamente informato delle finalità determinate, esplicite e legittime del trattamento di tali dati e del modo in cui l’interessato può esercitare effettivamente i propri diritti. Il titolare dei dati e l’utente, se sono contitolari del trattamento ai sensi dell’articolo 26 del regolamento (UE) 2016/679, sono tenuti a determinare in modo trasparente, mediante un accordo tra loro, le rispettive responsabilità in merito alla conformità a tale regolamento. Dovrebbe restare inteso che tale utente, una volta messi a disposizione i dati, può a sua volta diventare titolare dei dati se soddisfa i criteri di cui al presente regolamento e divenire così soggetto all’obbligo di mettere a disposizione i dati a norma del presente regolamento. |
(35) |
I dati del prodotto o di un servizio correlato dovrebbero essere messi a disposizione di terzi solo su richiesta dell’utente. Il presente regolamento integra di conseguenza il diritto di cui all’articolo 20 del regolamento (UE) 2016/679 degli interessati di ricevere i dati personali che li riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico, nonché di trasmettere tali dati ad un altro titolare del trattamento, qualora il trattamento di tali dati sia effettuato con mezzi automatizzati sulla base dell’articolo 6, paragrafo 1, lettera a), o dell’articolo 9, paragrafo 2, lettera a), o di un contratto ai sensi dell’articolo 6, paragrafo 1, lettera b), di detto regolamento. Gli interessati hanno inoltre il diritto di ottenere che i dati personali siano trasmessi direttamente da un titolare del trattamento a un altro, ma solo ove tecnicamente fattibile. L’articolo 20 del regolamento (UE) 2016/679 specifica che esso riguarda i dati forniti dall’interessato, ma non chiarisce se ciò richieda un comportamento attivo da parte dell’interessato o se si applichi anche a situazioni in cui un prodotto connesso o un servizio correlato osservi, in conseguenza delle sue caratteristiche di progettazione, il comportamento di un interessato o altre informazioni relative all’interessato in modo passivo. I diritti di cui al presente regolamento integrano in vari modi il diritto di ricevere i dati personali e il diritto alla portabilità degli stessi a norma dell’articolo 20 del regolamento (UE) 2016/679. Tale regolamento conferisce agli utenti il diritto di accedere a tutti i dati del prodotto o di un servizio correlato, e di metterli a disposizione di terzi, indipendentemente dalla loro natura di dati personali, dalla distinzione tra dati forniti attivamente o osservati passivamente e dalla base giuridica del trattamento. A differenza dell’articolo 20 del regolamento (UE) 2016/679, il presente regolamento impone e garantisce la fattibilità tecnica dell’accesso di terzi a tutti i tipi di dati che rientrano nel suo ambito di applicazione, siano essi personali o non personali, assicurando in tal modo che l’accesso a tali dati non sia più ostacolato o impedito da ostacoli tecnici. Consente inoltre ai titolari dei dati di fissare compensi ragionevoli a carico di terzi, ma non dell’utente, per i costi sostenuti per fornire un accesso diretto ai dati generati dal prodotto connesso dell’utente. Se un titolare dei dati e un terzo non sono in grado di concordare le condizioni di tale accesso diretto, all’interessato non dovrebbe essere in alcun modo impedito di esercitare i diritti di cui al regolamento (UE) 2016/679, compreso il diritto alla portabilità dei dati, esperendo i mezzi di ricorso in conformità a tale regolamento. In tale contesto resta inteso che, conformemente al regolamento (UE) 2016/679, un contratto non consente il trattamento di categorie particolari di dati personali da parte del titolare dei dati o del terzo. |
(36) |
L’accesso ai dati archiviati nelle apparecchiature terminali e consultati da tali apparecchiature è soggetto alla direttiva 2002/58/CE e richiede il consenso dell’abbonato o dell’utente ai sensi di tale direttiva, a meno che non sia strettamente necessario per la fornitura di un servizio della società dell’informazione esplicitamente richiesto dall’utente o dall’abbonato o al solo scopo della trasmissione di una comunicazione. La direttiva 2002/58/CE tutela l’integrità delle apparecchiature terminali dell’utente in relazione all’uso delle capacità di trattamento e archiviazione e alla raccolta di informazioni. Le apparecchiature per l’internet delle cose sono considerate apparecchiature terminali se sono direttamente o indirettamente collegate a una rete pubblica di comunicazione. |
(37) |
Al fine di impedire lo sfruttamento degli utenti, i terzi a disposizione dei quali sono stati messi i dati su richiesta dell’utente dovrebbero trattare tali dati solo per le finalità concordate con l’utente e condividerli con un altro terzo solo con l’accordo dell’utente. |
(38) |
In linea con il principio della minimizzazione dei dati, i terzi dovrebbero accedere solo alle informazioni necessarie per la fornitura del servizio richiesto dall’utente. Una volta ricevuto l’accesso ai dati, il terzo dovrebbe trattarli per le finalità concordate con l’utente, senza interferenze da parte del titolare dei dati. Per l’utente, rifiutare o interrompere l’accesso ai dati da parte di terzi dovrebbe essere altrettanto facile quanto autorizzare l’accesso. I terzi e i titolari dei dati non dovrebbero rendere indebitamente difficile l’esercizio delle scelte o dei diritti dell’utente, ivi incluso offrendogli scelte in modo non neutrale, ricorrendo a mezzi coercitivi, ingannevoli o manipolatori nei confronti dell’utente, o compromettendone o pregiudicandone l’autonomia, il processo decisionale o le scelte, anche mediante un’interfaccia digitale con l’utente o una sua parte. In tale contesto, i terzi o i titolari dei dati non dovrebbero fare affidamento sui cosiddetti «dark patterns» nella progettazione delle loro interfacce digitali. I dark patterns sono tecniche di progettazione che ingannano i consumatori spingendoli verso decisioni che hanno conseguenze negative per loro. Tali tecniche di manipolazione possono essere utilizzate per persuadere gli utenti, in particolare i consumatori vulnerabili, ad adottare un comportamento indesiderato, per indurli con l’inganno a prendere decisioni in favore di operazioni di divulgazione dei dati, o per distorcere indebitamente il processo decisionale degli utenti del servizio, in modo da sovvertirne e pregiudicarne l’autonomia, il processo decisionale e la scelta. Le pratiche commerciali comuni e legittime che sono conformi al diritto dell’Unione non dovrebbero di per sé essere considerate dark patterns. I terzi e i titolari dei dati dovrebbero rispettare i loro obblighi ai sensi del pertinente diritto dell’Unione, in particolare gli obblighi di cui alle direttive 98/6/CE (24) e 2000/31/CE (25) del Parlamento europeo e del Consiglio e alle direttive 2005/29/CE e 2011/83/UE. |
(39) |
I terzi dovrebbero inoltre astenersi dall’utilizzare i dati che rientrano nell’ambito di applicazione del presente regolamento per la profilazione delle persone, a meno che tali attività di trattamento non siano strettamente necessarie per fornire il servizio richiesto dall’utente, anche nel contesto di un processo decisionale automatizzato. L’obbligo di cancellare i dati quando non sono più necessari per la finalità concordata con l’utente, salvo diversamente convenuto in relazione ai dati non personali, integra il diritto dell’interessato alla cancellazione a norma dell’articolo 17 del regolamento (UE) 2016/679. Se un terzo è un fornitore di un servizio di intermediazione dei dati, si applicano le garanzie per l’interessato previste dal regolamento (UE) 2022/868. Il terzo può utilizzare i dati per sviluppare un prodotto connesso o un servizio correlato nuovo e innovativo, ma non per sviluppare un prodotto connesso concorrente. |
(40) |
Le start-up, le piccole imprese e le imprese che sono considerate medie imprese ai sensi dell’articolo 2 dell’allegato della raccomandazione 2003/361/EC e le imprese dei settori tradizionali con capacità digitali meno sviluppate faticano a ottenere l’accesso ai dati pertinenti. Il presente regolamento mira ad agevolare l’accesso ai dati per tali soggetti, garantendo nel contempo che gli obblighi corrispondenti siano quanto più proporzionati possibile, al fine di evitare eccessi. Allo stesso tempo è emerso un piccolo numero di imprese molto grandi con un notevole potere economico nell’economia digitale, ottenuto grazie all’accumulo e all’aggregazione di grandi volumi di dati e all’infrastruttura tecnologica per la loro monetizzazione. Tali imprese molto grandi includono imprese che forniscono servizi di piattaforma di base che controllano interi ecosistemi di piattaforme nell’economia digitale e che gli operatori di mercato esistenti o nuovi non sono in grado di sfidare o contrastare. Il regolamento (UE) 2022/1925 del Parlamento europeo e del Consiglio (26) mira a correggere tali inefficienze e squilibri consentendo alla Commissione di designare un’impresa come «gatekeeper» e impone una serie di obblighi a tali gatekeeper, tra cui il divieto di combinare determinati dati senza consenso e l’obbligo di garantire diritti effettivi alla portabilità dei dati a norma dell’articolo 20 del regolamento (UE) 2016/679. Conformemente al regolamento (UE) 2022/1925 e data la capacità inarrivabile di tali imprese di acquisire dati, l’inclusione dei gatekeeper quali beneficiari del diritto di accesso ai dati non è necessaria per conseguire l’obiettivo del presente regolamento, e sarebbe pertanto sproporzionata per i titolari dei dati soggetti a tali obblighi. Tale inclusione limiterebbe inoltre probabilmente i vantaggi derivanti dal presente regolamento per le PMI connessi all’equa distribuzione del valore dei dati tra gli operatori del mercato. Ciò significa che un’impresa che fornisce servizi di piattaforma di base e che è stata designata come gatekeeper non può chiedere o ottenere l’accesso ai dati degli utenti generati dall’uso di un prodotto connesso o di un servizio correlato o da un assistente virtuale ai sensi del presente regolamento. Inoltre i terzi cui i dati sono messi a disposizione su richiesta dell’utente non possono mettere i dati a disposizione di un gatekeeper. Ad esempio, il terzo non può subappaltare la fornitura di servizi a un gatekeeper. Ciò non impedisce tuttavia a terzi di utilizzare i servizi di trattamento dei dati offerti da un gatekeeper e nemmeno impedisce a tali imprese di ottenere e usare gli stessi dati mediante altri mezzi legittimi. I diritti di accesso di cui al presente regolamento contribuiscono a una più ampia scelta di servizi per i consumatori. Poiché gli accordi volontari tra gatekeeper e titolari dei dati rimangono impregiudicati, limitare la concessione dell’accesso ai gatekeeper non li escluderebbe dal mercato né impedirebbe loro di offrire i propri servizi. |
(41) |
Dato lo stato attuale della tecnologia, sarebbe eccessivamente oneroso imporre alle microimprese e alle piccole imprese ulteriori obblighi di progettazione in relazione ai prodotti connessi da esse fabbricati o progettati o ai servizi correlati forniti dalle medesime. Ciò non si verifica, tuttavia, nel caso in cui una microimpresa o una piccola impresa abbiano un’impresa associata o un’impresa collegata, a norma dell’articolo 3 dell’allegato della raccomandazione 2003/361/CE, che non è qualificata come microimpresa o piccola impresa, e qualora siano loro affidate in subappalto la fabbricazione o la progettazione di un prodotto connesso o la fornitura di un servizio correlato. In tali situazioni, l’impresa che ha subappaltato la fabbricazione o la progettazione a una microimpresa o a una piccola impresa è in grado di compensare adeguatamente il subcontraente. Una microimpresa o una piccola impresa può comunque essere soggetta agli obblighi stabiliti dal presente regolamento in qualità di titolare dei dati, se non è essa stessa il fabbricante del prodotto connesso o un fornitore di servizi correlati. È opportuno applicare un periodo transitorio a un’impresa qualificata come media impresa da meno di un anno e ai prodotti connessi per un anno dopo la data in cui sono stati immessi sul mercato da una media impresa. Tale periodo di un anno consente a tale media impresa di adeguarsi e prepararsi prima di affrontare la concorrenza nel mercato dei servizi per i prodotti connessi che fabbrica, sulla base dei diritti di accesso disciplinati dal presente regolamento. Tale periodo transitorio non si applica qualora tale media impresa abbia un’impresa associata o un’impresa collegata non qualificata come microimpresa o piccola impresa e qualora a tale media impresa sia affidata in subappalto la fabbricazione o la progettazione del prodotto connesso o la fornitura del servizio correlato. |
(42) |
Tenendo conto della varietà di prodotti connessi che generano dati di natura, volume e frequenza diversi, presentano diversi livelli di dati e rischi per la cibersicurezza e offrono opportunità economiche di diverso valore, nonché al fine di garantire la coerenza delle pratiche di condivisione dei dati nel mercato interno, anche a livello intersettoriale, e incoraggiare e promuovere pratiche eque di condivisione dei dati anche negli ambiti in cui tale diritto di accesso ai dati non è previsto, il presente regolamento prevede norme orizzontali sugli accordi di accesso ai dati ogniqualvolta il titolare dei dati sia tenuto a mettere i dati a disposizione di un destinatario dei dati in virtù del diritto dell’Unione o della legislazione nazionale adottata conformemente al diritto dell’Unione. Tale accesso dovrebbe essere basato su condizioni eque, ragionevoli, non discriminatorie e trasparenti. Tali norme generali di accesso non si applicano agli obblighi di messa a disposizione dei dati a norma del regolamento (UE) 2016/679. La condivisione volontaria dei dati è lasciata impregiudicata da tali norme. Le clausole contrattuali tipo non vincolanti per la condivisione dei dati tra imprese che devono essere elaborate e raccomandate dalla Commissione possono aiutare le parti a concludere contratti che includano condizioni eque, ragionevoli e non discriminatorie e che siano eseguiti in modo trasparente. La conclusione di contratti che possono includere clausole tipo non vincolanti non dovrebbe implicare che il diritto di condividere i dati con terzi sia in qualche modo subordinato all’esistenza di un siffatto contratto. Qualora le parti non siano in grado di concludere un contratto sulla condivisione dei dati, nemmeno con il sostegno di organismi di risoluzione delle controversie, il diritto di condividere i dati con terzi può essere fatto valere dinanzi agli organi giurisdizionali nazionali. |
(43) |
Sulla base del principio della libertà contrattuale, le parti dovrebbero rimanere libere di negoziare le condizioni precise per la messa a disposizione dei dati nei loro contratti, nel quadro delle norme generali di accesso per la messa a disposizione dei dati. Le clausole di tali contratti potrebbero includere misure tecniche ed organizzative, anche in relazione alla sicurezza dei dati. |
(44) |
Al fine di garantire che le condizioni per l’accesso obbligatorio ai dati siano eque per entrambe le parti di un contratto, le norme generali sui diritti di accesso ai dati dovrebbero fare riferimento alla norma volta a evitare le clausole contrattuali abusive. |
(45) |
Qualsiasi accordo per la messa a disposizione dei dati concluso nell’ambito delle relazioni tra imprese non dovrebbe creare discriminazioni tra categorie comparabili di destinatari dei dati, indipendentemente dal fatto che le parti siano grandi imprese o PMI. Al fine di compensare la mancanza di informazioni sulle condizioni contenute in contratti diversi, che rende difficile per il destinatario dei dati valutare se le clausole relative alla messa a disposizione dei dati siano non discriminatorie, la responsabilità di dimostrare che una clausola contrattuale non è discriminatoria dovrebbe spettare ai titolari dei dati. Non si configura una discriminazione illecita quando il titolare dei dati utilizza clausole contrattuali diverse per la messa a disposizione dei dati, se tali differenze sono giustificate da ragioni oggettive. Tali obblighi fanno salvo il regolamento (UE) 2016/679. |
(46) |
Al fine di promuovere il mantenimento degli investimenti nella generazione di dati preziosi e nella loro messa a disposizione, compresi gli investimenti in strumenti tecnici pertinenti, evitando nel contempo oneri eccessivi per l’accesso e l’uso di dati tali da rendere la condivisione di dati non più commercialmente sostenibile, il presente regolamento include il principio secondo cui i titolari dei dati nel quadro di relazioni tra imprese possono chiedere un compenso ragionevole se sono obbligati ai sensi del diritto dell’Unione o della legislazione nazionale adottata conformemente al diritto dell’Unione a mettere i dati a disposizione di un destinatario dei dati. Tale compenso non dovrebbe intendersi come un pagamento per i dati stessi. La Commissione dovrebbe adottare orientamenti sul calcolo del compenso ragionevole nell’economia dei dati. |
(47) |
In primo luogo, un compenso ragionevole per aver osservato l’obbligo ai sensi del diritto dell’Unione o della legislazione nazionale adottata conformemente al diritto dell’Unione di soddisfare una richiesta di messa a disposizione dei dati può includere un compenso per i costi sostenuti per la messa a disposizione dei dati. Tali costi possono essere costi tecnici, quali ad esempio i costi necessari per la riproduzione, la diffusione per via elettronica e l’archiviazione dei dati, ma non per la raccolta o la produzione dei dati. Tali costi tecnici possono comprendere anche i costi di trattamento necessari per mettere a disposizione i dati, compresi i costi associati alla formattazione dei dati. I costi relativi alla messa a disposizione dei dati possono comprendere anche i costi per agevolare le richieste concrete di condivisione dei dati. Possono inoltre variare in funzione del volume dei dati e delle modalità adottate per metterli a disposizione. Accordi a lungo termine tra i titolari dei dati e i destinatari dei dati, ad esempio mediante un modello di abbonamento o l’uso di contratti intelligenti, possono ridurre i costi in operazioni regolari o ripetitive nell’ambito di una relazione commerciale. I costi relativi alla messa a disposizione dei dati sono specifici per una particolare richiesta oppure condivisi con altre richieste. In quest’ultimo caso, i costi della messa a disposizione dei dati non dovrebbero essere posti interamente a carico di un unico destinatario dei dati. In secondo luogo, un compenso ragionevole può inoltre includere un margine, tranne nei confronti di PMI e di organismi di ricerca senza fini di lucro. Il margine può variare in base a fattori relativi ai dati stessi, quali il volume, il formato o la natura dei dati. Il margine può tenere conto dei costi per la raccolta dei dati e può pertanto diminuire se il titolare dei dati ha raccolto i dati per la propria attività senza investimenti significativi o può aumentare se gli investimenti nella raccolta dei dati ai fini dell’attività del titolare dei dati sono elevati. Può essere limitato o addirittura escluso in situazioni in cui l’uso dei dati da parte del destinatario dei dati non incide sulle attività proprie del titolare dei dati. Anche il fatto che i dati siano cogenerati da un prodotto connesso posseduto dal cliente, o da questi preso in locazione o noleggiato, potrebbe ridurre l’importo del compenso rispetto ad altre situazioni in cui i dati sono generati dal titolare dei dati durante, ad esempio, la fornitura di un servizio correlato. |
(48) |
Non è necessario intervenire in caso di condivisione dei dati tra grandi imprese o qualora il titolare dei dati sia una piccola o media impresa e il destinatario dei dati sia una grande impresa. In tali casi, si considera che le imprese siano in grado di negoziare il compenso entro i limiti di quanto ragionevole e non discriminatorio. |
(49) |
Al fine di proteggere le PMI da oneri economici eccessivi che renderebbero troppo difficile dal punto di vista commerciale lo sviluppo e la gestione di modelli imprenditoriali innovativi, il compenso ragionevole che tali imprese devono pagare per la messa a disposizione dei dati non dovrebbe essere superiore ai costi direttamente connessi alla messa a disposizione dei dati . Lo stesso regime dovrebbe applicarsi agli organismi di ricerca senza fini di lucro. |
(50) |
In casi debitamente giustificati, tra cui di fronte alla necessità di salvaguardare la partecipazione dei consumatori e la concorrenza o di promuovere l’innovazione in determinati mercati, i compensi regolamentati per la messa a disposizione di tipi di dati specifici possono essere disposti dal diritto dell’Unione o dalla legislazione nazionale adottata conformemente al diritto dell’Unione. |
(51) |
La trasparenza è un principio importante per garantire che il compenso richiesto da un titolare dei dati sia ragionevole o, se il destinatario dei dati è una PMI o un organismo di ricerca senza fini di lucro, che il compenso non sia superiore ai costi direttamente connessi alla messa a disposizione dei dati al destinatario e sia imputabile alla singola richiesta in questione. Al fine di consentire ai destinatari dei dati di valutare e verificare la conformità del compenso alle disposizioni del presente regolamento è opportuno che il titolare dei dati fornisca al destinatario dei dati informazioni sufficientemente dettagliate per il calcolo del compenso. |
(52) |
La garanzia dell’accesso a modalità alternative di risoluzione delle controversie nazionali e transfrontaliere che insorgono in relazione alla messa a disposizione dei dati dovrebbe apportare benefici a titolari e destinatari dei dati, rafforzando in tal modo la fiducia nella condivisione dei dati. Qualora le parti non concordino condizioni eque, ragionevoli e non discriminatori per la messa a disposizione dei dati, è opportuno che gli organismi di risoluzione delle controversie propongano alle parti una soluzione semplice, rapida e a basso costo. Dal momento che il presente regolamento stabilisce solo le condizioni che gli organismi di risoluzione delle controversie devono soddisfare per essere certificati, gli Stati membri sono liberi di adottare norme specifiche sulla procedura di certificazione, ivi compresa la scadenza o la revoca della certificazione. Le disposizioni del presente regolamento relative alla risoluzione delle controversie non dovrebbero imporre agli Stati membri di istituire organismi di risoluzione delle controversie. |
(53) |
La procedura di risoluzione delle controversie di cui al presente regolamento è una procedura volontaria che consente agli utenti, ai titolari dei dati e ai destinatari dei dati di convenire di sottoporre le controversie che li riguardano a organismi di risoluzione delle controversie. Pertanto, le parti dovrebbero essere libere di rivolgersi a un organismo di risoluzione delle controversie di loro scelta, all’interno o all’esterno degli Stati membri in cui sono stabilite. |
(54) |
Per evitare i casi in cui due o più organismi di risoluzione delle controversie siano aditi per la stessa controversia, in particolare in una situazione transfrontaliera, è opportuno che un organismo di risoluzione delle controversie possa respingere una richiesta di risoluzione di una controversia già presentata dinanzi a un altro organismo di risoluzione delle controversie o dinanzi a un organo giurisdizionale di uno Stato membro. |
(55) |
Al fine di assicurare l’applicazione uniforme del presente regolamento, gli organismi di risoluzione delle controversie dovrebbero tenere conto delle clausole contrattuali tipo non vincolanti che devono essere elaborate e raccomandate dalla Commissione, nonché del diritto dell’Unione o nazionale che specificano gli obblighi in materia di condivisione dei dati o degli orientamenti emanati dalle autorità settoriali ai fini dell’applicazione di tale diritto. |
(56) |
È opportuno che alle parti dei procedimenti di risoluzione delle controversie non sia impedito di esercitare i propri diritti fondamentali a un ricorso effettivo e a un giudice imparziale. Pertanto, la decisione di sottoporre una controversia a un organismo di risoluzione delle controversie non dovrebbe privare tali parti del loro diritto di presentare ricorso dinanzi a un organo giurisdizionale di uno Stato membro. Gli organismi di risoluzione delle controversie dovrebbero rendere pubbliche le relazioni annuali di attività. |
(57) |
I titolari dei dati possono applicare adeguate misure tecniche di protezione per impedire la divulgazione illecita dei dati o l’accesso illecito agli stessi. Tuttavia, tali misure non dovrebbero creare discriminazioni tra i destinatari dei dati né ostacolare l’accesso ai dati o il loro utilizzo per gli utenti o i destinatari dei dati. In caso di pratiche abusive da parte di un destinatario dei dati, quali indurre in errore il titolare dei dati fornendo informazioni false con l’intenzione di utilizzare i dati per finalità illecite, compreso lo sviluppo di un prodotto connesso concorrente sulla base dei dati, il titolare dei dati e, se del caso e qualora non si tratti della stessa persona, il detentore del segreto commerciale o l’utente può chiedere a terzi o al destinatario dei dati di attuare misure correttive o di riparazione senza indebito ritardo. Tutte le richieste di questo tipo, e in particolare le richieste di porre fine alla produzione, all’offerta o all’immissione sul mercato di beni, dati derivati o servizi, come pure quelle volte a porre fine all’importazione, all’esportazione, allo stoccaggio di merci costituenti violazione o alla loro distruzione, dovrebbero essere valutate alla luce della loro proporzionalità rispetto agli interessi del titolare dei dati, del detentore del segreto commerciale o dell’utente. |
(58) |
Se una parte si trova in una posizione negoziale più forte, vi è il rischio che tale parte possa sfruttare la propria posizione a scapito dell’altra parte contraente nel negoziare l’accesso ai dati, rendendolo commercialmente meno redditizio e talvolta economicamente proibitivo. Tali squilibri contrattuali danneggiano tutte le imprese che non hanno una capacità significativa di negoziare le condizioni di accesso ai dati e che possono non avere altra scelta se non quella di accettare clausole contrattuali «prendere o lasciare». È pertanto opportuno che le clausole contrattuali abusive che disciplinano l’accesso ai dati e il loro utilizzo o la responsabilità e i mezzi di ricorso per la violazione o la cessazione degli obblighi relativi ai dati non siano vincolanti per le imprese qualora tali condizioni siano state imposte a tali imprese unilateralmente. |
(59) |
Le norme sulle clausole contrattuali dovrebbero tenere conto del principio della libertà contrattuale quale concetto essenziale nelle relazioni tra imprese. È pertanto opportuno che non tutte le clausole contrattuali siano soggette a un test di abusività, ma solo quelle imposte unilateralmente. Ciò riguarda le situazioni «prendere o lasciare» nelle quali una parte inserisce una determinata clausola contrattuale e l’altra impresa non può influenzarne il contenuto malgrado un tentativo di negoziarla. Una clausola contrattuale semplicemente proposta da una parte e accettata dall’altra impresa o una clausola negoziata e successivamente concordata in una versione modificata tra le parti contraenti non dovrebbe essere considerata una clausola imposta unilateralmente. |
(60) |
È inoltre opportuno che le norme sulle clausole contrattuali abusive si applichino solo agli elementi di un contratto relativi alla messa a disposizione dei dati, vale a dire le clausole contrattuali riguardanti l’accesso ai dati e il loro utilizzo, nonché la responsabilità o i mezzi di ricorso in caso di violazione e cessazione degli obblighi relativi ai dati. Altre parti dello stesso contratto, non correlate alla messa a disposizione dei dati, non dovrebbero essere soggette al test di abusività di cui al presente regolamento. |
(61) |
È opportuno applicare i criteri per l’individuazione delle clausole contrattuali abusive solo alle clausole contrattuali eccessive, in caso di abuso di una posizione negoziale più forte. La stragrande maggioranza delle clausole contrattuali che dal punto di vista commerciale sono più favorevoli a una parte rispetto all’altra, comprese quelle che sono normali nei contratti tra imprese, sono una normale espressione del principio della libertà contrattuale e continuano ad applicarsi. Ai fini del presente regolamento, tra le pratiche che si discostano considerevolmente dalle buone prassi commerciali figurerebbe, tra l’altro, quella di pregiudicare oggettivamente la capacità della parte alla quale la clausola è stata unilateralmente imposta di tutelare il suo legittimo interesse commerciale nei dati in questione. |
(62) |
Per garantire la certezza del diritto, il presente regolamento stabilisce un elenco di clausole che sono sempre considerate abusive e un elenco di clausole che si presumono abusive. In quest’ultimo caso, l’impresa che impone la clausola contrattuale dovrebbe poter confutare la presunzione di abusività dimostrando che la clausola contrattuale inclusa nell’elenco del presente regolamento non è, nel caso di specie, abusiva. Se una clausola contrattuale non è inclusa nell’elenco delle clausole che sono sempre considerate abusive o che si presumono abusive si applica la disposizione generale sul carattere abusivo. A tale riguardo le clausole che figurano nell’elenco delle clausole contrattuali abusive del presente regolamento dovrebbero servire da parametro per l’interpretazione della disposizione generale sul carattere abusivo. Infine, le clausole contrattuali tipo non vincolanti per i contratti di condivisione dei dati tra imprese che devono essere elaborate e raccomandate dalla Commissione possono essere utili anche alle parti commerciali in sede di negoziazione dei contratti. Se una clausola contrattuale è dichiarata abusiva, il contratto in questione dovrebbe continuare ad applicarsi senza tale clausola, a meno che la clausola contrattuale abusiva sia inscindibile dalle altre clausole del contratto. |
(63) |
In situazioni di necessità eccezionale può presentarsi l’esigenza, per gli enti pubblici, la Commissione, la Banca centrale europea o gli organismi dell’Unione, nell’esecuzione delle loro funzioni statutarie nell’interesse pubblico, di utilizzare dati esistenti, compresi, se del caso, i pertinenti metadati, per rispondere a emergenze pubbliche o in altri casi eccezionali. Per necessità eccezionali si intendono circostanze imprevedibili e limitate nel tempo, a differenza di altre circostanze che potrebbero essere pianificate, programmate, periodiche o frequenti. Anche se la nozione di «titolare dei dati» non comprende generalmente gli enti pubblici, può includere le imprese pubbliche. Le organizzazioni che svolgono attività di ricerca e le organizzazioni che finanziano la ricerca potrebbero anche essere costituite nella forma di enti pubblici od organismi di diritto pubblico. Per limitare l’onere a carico delle imprese, è opportuno che le microimprese e le piccole imprese siano soggette unicamente all’obbligo di fornire dati a enti pubblici, alla Commissione, alla Banca centrale europea o a organismi dell’Unione in situazioni di necessità eccezionale qualora tali dati siano necessari per rispondere a un’emergenza pubblica e l’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione non è in grado di ottenere tali dati con mezzi alternativi in modo tempestivo ed efficace a condizioni equivalenti. |
(64) |
In caso di emergenze pubbliche, come le emergenze sanitarie, le emergenze derivanti da calamità naturali, comprese quelle aggravate dai cambiamenti climatici e dal degrado ambientale, nonché le gravi catastrofi di origine antropica, come i gravi incidenti di cibersicurezza, l’interesse pubblico derivante dall’utilizzo dei dati prevale sugli interessi dei titolari dei dati a disporre liberamente dei dati in loro possesso. In tal caso è opportuno che ai titolari dei dati sia imposto l’obbligo di mettere i dati a disposizione di enti pubblici, della Commissione, della Banca centrale europea o di organismi dell’Unione su loro richiesta. L’esistenza di un’emergenza pubblica dovrebbe essere determinata o dichiarata conformemente al diritto dell’Unione o nazionale e basata sulle procedure pertinenti comprese quelle delle organizzazioni internazionali competenti. In tali casi, l’ente pubblico dovrebbe dimostrare che i dati oggetto della richiesta non potrebbero altrimenti essere ottenuti in modo tempestivo ed efficace e a condizioni equivalenti, ad esempio mediante la fornitura volontaria di dati da parte di un’altra impresa o la consultazione di una banca dati pubblica. |
(65) |
Una necessità eccezionale può anche derivare da situazioni non di emergenza. In tali casi, un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione dovrebbero essere autorizzati a richiedere solo dati non personali. L’ente pubblico dovrebbe dimostrare che i dati sono necessari per l’esecuzione di un compito specifico svolto nell’interesse pubblico esplicitamente previsto dalla legge, quali la redazione di statistiche ufficiali o la mitigazione o la ripresa dopo un’emergenza pubblica. Inoltre, una tale richiesta può essere presentata solo se l’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione ha individuato dati specifici che non potrebbero altrimenti essere ottenuti in modo tempestivo ed efficace e a condizioni equivalenti e solo se ha esaurito tutti gli altri mezzi a sua disposizione per ottenere tali dati, ad esempio mediante accordi volontari, compresi l’acquisto di dati non personali sul mercato a prezzi di mercato, o il ricorso a obblighi vigenti in materia di messa a disposizione dei dati, oppure l’adozione di nuove misure legislative che potrebbero garantire la tempestiva disponibilità dei dati. Dovrebbero applicarsi anche le condizioni e i principi che disciplinano le richieste, come quelli in materia di limitazione della finalità, proporzionalità, trasparenza e limitazione temporale. In caso di richieste di dati necessari per la produzione di statistiche ufficiali, l’ente pubblico richiedente dovrebbe anche dimostrare che il diritto nazionale non gli consente di acquistare dati non personali sul mercato. |
(66) |
Il presente regolamento non dovrebbe applicarsi agli accordi volontari per lo scambio di dati tra soggetti pubblici e privati né pregiudicarli, ivi compresa la fornitura di dati da parte delle PMI, e lascia impregiudicati gli atti giuridici dell’Unione che disciplinano le richieste di informazioni obbligatorie da parte di soggetti pubblici nei confronti di soggetti privati. Esso non dovrebbe inoltre incidere sugli obblighi imposti ai titolari dei dati in relazione alla fornitura di dati a fronte di necessità di natura non eccezionale, in particolare quando la gamma di dati e di titolari dei dati è nota o se l’utilizzo dei dati può aver luogo regolarmente, come nel caso degli obblighi di comunicazione e degli obblighi relativi al mercato interno. Il presente regolamento non dovrebbe incidere neppure sugli obblighi di accesso ai dati per verificare la conformità alle norme applicabili, anche laddove gli enti pubblici assegnino il compito di verificare la conformità a soggetti che non sono enti pubblici. |
(67) |
Il presente regolamento integra e lascia impregiudicato il diritto dell’Unione e nazionale che prevede l’accesso ai dati e il loro utilizzo a fini statistici, in particolare il regolamento (CE) n. 223/2009 del Parlamento europeo e del Consiglio (27), nonché gli atti giuridici nazionali relativi alle statistiche ufficiali. |
(68) |
Per lo svolgimento dei loro compiti nei settori della prevenzione, dell’indagine, dell’accertamento o del perseguimento degli illeciti penali o amministrativi o dell’esecuzione di sanzioni penali e amministrative, nonché della raccolta di dati a fini fiscali o doganali, è opportuno che gli enti pubblici, la Commissione, la Banca centrale europea o gli organismi dell’Unione si avvalgano dei poteri loro conferiti dal diritto dell’Unione o nazionale. Il presente regolamento non pregiudica pertanto gli atti legislativi in materia di condivisione, accesso e utilizzo dei dati in tali settori. |
(69) |
A norma dell’articolo 6, paragrafi 1 e 3, del regolamento (UE) 2016/679, un quadro proporzionato, limitato e prevedibile a livello dell’Unione è necessario al momento di stabilire la base giuridica affinché, a fronte di necessità eccezionali, i titolari dei dati mettano i dati a disposizione degli enti pubblici, della Commissione, della Banca centrale europea o degli organismi dell’Unione, sia per garantire la certezza del diritto sia per ridurre al minimo gli oneri amministrativi a carico delle imprese. A tal fine è opportuno che le richieste di dati da parte degli enti pubblici, della Commissione, della Banca centrale europea o degli organismi dell’Unione ai titolari dei dati siano specifiche, trasparenti e proporzionate in termini di contenuto e granularità. La finalità della richiesta e l’utilizzo previsto dei dati richiesti dovrebbero essere specifici e spiegati in modo chiaro e al tempo stesso garantire al soggetto richiedente un’adeguata flessibilità nello svolgimento dei suoi compiti specifici nell’interesse pubblico. La richiesta dovrebbe inoltre rispettare i legittimi interessi dei titolari dei dati a cui è rivolta. È opportuno che l’onere per i titolari dei dati sia ridotto al minimo obbligando i soggetti richiedenti a rispettare il principio «una tantum», il quale impedisce che gli stessi dati siano richiesti più di una volta da più di un ente pubblico o dalla Commissione, dalla Banca centrale europea o dagli organismi dell’Unione. Per garantire la trasparenza, le richieste di dati presentate dalla Commissione, dalla Banca centrale europea o da organismi dell’Unione dovrebbero essere rese pubbliche senza indebito ritardo da chi richiede i dati. È opportuno che la Banca centrale europea e gli organismi dell’Unione informino la Commissione delle loro richieste. Se la richiesta di dati è presentata da un ente pubblico, tale ente dovrebbe darne altresì notifica al coordinatore dei dati dello Stato membro in cui è stabilito l’ente pubblico. Dovrebbe essere garantita la disponibilità pubblica online di tutte le richieste. Al ricevimento di una notifica di richiesta di dati, l’autorità competente può decidere di valutare la legittimità della richiesta ed esercitare le proprie funzioni in relazione all’esecuzione e all’applicazione del presente regolamento. Il coordinatore dei dati dovrebbe garantire la disponibilità pubblica online di tutte le richieste presentate da enti pubblici. |
(70) |
L’obiettivo dell’obbligo di trasmettere i dati è garantire che gli enti pubblici, la Commissione, la Banca centrale europea o gli organismi dell’Unione dispongano delle conoscenze necessarie per rispondere alle emergenze pubbliche, prevenirle o favorire la ripresa o per mantenere la capacità di svolgere compiti specifici esplicitamente previsti dalla legge. I dati ottenuti da tali entità possono essere sensibili sotto il profilo commerciale. Pertanto, né il regolamento (UE) 2022/868 né la direttiva (UE) 2019/1024 del Parlamento europeo e del Consiglio (28) dovrebbero applicarsi ai dati messi a disposizione a norma del presente regolamento e gli stessi dati non dovrebbero considerarsi dati aperti disponibili per il riutilizzo da parte di terzi. Ciò non dovrebbe tuttavia pregiudicare l’applicabilità della direttiva (UE) 2019/1024 al riutilizzo delle statistiche ufficiali per la cui produzione sono stati utilizzati i dati ottenuti a norma del presente regolamento, a condizione che il riutilizzo non riguardi i dati sottostanti. Inoltre, purché siano soddisfatte le condizioni stabilite nel presente regolamento, la possibilità di condividere i dati a fini di ricerca o a fini di elaborazione, produzione e divulgazione di statistiche ufficiali dovrebbe rimanere impregiudicata . È inoltre opportuno che gli enti pubblici siano autorizzati a scambiare i dati ottenuti a norma del presente regolamento con altri enti pubblici, la Commissione, la Banca centrale europea o gli organismi dell’Unione per far fronte alle necessità eccezionali per le quali i dati sono stati richiesti. |
(71) |
È opportuno che i titolari dei dati abbiano la possibilità di respingere una richiesta presentata da un ente pubblico, dalla Commissione, dalla Banca centrale europea o da un organismo dell’Unione o di chiederne una modifica senza indebito ritardo e, in ogni caso, entro un periodo di cinque o 30 giorni lavorativi al più tardi, a seconda della natura della necessità eccezionale invocata nella richiesta. Laddove opportuno, il titolare dei dati dovrebbe avere tale possibilità se non ha il controllo sui dati richiesti, soprattutto se non dispone di un accesso immediato ai dati e non può determinarne la disponibilità. Dovrebbe sussistere un motivo valido per non mettere a disposizione i dati se si può dimostrare che la richiesta è simile a una richiesta presentata in precedenza allo stesso scopo da altri enti pubblici, o dalla Commissione, dalla Banca centrale europea o da un organismo dell’Unione e che al titolare dei dati non è stata notificata la cancellazione dei dati a norma del presente regolamento. È opportuno che il titolare dei dati che rifiuta la richiesta o ne chiede la modifica comunichi le motivazioni all’ente pubblico, alla Commissione, alla Banca centrale europea o a un organismo dell’Unione che richiede i dati. Nel caso in cui i diritti «sui generis» sulle banche di dati di cui alla direttiva 96/9/CE del Parlamento europeo e del Consiglio (29) si applichino in relazione agli insiemi di dati richiesti è opportuno che i titolari dei dati esercitino i loro diritti in modo da non impedire all’ente pubblico, alla Commissione, alla Banca centrale europea o un organismo dell’Unione di ottenere i dati, o di condividerli, in conformità del presente regolamento. |
(72) |
In caso di necessità eccezionale connessa a una risposta a un’emergenza pubblica, gli enti pubblici dovrebbero utilizzare, ove possibile, dati non personali. In caso di richieste fondate su una necessità eccezionale non connessa a un’emergenza pubblica, non è possibile richiedere dati personali. Qualora i dati personali rientrino nell’ambito della richiesta, il titolare dei dati dovrebbe anonimizzarli. Qualora sia assolutamente necessario includere dati personali nei dati da mettere a disposizione di un ente pubblico, della Commissione, della Banca centrale europea o di un organismo dell’Unione, oppure qualora tale anonimizzazione si riveli impossibile, è opportuno che il soggetto che richiede i dati dimostri l’assoluta necessità e le finalità specifiche e limitate del trattamento. Le norme applicabili in materia di protezione dei dati personali dovrebbero essere rispettate. La messa a disposizione dei dati e il loro successivo utilizzo dovrebbero essere accompagnati da garanzie per i diritti e gli interessi delle persone interessate da tali dati. |
(73) |
I dati messi a disposizione di enti pubblici, della Commissione, della Banca centrale europea o di organismi dell’Unione sulla base di una necessità eccezionale dovrebbero essere utilizzati solo per le finalità per le quali sono stati richiesti, a meno che il titolare dei dati che ha messo a disposizione i dati non abbia espressamente acconsentito a che i dati siano utilizzati per altre finalità. I dati dovrebbero essere cancellati quando non sono più necessari per le finalità indicate nella richiesta, salvo diverso accordo, e il titolare dei dati dovrebbe esserne informato. Il presente regolamento si basa sui regimi di accesso esistenti nell’Unione e negli Stati membri e non modifica il diritto nazionale in materia di accesso del pubblico ai documenti nel contesto degli obblighi di trasparenza. Quando non sono più necessari per adempiere agli obblighi di trasparenza, i dati dovrebbero essere cancellati. |
(74) |
Nel riutilizzare i dati forniti dai titolari dei dati, è opportuno che gli enti pubblici, la Commissione, la Banca centrale europea o gli organismi dell’Unione rispettino sia il vigente diritto dell’Unione o nazionale applicabile sia gli obblighi contrattuali cui è soggetto il titolare dei dati. Essi dovrebbero astenersi dallo sviluppare o migliorare un prodotto connesso o un servizio correlato in concorrenza con il prodotto connesso o il servizio correlato del titolare dei dati, nonché dal condividere i dati con terzi per tali finalità. Dovrebbero inoltre fornire un riconoscimento pubblico al titolare dei dati se richiesto da quest’ultimo e dovrebbero essere responsabili del mantenimento della sicurezza dei dati che ricevono. Qualora la divulgazione dei segreti commerciali del titolare dei dati a enti pubblici, alla Commissione, alla Banca centrale europea o a organismi dell’Unione sia assolutamente necessaria per conseguire la finalità per la quale sono stati richiesti i dati, la riservatezza di tale divulgazione dovrebbe essere garantita prima della divulgazione dei dati. |
(75) |
Quando è in gioco la salvaguardia di un bene pubblico significativo, come la risposta a emergenze pubbliche, l’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione interessato non dovrebbe essere tenuto a versare un compenso alle imprese per i dati ottenuti. Le emergenze pubbliche sono eventi rari e non tutte richiedono l’utilizzo di dati in possesso delle imprese. Allo stesso tempo, l’obbligo di fornire dati potrebbe costituire un onere considerevole per le microimprese e le piccole imprese, che dovrebbero pertanto poter chiedere un compenso anche nel contesto di una risposta a un’emergenza pubblica. È pertanto improbabile che le attività commerciali dei titolari dei dati siano influenzate negativamente dal ricorso al presente regolamento da parte degli enti pubblici, della Commissione, della Banca centrale europea o degli organismi dell’Unione. Tuttavia, poiché le situazioni di necessità eccezionale diverse dalla risposta a emergenze pubbliche potrebbero essere più frequenti, è opportuno che in tali circostanze i titolari dei dati abbiano diritto a un compenso ragionevole che non dovrebbe essere superiore ai costi tecnici e organizzativi sostenuti per soddisfare la richiesta e al ragionevole margine necessario per mettere i dati a disposizione dell’ente pubblico, della Commissione, della Banca centrale europea o dell’organismo dell’Unione. Il compenso non dovrebbe intendersi come un pagamento per i dati stessi o come obbligatorio. I titolari dei dati non dovrebbero poter chiedere un compenso qualora il diritto nazionale impedisca agli istituti nazionali di statistica o ad altre autorità nazionali responsabili della produzione di statistiche di compensare i titolari dei dati per la messa a disposizione dei dati. L’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione interessato dovrebbe poter contestare il livello di compenso richiesto dal titolare dei dati, sottoponendo la questione all’autorità competente dello Stato membro in cui il titolare dei dati è stabilito. |
(76) |
L’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione dovrebbe avere la facoltà di condividere i dati ottenuti a seguito della richiesta con altre entità o persone qualora ciò sia necessario per svolgere attività di ricerca scientifica o attività analitiche che non può svolgere autonomamente, a condizione che tali attività siano compatibili con la finalità per la quale sono stati richiesti i dati, e dovrebbe informare tempestivamente il titolare dei dati di tale condivisione. Nelle stesse circostanze tali dati possono essere condivisi anche con gli istituti nazionali di statistica e con Eurostat per l’elaborazione, la produzione e la divulgazione di statistiche ufficiali. Tali attività di ricerca dovrebbero tuttavia essere compatibili con la finalità per la quale sono stati richiesti i dati e il titolare dei dati dovrebbe essere informato in merito all’ulteriore condivisione dei dati che ha fornito. È opportuno che le persone che svolgono attività di ricerca o gli organismi di ricerca con cui tali dati possono essere condivisi agiscano senza fini di lucro o nell’ambito di una missione di interesse pubblico riconosciuta dallo Stato. Non si dovrebbero considerare organismi di ricerca ai fini del presente regolamento quelli su cui imprese commerciali abbiano un’influenza tanto significativa da consentire loro di esercitare, per ragioni strutturali, un controllo da cui potrebbe derivare un accesso preferenziale ai risultati della ricerca. |
(77) |
Per gestire un’emergenza pubblica transfrontaliera o a un’altra necessità eccezionale, le richieste di dati possono essere rivolte ai titolari dei dati in Stati membri diversi da quello dell’ente pubblico richiedente. In tal caso, l’ente pubblico richiedente dovrebbe notificare l’autorità competente dello Stato membro in cui il titolare dei dati è stabilito al fine di consentirle di esaminare la richiesta alla luce dei criteri stabiliti nel presente regolamento. È opportuno che si applichi lo stesso alle richieste presentate dalla Commissione, dalla Banca centrale europea o da un organismo dell’Unione. Qualora siano richiesti dati personali, l’ente pubblico dovrebbe notificare l’autorità di controllo responsabile di sorvegliare l’applicazione del regolamento (UE) 2016/679 nello Stato membro in cui l’ente pubblico è stabilito. È opportuno che l’autorità competente interessata abbia la facoltà di consigliare all’ente pubblico, alla Commissione, alla Banca centrale europea o all’organismo dell’Unione di cooperare con gli enti pubblici dello Stato membro in cui il titolare dei dati è stabilito sulla necessità di garantire un onere amministrativo ridotto al minimo per il titolare dei dati. Qualora abbia fondate obiezioni circa la conformità della richiesta al presente regolamento, l’autorità competente dovrebbe respingere la richiesta dell’ente pubblico, della Commissione, della Banca centrale europea o dell’organismo dell’Unione, che dovrebbe tenere conto di tali obiezioni prima di procedere ulteriormente, ivi inclusa la ripresentazione della richiesta. |
(78) |
La capacità dei clienti dei servizi di trattamento dei dati, compresi i servizi cloud ed edge, di passare da un servizio di trattamento dei dati a un altro, mantenendo nel contempo una funzionalità minima del servizio e senza tempi di inattività dei servizi, o di utilizzare simultaneamente i servizi di vari fornitori senza indebiti ostacoli e costi di trasferimento di dati, è una condizione fondamentale per un mercato più competitivo con minori barriere all’ingresso di nuovi fornitori di servizi di trattamento dei dati e per garantire ulteriore resilienza per gli utenti di tali servizi. I clienti che beneficiano di offerte gratuite dovrebbero beneficiare anche delle disposizioni in materia di passaggio stabilite nel presente regolamento, in modo che tali offerte non comportino situazioni di lock-in per i clienti. |
(79) |
Il regolamento (UE) 2018/1807 del Parlamento europeo e del Consiglio (30) incoraggia i fornitori di servizi di trattamento dei dati a elaborare codici di condotta di autoregolamentazione e a dare loro effettiva attuazione, contemplando le migliori prassi per agevolare, tra l’altro, il passaggio ad altri fornitori di servizi di trattamento dei dati e la portabilità dei dati. Data la limitata diffusione dei quadri di autoregolamentazione elaborati in risposta e la generale indisponibilità di interfacce e norme aperte, è necessario adottare una serie di obblighi normativi minimi per i fornitori di servizi di trattamento dei dati al fine di eliminare gli ostacoli pre-commerciali, commerciali, tecnici, contrattuali e organizzativi, tra cui, ad esempio, la ridotta velocità di trasferimento dei dati all’uscita del cliente, che si frappongono a un passaggio efficace tra servizi di trattamento dei dati. |
(80) |
I servizi di trattamento dei dati dovrebbero comprendere i servizi che consentono un accesso alla rete universale e su richiesta a un pool condiviso, configurabile, scalabile ed elastico di risorse informatiche distribuite. Tali risorse informatiche comprendono le reti, i server o altre infrastrutture virtuali o fisiche , i software, compresi gli strumenti di sviluppo software, l’archiviazione, le applicazioni e i servizi. La capacità del cliente del servizio di trattamento dei dati di disporre unilateralmente di capacità informatiche a fornitura diretta, quali il tempo di utilizzo del server o lo spazio per l’archiviazione in rete, senza alcuna interazione umana da parte del fornitore di servizi di trattamento dei dati potrebbe essere descritta come una capacità che richiede uno sforzo di gestione minimo e che prevede un’interazione minima tra fornitore e cliente. Il termine «universale» è utilizzato per descrivere il fatto che le capacità informatiche sono fornite sulla rete e sono accessibili attraverso meccanismi che promuovono l’uso di piattaforme «thin client» o «thick client» (dai browser web ai dispositivi mobili e alle postazioni di lavoro). Il termine «scalabile» si riferisce alle risorse informatiche che sono assegnate in modo flessibile dal fornitore di servizi di trattamento dei dati, indipendentemente dall’ubicazione geografica delle risorse, per gestire le fluttuazioni della domanda. Il termine «elastico» è usato per descrivere le risorse di calcolo fornite e rilasciate in base alla domanda, al fine di aumentare o diminuire rapidamente le risorse disponibili in base al carico di lavoro. L’espressione «pool condiviso» è usata per descrivere le risorse di calcolo che sono fornite a una molteplicità di utenti che condividono un accesso comune al servizio, mentre l’elaborazione è effettuata separatamente per ciascun utente anche se il servizio è fornito a partire dalla stessa apparecchiatura elettronica. Il termine «distribuito» è usato per descrivere le risorse di calcolo che si trovano su computer diversi o dispositivi collegati in rete e che comunicano e si coordinano tra di loro mediante il passaggio di messaggi. Il termine «altamente distribuito» è usato per descrivere la natura dei servizi di trattamento dei dati che comportano un trattamento dei dati più vicino al luogo in cui i dati sono generati o raccolti, ad esempio in un dispositivo connesso per il trattamento dei dati. L’edge computing, che è una forma di trattamento dei dati altamente distribuito, dovrebbe generare nuovi modelli commerciali e modelli di fornitura di servizi cloud che dovrebbero essere fin dall’inizio aperti e interoperabili. |
(81) |
Il concetto generico di «servizi di trattamento dei dati» comprende un numero considerevole di servizi con una gamma molto ampia e variegata di finalità, funzionalità e impostazioni tecniche. Come comunemente inteso dai fornitori e dagli utenti, e in linea con le norme ampiamente utilizzate, i servizi di trattamento dei dati rientrano in uno o più dei tre seguenti modelli di fornitura di servizi di trattamento dei dati, ossia il servizio a livello di infrastruttura (infrastructure-as-a-service – IaaS), il servizio a livello di piattaforma (platform-as-a-service - PaaS) e il servizio a livello di software (software-as-a-service - SaaS). Tali modelli di fornitura di servizi rappresentano una combinazione specifica e preconfezionata di risorse informatiche offerte da un fornitore di servizi di trattamento dei dati. Tali tre modelli fondamentali di fornitura di servizi di trattamento dei dati sono ulteriormente completati da variazioni emergenti, ciascuna costituita da una combinazione distinta di risorse informatiche, quali il servizio a livello di archiviazione (Storage-as-a-Service) e il servizio a livello di banca dati (Database-as-a-Service). I servizi di trattamento dei dati possono essere classificati in una moltitudine più granulare e divisi in un elenco non esaustivo di diversi «stessi tipi di servizio», ossia insiemi di servizi di trattamento dei dati che condividono lo stesso obiettivo primario e le stesse funzionalità principali nonché lo stesso tipo di modelli di trattamento dei dati, che non sono correlati alle caratteristiche operative del servizio (stesso tipo di servizio). I servizi che rientrano nello stesso tipo di servizio possono condividere lo stesso modello di fornitura di servizi di trattamento dei dati; tuttavia, due banche dati che apparentemente condividono il medesimo obiettivo primario potrebbero rientrare in una sottocategoria più granulare di servizi simili dopo aver esaminato il loro modello di trattamento dei dati, il modello di distribuzione e i casi d’uso a cui sono mirate. I servizi che rientrano nello stesso tipo di servizio possono avere caratteristiche diverse e concorrenti, ad esempio in termini di prestazioni, sicurezza, resilienza e qualità. |
(82) |
Compromettere l’estrazione dei dati esportabili che appartengono al cliente da parte del fornitore di servizi di trattamento dei dati di origine può impedire il ripristino delle funzionalità del servizio nell’infrastruttura del fornitore di servizi di trattamento dei dati di destinazione. Al fine di facilitare la strategia di uscita del cliente, evitare compiti inutili e onerosi e garantire che il cliente non perda nessuno dei suoi dati a seguito del processo di passaggio, il fornitore di servizi di trattamento dei dati di origine dovrebbe preventivamente informare il cliente della portata dei dati che possono essere esportati una volta che il cliente decide di passare a un diverso servizio fornito da un diverso fornitore di servizi di trattamento dei dati oppure di passare a un’infrastruttura TIC locale. La portata dei dati esportabili dovrebbe includere almeno i dati di ingresso e uscita, inclusi i metadati, direttamente o indirettamente generati o cogenerati dall’utilizzo del servizio di trattamento dei dati da parte del cliente, ad esclusione di eventuali risorse o dati del fornitore di servizi di trattamento dei dati o di un terzo. I dati esportabili non dovrebbero includere beni o dati del fornitore di servizi di trattamento dei dati o di un terzo protetti da diritti di proprietà intellettuale o che costituiscono segreti commerciali di tale fornitore o di tale terzo, o dati relativi all’integrità e alla sicurezza del servizio, la cui esportazione esporrebbe i fornitori di servizi di trattamento dei dati a vulnerabilità legate alla cibersicurezza. Tali esenzioni non dovrebbero ostacolare o ritardare il processo di passaggio. |
(83) |
Le risorse digitali si riferiscono a elementi in formato digitale sui quali il cliente ha il diritto d’uso, compresi applicazioni e metadati connessi alla configurazione delle impostazioni, la sicurezza e la gestione dei diritti di accesso e di controllo, nonché altri elementi come forme di tecnologie di virtualizzazione, tra cui macchine virtuali e container. Le risorse digitali possono essere trasferite se il cliente ha il diritto d’uso, indipendentemente dal rapporto contrattuale con il servizio di trattamento dei dati che il cliente intende abbandonare per passare a un altro. Tali altri elementi sono essenziali per l’uso efficace dei dati e delle applicazioni del cliente nell’ambiente del fornitore di servizi di trattamento dei dati di destinazione. |
(84) |
Il presente regolamento mira ad agevolare il passaggio tra servizi di trattamento dei dati, che comprende le condizioni e le azioni necessarie affinché un cliente risolva un contratto per un servizio di trattamento dei dati, concluda uno o più nuovi contratti con altri fornitori di servizi di trattamento dei dati, trasferisca i suoi dati esportabili e le sue risorse digitali e, se applicabile, benefici dell’equivalenza funzionale. |
(85) |
Il passaggio è un’operazione avviata dal cliente che comprende varie fasi, tra cui l’estrazione dei dati, che si riferisce al download dei dati dall’ecosistema del fornitore di servizi di trattamento dei dati di origine; la trasformazione, quando i dati sono strutturati in un modo che non corrisponde allo schema della posizione di destinazione; il caricamento dei dati nella nuova posizione di destinazione. In una situazione specifica definita nel presente regolamento, la disaggregazione di un determinato servizio dal contratto e il suo trasferimento a un diverso fornitore dovrebbero anch’essi essere considerati come un passaggio. Il processo di passaggio è talvolta gestito da un terzo per conto del cliente. Di conseguenza, tutti i diritti e gli obblighi del cliente stabiliti dal presente regolamento, compreso l’obbligo di cooperare in buona fede, dovrebbero essere intesi come applicabili a detto terzo in tali circostanze. I fornitori di servizi di trattamento dei dati e i clienti hanno diversi livelli di responsabilità, a seconda delle fasi del processo cui si fa riferimento. Ad esempio, il fornitore di servizi di trattamento dei dati di origine è responsabile dell’estrazione dei dati in un formato leggibile da dispositivo automatico, ma sono il cliente e il fornitore di servizi di trattamento dei dati di destinazione a dover caricare i dati nel nuovo ambiente, a meno che non ci si avvalga di uno specifico servizio professionale di transizione. Un cliente che intenda esercitare i diritti relativi al passaggio previsti dal presente regolamento dovrebbe informare il fornitore di servizi di trattamento dei dati di origine della sua decisione di passare a un diverso fornitore di servizi di trattamento dei dati, di passare a un’infrastruttura TIC locale o di cancellare le risorse e i dati esportabili che lo riguardano. |
(86) |
Per equivalenza funzionale si intende il ripristino, sulla base dei dati esportabili e delle risorse digitali del cliente, di un livello minimo di funzionalità nell’ambiente di un nuovo servizio di trattamento dei dati dello stesso tipo di servizio dopo il passaggio, laddove il servizio del trattamento dei dati di destinazione fornisce risultati sostanzialmente comparabili in risposta al medesimo input per le caratteristiche condivise fornite al cliente in virtù del contratto. Si presuppone che i fornitori di servizi di trattamento dei dati faciliteranno solo l’equivalenza funzionale per le caratteristiche che i servizi del trattamento dei dati sia di origine che di destinazione offrono in modo indipendente. Il presente regolamento non comporta l’obbligo di facilitare l’equivalenza funzionale per i fornitori di servizi di trattamento dei dati diversi da quelli che offrono servizi del modello di fornitura IaaS. |
(87) |
I servizi di trattamento dei dati sono utilizzati in diversi settori e variano in termini di complessità e tipo di servizio. Si tratta di un aspetto importante da tenere in considerazione per quanto riguarda il processo di portabilità e le relative tempistiche. Tuttavia, una proroga del periodo transitorio a motivo dell’impossibilità tecnica di consentire il completamento del processo di passaggio entro il termine stabilito dovrebbe essere invocata solo in casi debitamente giustificati. L’onere della prova a tale riguardo dovrebbe ricadere interamente sul fornitore del servizio di trattamento dei dati interessato. Ciò non pregiudica il diritto esclusivo del cliente di prorogare una volta il periodo transitorio per un periodo che ritiene più adeguato alle proprie finalità. Il cliente può invocare tale diritto a una proroga prima o durante il periodo transitorio, tenuto conto del fatto che il contratto rimane applicabile durante il periodo transitorio. |
(88) |
Le tariffe di passaggio sono tariffe applicate dai fornitori di servizi di trattamento dei dati ai clienti per il processo di passaggio. In genere, tali tariffe sono destinate a trasferire i costi che il fornitore di servizi di trattamento dei dati di origine può sostenere a causa del processo di passaggio al cliente che desidera passare a un altro fornitore. Esempi comuni di tariffe di passaggio sono i costi relativi al transito dei dati da un fornitore di servizi di trattamento dei dati a un altro fornitore o a un’infrastruttura TIC locale (tariffe di uscita dei dati) o i costi sostenuti per azioni di sostegno specifiche durante il processo di passaggio. Tariffe di uscita dei dati inutilmente elevate o altri oneri ingiustificati non correlati agli effettivi costi di passaggio inibiscono il passaggio dei clienti, restringono la libera circolazione dei dati e possono limitare la concorrenza e causare effetti di lock-in per i clienti, riducendo gli incentivi a scegliere un fornitore di servizi diverso o aggiuntivo. È pertanto opportuno abolire le tariffe di passaggio dopo tre anni dall’entrata in vigore del presente regolamento. I fornitori dei servizi di trattamento dei dati dovrebbero poter imporre al cliente tariffe di passaggio ridotte fino a tale data. |
(89) |
Un fornitore di servizi di trattamento dei dati di origine dovrebbe poter esternalizzare determinati compiti e compensare soggetti terzi al fine di rispettare gli obblighi di cui al presente regolamento. Un cliente non dovrebbe sopportare i costi derivanti dall’esternalizzazione dei servizi conclusa dal fornitore di servizi di trattamento dei dati di origine durante il processo di passaggio e tali costi dovrebbero essere considerati ingiustificati, a meno che non coprano il lavoro, svolto dal fornitore di servizi di trattamento dei dati durante il processo di passaggio in risposta a una richiesta di sostegno supplementare da parte del cliente, che va al di là degli obblighi del fornitore in materia di passaggio espressamente disposti nel presente regolamento. Nessuna disposizione del presente regolamento impedisce a un cliente di compensare soggetti terzi per il sostegno fornito nel processo di migrazione né alle parti di convenire contratti per servizi di trattamento dei dati di durata fissa, che prevedano sanzioni proporzionate in caso di risoluzione anticipata per coprire la risoluzione anticipata di tali contratti, conformemente al diritto dell’Unione o nazionale. Al fine di promuovere la concorrenza, è opportuno che l’abolizione graduale delle tariffe associate al passaggio tra diversi fornitori di servizi di trattamento dei dati includa specificamente le tariffe di uscita dei dati imposte da un fornitore di servizi di trattamento dei dati a un cliente. Tali spese standard di servizio per la fornitura dei servizi di trattamento dei dati in quanto tali non costituiscono tariffe di passaggio. Tali spese standard di servizio non sono soggette ad abolizione e restano applicabili fino a quando il contratto di fornitura dei servizi interessati cessa di applicarsi. Il presente regolamento consente al cliente di chiedere la fornitura di servizi aggiuntivi che esulano dagli obblighi in materia di passaggio che incombono al fornitore ai sensi del presente regolamento. Tali servizi aggiuntivi possono essere forniti e fatturati dal fornitore quando sono forniti su richiesta del cliente, previa accettazione da parte di quest’ultimo dei relativi costi. |
(90) |
È necessario un approccio normativo all’interoperabilità che sia ambizioso e propizio all’innovazione, al fine di superare il «vendor lock-in» (blocco da fornitore), che compromette la concorrenza e lo sviluppo di nuovi servizi. L’interoperabilità tra servizi di trattamento dei dati coinvolge più interfacce e livelli di infrastruttura e software e raramente si limita a un test binario di realizzabilità o meno. La realizzazione di tale interoperabilità è invece soggetta a un’analisi costi-benefici, necessaria per stabilire se sia utile per perseguire risultati ragionevolmente prevedibili. La norma ISO/IEC 19941:2017 è un’importante norma internazionale che costituisce un riferimento per il conseguimento degli obiettivi del presente regolamento, in quanto contiene considerazioni tecniche che chiariscono la complessità di tale processo. |
(91) |
Qualora i fornitori di servizi di trattamento dei dati siano a loro volta clienti di servizi di trattamento dei dati offerti da un fornitore terzo, beneficeranno di un passaggio più efficace, pur rimanendo nel contempo vincolati dagli obblighi sanciti dal presente regolamento per quanto riguarda le loro offerte di servizi. |
(92) |
È opportuno che i fornitori di servizi di trattamento dei dati siano tenuti a offrire, nei limiti della loro capacità e in maniera proporzionata ai rispettivi obblighi, tutta l’assistenza e tutto il sostegno necessari per garantire il buon esito, l’efficacia e la sicurezza del processo di passaggio a un servizio di un altro fornitore di servizi di trattamento dei dati. Il presente regolamento non impone ai fornitori di servizi di trattamento dei dati di sviluppare nuove categorie di servizi di trattamento dei dati, anche all’interno o sulla base dell’infrastruttura TIC di altri fornitori di servizi di trattamento dei dati, al fine di garantire l’equivalenza funzionale in un ambiente diverso dai loro sistemi. Un fornitore di servizi di trattamento dei dati di origine non ha accesso all’ambiente del fornitore di servizi di trattamento dei dati di destinazione, né dispone di informazioni al riguardo. L’equivalenza funzionale non dovrebbe essere intesa nel senso che obbliga il fornitore di servizi di trattamento dei dati di origine a ricostruire il servizio in questione all’interno dell’infrastruttura del fornitore di servizi di trattamento dei dati di destinazione. Il fornitore di servizi di trattamento dei dati di origine dovrebbe invece adottare tutte le misure ragionevoli in suo potere per agevolare il processo di conseguimento dell’equivalenza funzionale fornendo capacità, informazioni adeguate, documentazione, supporto tecnico e, se del caso, gli strumenti necessari. |
(93) |
I fornitori di servizi di trattamento dei dati dovrebbero inoltre essere tenuti a rimuovere gli ostacoli esistenti e a non imporne di nuovi, anche per i clienti che desiderano passare a un’infrastruttura TIC locale. Gli ostacoli possono, tra l’altro, essere di natura pre-commerciale, commerciale, tecnica, contrattuale o organizzativa. I fornitori di servizi di trattamento dei dati dovrebbero inoltre essere tenuti a rimuovere gli ostacoli alla disaggregazione di uno specifico servizio individuale da altri servizi di trattamento dei dati forniti in virtù di un contratto e a fare in modo che il servizio interessato sia disponibile per il passaggio, in assenza di ostacoli tecnici rilevanti e comprovati che impediscano tale disaggregazione. |
(94) |
Durante l’intero processo di passaggio dovrebbe essere mantenuto un elevato livello di sicurezza. Ciò significa che il fornitore di servizi di trattamento dei dati di origine dovrebbe estendere il livello di sicurezza al quale si è impegnato per il servizio a tutti gli aspetti tecnici di cui è responsabile durante il processo di passaggio, quali connessioni di rete o dispositivi fisici. I diritti esistenti relativi alla risoluzione dei contratti, compresi quelli introdotti dal regolamento (UE) 2016/679 e dalla direttiva (UE) 2019/770 del Parlamento europeo e del Consiglio (31) non dovrebbero essere pregiudicati. Il presente regolamento non dovrebbe essere inteso nel senso che impedisce ai fornitori di servizi di trattamento dei dati di fornire ai clienti servizi, caratteristiche e funzionalità nuovi e migliorati o di competere con altri fornitori di servizi di trattamento dei dati su tale base. |
(95) |
Le informazioni che i fornitori di servizi di trattamento dei dati devono fornire al cliente potrebbero sostenere la strategia di uscita di quest’ultimo. È opportuno che tali informazioni includano le procedure per avviare il passaggio dal servizio di trattamento dei dati, i formati di dati leggibili da dispositivo automatico in cui i dati dell’utente possono essere esportati, gli strumenti destinati all’esportazione dei dati, comprese le interfacce aperte e le informazioni sulla compatibilità con norme armonizzate o specifiche comuni basate su specifiche di interoperabilità aperte, le informazioni sulle restrizioni e le limitazioni tecniche conosciute che potrebbero avere ripercussioni sul processo di passaggio e il tempo stimato necessario per completare il processo di passaggio. |
(96) |
Per agevolare l’interoperabilità e il passaggio tra servizi di trattamento dei dati è opportuno che gli utenti e i fornitori di servizi di trattamento dei dati prendano in considerazione l’uso di strumenti di attuazione e di conformità, in particolare quelli pubblicati dalla Commissione sotto forma di un codice dell’UE di regolamentazione del cloud e orientamenti sugli appalti pubblici dei servizi di trattamento dei dati. In particolare, le clausole contrattuali standard contribuiscono ad accrescere la fiducia nei servizi di trattamento dei dati, a creare una relazione più equilibrata tra utenti e fornitori di servizi di trattamento dei dati e a rafforzare la certezza del diritto riguardo alle condizioni applicabili al passaggio ad altri servizi di trattamento dei dati. In tale contesto è opportuno che gli utenti e i fornitori di servizi di trattamento dei dati prendano in considerazione il ricorso a clausole contrattuali standard o ad altri strumenti di autoregolamentazione in materia di conformità, a condizione che siano pienamente conformi al presente regolamento, elaborati dagli organismi o dai gruppi di esperti pertinenti istituiti a norma del diritto dell’Unione. |
(97) |
Al fine di agevolare il passaggio tra servizi di trattamento dei dati, tutte le parti interessate, compresi i fornitori di servizi di trattamento dei dati sia di origine che di destinazione, dovrebbero cooperare in buona fede al fine di consentire un processo di passaggio efficace e il trasferimento sicuro e tempestivo dei dati necessari in un formato di uso comune e leggibile da dispositivo automatico e mediante interfacce aperte, evitando interruzioni del servizio e mantenendone la continuità. |
(98) |
I servizi di trattamento dei dati che riguardano servizi le cui caratteristiche principali siano state per la maggior parte personalizzate in risposta alle specifiche richieste di un singolo cliente o i cui componenti siano stati tutti sviluppati per le finalità di un singolo cliente dovrebbero essere esentati da alcuni degli obblighi applicabili al passaggio tra servizi di trattamento dei dati. Ciò non dovrebbe includere servizi che il fornitore di servizi di trattamento dei dati offre su vasta scala commerciale tramite il proprio catalogo di servizi. Tra gli obblighi del fornitore di servizi di trattamento dei dati rientra quello di informare debitamente i potenziali clienti di tali servizi, prima della conclusione di un contratto, in merito agli obblighi stabiliti nel presente regolamento che non si applicano ai servizi interessati. Nulla impedisce al fornitore di servizi di trattamento dei dati di diffondere infine detti servizi su larga scala, nel qual caso tale fornitore dovrebbe rispettare tutti gli obblighi in materia di passaggio stabiliti nel presente regolamento. |
(99) |
In linea con il requisito minimo di consentire il passaggio tra fornitori di servizi di trattamento dei dati, il presente regolamento mira altresì a migliorare l’interoperabilità per l’uso in parallelo di molteplici servizi di trattamento dei dati con funzionalità complementari. Ciò riguarda situazioni in cui i clienti non risolvono un contratto per passare a un diverso fornitore di servizi di trattamento dei dati, bensì utilizzano molteplici servizi di vari fornitori in parallelo, in modo interoperabile, così da beneficiare delle funzionalità complementari dei vari servizi nella configurazione di sistema del cliente stesso. Si riconosce tuttavia che l’uscita dei dati da un fornitore di servizi di trattamento dei dati a un altro per agevolare l’uso in parallelo di servizi può essere un’attività continuativa, al contrario dell’uscita una tantum richiesta nel quadro del processo di passaggio. I fornitori di servizi di trattamento dei dati dovrebbero pertanto poter continuare a imporre tariffe di uscita dei dati, non superiori ai costi sostenuti, ai fini di un uso in parallelo dopo tre anni dalla data di entrata in vigore del presente regolamento. Ciò è importante, tra l’altro, per il successo dell’attuazione di strategie «multicloud», che consentono ai clienti di attuare strategie informatiche pronte per le sfide del futuro e riducono la dipendenza dai singoli fornitori di servizi di trattamento dei dati. La promozione di un approccio multicloud per i clienti dei servizi di trattamento dei dati può altresì contribuire ad aumentare la loro resilienza operativa digitale, come riconosciuto per gli istituti che forniscono servizi finanziari nel regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (32). |
(100) |
Si prevede che le norme e le specifiche di interoperabilità aperte elaborate conformemente all’allegato II del regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio (33) nel settore dell’interoperabilità e della portabilità rendano attuabile un ambiente cloud con più fornitori, che è un requisito fondamentale per un’innovazione aperta nell’economia europea dei dati. Poiché l’adozione da parte del mercato di norme individuate nell’ambito dell’iniziativa di coordinamento della normazione del cloud (cloud standardisation coordination - CSC) conclusa nel 2016 è stata limitata, è altresì necessario che la Commissione faccia affidamento sulle parti presenti sul mercato che sviluppino le pertinenti specifiche di interoperabilità aperte al fine di stare al passo con il veloce ritmo dello sviluppo tecnologico in questo settore. Tali specifiche di interoperabilità aperte possono essere poi adottate dalla Commissione sotto forma di specifiche comuni. Inoltre, laddove i processi orientati al mercato non abbiano dimostrato la capacità di stabilire specifiche comuni o norme che agevolino un’efficace interoperabilità nel cloud a livello di PaaS e SaaS , è opportuno che la Commissione sia in grado, sulla base del presente regolamento e in conformità del regolamento (UE) n. 1025/2012, di chiedere agli organismi europei di normazione di elaborare tali norme per gli stessi servizi per i quali tali norme non esistono ancora. Inoltre, la Commissione incoraggerà le parti presenti sul mercato a elaborare specifiche di interoperabilità aperte pertinenti. Previa consultazione dei portatori di interessi, la Commissione dovrebbe poter imporre, mediante atti di esecuzione, il ricorso a norme armonizzate per l’interoperabilità o a specifiche comuni per tipi di servizi specifici mediante un riferimento in un archivio centrale dell’Unione delle norme per l’interoperabilità dei servizi di trattamento dei dati. I fornitori di servizi di trattamento dei dati dovrebbero garantire la compatibilità con tali norme armonizzate e specifiche comuni basate su specifiche di interoperabilità aperte, che non dovrebbero avere un impatto negativo sulla sicurezza o sull’integrità dei dati. Si farà riferimento alle norme armonizzate di interoperabilità dei servizi di trattamento dei dati e alle specifiche comuni basate su specifiche di interoperabilità aperte solo se conformi ai criteri stabiliti nel presente regolamento, che hanno il medesimo significato delle disposizioni di cui all’allegato II del regolamento (UE) n. 1025/2012 e agli aspetti di interoperabilità definiti nella norma internazionale ISO/IEC 19941:2017. La normazione dovrebbe altresì tener conto delle esigenze delle PMI. |
(101) |
I paesi terzi possono adottare leggi, regolamenti e altri atti giuridici volti a trasferire direttamente o a garantire l’accesso governativo ai dati non personali situati al di fuori dei loro confini, anche nell’Unione. Le sentenze di autorità giurisdizionali o le decisioni di altre autorità giudiziarie o amministrative, comprese le autorità incaricate dell’applicazione della legge di paesi terzi, che dispongono un tale trasferimento di dati non personali o l’accesso agli stessi dovrebbero avere carattere esecutivo quando sono basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione o un suo Stato membro, come ad esempio un trattato di mutua assistenza giudiziaria. In altri casi possono verificarsi situazioni in cui una richiesta di trasferimento di dati non personali o di accesso agli stessi basata sulla legislazione di un paese terzo sia in conflitto con l’obbligo di proteggere tali dati a norma del diritto dell’Unione o dello Stato membro pertinente, in particolare per quanto riguarda la tutela dei diritti fondamentali dell’individuo, quali il diritto alla sicurezza e il diritto a un ricorso effettivo, o gli interessi fondamentali di uno Stato membro connessi alla sicurezza nazionale o alla difesa, nonché la protezione dei dati sensibili sotto il profilo commerciale, inclusa la protezione dei segreti commerciali, e la protezione dei diritti di proprietà intellettuale, compresi gli impegni contrattuali dello Stato membro in materia di riservatezza conformemente a tale legislazione. In assenza di accordi internazionali atti a disciplinare simili questioni, il trasferimento o l’accesso a dati non personali dovrebbero essere consentiti solo se è stato verificato che l’ordinamento giuridico del paese terzo impone che siano indicati i motivi e la proporzionalità della decisione, che la sentenza o decisione abbia carattere specifico e che l’obiezione motivata del destinatario sia sottoposta al riesame da parte di un organo giurisdizionale competente di un paese terzo, cui sia conferito il potere di tenere debitamente conto dei pertinenti interessi giuridici del fornitore di tali dati. Ove possibile in base alle condizioni della richiesta di accesso ai dati dell’autorità del paese terzo, è opportuno che il fornitore di servizi di trattamento dei dati sia in grado di informare il cliente i cui dati sono richiesti prima che sia concesso l’accesso a detti dati al fine di verificare la presenza di un potenziale conflitto tra tale accesso e il diritto dell’Unione o nazionale, come quello sulla protezione dei dati sensibili sotto il profilo commerciale, compresa la protezione dei segreti commerciali, dei diritti di proprietà intellettuale e degli impegni contrattuali in materia di riservatezza. |
(102) |
Per promuovere ulteriormente la fiducia nei dati è importante che siano attuate garanzie, nella misura del possibile, per assicurare che i cittadini dell’Unione, gli enti del settore pubblico e le imprese abbiano il controllo sui propri dati. Dovrebbero inoltre essere rispettati, tra l’altro, il diritto, i valori e le norme dell’Unione, in materia di sicurezza, protezione e riservatezza dei dati e tutela dei consumatori. Al fine di prevenire l’accesso governativo illecito a dati non personali da parte di autorità di paesi terzi, è opportuno che i fornitori di servizi di trattamento dei dati soggetti al presente regolamento, quali i servizi cloud ed edge, adottino tutte le misure ragionevoli per impedire l’accesso ai sistemi in cui sono archiviati dati non personali, anche, ove opportuno, mediante la cifratura dei dati, la frequente sottoposizione a audit, l’adesione verificata ai pertinenti sistemi di certificazione della sicurezza e la modifica delle politiche aziendali. |
(103) |
La normazione e l’interoperabilità semantica dovrebbero svolgere un ruolo fondamentale nella formulazione di soluzioni tecniche volte a garantire l’interoperabilità all’interno degli spazi comuni europei di dati e tra essi, che sono quadri interoperabili per scopi specifici, settoriali o intersettoriali di norme e prassi comuni per condividere o trattare congiuntamente i dati, anche ai fini dello sviluppo di nuovi prodotti e servizi, della ricerca scientifica o di iniziative della società civile. Il presente regolamento stabilisce taluni requisiti essenziali in materia di interoperabilità. I partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti, che sono entità che agevolano la condivisione di dati o se ne occupano all’interno di spazi comuni europei di dati, compresi i titolari dei dati, dovrebbero rispettare tali requisiti nella misura in cui riguardano elementi sotto il loro controllo. Il rispetto di tali norme può essere garantito aderendo ai requisiti essenziali stabiliti dal presente regolamento oppure può essere presunto sulla base della conformità alle norme armonizzate o alle specifiche comuni attraverso una presunzione di conformità. Al fine di agevolare la conformità ai requisiti di interoperabilità è necessario prevedere una presunzione di conformità per le soluzioni di interoperabilità che soddisfano le norme armonizzate o parti di esse conformemente al regolamento (UE) n. 1025/2012, che rappresenta il quadro predefinito per l’elaborazione di norme che prevedono tali presunzioni. È opportuno che la Commissione valuti gli ostacoli all’interoperabilità e dia priorità alle esigenze di normazione, sulla base delle quali può chiedere a una o più organizzazioni europee di normazione, ai sensi del regolamento (UE) n. 1025/2012, di elaborare norme armonizzate che soddisfino i requisiti essenziali stabiliti dal presente regolamento. Laddove tali richieste non si traducano in norme armonizzate oppure tali norme armonizzate siano insufficienti a garantire la conformità con i requisiti essenziali del presente regolamento, la Commissione dovrebbe poter adottare specifiche comuni in tali settori, a condizione che lo faccia nel pieno rispetto del ruolo e delle funzioni delle organizzazioni di normazione. Specifiche comuni dovrebbero essere adottate solo come soluzione eccezionale di ripiego tesa ad agevolare il rispetto dei requisiti essenziali del presente regolamento, o quando il processo di normazione è bloccato, oppure quando si verificano ritardi nella definizione di opportune norme armonizzate. Qualora un ritardo è dovuto alla complessità tecnica della norma in questione, la Commissione dovrebbe tenerne conto prima di prendere in considerazione la definizione di specifiche comuni. Le specifiche comuni dovrebbero essere elaborate in modo aperto e inclusivo e tenere conto, se del caso, del parere del comitato europeo per l’innovazione in materia di dati (European Data Innovation Board – EDIB) istituito dal regolamento (UE) 2022/868. Inoltre, potrebbero essere adottate specifiche comuni nei diversi settori, conformemente al diritto dell’Unione o nazionale, sulla base delle esigenze specifiche di tali settori. È altresì opportuno che la Commissione sia autorizzata ad imporre l’elaborazione di norme armonizzate per l’interoperabilità dei servizi di trattamento dei dati. |
(104) |
Per promuovere l’interoperabilità degli strumenti per l’esecuzione automatica di accordi di condivisione dei dati è necessario stabilire requisiti essenziali relativi ai contratti intelligenti redatti da professionisti per altri o integrati in applicazioni che sostengono l’attuazione di accordi per la condivisione dei dati. Al fine di agevolare la conformità dei contratti intelligenti a tali requisiti essenziali è necessario prevedere una presunzione di conformità per i contratti intelligenti che soddisfano le norme armonizzate o parti di esse conformemente al regolamento (UE) n. 1025/2012. La nozione di «contratto intelligente» nel presente regolamento è tecnologicamente neutra. I contratti intelligenti possono ad esempio essere collegati a un registro elettronico. I requisiti essenziali dovrebbero applicarsi solo ai venditori di contratti intelligenti, ma non nel caso in cui sviluppino internamente contratti intelligenti destinati all’esclusivo uso interno. Il requisito essenziale teso a garantire che i contratti intelligenti possano essere interrotti e risolti implica il consenso reciproco delle parti all’accordo di condivisione dei dati. L’applicabilità delle pertinenti norme del diritto in materia di protezione civile, contrattuale e dei consumatori agli accordi di condivisione dei dati rimane o dovrebbe rimanere impregiudicata dall’uso di contratti intelligenti per l’esecuzione automatica di tali accordi. |
(105) |
Al fine di dimostrare il rispetto dei requisiti essenziali del presente regolamento, il venditore di un contratto intelligente, o in sua assenza la persona la cui attività commerciale, imprenditoriale o professionale prevede l’esecuzione di contratti intelligenti per altri nel contesto dell’esecuzione di un accordo o parte di esso, per la messa a disposizione di dati nel quadro del presente regolamento, dovrebbe effettuare una valutazione della conformità e rilasciare una dichiarazione di conformità UE. Tale valutazione della conformità dovrebbe essere soggetta ai principi generali definiti nel regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio (34) e nella decisione (CE) n. 768/2008 del Parlamento europeo e del Consiglio (35). |
(106) |
Oltre all’obbligo per gli sviluppatori professionali di contratti intelligenti di rispettare i requisiti essenziali, è importante altresì incoraggiare i partecipanti all’interno degli spazi dati che offrono dati o servizi basati sui dati ad altri partecipanti all’interno degli spazi comuni europei di dati e tra essi a supportare l’interoperabilità degli strumenti per la condivisione dei dati, contratti intelligenti compresi. |
(107) |
Al fine di garantire l’applicazione e il rispetto del presente regolamento è opportuno che gli Stati membri designino una o più autorità competenti. Se uno Stato membro designa più di un’autorità competente dovrebbe anche designare un coordinatore dei dati tra di esse. È opportuno che le autorità competenti cooperino tra loro. Esercitando i loro poteri di indagine conformemente alle procedure nazionali applicabili, le autorità competenti dovrebbero poter cercare e ottenere informazioni, in particolare in relazione alle attività di un soggetto nell’ambito della loro competenza e, anche nel contesto di indagini congiunte, tenendo debitamente conto del fatto che le misure di vigilanza e di esecuzione riguardanti un soggetto nell’ambito della competenza di un altro Stato membro dovrebbero essere adottate dall’autorità competente di detto Stato membro, se del caso, in conformità delle procedure relative alla cooperazione transfrontaliera. Le autorità competenti dovrebbero prestarsi vicendevolmente assistenza in modo tempestivo, in particolare quando un’autorità competente in uno Stato membro detiene informazioni pertinenti per un’indagine effettuata dalle autorità competenti in altri Stati membri oppure è in grado di raccogliere siffatte informazioni cui le autorità competenti nello Stato membro in cui l’entità è stabilita non hanno accesso. Le autorità competenti e i coordinatori dei dati dovrebbero essere identificati in un registro pubblico tenuto dalla Commissione. Il coordinatore dei dati potrebbe essere un ulteriore mezzo per agevolare la cooperazione in situazioni transfrontaliere, come quando un’autorità competente di un dato Stato membro non sa a quale autorità rivolgersi nello Stato membro del coordinatore, ad esempio qualora il caso riguardi più di un’autorità competente o di un settore. Il coordinatore dei dati dovrebbe fungere anche da punto di contatto unico per tutte le questioni relative all’applicazione del presente regolamento. Qualora non sia stato designato alcun coordinatore dei dati, l’autorità competente dovrebbe farsi carico dei compiti assegnati al coordinatore dei dati a norma del presente regolamento. Le autorità responsabili del controllo del rispetto del diritto in materia di protezione dei dati e le autorità competenti designate a norma del diritto dell’Unione o nazionale dovrebbero essere responsabili dell’applicazione del presente regolamento nei loro settori di competenza. Al fine di evitare conflitti di interesse, le autorità competenti responsabili dell’applicazione e dell’esecuzione del presente regolamento nel settore della messa a disposizione dei dati a seguito di una richiesta sulla base di necessità eccezionali non dovrebbero beneficiare del diritto di presentare tale richiesta. |
(108) |
Al fine di far valere i loro diritti a norma del presente regolamento è opportuno che le persone fisiche e giuridiche abbiano il diritto di presentare ricorso in caso di violazione dei loro diritti a norma del presente regolamento, presentando reclami. Su richiesta, il coordinatore dei dati dovrebbe fornire tutte le informazioni necessarie alle persone fisiche e giuridiche per presentare reclami all’autorità competente appropriata. È opportuno che tali autorità siano obbligate a cooperare per garantire che un reclamo sia gestito in modo adeguato e risolto in modo efficace e tempestivo. Al fine di avvalersi del meccanismo della rete di cooperazione per la tutela dei consumatori e consentire azioni rappresentative, il presente regolamento modifica gli allegati del regolamento (UE) 2017/2394 del Parlamento europeo e del Consiglio (36) e la direttiva (UE) 2020/1828 del Parlamento europeo e del Consiglio (37). |
(109) |
Le autorità competenti dovrebbero garantire che le violazioni degli obblighi stabiliti dal presente regolamento siano oggetto di sanzioni. Tali sanzioni potrebbero tra l’altro includere sanzioni pecuniarie, avvertimenti, ammonimenti o ordini di conformare le pratiche commerciali agli obblighi imposti dal presente regolamento. Le sanzioni stabilite dagli Stati membri dovrebbero essere efficaci, proporzionate e dissuasive e dovrebbero tener conto delle raccomandazioni dell’EDIB, così da contribuire al raggiungimento del massimo livello possibile di coerenza nella definizione e nell’applicazione delle sanzioni. Se del caso, le autorità competenti dovrebbero ricorrere a misure provvisorie per limitare gli effetti di una presunta violazione mentre è in corso l’indagine su tale violazione. È opportuno che, nel farlo, tengano conto, tra l’altro, della natura, della gravità, dell’entità e della durata della violazione, alla luce dell’obiettivo di interesse generale perseguito, della portata e del tipo di attività svolte e della capacità economica dell’autore della violazione. Le suddette autorità competenti dovrebbero altresì considerare se l’autore della violazione non adempie sistematicamente o ripetutamente agli obblighi di cui al presente regolamento. Al fine di garantire il rispetto del principio del ne bis in idem e di evitare, in particolare, che per la stessa violazione degli obblighi stabiliti nel presente regolamento la pena sia irrogata più di una volta, ciascuno Stato membro che intenda esercitare la sua competenza nei confronti dell’autore della violazione che non è stabilito né ha designato un rappresentante legale nell’Unione, dovrebbe informarne senza indebito ritardo tutti i coordinatori dei dati, nonché la Commissione. |
(110) |
L’EDIB dovrebbe fornire consulenza e assistenza alla Commissione nel coordinare le pratiche e le politiche nazionali sui temi contemplati dal presente regolamento come anche nel realizzarne gli obiettivi relativamente alla normazione tecnica al fine di migliorare l’interoperabilità. Dovrebbe altresì svolgere un ruolo chiave nell’agevolare discussioni globali tra le autorità competenti in merito all’applicazione e all’esecuzione del presente regolamento. Tale scambio di informazioni è inteso ad aumentare l’accesso effettivo alla giustizia nonché l’esecuzione e la cooperazione giudiziaria in tutta l’Unione. Tra le altre funzioni, le autorità competenti dovrebbero ricorrere all’EDIB quale piattaforma per valutare, coordinare e adottare raccomandazioni sulla definizione di sanzioni per le violazioni del presente regolamento. Il comitato europeo per l’innovazione in materia di dati dovrebbe consentire alle autorità competenti, con l’assistenza della Commissione, di coordinare l’approccio ottimale alla fissazione e irrogazione di dette sanzioni. Tale approccio evita la frammentazione, permettendo al contempo la flessibilità degli Stati membri, e dovrebbe portare a raccomandazioni efficaci che sostengano l’applicazione coerente del presente regolamento. L’EDIB dovrebbe altresì assumere un ruolo consultivo nei processi di normazione e nell’adozione di specifiche comuni sotto forma di atti di esecuzione, nell’adozione di atti delegati tesi ad istituire un meccanismo di controllo delle tariffe di passaggio imposte dai fornitori di servizi di trattamento dei dati e nello specificare ulteriormente i requisiti essenziali in materia di interoperabilità dei dati, dei meccanismi e i servizi di condivisione dei dati nonché degli spazi comuni europei di dati. Dovrebbe altresì fornire consulenza e assistenza alla Commissione nell’adozione degli orientamenti che stabiliscono specifiche di interoperabilità per il funzionamento degli spazi comuni europei di dati. |
(111) |
Al fine di aiutare le imprese a redigere e negoziare contratti è opportuno che la Commissione elabori e raccomandi clausole contrattuali tipo non vincolanti per i contratti di condivisione dei dati tra imprese, tenendo conto, se necessario, delle condizioni in settori specifici e delle pratiche esistenti con meccanismi volontari di condivisione dei dati. Tali clausole contrattuali tipo dovrebbero essere principalmente uno strumento pratico per aiutare in particolare le PMI a concludere un contratto. Se utilizzate ampiamente e integralmente, tali clausole contrattuali tipo dovrebbero anche avere l’effetto positivo di influenzare l’elaborazione dei contratti per quanto riguarda l’accesso ai dati e il loro utilizzo e, pertanto, dovrebbero determinare in senso più ampio rapporti contrattuali più equi in sede di accesso ai dati e loro condivisione. |
(112) |
Al fine di eliminare il rischio che i titolari di dati contenuti in banche di dati ottenuti o generati mediante componenti fisiche, quali sensori, di un prodotto connesso e di un servizio correlato o di altri dati generati automaticamente rivendichino il diritto «sui generis» di cui all’articolo 7 della direttiva 96/9/CE , ostacolando in tal modo in particolare l’effettivo esercizio del diritto degli utenti di accedere ai dati e di utilizzarli e del diritto di condividere i dati con terzi a norma del presente regolamento, si dovrebbe chiarire che il diritto «sui generis» non si applica a tali banche di dati. Ciò non pregiudica l’eventuale applicazione del diritto «sui generis» di cui all’articolo 7 della direttiva 96/9/CE alle banche di dati contenenti dati che non rientrano nell’ambito di applicazione del presente regolamento, purché siano soddisfatti i requisiti di tutela a norma del paragrafo 1 di tale articolo. |
(113) |
Per tenere conto degli aspetti tecnici dei servizi di trattamento dei dati è opportuno delegare alla Commissione il potere di adottare atti conformemente all’articolo 290 TFUE riguardo all’integrazione del presente regolamento al fine di istituire un meccanismo di controllo delle tariffe di passaggio imposte dai fornitori di servizi di trattamento dei dati sul mercato, e di specificare ulteriormente i requisiti essenziali in materia di interoperabilità per i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti, nel rispetto dei principi stabiliti nell’accordo interistituzionale «Legiferare meglio» del 13 aprile 2016 (38). In particolare, al fine di garantire la parità di partecipazione alla preparazione degli atti delegati, il Parlamento europeo e il Consiglio ricevono tutti i documenti contemporaneamente agli esperti degli Stati membri, e i loro esperti hanno sistematicamente accesso alle riunioni dei gruppi di esperti della Commissione incaricati della preparazione di tali atti delegati. |
(114) |
È opportuno attribuire alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi di esecuzione del presente regolamento per quanto riguarda l’adozione di specifiche comuni atte a garantire l’interoperabilità di dati, dei meccanismi e dei servizi di condivisione dei dati, nonché degli spazi comuni europei dei dati, specifiche comuni sull’interoperabilità dei servizi di trattamento dei dati, nonché specifiche comuni per i contratti intelligenti. È opportuno inoltre attribuire alla Commissione competenze di esecuzione ai fini della pubblicazione dei riferimenti delle norme armonizzate e delle specifiche comuni per l’interoperabilità dei servizi di trattamento dei dati in un archivio centrale dell’Unione delle norme per l’interoperabilità dei servizi di trattamento dei dati. È altresì opportuno che tali competenze siano esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio (39). |
(115) |
Il presente regolamento dovrebbe fare salve le norme relative alle esigenze specifiche di singoli settori o settori di interesse pubblico. Tali norme possono includere requisiti supplementari sugli aspetti tecnici dell’accesso ai dati, quali le interfacce per l’accesso ai dati, o sulle modalità di fornire accesso ai dati, ad esempio direttamente dal prodotto o tramite servizi di intermediazione dei dati. Tali norme possono anche includere limitazioni ai diritti dei titolari dei dati di accedere ai dati degli utenti o di utilizzarli, o altri aspetti che vanno oltre l’accesso ai dati e il loro utilizzo, come gli aspetti relativi alla governance o i requisiti di sicurezza, inclusi quelli relativi alla cibersicurezza. Il presente regolamento dovrebbe inoltre lasciare impregiudicate norme più specifiche nel contesto dello sviluppo di spazi comuni europei di dati oppure, fatte salve le eccezioni di cui al presente regolamento, il diritto dell’Unione e nazionale che dispongono l’accesso ai dati e ne autorizzano l’utilizzo a fini di ricerca scientifica. |
(116) |
Il presente regolamento non dovrebbe incidere sull’applicazione delle norme in materia di concorrenza, in particolare gli articoli 101 e 102 TFUE. Le misure di cui al presente regolamento non dovrebbero essere utilizzate per limitare la concorrenza in contrasto con il TFUE. |
(117) |
Al fine di consentire agli operatori rientranti nell’ambito di applicazione del presente regolamento di adeguarsi alle nuove norme ivi previste e di adottare le necessarie disposizioni tecniche, tali norme dovrebbero applicarsi a decorrere dal 12 settembre 2025. |
(118) |
Conformemente all’articolo 42, paragrafi 1 e 2, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati e il comitato europeo per la protezione dei dati sono stati consultati e hanno formulato il loro parere il 4 maggio 2022. |
(119) |
Poiché gli obiettivi del presente regolamento, segnatamente garantire l’equità nella ripartizione del valore dei dati tra gli attori dell’economia dei dati e promuovere un accesso e un utilizzo equi dei dati al fine di contribuire all’istituzione di un vero mercato interno dei dati, non possono essere conseguiti in misura sufficiente dagli Stati membri ma, a motivo della portata e degli effetti dell’azione e dell’utilizzo transfrontaliero dei dati, possono essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea. Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo, |
HANNO ADOTTATO IL PRESENTE REGOLAMENTO:
CAPO I
DISPOSIZIONI GENERALI
Articolo 1
Oggetto e ambito di applicazione
1. Il presente regolamento stabilisce norme armonizzate per quanto riguarda, tra l’altro:
a) |
la messa a disposizione dei dati del prodotto connesso e di un servizio correlato all’utente del prodotto connesso o del servizio correlato; |
b) |
la messa a disposizione di dati da parte dei titolari dei dati ai destinatari dei dati; |
c) |
la messa a disposizione di dati da parte dei titolari dei dati agli enti pubblici, alla Commissione, alla Banca centrale europea e a organismi dell’Unione, a fronte di necessità eccezionali per tali dati, per l’esecuzione di un compito specifico svolto nell’interesse pubblico; |
d) |
la facilitazione del passaggio da un servizio di trattamento dei dati all’altro; |
e) |
l’introduzione di garanzie contro l’accesso illecito di terzi ai dati non personali; e |
f) |
lo sviluppo di norme di interoperabilità per i dati a cui accedere, da trasferire e utilizzare. |
2. Il presente regolamento concerne i dati personali e non personali, compresi i seguenti tipi di dati nei contesti seguenti:
a) |
il capo II si applica ai dati, ad eccezione del contenuto, relativi alle prestazioni, all’uso e all’ambiente dei prodotti connessi e dei servizi correlati; |
b) |
il capo III si applica a tutti i dati del settore privato soggetti a obblighi di condivisione dei dati previsti dalla legge; |
c) |
il capo IV si applica a tutti i dati del settore privato il cui accesso e utilizzo si basano su contratti tra imprese; |
d) |
il capo V si applica a tutti i dati del settore privato, incentrandosi sui dati non personali; |
e) |
il capo VI si applica a tutti i dati e servizi trattati dai fornitori di servizi di trattamento dei dati; |
f) |
il capo VII si applica a tutti i dati non personali detenuti nell’Unione da fornitori di servizi di trattamento dei dati. |
3. Il presente regolamento si applica:
a) |
ai fabbricanti di prodotti connessi immessi sul mercato dell’Unione e ai fornitori di servizi correlati, indipendentemente dal loro luogo di stabilimento di tali fabbricanti e fornitori; |
b) |
agli utenti nell’Unione di prodotti connessi o servizi correlati di cui alla lettera a); |
c) |
ai titolari dei dati, indipendentemente dal loro luogo di stabilimento, che mettono dati a disposizione dei destinatari dei dati nell’Unione; |
d) |
ai destinatari dei dati nell’Unione a disposizione dei quali sono messi i dati; |
e) |
agli enti pubblici, alla Commissione, alla Banca centrale europea e agli organismi dell’Unione che chiedono ai titolari dei dati di mettere i dati a disposizione nel caso tali dati siano necessari a fronte di una necessità eccezionale per l’esecuzione di un compito specifico svolto nell’interesse pubblico e ai titolari dei dati che forniscono tali dati in risposta a tale richiesta; |
f) |
ai fornitori di servizi di trattamento dei dati, indipendentemente dal loro luogo di stabilimento, che forniscono tali servizi a clienti nell’Unione; |
g) |
ai partecipanti agli spazi di dati, ai venditori di applicazioni che utilizzano contratti intelligenti e alle persone la cui attività commerciale, imprenditoriale o professionale comporti l’implementazione di contratti intelligenti per altri nel contesto dell’esecuzione di un accordo. |
4. Nei casi in cui il presente regolamento fa riferimento a prodotti connessi o servizi correlati, tali riferimenti comprendono anche gli assistenti virtuali, nella misura in cui interagiscono con un prodotto connesso o un servizio correlato.
5. Il presente regolamento fa salvo il diritto dell’Unione e nazionale in materia di protezione dei dati personali, della vita privata e della riservatezza delle comunicazioni e dell’integrità delle apparecchiature terminali, che si applica ai dati personali trattati in relazione ai diritti e agli obblighi, in particolare i regolamenti (UE) 2016/679 e (UE) 2018/1725 e la direttiva 2002/58/CE, nonché i poteri e le competenze delle autorità di controllo e i diritti degli interessati. Nella misura in cui gli utenti sono gli interessati, i diritti di cui al capo II del presente regolamento integrano i diritti di accesso da parte degli interessati e i diritti alla portabilità dei dati di cui agli articoli 15 e 20 del regolamento (UE) 2016/679. In caso di conflitto tra il presente regolamento e il diritto dell’Unione in materia di protezione dei dati personali o della vita privata o la legislazione nazionale adottata conformemente a tale diritto dell’Unione, prevale il pertinente diritto dell’Unione o nazionale in materia di protezione dei dati personali o della vita privata.
6. Il presente regolamento non si applica agli accordi volontari per lo scambio di dati tra soggetti pubblici e privati né li pregiudica, in particolare gli accordi volontari di condivisione dei dati.
Il presente regolamento non pregiudica gli atti giuridici dell’Unione o nazionali che prevedono la condivisione e l’utilizzo dei dati e l’accesso agli stessi a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, o a fini doganali e fiscali, in particolare i regolamenti (UE) 2021/784, (UE) 2022/2065 e (UE) 2023/1543 e la direttiva (UE) 2023/1544, o la cooperazione internazionale in tale settore. Il presente regolamento non si applica alla raccolta o alla condivisione, all’accesso o all’utilizzo dei dati a norma del regolamento (UE) 2015/847 e della direttiva (UE) 2015/849. Il presente regolamento non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e in ogni caso non pregiudica le competenze degli Stati membri in materia di sicurezza pubblica, difesa o sicurezza nazionale indipendentemente dal tipo di entità incaricata dagli Stati membri di svolgere compiti in relazione a tali competenze, né il loro potere di salvaguardare altre funzioni essenziali dello Stato, tra cui la garanzia dell’integrità territoriale dello Stato e il mantenimento dell’ordine pubblico. Il presente regolamento fa salve le competenze degli Stati membri in materia di amministrazione doganale e fiscale o salute e sicurezza dei cittadini.
7. Il presente regolamento integra l’approccio di autoregolamentazione di cui al regolamento (UE) 2018/1807 aggiungendo obblighi di applicazione generale relativi al passaggio ad altri servizi cloud.
8. Il presente regolamento fa salvi gli atti giuridici dell’Unione e nazionali che prevedono la tutela dei diritti di proprietà intellettuale, in particolare le direttive 2001/29/CE, 2004/48/CE e (UE) 2019/790.
9. Il presente regolamento integra e fa salvo il diritto dell’Unione volto a promuovere gli interessi dei consumatori e a garantire un livello elevato di protezione dei consumatori, nonché a proteggere la loro salute, la loro sicurezza e i loro interessi economici, in particolare le direttive 93/13/CEE, 2005/29/CE e 2011/83/UE.
10. Il presente regolamento non preclude la conclusione di contratti di condivisione dei dati volontari e legittimi, ivi compresi contratti conclusi su base reciproca, che siano conformi ai requisiti di cui al presente regolamento.
Articolo 2
Definizioni
Ai fini del presente regolamento si applicano le definizioni seguenti:
1) |
«dati»: qualsiasi rappresentazione digitale di atti, fatti o informazioni e qualsiasi raccolta di tali atti, fatti o informazioni, anche sotto forma di registrazione sonora, visiva o audiovisiva; |
2) |
«metadati»: una descrizione strutturata del contenuto o dell’uso dei dati che agevola la ricerca o l’utilizzo di tali dati; |
3) |
«dati personali»: i dati personali quali definiti all’articolo 4, punto 1, del regolamento (UE) 2016/679; |
4) |
«dati non personali»: i dati diversi dai dati personali; |
5) |
«prodotto connesso»: un bene che ottiene, genera o raccoglie dati relativi al suo utilizzo o al suo ambiente e che è in grado di comunicare dati del prodotto tramite un servizio di comunicazione elettronica, una connessione fisica o l’accesso su dispositivo, e la cui funzione primaria non è l’archiviazione, il trattamento o la trasmissione dei dati per conto di una parte diversa dall’utente; |
6) |
«servizio correlato»: un servizio digitale diverso da un servizio di comunicazione elettronica, anche software, connesso con il prodotto al momento dell’acquisto, della locazione o del noleggio in modo tale che la sua assenza impedirebbe al prodotto connesso di svolgere una o più delle sue funzioni o che è successivamente connesso al prodotto dal fabbricante o da un terzo al fine di ampliare, aggiornare o adattare le funzioni del prodotto connesso; |
7) |
«trattamento»: qualsiasi operazione o insieme di operazioni compiute su dati o insiemi di dati, con o senza l’ausilio di strumenti automatizzati, come la raccolta, la registrazione, l’organizzazione, la strutturazione, l’archiviazione, l’adattamento o la modifica, il reperimento, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o altra forma di messa a disposizione, l’allineamento o l’interconnessione, la limitazione, la cancellazione o la distruzione; |
8) |
«servizio di trattamento dei dati»: un servizio digitale fornito a un cliente e che consente l’accesso di rete universale e su richiesta a un pool condiviso di risorse informatiche configurabili, scalabili ed elastiche di natura centralizzata, distribuita o altamente distribuita e che può essere rapidamente erogato e rilasciato con un minimo sforzo di gestione o interazione con il fornitore di servizi; |
9) |
«stesso tipo di servizio»: un insieme di servizi di trattamento dei dati che condividono lo stesso obiettivo primario, lo stesso modello di servizio di trattamento dei dati e le principali funzionalità; |
10) |
«servizio di intermediazione dei dati»: un servizio di intermediazione dei dati quale definito all’articolo 2, punto 11, del regolamento (UE) 2022/868; |
11) |
«interessato»: l’interessato di cui all’articolo 4, punto 1, del regolamento (UE) 2016/679; |
12) |
«utente»: una persona fisica o giuridica che possiede un prodotto connesso o a cui sono stati trasferiti contrattualmente diritti temporanei di utilizzo di tale prodotto connesso o che riceve un servizio correlato; |
13) |
«titolare dei dati»: una persona fisica o giuridica che ha il diritto o l’obbligo, conformemente al presente regolamento, al diritto applicabile dell’Unione o alla legislazione nazionale adottata conformemente al diritto dell’Unione, di utilizzare e mettere a disposizione dati, compresi, se concordato contrattualmente, dati del prodotto o di un servizio correlato che ha reperito o generato nel corso della fornitura di un servizio correlato; |
14) |
«destinatario dei dati»: una persona fisica o giuridica, che agisce per fini connessi alla sua attività commerciale, imprenditoriale, artigianale o professionale, diversa dall’utente di un prodotto connesso o di un servizio correlato, a disposizione della quale il titolare dei dati mette i dati, e che può essere un terzo in seguito a una richiesta da parte dell’utente al titolare dei dati o conformemente a un obbligo giuridico ai sensi del diritto dell’Unione o della legislazione nazionale adottata conformemente al diritto dell’Unione; |
15) |
«dati del prodotto»: dati generati dall’uso di un prodotto connesso e progettati dal fabbricante in modo tale che un utente, un titolare dei dati o un terzo, compreso se del caso il fabbricante, possano reperirli tramite un servizio di comunicazione elettronica, una connessione fisica o l’accesso su dispositivo; |
16) |
«dati di un servizio correlato»: dati che rappresentano la digitalizzazione delle azioni o degli eventi degli utenti relativi al prodotto connesso, registrati intenzionalmente dall’utente o generati come sottoprodotto dell’azione dell’utente durante la fornitura di un servizio correlato da parte del fornitore; |
17) |
«dati prontamente disponibili»: dati del prodotto e dati di un servizio correlato che un titolare dei dati ottiene o può ottenere legittimamente dal prodotto connesso o dal servizio correlato senza che ciò implichi uno sforzo sproporzionato che vada al di là di una semplice operazione; |
18) |
«segreto commerciale»: un segreto commerciale quale definito all’articolo 2, punto 1, della direttiva (UE) 2016/943; |
19) |
«detentore del segreto commerciale»: un detentore del segreto commerciale quale definito all’articolo 2, punto 2, della direttiva (UE) 2016/943; |
20) |
«profilazione»: la profilazione quale definita all’articolo 4, punto 4, del regolamento (UE) 2016/679; |
21) |
«messa a disposizione sul mercato»: la fornitura di un prodotto connesso per la distribuzione, il consumo o l’uso sul mercato dell’Unione nel corso di un’attività commerciale, a titolo oneroso o gratuito; |
22) |
«immissione sul mercato»: la prima messa a disposizione di un prodotto connesso sul mercato dell’Unione; |
23) |
«consumatore»: qualsiasi persona fisica che agisce per scopi estranei alla propria attività commerciale, imprenditoriale, artigianale o professionale; |
24) |
«impresa»: una persona fisica o giuridica che, in relazione ai contratti e alle pratiche di cui al presente regolamento, agisce per fini connessi alla propria attività commerciale, imprenditoriale, artigianale o professionale; |
25) |
«piccola impresa» una piccola impresa quale definita all’articolo 2, paragrafo 2, dell’allegato della raccomandazione 2003/361/CE; |
26) |
«microimpresa»: una microimpresa quale definita all’articolo 2, paragrafo 3, dell’allegato della raccomandazione 2003/361/CE; |
27) |
«organismi dell’Unione»: organi e organismi dell’Unione istituiti da atti adottati sulla base del trattato sull’Unione europea, del TFUE o del trattato che istituisce la comunità europea dell’energia atomica o ai sensi di tali atti; |
28) |
«ente pubblico»: le autorità nazionali, regionali o locali degli Stati membri e gli organismi di diritto pubblico degli Stati membri o le associazioni formate da una o più di tali autorità oppure da uno o più di tali organismi; |
29) |
«emergenza pubblica»: una situazione eccezionale, limitata nel tempo, come un’emergenza di sanità pubblica, un’emergenza derivante da calamità naturali, una grave catastrofe di origine antropica, compreso un grave incidente di cibersicurezza, che incide negativamente sulla popolazione dell’Unione o su tutto o parte di uno Stato membro, con il rischio di ripercussioni gravi e durature sulle condizioni di vita o sulla stabilità economica, sulla stabilità finanziaria, o di un sostanziale e immediato degrado delle risorse economiche nell’Unione o nello Stato membro o negli Stati membri interessati e che è determinata o dichiarata ufficialmente in conformità delle pertinenti procedure previste dal diritto dell’Unione o nazionale; |
30) |
«cliente»: una persona fisica o giuridica che ha instaurato un rapporto contrattuale con un fornitore di servizi di trattamento dei dati con l’obiettivo di utilizzare uno o più servizi di trattamento dei dati; |
31) |
«assistenti virtuali»: software che può elaborare richieste, compiti o domande, compresi quelli basati su input sonori o scritti, gesti o movimenti, e che, sulla base di tali richieste, compiti o domande, fornisce accesso ad altri servizi o controlla le funzioni dei prodotti connessi; |
32) |
«risorse digitali»: elementi in formato digitale, comprese le applicazioni, relativamente ai quali il cliente ha il diritto d’uso, indipendentemente dal rapporto contrattuale con il servizio di trattamento dei dati che intende abbandonare per passare a un altro; |
33) |
«infrastruttura TIC locale»: un’infrastruttura TIC e risorse informatiche possedute dal cliente, o da questi prese in locazione o noleggiate, situate nel centro dati del cliente stesso e operate dal cliente o da un terzo; |
34) |
«passaggio»: il processo che coinvolge un fornitore di servizi di trattamento dei dati di origine, un cliente di un servizio di trattamento dei dati e, ove pertinente, un fornitore di servizi di trattamento dei dati di destinazione, nel quale il cliente del servizio di trattamento dei dati passa dall’utilizzo di un servizio di trattamento dei dati all’utilizzo di un altro servizio di trattamento dei dati appartenente allo stesso tipo di servizio, o un altro servizio, offerto da un diverso fornitore di servizi di trattamento dei dati, o a una infrastruttura TIC locale, anche mediante l’estrazione, la trasformazione e il caricamento dei dati; |
35) |
«tariffe di uscita dei dati»: le tariffe di trasferimento dei dati addebitate ai clienti per l’estrazione dei loro dati attraverso la rete dall’infrastruttura TIC di un fornitore di servizi di trattamento dei dati e l’invio ai sistemi di un diverso fornitore o a infrastrutture TIC locali; |
36) |
«tariffe di passaggio»: le tariffe diverse dalle spese standard di servizio o di risoluzione anticipata, imposte da un fornitore di servizi di trattamento dei dati a un cliente per le azioni imposte dal presente regolamento in caso di passaggio ai sistemi di un diverso fornitore o all’infrastruttura TIC locale, comprese le tariffe di uscita dei dati; |
37) |
«equivalenza funzionale»: il ripristino, sulla base dei dati esportabili e delle risorse digitali del cliente, di un livello minimo di funzionalità nell’ambiente di un nuovo servizio di trattamento dei dati dello stesso tipo di servizio dopo il processo di passaggio, laddove il servizio del trattamento dei dati di destinazione fornisce risultati sostanzialmente comparabili in risposta al medesimo input per le caratteristiche condivise fornite al cliente in virtù del contratto; |
38) |
«dati esportabili»: ai fini degli articoli da 23 a 31 e dell’articolo 35, i dati di ingresso e uscita, inclusi i metadati, direttamente o indirettamente generati o cogenerati dall’utilizzo del servizio di trattamento dei dati da parte del cliente, a esclusione di risorse o dati protetti da diritti di proprietà intellettuale, o che costituiscono segreti commerciali, di fornitori di servizi di trattamento dei dati o di terzi; |
39) |
«contratto intelligente»: un programma informatico utilizzato per l’esecuzione automatica di un accordo o di parte di esso utilizzando una sequenza di registrazioni elettroniche di dati e garantendone l’integrità e l’accuratezza del loro ordine cronologico; |
40) |
«interoperabilità»: la capacità di due o più spazi di dati o reti di comunicazione, sistemi, prodotti connessi, applicazioni, servizi di trattamento di dati o componenti di scambiare e utilizzare dati per svolgere le loro funzioni; |
41) |
«specifica di interoperabilità aperta»: una specifica tecnica delle tecnologie dell’informazione e della comunicazione, orientate alle prestazioni ai fini del conseguimento dell’interoperabilità tra i servizi di trattamento dei dati; |
42) |
«specifiche comuni»: un documento, diverso da una norma, contenente soluzioni tecniche che forniscono i mezzi per soddisfare determinati requisiti e obblighi stabiliti a norma del presente regolamento; |
43) |
«norma armonizzata»: una norma armonizzata, quale definita all’articolo 2, punto 1, lettera c), del regolamento (UE) n. 1025/2012. |
CAPO II
CONDIVISIONE DEI DATI DA IMPRESA A CONSUMATORE E DA IMPRESA A IMPRESA
Articolo 3
Obbligo di rendere accessibili all’utente i dati del prodotto e dei servizi correlati
1. I prodotti connessi sono progettati e fabbricati e i servizi correlati sono progettati e forniti in modo tale che i dati dei prodotti e dei servizi correlati, compresi i pertinenti metadati necessari a interpretare e utilizzare tali dati, siano, per impostazione predefinita, accessibili all’utente in modo facile, sicuro, gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, in modo diretto.
2. Prima di concludere un contratto di acquisto, locazione o noleggio di un prodotto connesso, il venditore, il locatore o il noleggiante, che può essere il fabbricante, fornisce all’utente almeno le informazioni seguenti, in modo chiaro e comprensibile:
a) |
il tipo, il formato e il volume stimato di dati del prodotto che il prodotto connesso può generare; |
b) |
se il prodotto connesso è in grado di generare dati in modo continuo e in tempo reale; |
c) |
se il prodotto connesso è in grado di archiviare dati sul dispositivo o su un server remoto, compresa, se del caso, la durata prevista della conservazione; |
d) |
il modo in cui l’utente può accedere a tali dati, reperirli o, se del caso, cancellarli, compresi i mezzi tecnici per farlo, nonché le condizioni d’uso e la qualità del servizio. |
3. Prima di concludere un contratto di fornitura di un servizio correlato, il fornitore di tale servizio correlato fornisce all’utente almeno le informazioni seguenti, in modo chiaro e comprensibile:
a) |
la natura, il volume stimato e la frequenza di raccolta dei dati del prodotto che il potenziale titolare dei dati dovrebbe ottenere e, se del caso, le modalità con cui l’utente può accedere a tali dati o reperirli, comprese le modalità di archiviazione dei dati del potenziale titolare dei dati e la durata della loro conservazione; |
b) |
la natura e il volume stimato dei dati di un servizio correlato che saranno generati, nonché le modalità con cui l’utente può accedere a tali dati o reperirli, comprese le modalità di archiviazione dei dati del potenziale titolare dei dati e la durata della conservazione; |
c) |
se il potenziale titolare dei dati prevede di utilizzare esso stesso i dati prontamente disponibili e le finalità per le quali tali dati saranno utilizzati e se intende consentire a uno o più terzi di utilizzare i dati per le finalità concordate con l’utente; |
d) |
l’identità del potenziale titolare dei dati, ad esempio il suo nome commerciale e l’indirizzo geografico al quale è stabilito e, se del caso, di altre parti coinvolte nel trattamento dei dati; |
e) |
i mezzi di comunicazione che consentono di contattare rapidamente il potenziale titolare dei dati e di comunicare efficacemente con quest’ultimo; |
f) |
il modo in cui l’utente può chiedere che i dati siano condivisi con terzi e, se del caso, porre fine alla condivisione dei dati; |
g) |
il diritto dell’utente di presentare un reclamo per violazione delle disposizioni del presente capo all’autorità competente designata a norma dell’articolo 37; |
h) |
se un potenziale titolare dei dati è il detentore di segreti commerciali contenuti nei dati accessibili dal prodotto connesso o generati nel corso della fornitura di un servizio correlato e, qualora il potenziale titolare dei dati non sia il detentore di segreti commerciali, l’identità del detentore del segreto commerciale; |
i) |
la durata del contratto tra l’utente e il potenziale titolare dei dati, nonché le modalità per risolvere tale contratto. |
Articolo 4
Diritti e obblighi degli utenti e dei titolari dei dati per l’accesso, l’utilizzo e la messa a disposizione dei dati del prodotto e del servizio correlato
1. Qualora l’utente non possa accedere direttamente ai dati a partire dal prodotto connesso o dal servizio correlato, i titolari dei dati mettono prontamente a disposizione dell’utente i dati, nonché i pertinenti metadati necessari per interpretare e utilizzare tali dati senza indebito ritardo, con la stessa qualità di cui dispone il titolare dei dati, in modo facile, sicuro, gratuitamente, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, modo continuo e in tempo reale. Ciò avviene sulla base di una semplice richiesta mediante mezzi elettronici, ove tecnicamente fattibile.
2. Gli utenti e i titolari dei dati possono limitare o vietare contrattualmente l’accesso ai dati, il loro uso o la loro ulteriore condivisione nel caso in cui tale trattamento possa compromettere i requisiti di sicurezza del prodotto connesso, come previsto dal diritto dell’Unione o nazionale, e comportare gravi effetti negativi per la salute, la sicurezza o la protezione delle persone fisiche. Le autorità settoriali possono fornire agli utenti e ai titolari dei dati competenze tecniche in tale contesto. Qualora rifiuti di condividere i dati ai sensi del presente articolo, il titolare dei dati notifica l’autorità competente designata ai sensi dell’articolo 37.
3. Fatto salvo il diritto dell’utente di presentare ricorso in qualsiasi momento dinanzi a un organo giurisdizionale di uno Stato membro, in caso di eventuale controversia con il titolare dei dati relativamente a limitazioni o divieti contrattuali di cui al paragrafo 2 l’utente può:
a) |
presentare, conformemente all’articolo 37, paragrafo 5, lettera b), un reclamo all’autorità competente; o |
b) |
convenire con il titolare dei dati di deferire la questione a un organismo di risoluzione delle controversie in conformità dell’articolo 10, paragrafo 1. |
4. I titolari dei dati non rendono indebitamente difficile l’esercizio delle scelte o dei diritti degli utenti a norma del presente articolo, ad esempio offrendo loro scelte in modo non neutrale o compromettendo o pregiudicando l’autonomia, il processo decisionale o le scelte dell’utente attraverso la struttura, la progettazione, le funzioni o il funzionamento di un’interfaccia utente digitale o di una sua parte.
5. Al fine di verificare se una persona fisica o giuridica si possa considerare un utente ai fini del paragrafo 1, un titolare dei dati non impone a tale persona di fornire informazioni al di là di quanto necessario . I titolari dei dati non conservano informazioni, in particolare dati di registro, sull’accesso dell’utente ai dati richiesti al di là di quanto necessario per la corretta esecuzione della richiesta di accesso dell’utente e per la sicurezza e la manutenzione dell’infrastruttura di dati.
6. I segreti commerciali sono conservati e comunicati solo a condizione che prima della comunicazione il titolare dei dati e l’utente adottino tutte le misure necessarie per tutelarne la riservatezza, in particolare rispetto a terzi. Il titolare dei dati o, qualora non si tratti della stessa persona, il detentore del segreto commerciale individua i dati protetti quali segreti commerciali, anche nei pertinenti metadati, e concorda con l’utente le misure tecniche e organizzative proporzionate necessarie a preservare la riservatezza dei dati condivisi, in particolare rispetto a terzi, quali clausole contrattuali tipo, accordi di riservatezza, protocolli di accesso rigorosi, norme tecniche e l’applicazione di codici di condotta.
7. In assenza di accordo sulle misure necessarie di cui al paragrafo 6 o qualora l’utente non attui le misure concordate a norma del paragrafo 6 o pregiudichi la riservatezza dei segreti commerciali, il titolare dei dati può bloccare o, se del caso, sospendere la condivisione dei dati identificati come segreti commerciali. La decisione del titolare dei dati è debitamente motivata e fornita all’utente per iscritto e senza indebito ritardo. In tali casi il titolare dei dati notifica all’autorità competente designata a norma dell’articolo 37 di aver bloccato o sospeso la condivisione dei dati e indica quali misure non sono state concordate o attuate e, se del caso, di quali segreti commerciali è stata pregiudicata la riservatezza.
8. In circostanze eccezionali, qualora il titolare dei dati che è detentore di un segreto commerciale possa dimostrare che subirà molto probabilmente gravi danni economici a causa della divulgazione di segreti commerciali, malgrado le misure tecniche e organizzative adottate dall’utente a norma del paragrafo 6 del presente articolo, detto titolare dei dati può rifiutare di volta in volta una richiesta di accesso ai dati specifici in questione. Tale dimostrazione è debitamente motivata sulla base di elementi oggettivi, in particolare l’applicabilità della protezione dei segreti commerciali in paesi terzi, la natura e il livello di riservatezza dei dati richiesti nonché l’unicità e la novità del prodotto connesso, ed è fornita per iscritto all’utente e senza indebito ritardo. Qualora rifiutasse di condividere i dati ai sensi del presente paragrafo, il titolare dei dati notifica l’autorità competente designata a norma dell’articolo 37.
9. Fatto salvo il diritto di un utente di presentare ricorso in qualsiasi momento dinanzi a un organo giurisdizionale di uno Stato membro, un utente che intenda contestare la decisione di un titolare dei dati di rifiutare, o di bloccare o sospendere la condivisione di dati a norma dei paragrafi 7 e 8 può:
a) |
presentare, conformemente all’articolo 37, paragrafo 5, lettera b), un reclamo all’autorità competente che decide senza indebito ritardo se e a quali condizioni debba iniziare o riprendere la condivisione dei dati; o |
b) |
convenire con il titolare dei dati di deferire la questione a un organismo di risoluzione delle controversie in conformità dell’articolo 10, paragrafo 1. |
10. L’utente non utilizza i dati ottenuti in seguito a una richiesta di cui al paragrafo 1 per sviluppare un prodotto connesso in concorrenza con il prodotto connesso da cui provengono i dati, né li condivide con un terzo con tale intenzione e non utilizza tali dati per ottenere informazioni sulla situazione economica, sulle risorse e sui metodi di produzione del fabbricante o, se applicabile, del titolare dei dati.
11. L’utente non utilizza mezzi coercitivi né abusa di lacune nell’infrastruttura tecnica del titolare dei dati destinata a proteggere i dati al fine di ottenere l’accesso agli stessi.
12. Se l’utente non è l’interessato i cui dati personali sono richiesti, i dati personali generati dall’uso di un prodotto connesso o di un servizio correlato sono messi a disposizione dell’utente dal titolare dei dati solo se esiste una valida base giuridica del trattamento a norma dell’articolo 6 del regolamento (UE) 2016/679 e, ove pertinente, se sono soddisfatte le condizioni di cui all’articolo 9 di detto regolamento e all’articolo 5, paragrafo 3, della direttiva 2002/58/CE.
13. Un titolare dei dati utilizza eventuali dati non personali prontamente disponibili solo sulla base di un contratto stipulato con l’utente. Un titolare dei dati non utilizza tali dati per ottenere informazioni sulla situazione economica, sulle risorse e sui metodi di produzione dell’utente, o sull’utilizzo da parte di quest’ultimo in qualsiasi altro modo che potrebbe compromettere la sua posizione commerciale sui mercati in cui l’utente è attivo.
14. I titolari dei dati non mettono a disposizione di terzi i dati non personali del prodotto a fini commerciali o non commerciali diversi dall’esecuzione del loro contratto con l’utente. Se del caso, i titolari dei dati vincolano contrattualmente i terzi a non condividere ulteriormente i dati da essi ricevuti.
Articolo 5
Diritto dell’utente di condividere i dati con terzi
1. Su richiesta di un utente, o di una parte che agisce per conto di un utente, il titolare dei dati mette a disposizione di terzi i dati prontamente disponibili, nonché i pertinenti metadati necessari a interpretare e utilizzare tali dati, senza indebito ritardo, con la stessa qualità di cui dispone il titolare dei dati, in modo facile, sicuro, a titolo gratuito per l’utente, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, in modo continuo e in tempo reale. I dati sono messi a disposizione del terzo dal titolare dei dati in conformità degli articoli 8 e 9.
2. Il paragrafo 1 non si applica ai dati prontamente disponibili nel contesto del collaudo di nuovi prodotti connessi, sostanze o processi non ancora immessi sul mercato a meno che il loro utilizzo da parte di terzi non sia autorizzato contrattualmente.
3. Qualsiasi impresa designata come gatekeeper a norma dell’articolo 3 del regolamento (UE) 2022/1925 non è un terzo ammissibile ai sensi del presente articolo e pertanto:
a) |
non sollecita né fornisce incentivi commerciali all’utente in qualsiasi modo, anche fornendo compensi pecuniari o di altro tipo, affinché metta i dati a disposizione di uno dei suoi servizi che l’utente ha ottenuto in seguito a una richiesta a norma dell’articolo 4, paragrafo 1; |
b) |
non sollecita né fornisce incentivi commerciali all’utente affinché chieda al titolare dei dati di mettere i dati a disposizione di uno dei suoi servizi a norma del paragrafo 1 del presente articolo; |
c) |
non riceve dall’utente dati che quest’ultimo ha ottenuto in seguito a una richiesta a norma dell’articolo 4, paragrafo 1. |
4. Al fine di verificare se una persona fisica o giuridica si possa considerare un utente o un terzo ai fini del paragrafo 1, l’utente o il terzo non è tenuto a fornire informazioni al di là di quanto necessario . I titolari dei dati non conservano informazioni sull’accesso del terzo ai dati richiesti al di là di quanto necessario per la corretta esecuzione della richiesta di accesso del terzo e per la sicurezza e la manutenzione dell’infrastruttura di dati.
5. Il terzo non utilizza mezzi coercitivi né abusa di lacune nell’infrastruttura tecnica di un titolare dei dati destinata a proteggere i dati al fine di ottenere l’accesso ai dati.
6. Un titolare dei dati non utilizza dati prontamente disponibili per ottenere informazioni sulla situazione economica, sulle risorse e sui metodi di produzione del terzo, o sull’utilizzo da parte di quest’ultimo in qualsiasi altro modo che potrebbe compromettere la posizione commerciale del terzo sui mercati in cui è attivo, a meno che quest’ultimo non abbia autorizzato tale uso e abbia la possibilità tecnica di revocare facilmente tale autorizzazione in qualsiasi momento.
7. Se l’utente non è l’interessato i cui dati personali sono richiesti, i dati personali generati dall’uso di un prodotto connesso o di un servizio correlato, sono messi a disposizione del terzo dal titolare dei dati solo se esiste una valida base giuridica per il trattamento a norma dell’articolo 6 del regolamento (UE) 2016/679 e, ove pertinente, se sono soddisfatte le condizioni di cui all’articolo 9 di detto regolamento e all’articolo 5, paragrafo 3, della direttiva 2002/58/CE.
8. La mancanza di accordo, da parte del titolare dei dati e del terzo, sulle modalità per la trasmissione dei dati non ostacola, impedisce o interferisce con l’esercizio dei diritti dell’interessato a norma del regolamento (UE) 2016/679 e, in particolare, con il diritto alla portabilità dei dati di cui all’articolo 20 di tale regolamento.
9. I segreti commerciali sono conservati e comunicati a terzi solo nella misura in cui tale divulgazione è strettamente necessaria per conseguire la finalità concordata tra l’utente e il terzo. Il titolare dei dati o, qualora non si tratti della stessa persona, il detentore del segreto commerciale individua i dati protetti quali segreti commerciali, anche nei pertinenti metadati, e concorda con il terzo le misure tecniche e organizzative proporzionate necessarie a preservare la riservatezza dei dati condivisi, quali clausole contrattuali tipo, accordi di riservatezza, protocolli di accesso rigorosi, norme tecniche e l’applicazione di codici di condotta.
10. In assenza di accordo sulle misure necessarie di cui al paragrafo 9 del presente articolo o qualora il terzo non attui le misure concordate ai sensi del paragrafo 9 del presente articolo o pregiudichi la riservatezza dei segreti commerciali, il titolare dei dati può bloccare o, se del caso, sospendere la condivisione dei dati identificati come segreti commerciali. La decisione del titolare dei dati è debitamente motivata e fornita al terzo per iscritto e senza indebito ritardo. In tali casi il titolare dei dati notifica all’autorità competente designata a norma dell’articolo 37 di aver bloccato o sospeso la condivisione dei dati e indica quali misure non sono state concordate o attuate e, se del caso, di quali segreti commerciali è stata pregiudicata la riservatezza.
11. In circostanze eccezionali, qualora il titolare dei dati che è detentore di un segreto commerciale possa dimostrare che subirà molto probabilmente gravi danni economici a causa della divulgazione di segreti commerciali, malgrado le misure tecniche e organizzative adottate dal terzo di cui al paragrafo 9 del presente articolo, tale titolare dei dati può rifiutare di volta in volta una richiesta di accesso ai dati specifici in questione. Tale dimostrazione è debitamente motivata sulla base di elementi oggettivi, in particolare l’applicabilità della protezione dei segreti commerciali in paesi terzi, la natura e il livello di riservatezza dei dati richiesti nonché l’unicità e la novità del prodotto connesso, ed è fornita per iscritto al terzo senza indebito ritardo. Qualora rifiuti di condividere i dati ai sensi del presente paragrafo, il titolare dei dati notifica l’autorità competente designata a norma dell’articolo 37.
12. Fatto salvo il diritto del terzo di presentare ricorso in qualsiasi momento dinanzi a un organo giurisdizionale di uno Stato membro, un terzo che intenda contestare la decisione del titolare dei dati di rifiutare, o di bloccare o sospendere la condivisione di dati a norma dei paragrafi 10 e 11 può:
a) |
presentare, conformemente all’articolo 37, paragrafo 5, lettera b), un reclamo all’autorità competente che decide senza indebito ritardo se e a quali condizioni debba iniziare o riprendere la condivisione dei dati; o |
b) |
convenire con il titolare dei dati di deferire la questione a un organismo di risoluzione delle controversie in conformità dell’articolo 10, paragrafo 1. |
13. Il diritto di cui al paragrafo 1 non deve ledere i diritti degli interessati a norma del diritto dell’Unione e nazionale applicabile in materia di protezione dei dati personali.
Articolo 6
Obblighi dei terzi che ricevono dati su richiesta dell’utente
1. Un terzo tratta i dati messi a sua disposizione a norma dell’articolo 5 solo per le finalità e alle condizioni concordate con l’utente e fatti salvi il diritto dell’Unione e nazionale in materia di protezione dei dati personali compresi i diritti dell’interessato per quanto riguarda i dati personali. Il terzo cancella i dati quando non sono più necessari per la finalità concordata, salvo diverso accordo con l’utente relativamente ai dati non personali.
2. Il terzo:
a) |
non rende indebitamente difficile l’esercizio da parte dell’utente delle scelte o dei diritti a norma dell’articolo 5 e del presente articolo, magari offrendogli scelte in modo non neutrale, o ricorrendo a mezzi coercitivi, ingannevoli o manipolatori nei suoi confronti, o compromettendone o pregiudicandone l’autonomia, il processo decisionale o le scelte, anche mediante un’interfaccia utente digitale o una sua parte; |
b) |
fatto salvo l’articolo 22, paragrafo 2, lettere a) e c), del regolamento (UE) 2016/679, non utilizza i dati che riceve per la profilazione, a meno che ciò non sia necessario per fornire il servizio richiesto dall’utente; |
c) |
non mette a disposizione di altri terzi i dati che riceve, a meno che i dati siano messi a disposizione sulla base di un contratto con l’utente e a condizione che l’altro terzo adotti tutte le misure necessarie concordate tra il titolare dei dati e il terzo per preservare la riservatezza dei segreti commerciali; |
d) |
non mette i dati che riceve a disposizione di un’impresa designata come gatekeeper a norma dell’articolo 3 del regolamento (UE) 2022/1925; |
e) |
non utilizza i dati che riceve per sviluppare un prodotto in concorrenza con il prodotto connesso da cui provengono i dati consultati né condivide i dati con un altro terzo a tal fine; i terzi non utilizzano inoltre alcun dato non personale del prodotto o di un servizio correlato messo a loro disposizione per ottenere informazioni sulla situazione economica, sulle risorse e sui metodi di produzione del titolare dei dati o sull’utilizzo da parte di quest’ultimo; |
f) |
non utilizza i dati che riceve in modo tale da avere un impatto negativo sulla sicurezza del prodotto connesso o del servizio correlato; |
g) |
non disattende le misure specifiche concordate con il titolare dei dati o con il detentore dei segreti commerciali a norma dell’articolo 5, paragrafo 9, né pregiudica la riservatezza dei segreti commerciali; |
h) |
non impedisce all’utente che è anche consumatore, neanche in base a un contratto, di mettere i dati che riceve a disposizione di altre parti. |
Articolo 7
Ambito di applicazione degli obblighi di condivisione dei dati da impresa a consumatore e da impresa a impresa
1. Gli obblighi di cui al presente capo non si applicano ai dati generati dall’uso di prodotti connessi fabbricati o progettati da una microimpresa o da una piccola impresa o di servizi correlati forniti dalle medesime, a condizione che tali imprese non abbiano un’impresa associata o un’impresa collegata, a norma dell’articolo 3 dell’allegato della raccomandazione 2003/361/EC, che non è qualificata come microimpresa o piccola impresa, e qualora alla microimpresa e alla piccola impresa siano affidate in subappalto la fabbricazione o la progettazione di un prodotto o la fornitura di un servizio correlato.
Lo stesso si applica ai dati generati dall’uso di prodotti connessi fabbricati, o di servizi correlati forniti, da un’impresa qualificata come media impresa ai sensi dell’articolo 2 dell’allegato della raccomandazione 2003/361/EC da meno di un anno e ai prodotti connessi per un anno dopo la data in cui sono stati immessi sul mercato da una media impresa.
2. Qualsiasi clausola contrattuale che, a danno dell’utente, escluda l’applicazione dei diritti dell’utente a norma del presente capo, deroghi agli stessi o ne modifichi gli effetti non è vincolante per l’utente.
CAPO III
OBBLIGHI PER I TITOLARI DEI DATI TENUTI A METTERE A DISPOSIZIONE I DATI A NORMA DEL DIRITTO DELL’UNIONE
Articolo 8
Condizioni alle quali i titolari dei dati mettono i dati a disposizione dei destinatari dei dati
1. Il titolare dei dati che, nel quadro di relazioni tra imprese, è tenuto a mettere i dati a disposizione di un destinatario dei dati a norma dell’articolo 5 o a norma di normative dell’Unione o nazionali applicabili adottate in conformità del diritto dell’Unione, concorda con il destinatario dei dati le modalità della messa a disposizione dei dati e lo fa a condizioni eque, ragionevoli e non discriminatori e in modo trasparente conformemente al presente capo e del capo IV.
2. Una clausola contrattuale concernente l’accesso ai dati e l’utilizzo degli stessi o la responsabilità e i mezzi di ricorso per la violazione o la cessazione degli obblighi relativi ai dati non è vincolante se costituisce una clausola contrattuale abusiva ai sensi dell’articolo 13 o se, a danno dell’utente, esclude l’applicazione dei diritti dell’utente di cui al capo II, deroga agli stessi o ne modifica l’effetto.
3. Al momento della messa a disposizione dei dati e in relazione alle modalità di tale messa a disposizione, il titolare dei dati non opera discriminazioni tra categorie comparabili di destinatari dei dati, comprese le imprese associate o collegate del titolare dei dati. Qualora un destinatario dei dati ritenga discriminatorie le condizioni alle quali i dati sono stati messi a sua disposizione, il titolare dei dati fornisce senza indebito ritardo al destinatario dei dati, su richiesta motivata di quest’ultimo, informazioni che dimostrino che non vi è stata discriminazione.
4. Il titolare dei dati non mette i dati a disposizione di un destinatario dei dati, anche su base esclusiva, salvo se invitato a farlo dall’utente a norma del capo II.
5. I titolari dei dati e i destinatari dei dati non sono tenuti a fornire informazioni al di là di quanto necessario per verificare la conformità alle clausole contrattuali concordate per la messa a disposizione dei dati o ai loro obblighi a norma del presente regolamento o di altre normative applicabili dell’Unione o nazionali adottate in conformità del diritto dell’Unione.
6. Salvo disposizione contraria del diritto dell’Unione, compreso l’articolo 4, paragrafo 6, e l’articolo 5, paragrafo9, del presente regolamento, o della legislazione nazionale adottata in conformità del diritto dell’Unione, l’obbligo di mettere i dati a disposizione di un destinatario dei dati non impone la divulgazione dei segreti commerciali.
Articolo 9
Compenso per la messa a disposizione dei dati
1. Il compenso concordato tra il titolare dei dati e il destinatario dei dati per la messa a disposizione dei dati nelle relazioni tra imprese è non discriminatorio e ragionevole e può includere un margine.
2. Nel concordare il compenso, il titolare dei dati e il destinatario dei dati tengono conto in particolare:
a) |
dei costi sostenuti per mettere a disposizione i dati, compresi in particolare i costi necessari per la formattazione dei dati, la diffusione per via elettronica e l’archiviazione; |
b) |
degli investimenti nella raccolta e nella produzione di dati, se applicabile, tenendo conto del fatto che altre parti abbiano contribuito o meno a ottenere, generare o raccogliere i dati in questione. |
3. Il compenso di cui al paragrafo 1 può dipendere altresì dal volume, dal formato e dalla natura dei dati.
4. Se il destinatario dei dati è una PMI o un’organizzazione di ricerca senza fini di lucro e qualora tale destinatario dei dati non abbia imprese associate o collegate che non si qualificano come PMI, il compenso concordato non supera i costi di cui al paragrafo 2, lettera a).
5. La Commissione adotta orientamenti sul calcolo del compenso ragionevole, tenendo conto del parere del comitato europeo per l’innovazione in materia di dati (EDIB) di cui all’articolo 42.
6. Il presente articolo non osta a che altre normative dell’Unione o nazionali adottate in conformità del diritto dell’Unione escludano il compenso per la messa a disposizione dei dati o prevedano un compenso inferiore.
7. Il titolare dei dati fornisce al destinatario dei dati informazioni che definiscono la base per il calcolo del compenso in modo sufficientemente dettagliato da consentire al destinatario dei dati di valutare se sono soddisfatti i requisiti di cui ai paragrafi da 1 a 4.
Articolo 10
Risoluzione delle controversie
1. Gli utenti, i titolari dei dati e i destinatari dei dati hanno accesso a un organismo di risoluzione delle controversie, certificati in conformità al paragrafo 5 del presente articolo, per comporre le controversie ai sensi dell’articolo 4, paragrafi 3 e 9, e dell’articolo 5, paragrafo 12, nonché le controversie relative all’adempimento, da parte del titolare dei dati, dell’obbligo di mettere i dati a disposizione del destinatario dei dati, nonché a condizioni eque, ragionevoli e non discriminatori e a modalità trasparenti di messa a disposizione dei dati a norma del presente capo e del capo IV.
2. Gli organismi di risoluzione delle controversie rendono noti alle parti interessate le tariffe, o i meccanismi utilizzati per determinare tali tariffe, prima che le parti interessate richiedano una decisione.
3. In caso di controversie deferite a un organismo di risoluzione delle controversie di cui all’articolo 4, paragrafo 3, qualora l’organismo di risoluzione delle controverse risolva la controversia a favore dell’utente o del destinatario dei dati, il titolare dei dati sostiene tutti i costi stabiliti dall’organismo di risoluzione delle controversie e rimborsa all’utente o al destinatario dei dati tutte le altre spese ragionevoli da questi sostenute relativamente alla risoluzione della controversia. Qualora l’organismo di risoluzione delle controverse risolva la controversia a favore del titolare dei dati, l’utente o il destinatario dei dati non è tenuto a rimborsare costi o altre spese che il titolare dei dati ha sostenuto o deve sostenere relativamente alla risoluzione della controversia, a meno che l’organismo di risoluzione delle controversie ritenga che l’utente o il destinatario dei dati abbia agito manifestamente in malafede.
4. I clienti e i fornitori di servizi di trattamento dei dati hanno accesso a un organismo di risoluzione delle controversie, certificati in conformità del paragrafo 6 del presente articolo, per comporre le controversie relative a violazioni dei diritti dei clienti e degli obblighi dei fornitori di servizi di trattamento dei dati, in conformità degli articoli da 23 a 31.
5. Su richiesta dell’organismo di risoluzione delle controversie lo Stato membro in cui questi è stabilito certifica che l’organismo ha dimostrato di soddisfare tutte le condizioni seguenti:
a) |
è imparziale e indipendente e adotterà le proprie decisioni conformemente a norme procedurali chiare, non discriminatorie ed eque; |
b) |
dispone delle competenze necessarie, in particolare in relazione a condizioni eque, ragionevoli e non discriminatori, compreso il compenso, e alla messa a disposizione dei dati in modo trasparente, che consentono all’organismo di determinare efficacemente tali condizioni; |
c) |
è facilmente accessibile attraverso le tecnologie di comunicazione elettronica; |
d) |
è in grado di adottare le proprie decisioni in modo rapido, efficiente ed efficace sotto il profilo dei costi in almeno una delle lingue ufficiali dell’Unione. |
6. Gli Stati membri notificano alla Commissione gli organismi di risoluzione delle controversie certificati in conformità del paragrafo 5. La Commissione pubblica un elenco di tali organismi su un sito web dedicato e lo mantiene aggiornato.
7. Un organismo di risoluzione delle controversie rifiuta di dare seguito a una richiesta di risoluzione di una controversia già presentata dinanzi a un altro organismo di risoluzione delle controversie o dinanzi a un organo giurisdizionale di uno Stato membro.
8. Un organismo di risoluzione delle controversie concede alle parti la possibilità, entro un termine ragionevole, di esprimere il loro punto di vista sulle questioni che le parti hanno sottoposto a tale organismo. In tale contesto, ciascuna delle parti in causa trasmette alle parti le comunicazioni relative alla controversia presentate dall’altra parte e le eventuali dichiarazioni di esperti. Alle parti è data la possibilità di presentare osservazioni in merito a tali comunicazioni e dichiarazioni.
9. Un organismo di risoluzione delle controversie adotta la sua decisione su una questione sottopostagli entro 90 giorni dal ricevimento di una richiesta ai sensi dei paragrafi 1 e 4. Tale decisione è adottata per iscritto o su un supporto durevole ed è suffragata da una motivazione.
10. Gli organismi di risoluzione delle controversie redigono e rendono pubbliche le relazioni annuali di attività. Tali relazioni annuali contengono in particolare le informazioni generali seguenti:
a) |
un’aggregazione dei risultati delle controversie; |
b) |
il tempo medio necessario per la risoluzione delle controversie; |
c) |
i motivi più comuni alla base delle controversie. |
11. Al fine di agevolare lo scambio di informazioni e migliori prassi, un organismo pubblico di risoluzione delle controversie può decidere di includere raccomandazioni nella relazione di cui al paragrafo 10 su come evitare o risolvere problemi.
12. La decisione dell’organismo di risoluzione delle controversie è vincolante per le parti solo se le parti hanno esplicitamente acconsentito al suo carattere vincolante prima dell’avvio del procedimento di risoluzione delle controversie.
13. Il presente articolo non pregiudica il diritto delle parti a un ricorso effettivo dinanzi a un organo giurisdizionale di uno Stato membro.
Articolo 11
Misure tecniche di protezione relative all’uso non autorizzato o alla divulgazione dei dati
1. Un titolare dei dati può applicare adeguate misure tecniche di protezione, compresi i contratti intelligenti e la cifratura, per impedire l’accesso non autorizzato ai dati, metadati compresi, e garantire il rispetto degli articoli 4, 5, 6, 8 e 9, nonché delle clausole contrattuali concordate per la messa a disposizione dei dati. Tali misure tecniche di protezione non creano discriminazioni tra i destinatari dei dati né ostacolano il diritto dell’utente di ottenere una copia, reperire, utilizzare o accedere ai dati o fornire dati a terzi a norma dell’articolo 5 o qualsiasi diritto di terzi a norma del diritto dell’Unione o della legislazione nazionale adottata ai sensi del diritto dell’Unione. Gli utenti, i terzi e altri destinatari dei dati non modificano né rimuovono dette misure tecniche di protezione, salvo accordo con il titolare dei dati.
2. Nelle circostanze di cui al paragrafo 3, il terzo o il destinatario dei dati adempie, senza indebito ritardo, alle richieste del titolare dei dati e, se del caso e qualora non si tratti della stessa persona, del detentore del segreto commerciale, oppure dell’utente di:
a) |
cancellare i dati messi a disposizione dal titolare dei dati e le loro eventuali copie; |
b) |
porre fine alla produzione, all’offerta o all’immissione sul mercato o all’uso di beni, dati derivati o servizi prodotti sulla base delle conoscenze ottenute mediante tali dati, o all’importazione, all’esportazione o allo stoccaggio di merci costituenti violazione a tali fini, e a distruggere le merci costituenti violazione, qualora sussista un grave rischio che l’uso illecito di tali dati causi un danno significativo al titolare dei dati, al detentore del segreto commerciale o all’utente oppure qualora una tale misura non sarebbe sproporzionata rispetto agli interessi del titolare dei dati, del detentore del segreto commerciale o dell’utente; |
c) |
informare l’utente dell’uso o della divulgazione non autorizzati dei dati e delle misure adottate per porre fine all’uso o alla divulgazione non autorizzati dei dati; |
d) |
compensare la parte lesa dall’uso improprio o dalla divulgazione di tali dati utilizzati o cui si ha avuto accesso in modo illecito. |
3. Il paragrafo 2 si applica qualora un terzo o un destinatario dei dati :
a) |
al fine di ottenere dati , abbia fornito a un titolare dei dati informazioni false, ha impiegato mezzi ingannevoli o coercitivi o ha abusato di lacune nell’infrastruttura tecnica del titolare dei dati destinata a proteggere i dati; |
b) |
abbia utilizzato i dati messi a disposizione per scopi non autorizzati, compreso lo sviluppo di un prodotto connesso concorrente ai sensi dell’articolo 6, paragrafo 2, lettera e); |
c) |
abbia comunicato illecitamente i dati a terzi; |
d) |
non abbia mantenuto le misure tecniche e organizzative concordate a norma dell’articolo 5, paragrafo 9; o |
e) |
abbia modificato o rimosso le misure tecniche di protezioni applicate dal titolare dei dati, in conformità del paragrafo 1 del presente articolo, senza l’accordo del titolare dei dati. |
4. Il paragrafo 2 si applica altresì qualora un utente modifichi o rimuova le misure tecniche di protezione applicate dal titolare dei dati oppure non mantenga le misure tecniche e organizzative adottate dall’utente in accordo con il titolare dei dati o, qualora non si tratti della stessa persona, con il detentore del segreto commerciale al fine di preservare i segreti commerciali, nonché riguardo a qualsiasi terzo che riceva i dati dall’utente mediante una procedura d’infrazione del presente regolamento.
5. Qualora il destinatario dei dati violi l’articolo 6, paragrafo 2, lettere a) e b), gli utenti hanno gli stessi diritti dei titolari dei dati a norma del presente articolo.
Articolo 12
Ambito di applicazione degli obblighi per i titolari dei dati ai sensi del diritto dell’Unione a mettere a disposizione i dati
1. Il presente capo si applica nei casi in cui, nei rapporti tra imprese, il titolare dei dati è tenuto, ai sensi dell’articolo 5 o del diritto dell’Unione o della legislazione nazionale applicabile adottata in conformità del diritto dell’Unione, a mettere i dati a disposizione di un destinatario dei dati.
2. Una clausola contrattuale di un accordo di condivisione dei dati che, a danno di una parte o, ove applicabile, a danno dell’utente, escluda l’applicazione del presente capo, deroghi allo stesso o ne modifichi gli effetti non è vincolante per tale parte.
CAPO IV
CLAUSOLE CONTRATTUALI ABUSIVE RELATIVE ALL’ACCESSO AI DATI E AL RELATIVO UTILIZZO TRA IMPRESE
Articolo 13
Clausole contrattuali abusive imposte unilateralmente a un’altra impresa
1. Una clausola contrattuale riguardante l’accesso ai dati e il relativo utilizzo o la responsabilità e i mezzi di ricorso per la violazione o la cessazione degli obblighi relativi ai dati che è stata imposta unilateralmente da un’impresa a un’altra impresa non è vincolante per quest’ultima impresa se tale clausola è abusiva.
2. Una clausola contrattuale che riproduce le disposizioni obbligatorie del diritto dell’Unione, oppure le disposizioni del diritto dell’Unione che si applicherebbero se le clausole contrattuali non disciplinassero la materia, non è ritenuta abusiva.
3. Una clausola contrattuale è abusiva se è di natura tale che il suo utilizzo si discosta considerevolmente dalle buone prassi commerciali in materia di accesso ai dati e relativo utilizzo, in contrasto con il principio di buona fede e correttezza.
4. In particolare, una clausola contrattuale è abusiva ai fini del paragrafo 3 se ha per oggetto o effetto di:
a) |
escludere o limitare la responsabilità della parte che ha imposto unilateralmente la clausola in caso di atti intenzionali o negligenza grave; |
b) |
escludere i mezzi di ricorso a disposizione della parte alla quale la clausola è stata imposta unilateralmente in caso di inadempimento degli obblighi contrattuali o la responsabilità della parte che ha imposto unilateralmente la clausola in caso di violazione di tali obblighi; |
c) |
conferire alla parte che ha imposto unilateralmente la clausola il diritto esclusivo di determinare se i dati forniti sono conformi al contratto o di interpretare una qualsiasi clausola del contratto. |
5. Si presume che una clausola contrattuale sia abusiva ai fini del paragrafo 3 se ha per oggetto o effetto di:
a) |
limitare in modo inappropriato i mezzi di ricorso in caso di inadempimento degli obblighi contrattuali o la responsabilità in caso di violazione di tali obblighi, oppure estendere la responsabilità dell’impresa cui è stata imposta unilateralmente la clausola; |
b) |
consentire alla parte che ha imposto unilateralmente la clausola di accedere ai dati dell’altra parte contraente e di utilizzarli in modo tale da nuocere significativamente ai legittimi interessi dell’altra parte contraente, in particolare quando tali dati contengano dati sensibili sotto il profilo commerciale o sono protetti da segreti commerciali o da diritti di proprietà intellettuale; |
c) |
impedire alla parte alla quale è stata imposta unilateralmente la clausola di utilizzare i dati che tale parte ha fornito o generato durante il periodo del contratto, o limitare l’utilizzo di tali dati in misura tale da privare tale parte del diritto di utilizzare, acquisire o controllare tali dati, di accedervi o di sfruttarne il valore in modo adeguato; |
d) |
impedire alla parte alla quale è stata imposta unilateralmente la clausola di recedere dall’accordo entro un termine ragionevole; |
e) |
impedire alla parte alla quale è stata imposta unilateralmente la clausola di ottenere una copia dei dati che tale parte ha fornito o generato durante il periodo del contratto o entro un termine ragionevole dopo la risoluzione dello stesso; |
f) |
consentire alla parte che ha imposto unilateralmente la clausola di risolvere il contratto con un preavviso irragionevolmente breve, tenendo conto di qualsiasi ragionevole possibilità dell’altra parte contraente di passare a un servizio alternativo e comparabile e del danno finanziario causato da tale risoluzione, salvo quando sussistano gravi motivi; |
g) |
consentire alla parte che ha imposto unilateralmente la clausola di modificare sostanzialmente il prezzo specificato nel contratto o qualsiasi altra condizione sostanziale relativa alla natura, al formato, alla qualità o alla quantità dei dati da condividere, qualora non sia specificato nel contratto alcun motivo valido e alcun diritto dell’altra parte di risolvere il contratto nel caso di una tale modifica. |
La lettera g) del primo comma non pregiudica le clausole con le quali la parte che ha imposto unilateralmente la clausola si riserva il diritto di modificare unilateralmente le clausole di un contratto a durata indeterminata, a condizione che il contratto specifichi un motivo valido per tali modifiche unilaterali, che la parte che ha imposto unilateralmente la clausola sia tenuta ad avvisare l’altra parte contraente con un preavviso ragionevole di ogni modifica prevista, e che l’altra parte contraente sia libera di risolvere il contratto senza incorrere in alcun costo nel caso di una modifica.
6. Si considera imposta unilateralmente ai sensi del presente articolo la clausola stata inserita da una parte contraente senza che l’altra parte sia stata in grado di influenzarne il contenuto malgrado un tentativo di negoziarla. La parte contraente che ha inserito la clausola contrattuale ha l’onere di provare che tale clausola non è stata imposta unilateralmente. La parte contraente che ha inserito la clausola contrattuale controversa non può invocare il carattere abusivo della clausola contrattuale.
7. Se la clausola contrattuale abusiva è scindibile dalle altre clausole contrattuali, le clausole rimanenti hanno carattere vincolante.
8. Il presente articolo non si applica alle clausole contrattuali che definiscono l’oggetto principale del contratto né all’adeguatezza del prezzo rispetto ai dati forniti in cambio.
9. Le parti di un contratto contemplato dal paragrafo 1 non escludono l’applicazione del presente articolo, non vi derogano né ne modificano gli effetti.
CAPO V
METTERE I DATI A DISPOSIZIONE DI ENTI PUBBLICI, DELLA COMMISSIONE, DELLA BANCA CENTRALE EUROPEA E DI ORGANISMI DELL’UNIONE SULLA BASE DI NECESSITÀ ECCEZIONALI
Articolo 14
Obbligo di mettere a disposizione i dati sulla base di necessità eccezionali
Qualora un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione dimostri una necessità eccezionale, di cui all’articolo 15, di utilizzare taluni dati, ivi compresi i pertinenti metadati necessari per interpretare e utilizzare tali dati, per svolgere le proprie funzioni statutarie nell’interesse pubblico, i titolari dei dati che sono persone giuridiche diverse da enti pubblici e che detengono tali dati li mettono a disposizione su richiesta motivata.
Articolo 15
Necessità eccezionale di utilizzare i dati
1. Una necessità eccezionale di utilizzare determinati dati ai sensi del presente capo è limitata nel tempo e nella portata e si considera esistente esclusivamente in una delle circostanze seguenti:
a) |
se i dati richiesti sono necessari per rispondere a un’emergenza pubblica e l’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione non può ottenere tali dati con mezzi alternativi in modo tempestivo ed efficace a condizioni equivalenti; |
b) |
in circostanze non contemplate dalla lettera a) e solo nella misura in cui si tratti di dati non personali qualora:
|
2. Il paragrafo 1, lettera b), non si applica alle microimprese e alle piccole imprese.
3. L’obbligo di dimostrare che l’ente pubblico non ha potuto ottenere i dati non personali acquistandoli sul mercato non si applica quando il compito specifico svolto nell’interesse pubblico è la produzione di statistiche ufficiali e quando l’acquisto di tali dati non è autorizzato dal diritto nazionale.
Articolo 16
Relazione con altri obblighi di mettere i dati a disposizione di enti pubblici, della Commissione, della Banca centrale europea e di organismi dell’Unione
1. Il presente capo lascia impregiudicati gli obblighi previsti dalle normative dell’Unione o nazionali al fine di soddisfare le richieste di accesso a informazioni o della dimostrazione o verifica del rispetto degli obblighi di legge.
2. Il presente capo non si applica a enti pubblici, alla Commissione, alla Banca centrale europea o a organismi dell’Unione che svolgono attività di prevenzione, indagine, accertamento o perseguimento di reati penali o amministrativi o di esecuzione di sanzioni penali, né all’amministrazione doganale o tributaria. Il presente capo non pregiudica il diritto dell’Unione e nazionale applicabile in materia di prevenzione, indagine, accertamento o perseguimento di reati penali o amministrativi o di esecuzione di sanzioni penali o amministrative, o in materia di amministrazione doganale o tributaria.
Articolo 17
Richieste di messa a disposizione di dati
1. Se richiede dati a norma dell’articolo 14, un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione:
a) |
specifica i dati richiesti, compresi i pertinenti metadati necessari per interpretare e utilizzare tali dati; |
b) |
dimostra che sono soddisfatte le condizioni necessarie perché sussista una necessità eccezionale di cui all’articolo 15 al cui fine sono richiesti i dati; |
c) |
spiega la finalità della richiesta, l’utilizzo previsto dei dati richiesti, compreso, se del caso, da parte di un terzo in conformità del paragrafo 4 del presente articolo, la durata di tale utilizzo e, se pertinente, le modalità con cui il trattamento dei dati personali risponderà alla necessità eccezionale; |
d) |
specifica, se possibile, quando si prevede che i dati siano cancellati da tutte le parti che vi hanno accesso; |
e) |
giustifica la scelta del titolare dei dati cui è rivolta la richiesta; |
f) |
specifica gli eventuali altri enti pubblici, o la Commissione, la Banca centrale europea o gli organismi dell’Unione e i terzi con i quali si prevede che saranno condivisi i dati richiesti; |
g) |
qualora siano richiesti dati personali, specifica le misure tecniche e organizzative necessarie e proporzionate per attuare i principi di protezione dei dati e le garanzie necessarie, quali la pseudonimizzazione, come anche la possibilità o meno, per il titolare dei dati, di applicare l’anonimizzazione prima di mettere i dati a disposizione; |
h) |
indica la disposizione legislativa che attribuisce all’ente pubblico richiedente, alla Commissione, alla Banca centrale europea o all’organismo dell’Unione lo specifico compito svolto nell’interesse pubblico pertinente per la richiesta dei dati; |
i) |
specifica il termine entro il quale i dati devono essere messi a disposizione e il termine di cui all’articolo 18, paragrafo 2, entro il quale il titolare dei dati può rifiutare o chiedere la modifica della richiesta; |
j) |
si adopera al meglio per evitare che il soddisfacimento della richiesta di dati comporti la responsabilità del titolare dei dati per violazione del diritto dell’Unione o nazionale. |
2. Una richiesta di dati presentata a norma del paragrafo 1 del presente articolo:
a) |
è presentata per iscritto ed espressa in un linguaggio chiaro, conciso e semplice, comprensibile per il titolare dei dati; |
b) |
è specifica per quanto riguarda il tipo di dati richiesti e corrisponde ai dati su cui il titolare dei dati ha il controllo al momento della richiesta; |
c) |
è proporzionata alla necessità eccezionale e debitamente giustificata, per quanto riguarda la granularità e il volume dei dati richiesti e la frequenza di accesso ai dati richiesti; |
d) |
rispetta gli obiettivi legittimi del titolare dei dati, impegnandosi a rispettare la tutela dei segreti commerciali in conformità dell’articolo 19, paragrafo 3, e tenendo conto dei costi e degli sforzi necessari per mettere a disposizione i dati; |
e) |
riguarda dati non personali e, solo nel caso in cui sia dimostrato che ciò è insufficiente a rispondere alla necessità eccezionale di usare i dati, in conformità dell’articolo 15, paragrafo 1, lettera a), richiede dati personali in forma pseudominizzata e istituisce le misure tecniche e organizzative che saranno adottate per proteggere i dati; |
f) |
informa il titolare dei dati delle sanzioni che l’autorità competente designata ai sensi dell’articolo 37 impone a norma dell’articolo 40 in caso di mancato soddisfacimento della richiesta; |
g) |
qualora sia presentata da un ente pubblico, è trasmessa al coordinatore dei dati, di cui all’articolo 37, dello Stato membro in cui è stabilito l’ente pubblico richiedente, che mette la richiesta a disposizione del pubblico online senza indebito ritardo, a meno che ritenga che tale pubblicazione costituirebbe un rischio per la sicurezza pubblica; |
h) |
qualora la richiesta sia presentata dalla Commissione, dalla Banca centrale europea e da un organismo dell’Unione è resa disponibile al pubblico online senza indebito ritardo; |
i) |
qualora siano richiesti dati personali, è notificata senza indebito ritardo all’autorità di controllo responsabile di sorvegliare l’applicazione del regolamento (UE) 2016/679 nello Stato membro in cui l’ente pubblico è stabilito. |
La Banca centrale europea e gli organismi dell’Unione informano la Commissione delle loro richieste
3. Un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione non mette i dati ottenuti a norma del presente capo a disposizione per il riutilizzo ai sensi dell’articolo 2, punto 2), del regolamento (UE) 2022/868 o dell’articolo 2, punto 11), della direttiva (UE) 2019/1024. Il regolamento (UE) 2022/868 e la direttiva (UE) 2019/1024 non si applicano ai dati detenuti da enti pubblici ottenuti a norma del presente capo.
4. Il paragrafo 3 del presente articolo non preclude a un ente pubblico, o alla Commissione, alla Banca centrale europea o a un organismo dell’Unione di scambiare i dati ottenuti a norma del presente capo con altri enti pubblici, la Commissione, la Banca centrale europea o un organismo dell’Unione al fine di svolgere i compiti di cui all’articolo 15, secondo quanto specificato nella richiesta a norma del paragrafo 1, lettera f ) del presente articolo, o di mettere i dati a disposizione di un terzo nei casi in cui abbia delegato a tale terzo, mediante un accordo accessibile al pubblico, ispezioni tecniche o altre funzioni. Gli obblighi incombenti agli enti pubblici a norma dell’articolo 19, in particolare le garanzie tese a preservare la riservatezza dei segreti commerciali, si applicano anche a detti terzi. Se trasmette o mette a disposizione dati a norma del presente paragrafo, un ente pubblico o la Commissione, la Banca centrale europea o un organismo dell’Unione ne informa senza indebito ritardo il titolare dei dati che li ha trasmessi.
5. Se ritiene che i suoi diritti di cui al presente capo siano stati violati dalla trasmissione o dalla messa a disposizione dei dati, il titolare dei dati può presentare un reclamo all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui è stabilito.
6. La Commissione elabora un modello per le richieste a norma del presente articolo.
Articolo 18
Soddisfacimento delle richieste di dati
1. Il titolare dei dati che riceve una richiesta di mettere i dati a disposizione a norma del presente capo mette i dati a disposizione dell’ente pubblico o della Commissione, della Banca centrale europea o di un organismo dell’Unione richiedente senza indebito ritardo, tenendo conto delle misure tecniche, organizzative e giuridiche necessarie.
2. Fatte salve le esigenze specifiche relative alla disponibilità dei dati definite nel diritto dell’Unione o nazionale, un titolare dei dati può rifiutare o chiedere la modifica di una richiesta di mettere i dati a disposizione ai sensi del presente capo senza indebito ritardo e, in ogni caso, entro cinque giorni lavorativi dal ricevimento di una richiesta di dati necessari per rispondere a un’emergenza pubblica e senza indebito ritardo e, in ogni caso, entro 30 giorni lavorativi dal ricevimento di tale richiesta in altri casi di necessità eccezionale, per uno dei motivi seguenti:
a) |
il titolare dei dati non ha il controllo sui dati richiesti; |
b) |
un altro ente pubblico, o la Commissione, la Banca centrale europea o un organismo dell’Unione ha presentato in precedenza una richiesta analoga per la stessa finalità e al titolare dei dati non è stata notificata la cancellazione dei dati a norma dell’articolo 19, paragrafo 1, lettera c); |
c) |
la richiesta non soddisfa le condizioni di cui all’articolo 17, paragrafi 1 e 2. |
3. Se decide di rifiutare la richiesta o di chiederne la modifica a norma del paragrafo 2, lettera b), il titolare dei dati indica l’identità dell’ente pubblico o della Commissione, della Banca centrale europea o dell’organismo dell’Unione che ha presentato in precedenza una richiesta per la stessa finalità.
4. Se l’insieme di dati richiesto include dati personali, il titolare dei dati anonimizza adeguatamente i dati, a meno che il soddisfacimento della richiesta di mettere i dati a disposizione di un ente pubblico, della Commissione, della Banca centrale europea o di un organismo dell’Unione imponga la divulgazione di dati personali. In tali casi il titolare dei dati pseudonimizza i dati .
5. Se l’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione intende contestare il rifiuto del titolare dei dati di fornire i dati richiesti o se il titolare dei dati intende contestare la richiesta e la questione non può essere risolta mediante opportuna modifica della stessa, la questione è sottoposta all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui è stabilito il titolare dei dati.
Articolo 19
Obblighi degli enti pubblici, della Commissione, della Banca centrale europea e degli organismi dell’Unione
1. Un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione che riceve dati in seguito a una richiesta presentata a norma dell’articolo 14:
a) |
non utilizza i dati in modo incompatibile con la finalità per la quale sono stati richiesti; |
b) |
ha attuato misure tecniche e organizzative che preservino la riservatezza e l’integrità dei dati richiesti e la sicurezza dei trasferimenti dei dati, in particolare dei dati personali, e tutelino i diritti e le libertà degli interessati; |
c) |
cancella i dati non appena non sono più necessari per la finalità indicata e informa il titolare dei dati e le persone o organizzazioni che hanno ricevuto i dati a norma dell’articolo 21, paragrafo 1, senza indebito ritardo dell’avvenuta cancellazione, a meno che l’archiviazione dei dati sia richiesta in conformità del diritto dell’Unione o nazionale in materia di accesso pubblico ai documenti nel contesto degli obblighi di trasparenza. |
2. Un ente pubblico, la Commissione, la Banca centrale europea, un organismo dell’Unione o un terzo che riceve dati a norma del presente capo:
a) |
non usa i dati o le informazioni sulla situazione economica, sulle risorse e sui metodi di produzione o di funzionamento del titolare dei dati per sviluppare o migliorare un prodotto connesso o un servizio correlato in concorrenza con il prodotto connesso o il servizio correlato del titolare dei dati; |
b) |
non condivide i dati con un altro terzo per uno degli scopi di cui alla lettera a). |
3. La divulgazione di segreti commerciali a un ente pubblico, alla Commissione, alla Banca centrale europea o a un organismo dell’Unione è obbligatoria solo nella misura strettamente necessaria per conseguire lo scopo di una richiesta a norma dell’articolo 15. In tali casi, il titolare dei dati o, qualora non si tratti della stessa persona, il detentore del segreto commerciale individua i dati protetti quali segreti commerciali, compresi i pertinenti metadati. L’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione adotta, prima della divulgazione di segreti commerciali, tutte le misure tecniche e organizzative necessarie e adeguate per preservare la riservatezza dei segreti commerciali, ivi compreso, se del caso, l’uso di clausole contrattuali tipo, norme tecniche e l’applicazione di codici di condotta.
4. Un ente pubblico, la Commissione la Banca centrale europea o un organismo dell’Unione è responsabile della sicurezza dei dati che riceve.
Articolo 20
Compenso in casi di necessità eccezionale
1. I titolari dei dati diversi dalle microimprese e piccole imprese mettono a disposizione a titolo gratuito i dati necessari per rispondere a un’emergenza pubblica a norma dell’articolo 15, paragrafo 1, lettera a). L’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione che ha ricevuto i dati fornisce un riconoscimento pubblico al titolare dei dati se richiesto da quest’ultimo.
2. Il titolare dei dati ha diritto a un compenso equo per la messa a disposizione dei dati al fine di soddisfare una richiesta presentata a norma dell’articolo 15, paragrafo 1, lettera b). Tale compenso copre i costi tecnici e organizzativi sostenuti per soddisfare la richiesta, compresi, se del caso, i costi di anonimizzazione, pseudonimizzazione, aggregazione e di adattamento tecnico, e un margine ragionevole. Su richiesta dell’ente pubblico, della Commissione, della Banca centrale europea o dell’organismo dell’Unione, il titolare dei dati fornisce informazioni sulla base per il calcolo dei costi e del margine ragionevole.
3. Il paragrafo 2 si applica anche quando una microimpresa e una piccola impresa chiedono un compenso per la messa a disposizione dei dati.
4. I titolari dei dati non hanno diritto a un compenso per la messa a disposizione dei dati al fine di soddisfare una richiesta presentata a norma dell’articolo 15, paragrafo 1, lettera b), se il compito specifico svolto nell’interesse pubblico è la produzione di statistiche ufficiali e se il diritto nazionale non consente l’acquisto di dati. Se il diritto nazionale non consente l’acquisto di dati per la produzione di statistiche ufficiali, gli Stati membri lo notificano alla Commissione.
5. Se l’ente pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione è in disaccordo sul livello di compenso richiesto dal titolare dei dati, può presentare un reclamo all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui il titolare dei dati è stabilito.
Articolo 21
Condivisione dei dati ottenuti nel contesto di necessità eccezionali con organismi di ricerca o istituti statistici
1. Un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione ha il diritto di condividere i dati ricevuti a norma del presente capo:
a) |
con persone o organizzazioni al fine di svolgere ricerche o analisi scientifiche compatibili con la finalità per la quale i dati sono stati richiesti; o |
b) |
con istituti nazionali di statistica ed Eurostat per la produzione di statistiche ufficiali. |
2. Le persone o le organizzazioni che ricevono i dati a norma del paragrafo 1 agiscono senza fini di lucro o nell’ambito di una missione di interesse pubblico riconosciuta dal diritto dell’Unione o nazionale. Tali organizzazioni non comprendono le organizzazioni su cui imprese commerciali esercitano un’influenza significativa che è probabile possa comportare un accesso preferenziale ai risultati della ricerca.
3. Le persone o le organizzazioni che ricevono i dati a norma del paragrafo 1 del presente articolo rispettano gli stessi obblighi applicabili agli enti pubblici, alla Commissione, alla Banca centrale europea o agli organismi dell’Unione, a norma dell’articolo 17, paragrafo 3, e dell’articolo 19.
4. Nonostante l’articolo 19, paragrafo 1, lettera c), le persone o le organizzazioni che ricevono i dati a norma del paragrafo 1 del presente articolo possono conservare i dati ricevuti per la finalità per la quale sono stati richiesti per un periodo massimo di sei mesi dalla loro cancellazione da parte degli enti pubblici, della Commissione, della Banca centrale europea e degli organismi dell’Unione.
5. Se intende trasmettere o mettere a disposizione dati a norma del paragrafo 1 del presente articolo, un ente pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione informa in merito, senza indebito ritardo, il titolare dei dati che li ha trasmessi, indicando l’identità e i dati di contatto dell’organizzazione o della persona che riceve i dati, le finalità della trasmissione o della messa a disposizione dei dati, il periodo per il quale i dati devono essere utilizzati e le misure tecniche e organizzative di protezione adottate, compresi i casi in cui si tratta di dati personali o segreti commerciali. Se è in disaccordo con la trasmissione o la messa a disposizione dei dati, il titolare dei dati può presentare un reclamo all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui è stabilito.
Articolo 22
Assistenza reciproca e cooperazione transfrontaliera
1. Gli enti pubblici, la Commissione, la Banca centrale europea e gli organismi dell’Unione cooperano e si assistono reciprocamente ai fini dell’attuazione coerente del presente capo.
2. Tutti i dati scambiati nell’ambito dell’assistenza richiesta e fornita a norma del paragrafo 1 non sono utilizzati in maniera incompatibile con la finalità per la quale sono stati richiesti.
3. Se intende presentare una richiesta di dati a un titolare dei dati stabilito in un altro Stato membro, l’ente pubblico lo notifica preventivamente all’autorità competente designata ai sensi dell’articolo 37 in tale Stato membro. Tale obbligo si applica anche alle richieste presentate dalla Commissione, dalla Banca centrale europea e dagli organismi dell’Unione. La richiesta è esaminata dall’autorità competente dello Stato membro in cui il titolare dei dati è stabilito.
4. Dopo aver esaminato la richiesta alla luce dei requisiti di cui all’articolo 17, la pertinente autorità competente intraprende senza indebito ritardo una delle azioni seguenti:
a) |
trasmette la richiesta al titolare dei dati e, se del caso, informa l’ente pubblico richiedente, la Commissione, la Banca centrale europea o l’organismo dell’Unione dell’eventuale necessità di cooperare con gli enti pubblici dello Stato membro in cui è stabilito il titolare dei dati al fine di ridurre l’onere amministrativo del titolare dei dati relativo al soddisfacimento della richiesta.; |
b) |
respinge la richiesta per motivi debitamente giustificati, conformemente al presente capo; |
L’ente pubblico richiedente, la Commissione, la Banca centrale europea e l’organismo dell’Unione tengono conto del parere e dei motivi della pertinente autorità competente, ai sensi del primo comma, prima di intraprendere qualsiasi ulteriore azione, come ripresentare la richiesta, se del caso.
CAPO VI
PASSAGGIO TRA SERVIZI DI TRATTAMENTO DEI DATI
Articolo 23
Eliminare gli ostacoli all’effettivo passaggio
I fornitori di servizi di trattamento dei dati adottano le misure di cui agli articoli 25, 26, 27, 29 e 30 per consentire ai clienti di passare a un servizio di trattamento dei dati, che copre lo stesso tipo di servizio ed è fornito da un diverso fornitore di servizi di trattamento dei dati, o a un’infrastruttura TIC locale, o, se del caso, di utilizzare più fornitori di servizi di trattamento dei dati contemporaneamente. I fornitori di servizi di trattamento dei dati non impongono ed eliminano in particolare gli ostacoli pre-commerciali, commerciali, tecnici, contrattuali e organizzativi che impediscono ai clienti di:
a) |
risolvere, dopo il termine massimo di preavviso e il completamento positivo del processo di passaggio, conformemente all’articolo 25, il contratto del servizio di trattamento dei dati; |
b) |
concludere nuovi contratti con un altro fornitore di servizi di trattamento dei dati che coprono lo stesso tipo di servizio; |
c) |
trasferire i dati esportabili del cliente e risorse digitali a un diverso fornitore di servizi di trattamento dei dati o a un’infrastruttura TIC locale, anche dopo aver beneficiato di un’offerta gratuita; |
d) |
conformemente all’articolo 24, conseguire l’equivalenza funzionale nell’utilizzo del nuovo servizio di trattamento dei dati nell’ambiente informatico di un altro fornitore di servizi di trattamento dei dati che copre il servizio equivalente ; |
e) |
disaggregare, ove tecnicamente fattibile, i servizi di trattamento dei dati di cui all’articolo 30, paragrafo 1, da altri servizi di trattamento dei dati forniti dal fornitore di servizi di trattamento dei dati. |
Articolo 24
Portata degli obblighi tecnici
Le responsabilità dei fornitori di servizi di trattamento dei dati, quali definite agli articoli 23, 25, 29, 30 e 34, si applicano solo ai servizi, ai contratti o alle pratiche commerciali forniti dal fornitore di servizi di trattamento dei dati di origine.
Articolo 25
Clausole contrattuali relative al passaggio
1. I diritti del cliente e gli obblighi del fornitore di servizi di trattamento dei dati in relazione al passaggio da un fornitore di tali servizi a un altro o, se del caso, a un’infrastruttura TIC locale sono chiaramente definiti in un contratto scritto. Il fornitore di servizi di trattamento dei dati mette il contratto a disposizione del cliente prima della firma del contratto in modo da consentire al cliente di conservare e riprodurre il contratto.
2. Fatta salva la direttiva (UE) 2019/770, il contratto di cui al paragrafo 1 del presente articolo comprende almeno i seguenti elementi:
a) |
clausole che autorizzano il cliente, su richiesta, a passare a un servizio di trattamento dei dati offerto da un diverso fornitore di servizi di trattamento dei dati o a trasferire tutti i dati, e le risorse digitali esportabili in un’infrastruttura TIC locale, senza indebito ritardo e in ogni caso non oltre un periodo transitorio massimo obbligatorio di 30 giorni di calendario da far partire dopo il termine massimo di preavviso di cui alla lettera d), durante il quale il contratto di servizio resta applicabile e il fornitore di servizi di trattamento dei dati:
|
b) |
l’obbligo per il fornitore di servizi di trattamento dei dati di sostenere la strategia di uscita del cliente in relazione ai servizi a contratto, anche fornendo tutte le informazioni pertinenti; |
c) |
una clausola in cui si specifica che il contratto si considera risolto e che la risoluzione è notificata al cliente in uno dei seguenti casi:
|
d) |
un termine massimo di preavviso per l’avvio del processo di passaggio, non superiore a due mesi; |
e) |
un’indicazione specifica dettagliata di tutte le categorie di dati e risorse digitali che possono essere trasferite durante il processo di passaggio, compresi almeno tutti i dati esportabili; |
f) |
un’indicazione specifica dettagliata delle categorie di dati specifiche al funzionamento interno dei servizi di trattamento dei dati del fornitore che devono essere esentate dai dati esportabili di cui alla lettera e) del presente paragrafo qualora esista un di rischio di violazione dei segreti commerciali del fornitore; a condizione che tali esenzioni non ostacolino o ritardino il processo di passaggio di cui all’articolo 23; |
g) |
un periodo minimo di almeno 30 giorni di calendario per il recupero dei dati, a decorrere dalla fine del periodo transitorio concordato tra il cliente e il fornitore di servizi di trattamento dei dati, conformemente alla lettera a) del presente paragrafo e al paragrafo 4; |
h) |
una clausola che garantisce la completa cancellazione di tutti i dati e a risorse digitali esportabili generati direttamente dal cliente, o che lo riguardano direttamente, dopo la scadenza del periodo di cui alla lettera g) o dopo la scadenza di un periodo alternativo concordato che sia successiva alla data di scadenza del periodo di conservazione di cui alla lettera g), a condizione che il processo di passaggio sia stato completato con successo; |
i) |
le tariffe di passaggio che possono essere imposte dai fornitori di servizi di trattamento dei dati a norma dell’articolo 29. |
3. Il contratto, di cui al paragrafo 1, include le clausole in virtù delle quali il cliente può notificare al fornitore di servizi di trattamento dei dati la sua decisione di eseguire una o più delle azioni seguenti al termine del periodo di preavviso massimo, di cui al paragrafo 2, lettera d):
a) |
passare a un diverso fornitore di servizi di trattamento dei dati, nel qual caso il cliente fornisce le informazioni necessarie su tale fornitore; |
b) |
passare a un’infrastruttura TIC locale; |
c) |
cancellare i suoi dati esportabili e le sue risorse digitali. |
4. Se è tecnicamente impossibile attuare il periodo transitorio massimo obbligatorio di cui al paragrafo 2, lettera a), il fornitore di servizi di trattamento dei dati informa in merito il cliente entro 14 giorni lavorativi dalla presentazione della richiesta di passaggio, motiva debitamente l’impossibilità tecnica e indica un periodo transitorio alternativo, che non supera i sette mesi. In conformità del paragrafo 1, la continuità del servizio è garantita per tutto il periodo transitorio alternativo.
5. Fatto salvo il paragrafo 4, il contratto di cui al paragrafo 1, include clausole che conferiscono al cliente il diritto di prorogare il periodo transitorio una volta, per un periodo che il cliente considera più appropriato per i propri fini.
Articolo 26
Obbligo di informazione per i fornitori di servizi di trattamento dei dati
Il fornitore di servizi di trattamento dei dati fornisce al cliente:
a) |
informazioni sulle procedure disponibili per il passaggio e la portabilità al servizio di trattamento dei dati, comprese informazioni sui metodi e i formati di passaggio e di portabilità disponibili, nonché sulle restrizioni e le limitazioni tecniche note al fornitore di servizi di trattamento dei dati; |
b) |
un riferimento a un registro online aggiornato ospitato dal fornitore di servizi di trattamento dei dati, con informazioni dettagliate su tutte le strutture e i formati dei dati nonché le norme pertinenti e le specifiche di interoperabilità aperte, in cui devono essere disponibili i dati esportabili di cui all’articolo 24, paragrafo 2, lettera e). |
Articolo 27
Obbligo di buona fede
Tutte le parti interessate, inclusi i fornitori di servizi di trattamento dei dati di destinazione, cooperano in buona fede per rendere efficace il processo di passaggio, consentire il trasferimento tempestivo dei dati e mantenere la continuità del servizio di trattamento dei dati.
Articolo 28
Obblighi contrattuali di trasparenza in materia di accesso e trasferimento internazionali
1. I fornitori di servizi di trattamento dei dati mettono a disposizione sui loro siti web e mantengono aggiornate le seguenti informazioni:
a) |
la giurisdizione cui è soggetta l’infrastruttura TIC utilizzata per il trattamento dei dati dei loro servizi individuali; |
b) |
una descrizione generale delle misure tecniche, organizzative e contrattuali adottate dal fornitore di servizi di trattamento dei dati al fine di impedire l’accesso governativo internazionale ai dati non personali detenuti nell’Unione o il loro trasferimento nei casi in cui tale accesso o trasferimento creerebbe un conflitto con il diritto dell’Unione o con il diritto nazionale dello Stato membro interessato. |
2. I siti web di cui al paragrafo 1 sono elencati nei contratti per tutti i servizi di trattamento dei dati offerti dai fornitori di tali servizi.
Articolo 29
Abolizione graduale delle tariffe di passaggio
1. A decorrere dal 12 gennaio 2027, i fornitori di servizi di trattamento dei dati non impongono al cliente tariffe di passaggio per il processo di passaggio ad altri fornitori.
2. A decorrere dall’11 gennaio 2024 e fino al 12 gennaio 2027, i fornitori di servizi di trattamento dei dati possono imporre al cliente tariffe di passaggio ridotte per il passaggio ad altri fornitori.
3. Le tariffe di passaggio ridotte di cui al paragrafo 2 non sono superiori ai costi direttamente connessi al pertinente processo di passaggio sostenuti dal fornitore di servizi di trattamento dei dati.
4. Prima di stipulare un contratto con un cliente, i fornitori di servizi di trattamento dei dati forniscono al potenziale cliente informazioni chiare sulle spese standard di servizio e sulle sanzioni che potrebbero essere imposte in caso di risoluzione anticipata, nonché sulle tariffe di passaggio ridotte, che potrebbero essere applicate durante il periodo di cui al paragrafo 2.
5. Se del caso, i fornitori di servizi di trattamento dei dati forniscono informazioni a un cliente sui servizi di trattamento dei dati che comportano un passaggio altamente complesso o costoso o per i quali è impossibile effettuare il passaggio senza significative interferenze nell’architettura dei dati, delle risorse digitali o dei servizi.
6. Se del caso, i fornitori di servizi di trattamento dei dati mettono le informazioni, di cui al paragrafo 4 e 5, a disposizione dei clienti attraverso una sezione dedicata del proprio sito web o in qualsiasi altro modo facilmente accessibile.
7. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 45 per integrare il presente regolamento istituendo un meccanismo di controllo che le consenta di monitorare le tariffe di passaggio imposte dai fornitori di servizi di trattamento dei dati sul mercato al fine di garantire che l’abolizione e la riduzione delle tariffe di passaggio, a norma dei paragrafi 1 e 2 del presente articolo, sia conseguita entro i termini di cui ai medesimi paragrafi.
Articolo 30
Aspetti tecnici del passaggio
1. I fornitori di servizi di trattamento dei dati concernenti risorse informatiche scalabili ed elastiche limitate a elementi infrastrutturali quali server, reti e risorse virtuali necessarie per il funzionamento dell’infrastruttura, che non forniscono tuttavia accesso ad applicazioni, servizi e software operativi memorizzati, altrimenti trattati o installati su tali elementi infrastrutturali, adottano, conformemente all’articolo 27, tutte le misure ragionevoli in loro potere per far sì che il cliente, dopo il passaggio a un servizio che copre lo stesso tipo di servizio, raggiunga l’equivalenza funzionale nell’utilizzo del servizio del trattamento dei dati di destinazione. Il fornitore di servizi di trattamento dei dati di origine agevola il processo di passaggio fornendo capacità, sufficienti informazioni, documentazione, assistenza tecnica e, se del caso, gli strumenti necessari.
2. I fornitori di servizi di trattamento dei dati, diversi da quelli di cui al paragrafo 1, rendono disponibili a titolo gratuito interfacce aperte in egual misura per tutti i loro clienti e i fornitori di servizi di destinazione interessati al fine di agevolare il processo di passaggio. Tali interfacce includono informazioni sufficienti sul servizio in questione onde permettere lo sviluppo di software per comunicare con i servizi, ai fini della portabilità e dell’interoperabilità dei dati.
3. Per i servizi di trattamento dei dati diversi da quelli di cui al paragrafo 1 del presente articolo, i fornitori di servizi di trattamento dei dati garantiscono la compatibilità con specifiche comuni basate sulle specifiche di interoperabilità aperte o norme armonizzate per l’interoperabilità almeno 12 mesi dopo la pubblicazione dei riferimenti a tali specifiche comuni o norme armonizzate per l’interoperabilità di servizi di trattamento dei dati, nell’archivio centrale dell’Unione delle norme per l’interoperabilità dei servizi di trattamento dei dati, a seguito della pubblicazione degli atti di esecuzione di base nella Gazzetta ufficiale dell’Unione europea, in conformità dell’articolo 35, paragrafo 7.
4. I fornitori di servizi di trattamento dei dati diversi da quelli di cui al paragrafo 1 del presente articolo aggiornano il registro online di cui all’articolo 26, lettera b), conformemente agli obblighi di cui al paragrafo 3 del presente articolo.
5. In caso di passaggio tra servizi dello stesso tipo di servizio, per i quali le specifiche comuni o le norme armonizzate per l’interoperabilità di cui al paragrafo 3 del presente articolo non siano state pubblicate nell’archivio centrale dell’Unione delle norme per l’interoperabilità dei servizi di trattamento dei dati a norma dell’articolo 35, paragrafo 8, il fornitore dei servizi di trattamento dei dati esporta, su richiesta del cliente, tutti i dati esportabili in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
6. I fornitori di servizi di trattamento dei dati non sono tenuti a sviluppare nuove tecnologie o servizi, o a comunicare o trasferire risorse digitali che sono protette da diritti di proprietà intellettuale o che costituiscono un segreto commerciale, a un cliente o a un diverso fornitore di servizi di trattamento dei dati, né a compromettere la sicurezza e l’integrità del servizio del cliente o del fornitore.
Articolo 31
Regime specifico per taluni servizi di trattamento dei dati
1. Gli obblighi di cui all’articolo 23, lettera d), all’articolo 29 e all’articolo 30, paragrafi 1 e 3, non si applicano ai servizi di trattamento dei dati le cui caratteristiche principali siano state per la maggior parte personalizzate al fine di soddisfare le esigenze specifiche di un singolo cliente, o i cui componenti siano stati tutti sviluppati per le finalità di un singolo cliente, e qualora tali servizi di trattamento dei dati non siano offerti su vasta scala commerciale tramite il catalogo di servizi del fornitore di servizi di trattamento dei dati.
2. Gli obblighi di cui al presente capo non si applicano ai servizi di trattamento dei dati forniti come versione non destinata alla produzione, a fini di prova e valutazione e per un periodo limitato di tempo.
3. Prima della conclusione di un contratto sulla fornitura dei servizi di trattamento dei dati di cui al presente articolo, il fornitore di servizi di trattamento dei dati informa il potenziale cliente degli obblighi del presente capo che non si applicano.
CAPO VII
ACCESSO GOVERNATIVO E TRASFERIMENTO INTERNAZIONALI DI DATI NON PERSONALI
Articolo 32
Accesso governativo e trasferimento internazionali
1. Fatti salvi i paragrafi 2 o 3, i fornitori di servizi di trattamento dei dati adottano tutte le misure tecniche, organizzative e giuridiche appropriate, ivi compresi contratti, al fine di impedire l’accesso governativo internazionale e di paesi terzi ai dati non personali detenuti nell’Unione e il trasferimento dei dati nei casi in cui tale trasferimento o accesso creerebbe un conflitto con il diritto dell’Unione o con il diritto nazionale dello Stato membro interessato.
2. Le decisioni o le sentenze di un organo giurisdizionale di un paese terzo e le decisioni di un’autorità amministrativa di un paese terzo che obbligano un fornitore di servizi di trattamento dei dati a trasferire dati non personali detenuti nell’Unione che rientrano nell’ambito di applicazione del presente regolamento o a concedervi l’accesso sono riconosciute o assumono qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione, ad esempio un trattato di mutua assistenza giudiziaria, o su qualsiasi accordo analogo tra il paese terzo richiedente e uno Stato membro.
3. In assenza di un accordo internazionale di cui al paragrafo 2, se un fornitore di servizi di trattamento dei dati è destinatario di una decisione o sentenza di un organo giurisdizionale di un paese terzo o di una decisione di un’autorità amministrativa di un paese terzo che prevede il trasferimento di dati non personali detenuti nell’Unione che rientrano nell’ambito di applicazione del presente regolamento o la concessione dell’accesso a tali dati, e il rispetto di tale decisione rischiasse di porre il destinatario della decisione in conflitto con il diritto dell’Unione o con il diritto nazionale dello Stato membro interessato, il trasferimento di tali dati o l’accesso agli stessi da parte di tale autorità del paese terzo ha luogo solo se:
a) |
il sistema del paese terzo richiede che siano indicati i motivi e la proporzionalità di siffatta decisione o sentenza, e che tale decisione o sentenza abbia carattere specifico, ad esempio stabilendo un nesso sufficiente con determinate persone sospettate o determinate violazioni; |
b) |
l’obiezione motivata del destinatario è oggetto di esame da parte di un organo giurisdizionale competente del paese terzo; e |
c) |
l’organo giurisdizionale competente del paese terzo che emette la decisione o la sentenza o esamina la decisione di un’autorità amministrativa ha il potere, in virtù del diritto di tale paese terzo, di tenere debitamente conto dei pertinenti interessi giuridici del fornitore dei dati tutelati a norma del diritto dell’Unione o dal diritto nazionale dello Stato membro interessato. |
Il destinatario della decisione o della sentenza può chiedere il parere del pertinente organismo o autorità nazionale competente per la cooperazione giudiziaria internazionale, al fine di determinare se tali condizioni di cui al primo comma sono soddisfatte, in particolare quando ritiene che la decisione possa riguardare segreti commerciali e altri dati commercialmente sensibili, nonché contenuti protetti da diritti di proprietà intellettuale, o che il trasferimento possa portare alla reidentificazione. L’organismo o l’autorità nazionale pertinente può consultare la Commissione. Se ritiene che la decisione o la sentenza possa incidere sugli interessi di sicurezza nazionale o di difesa dell’Unione o dei suoi Stati membri, il destinatario chiede il parere dell’organismo o dell’autorità nazionale competente al fine di determinare se i dati richiesti riguardino interessi di sicurezza nazionale o di difesa dell’Unione o dei suoi Stati membri. Se non ha ricevuto risposta entro un mese, o se il parere di tale organismo o autorità conclude che non sono soddisfatte le condizioni di cui al primo comma, il destinatario può respingere la richiesta di trasferimento o di accesso a dati non personali per tali motivi.
L’EDIB di cui all’articolo 42 fornisce consulenza e assistenza alla Commissione nell’elaborazione di orientamenti sulla valutazione del rispetto delle condizioni di cui al primo comma del presente paragrafo.
4. Se le condizioni stabilite ai paragrafi 2 o 3 sono rispettate, il fornitore di servizi di trattamento dei dati fornisce la quantità minima di dati ammissibile in risposta a una richiesta, sulla base dell’interpretazione ragionevole di tale richiesta da parte del fornitore o dell’organismo o dell’autorità nazionali competenti di cui al paragrafo 3, secondo comma.
5. Il fornitore di servizi di trattamento dei dati informa il consumatore dell’esistenza di una richiesta di accesso ai suoi dati da parte di un’autorità di un paese terzo prima di dare seguito a tale richiesta, tranne se la richiesta abbia fini di contrasto e per il tempo necessario a preservare l’efficacia dell’attività di contrasto.
CAPO VIII
INTEROPERABILITÀ
Articolo 33
Requisiti essenziali in materia di interoperabilità dei dati, dei meccanismi e servizi di condivisione dei dati nonché degli spazi comuni europei di dati
1. Per facilitare l’interoperabilità dei dati , dei meccanismi e servizi di condivisione dei dati nonché degli spazi comuni europei di dati, che costituiscono quadri interoperabili per scopi specifici, settoriali o intersettoriali di norme e prassi comuni per condividere o trattare congiuntamente i dati, anche per lo sviluppo di nuovi prodotti e servizi, della ricerca scientifica o di iniziative della società civile, i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti rispettano i requisiti essenziali seguenti:
a) |
il contenuto degli insiemi di dati, le restrizioni all’uso, le licenze, la metodologia di raccolta dei dati e la qualità e l’incertezza dei dati sono descritti, se del caso in un formato leggibile da dispositivo automatico, in modo sufficiente a consentire al destinatario di trovare i dati, accedervi e utilizzarli; |
b) |
le strutture e i formati dei dati, i vocabolari, gli schemi di classificazione, le tassonomie e gli elenchi dei codici, se disponibili, sono descritti in modo accessibile al pubblico e coerente; |
c) |
i mezzi tecnici per accedere ai dati, quali le interfacce di programmazione delle applicazioni (API), e le relative condizioni d’uso e di qualità del servizio sono descritti in modo sufficiente a consentire l’accesso automatico ai dati e la relativa trasmissione automatica tra le parti, anche in modo continuo, in download in blocco o in tempo reale, in un formato leggibile da dispositivo automatico, qualora tecnicamente fattibile e non di ostacolo al buon funzionamento del prodotto connesso; |
d) |
se del caso, sono forniti i mezzi per consentire l’interoperabilità degli strumenti concepiti per automatizzare l’esecuzione degli accordi di condivisione dei dati, ad esempio i contratti intelligenti. |
Tali requisiti possono avere carattere generico o riguardare settori specifici, tenendo pienamente conto dell’interrelazione con i requisiti derivanti dal diritto dell’Unione o nazionale.
2. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 45 per integrare il presente regolamento specificando ulteriormente i requisiti essenziali di cui al paragrafo 1 del presente articolo, in relazione ai requisiti che, per loro natura, non sono in grado di produrre l’effetto atteso a meno che non siano ulteriormente specificati in atti giuridici vincolanti dell’Unione e al fine di riflettere adeguatamente gli sviluppi tecnologici e di mercato.
La Commissione, quando adotta atti delegati, tiene conto dei pareri dell’EDIB conformemente all’articolo 42, lettera c), punto iii).
3. Si presume che i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti agli spazi di dati che soddisfano le norme armonizzate o parti di esse, i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea, siano conformi ai requisiti essenziali di cui al paragrafo 1 nella misura in cui tali requisiti sono contemplati da tali norme armonizzate o parti di esse.
4. Conformemente all’articolo 10 del regolamento (UE) n. 1025/2012, la Commissione chiede a una o più organizzazioni europee di normazione di elaborare norme armonizzate che soddisfino i requisiti essenziali di cui al paragrafo 1 del presente articolo.
5. La Commissione può adottare, mediante atti di esecuzione, specifiche comuni che contemplino uno o tutti i requisiti essenziali di cui al paragrafo 1 laddove siano state soddisfatte le condizioni seguenti:
a) |
la Commissione ha chiesto, a norma dell’articolo 10, paragrafo 1, del regolamento (UE) n. 1025/2012, a una o più organizzazioni europee di normazione di elaborare una norma armonizzata che soddisfi i requisiti essenziali di cui al paragrafo 1 del presente articolo e:
|
b) |
nessun riferimento a norme armonizzate che contemplino i requisiti essenziali pertinenti di cui al paragrafo 1 del presente articolo è pubblicato nella Gazzetta ufficiale dell’Unione europea conformemente al regolamento (UE) n. 1025/2012 e non si prevede la pubblicazione di tale riferimento entro un termine ragionevole. |
Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 46, paragrafo 2.
6. Prima di preparare un progetto di atto di esecuzione di cui al paragrafo 5 del presente articolo, la Commissione comunica al comitato di cui all’articolo 22 del regolamento (UE) n. 1025/2012 che ritiene soddisfatte le condizioni di cui al paragrafo 5 del presente articolo.
7. Nel preparare il progetto di atto di esecuzione di cui al paragrafo 5, la Commissione tiene conto dei pareri del EDIB e di altri organismi o gruppi di esperti pertinenti e consulta debitamente tutti i pertinenti portatori di interessi.
8. Si presume che i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti agli spazi di dati che soddisfano le specifiche comuni stabilite da atti di esecuzione di cui al paragrafo 5 o parti di essi siano conformi ai requisiti essenziali di cui al paragrafo 1 nella misura in cui tali requisiti sono contemplati da tali specifiche comuni o parti di esse.
9. Qualora una norma armonizzata sia adottata da un’organizzazione europea di normazione e proposta alla Commissione ai fini della pubblicazione del suo riferimento nella Gazzetta ufficiale dell’Unione europea, la Commissione valuta la norma armonizzata conformemente al regolamento (UE) n. 1025/2012. Qualora il riferimento di una norma armonizzata sia pubblicato nella Gazzetta ufficiale dell’Unione europea, la Commissione abroga gli atti di esecuzione di cui al paragrafo 5 del presente articolo o parti di essi, che riguardano gli stessi requisiti essenziali contemplati da tali norme armonizzate.
10. Qualora uno Stato membro ritenga che una specifica comune non soddisfi completamene i requisiti essenziali di cui al paragrafo 1, esso ne informa la Commissione presentando una spiegazione dettagliata. La Commissione valuta tale spiegazione dettagliata e, se del caso, può modificare l’atto di esecuzione che stabilisce la specifica comune in questione.
11. La Commissione può adottare orientamenti, tenendo conto della proposta dell’EDIB conformemente all’articolo 30, lettera h), del regolamento (UE) 2022/868, che stabiliscono quadri interoperabili di norme e prassi comuni per il funzionamento degli spazi comuni europei di dati.
Articolo 34
Interoperabilità ai fini di un uso in parallelo dei servizi di trattamento dei dati
1. I requisiti di cui agli articoli 23 e 24, all’articolo 25, paragrafo 2, lettera a), punti ii) e iv), all’articolo 25, paragrafo 2, lettere e) ed f), e all’articolo 30, paragrafi 2, 3, 4 e 5, si applicano mutatis mutandis anche ai fornitori di servizi di trattamento dei dati per facilitare l’interoperabilità ai fini di un uso in parallelo dei servizi di trattamento dei dati.
2. Se un servizio di trattamento dei dati viene utilizzato parallelamente a un altro servizio di trattamento dei dati, i fornitori di servizi di trattamento dei dati possono imporre tariffe di uscita dei dati, ma solo al fine di ribaltare i costi di uscita sostenuti, senza superarli.
Articolo 35
Interoperabilità dei servizi di trattamento dei dati
1. Le specifiche di interoperabilità aperte e le norme armonizzate per l’interoperabilità dei servizi di trattamento dei dati:
a) |
conseguono ove tecnicamente fattibile, l’interoperabilità tra diversi servizi di trattamento dei dati che riguardano lo stesso tipo di servizio; |
b) |
aumentano la portabilità delle risorse digitali tra diversi servizi di trattamento dei dati che riguardano lo stesso tipo di servizio; |
c) |
facilitano, ove tecnicamente fattibile, l’equivalenza funzionale tra i diversi servizi di trattamento dei dati di cui all’articolo 30, paragrafo 1, che riguardano lo stesso tipo di servizio ; |
d) |
non incidono negativamente sulla sicurezza e sull’integrità dei servizi di trattamento dei dati e dei dati stessi; |
e) |
sono concepite in modo tale da consentire i progressi tecnologici e l’inclusione di nuove funzioni e innovazioni nei servizi di trattamento dei dati. |
2. Le specifiche di interoperabilità aperte e le norme armonizzate per l’interoperabilità dei servizi di trattamento dei dati contemplano adeguatamente:
a) |
gli aspetti di interoperabilità del cloud per quanto riguarda l’interoperabilità del trasporto, l’interoperabilità sintattica, l’interoperabilità semantica dei dati, l’interoperabilità comportamentale e l’interoperabilità in conformità del quadro organizzativo, giuridico e strategico (policy interoperability); |
b) |
gli aspetti della portabilità dei dati su cloud per quanto riguarda la portabilità sintattica dei dati, la portabilità semantica dei dati e la portabilità dei dati in conformità del quadro organizzativo, giuridico e strategico (data policy portability); |
c) |
gli aspetti delle applicazioni su cloud per quanto riguarda la portabilità sintattica delle applicazioni, la portabilità delle istruzioni delle applicazioni, la portabilità dei metadati delle applicazioni, la portabilità del comportamento delle applicazioni e la portabilità delle applicazioni in conformità del quadro organizzativo, giuridico e strategico (application policy portability). |
3. Le specifiche di interoperabilità aperte rispettano l’allegato II del regolamento (UE) n. 1025/2012.
4. Conformemente all’articolo 10, paragrafo 1, del regolamento (UE) n. 1025/2012, la Commissione può chiedere a una o più organizzazioni europee di normazione di elaborare norme armonizzate che soddisfino i requisiti essenziali di cui ai paragrafi 1 e 2 del presente articolo, dopo aver tenuto conto delle norme internazionali ed europee pertinenti e delle iniziative di autoregolamentazione.
5. La Commissione può adottare, mediante atti di esecuzione, specifiche comuni sulla base di specifiche basate sull’ interoperabilità aperte che contemplino tutti i requisiti essenziali di cui ai paragrafi 1 e 2.
6. Nel predisporre il progetto di atto di esecuzione di cui al paragrafo 5 del presente articolo, la Commissione tiene conto dei pareri delle autorità competenti pertinenti di cui all’articolo 37, paragrafo 5, lettera h), e di altri organismi o gruppi di esperti pertinenti e consulta debitamente tutti i pertinenti portatori di interessi.
7. Qualora uno Stato membro ritenga che una specifica comune non soddisfi completamente i requisiti essenziali di cui ai paragrafi 1 e 2, esso ne informa la Commissione presentando una spiegazione dettagliata. La Commissione valuta tale spiegazione dettagliata e, se del caso, può modifica l’atto di esecuzione che stabilisce la specifica comune in questione.
8. Ai fini dell’articolo 30, paragrafo 3, la Commissione pubblica, mediante atti di esecuzione, i riferimenti delle norme armonizzate e delle specifiche comuni per l’interoperabilità dei servizi di trattamento dei dati in un archivio centrale dell’Unione delle norme per l’interoperabilità dei servizi di trattamento dei dati.
9. Gli atti di esecuzione di cui al presente articolo sono adottati secondo la procedura d’esame di cui all’articolo 46, paragrafo 2.
Articolo 36
Requisiti essenziali relativi ai contratti intelligenti per l’esecuzione degli accordi di condivisione dei dati
1. Il venditore di applicazioni che utilizzano contratti intelligenti o, in sua assenza, la persona la cui attività commerciale, imprenditoriale o professionale comporti l’implementazione di contratti intelligenti per altri nel contesto dell’esecuzione di un accordo, o parte di esso, di messa a disposizione dei dati, assicura che tali contratti intelligenti rispettino i requisiti essenziali seguenti:
a) |
robustezza e controllo dell’accesso, garantire che il contratto intelligente sia stato progettato in modo da offrire meccanismi di controllo dell’accesso e un grado di robustezza molto elevato per evitare errori funzionali e resistere alla manipolazione di terzi; |
b) |
cessazione e interruzione sicure, per garantire che esista un meccanismo per cessare l’esecuzione continua delle transazioni e che contratto intelligente comprenda funzioni interne che possano reimpostarlo o trasmettergli l’istruzione di fermare o interrompere il proprio funzionamento, in particolare per evitare esecuzioni accidentali future; |
c) |
archiviazione e continuità dei dati, per garantire, nel caso in cui si debba procedere alla risoluzione o alla disattivazione di un contratto intelligente, che vi sia la possibilità di archiviare i dati relativi alle transazioni nonché la logica e il codice del contratto intelligente al fine di tenere traccia delle operazioni effettuate sui dati in passato (verificabilità); |
d) |
controllo dell’accesso, per garantire che un contratto intelligente sia protetto mediante meccanismi rigorosi di controllo dell’accesso sul piano della governance e del contratto intelligente; e |
e) |
coerenza, per garantire che si intende la coerenza con le clausole dell’accordo di condivisione dei dati che il contratto intelligente esegue. |
2. Il venditore di contratti intelligenti o, in sua assenza, la persona la cui attività commerciale, imprenditoriale o professionale comporti l’implementazione di contratti intelligenti per altri nel contesto dell’esecuzione di un accordo, o parte di esso, di messa a disposizione dei dati effettua una valutazione della conformità al fine di soddisfare i requisiti essenziali di cui al paragrafo 1 e, se tali requisiti sono soddisfatti, rilascia una dichiarazione di conformità UE.
3. Con la dichiarazione di conformità UE il venditore di applicazioni che utilizzano contratti intelligenti o, in sua assenza, la persona la cui attività commerciale, imprenditoriale o professionale comporti l’implementazione di contratti intelligenti per altri nel contesto dell’implementazione di un accordo, o parte di esso, di messa a disposizione dei dati, è responsabile del rispetto dei requisiti essenziali di cui al paragrafo 1.
4. Si presume che un contratto intelligente che soddisfa le norme armonizzate o le pertinenti parti di tali norme, i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea, sia conforme ai requisiti essenziali di cui al paragrafo 1 del presente articolo nella misura in cui tali requisiti sono contemplati da tali norme armonizzate o parti di esse.
5. Ai sensi dell’articolo 10 del regolamento (UE) n. 1025/2012, la Commissione chiede a una o più organizzazioni europee di normazione di elaborare norme armonizzate che soddisfino i requisiti essenziali di cui al paragrafo 1 del presente articolo.
6. La Commissione può adottare, mediante atti di esecuzione, specifiche comuni che contemplino una o tutti i requisiti essenziali di cui al paragrafo 1 laddove siano state soddisfatte le condizioni seguenti:
a) |
la Commissione ha chiesto, a norma dell’articolo 10, paragrafo 1, del regolamento (UE) n. 1025/2012, a una o più organizzazioni europee di normazione di elaborare una norma armonizzata che soddisfi i requisiti essenziali di cui al paragrafo 1 del presente articolo e:
|
b) |
nessun riferimento a norme armonizzate che contemplino i requisiti essenziali pertinenti di cui al paragrafo 1 del presente articolo è pubblicato nella Gazzetta ufficiale dell’Unione europea conformemente al regolamento (UE) n. 1025/2012 e non si prevede la pubblicazione di tale riferimento entro un termine ragionevole. |
Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 46, paragrafo 2.
7. Prima di preparare un progetto di atto di esecuzione di cui al paragrafo 6 del presente articolo, la Commissione comunica al comitato di cui all’articolo 22 del regolamento (UE) n. 1025/2012 che ritiene soddisfatte le condizioni di cui al paragrafo 6 del presente articolo.
8. Nel preparare il progetto di atto di esecuzione di cui al paragrafo 6, la Commissione tiene conto dei pareri del EDIB e di altri organismi o gruppi di esperti pertinenti e consulta debitamente tutti i pertinenti portatori di interessi.
9. Si presume che il venditore di contratti intelligenti o, in sua assenza, la persona la cui attività commerciale, imprenditoriale o professionale comporti l’implementazione di contratti intelligenti per altri nel contesto dell’implementazione di un accordo, o parte di esso, di messa a disposizione dei dati che soddisfano le specifiche comuni stabilite da atti di esecuzione di cui al paragrafo 5 o parti di essi sia conforme ai requisiti essenziali di cui al paragrafo 1 nella misura in cui tali requisiti sono contemplati da tali specifiche comuni o parti di esse.
10. Qualora una norma armonizzata sia adottata da un’organizzazione europea di normazione e proposta alla Commissione al fine di pubblicare il suo riferimento nella Gazzetta ufficiale dell’Unione europea, la Commissione valuta la norma armonizzata conformemente al regolamento (UE) n. 1025/2012. Qualora il riferimento di una norma armonizzata sia pubblicato nella Gazzetta ufficiale dell’Unione europea, la Commissione abroga gli atti di esecuzione di cui al paragrafo 6 del presente articolo, o parti di essi, che riguardano gli stessi requisiti essenziali contemplati da tali norme armonizzate.
11. Qualora uno Stato membro ritenga che una specifica comune non soddisfi completamene i requisiti essenziali di cui al paragrafo 1, esso ne informa la Commissione presentando una spiegazione dettagliata. La Commissione valuta tale spiegazione dettagliata e, se del caso, modifica l’atto di esecuzione che stabilisce la specifica comune in questione.
CAPO IX
ATTUAZIONE ED ESECUZIONE
Articolo 37
Autorità competenti e coordinatori dei dati
1. Ciascuno Stato membro designa una o più autorità competenti incaricate dell’applicazione e dell’esecuzione del presente regolamento (autorità competenti). Gli Stati membri possono istituire una o più nuove autorità o fare affidamento sulle autorità esistenti.
2. Qualora uno Stato membro designi più di un’autorità competente, tra di esse designa un coordinatore dei dati per facilitare la cooperazione tra le autorità competenti e per assistere le entità che rientrano nell’ambito di applicazione del presente regolamento su tutte le questioni relative alla sua applicazione ed esecuzione. Le autorità competenti, nell’esercizio dei compiti e dei poteri ad esse assegnati a norma del paragrafo 5, cooperano tra loro.
3. Le autorità di controllo incaricate di sorvegliare l’applicazione del regolamento (UE) 2016/679 sono incaricate di sorvegliare l’applicazione del presente regolamento per quanto riguarda la protezione dei dati personali. I capi VI e VII del regolamento (UE) 2016/679 si applicano mutatis mutandis.
Il Garante europeo della protezione dei dati è incaricato di monitorare l’applicazione del presente regolamento nella misura in cui riguarda la Commissione, la Banca centrale europea o gli organismi dell’Unione. Ove pertinente, l’articolo 62 del regolamento (UE) 2018/1725 si applica mutatis mutandis.
I compiti e i poteri delle autorità di controllo di cui al presente paragrafo sono esercitati in relazione al trattamento dei dati personali.
4. Fatto salvo il paragrafo 1 del presente articolo:
a) |
per questioni specifiche concernenti l’accesso ai dati settoriali e il loro utilizzo relative all’attuazione del presente regolamento è rispettata la competenza delle autorità settoriali; |
b) |
l’autorità competente incaricata dell’applicazione e dell’esecuzione degli articoli da 23 a 31 e degli articoli 34 e 35 ha esperienza nel campo dei dati e dei servizi di comunicazioni elettroniche. |
5. Gli Stati membri provvedono affinché i compiti e poteri delle autorità competenti siano chiaramente definiti e comprendano:
a) |
la promozione dell’alfabetizzazione in materia di dati e la sensibilizzazione degli utenti e delle entità che rientrano nell’ambito di applicazione del presente regolamento in merito ai diritti e agli obblighi a norma del presente regolamento; |
b) |
il trattamento dei reclami derivanti da presunte violazioni del presente regolamento, anche in relazione a segreti commerciali, lo svolgimento di indagini, nella misura appropriata, sull’oggetto dei reclami e la periodica trasmissione di informazioni ai reclamanti, conformemente al diritto nazionale se del caso, in merito allo stato e all’esito delle indagini entro un termine ragionevole, in particolare ove siano necessari ulteriori indagini o il coordinamento con un’altra autorità competente; |
c) |
lo svolgimento di indagini su questioni relative all’applicazione del presente regolamento, anche sulla base di informazioni ricevute da un’altra autorità competente o da un’altra autorità pubblica; |
d) |
l’inflizione di sanzioni pecuniarie effettive, proporzionate e dissuasive che possono includere sanzioni periodiche e sanzioni con effetto retroattivo, o l’avvio di procedimenti giudiziari per l’inflizione di ammende; |
e) |
il monitoraggio degli sviluppi tecnologici e dei pertinenti sviluppi commerciali rilevanti per la messa a disposizione e l’utilizzo dei dati; |
f) |
la cooperazione con le autorità competenti di altri Stati membri e, ove opportuno, con la Commissione o l’EDIB per garantire l’applicazione coerente ed efficiente del presente regolamento, compreso lo scambio di tutte le informazioni pertinenti per via elettronica, senza indebito ritardo, anche per quanto riguarda il paragrafo 10 del presente articolo; |
g) |
la cooperazione con le autorità competenti pertinenti incaricate dell’attuazione di altri atti giuridici dell’Unione o nazionali, comprese le autorità competenti nel campo dei dati e dei servizi di comunicazioni elettroniche, l’autorità di controllo incaricata di sorvegliare l’applicazione del regolamento (UE) 2016/679 o le autorità settoriali, per garantire che il presente regolamento sia applicato coerentemente con il diritto dell’Unione e nazionale; |
h) |
la cooperazione con le autorità competenti pertinenti per garantire che gli articoli da 23 a 31 e gli articoli 34 e 35 siano applicati coerentemente con altro diritto dell’Unione e misure di autoregolamentazione applicabili ai fornitori di servizi di trattamento dei dati; |
i) |
la garanzia che le tariffe per il passaggio siano abolite conformemente all’articolo 29; |
j) |
l’esame delle richieste di dati presentate a norma del capo V. |
Laddove designato, il coordinatore dei dati facilita la cooperazione di cui alle lettere f), g) e h), del primo comma e assiste le autorità competenti su loro richiesta.
6. Il coordinatore dei dati, laddove tale autorità competenti sia stata designata:
a) |
funge da punto di contatto unico per tutte le questioni relative all’applicazione del presente regolamento; |
b) |
garantisce che le richieste di messa a disposizione dei dati presentate da enti pubblici in caso di eccezionale necessità a norma del capo V siano pubblicamente disponibili online e promuove accordi di condivisione dei dati volontari tra enti pubblici e titolari dei dati; |
c) |
informa la Commissione, su base annua, dei rifiuti notificati a norma dell’articolo 4, paragrafi 2 e 8, e dell’articolo 5, paragrafo 11. |
7. Gli Stati membri notificano alla Commissione i nomi delle autorità competenti designate e i compiti e poteri e, ove opportuno, il nome del coordinatore dei dati. La Commissione tiene un registro pubblico di tali autorità.
8. Nello svolgimento dei loro compiti e nell’esercizio dei loro poteri conformemente al presente regolamento, le autorità competenti rimangono imparziali, non subiscono alcuna influenza esterna, diretta o indiretta, e non sollecitano né accettano istruzioni, per singoli casi, da altre autorità pubbliche o da privati.
9. Gli Stati membri provvedono affinché le autorità competenti dispongano delle risorse umane e tecniche sufficienti e delle opportune competenze per svolgere efficacemente i propri compiti conformemente al presente regolamento.
10. Le entità che rientrano nell’ambito di applicazione del presente regolamento sono soggette alla competenza dello Stato membro nel quale sono stabilite. Laddove l’entità sia stabilita in più di uno Stato membro, è considerata soggetta alla competenza dello Stato membro in cui ha lo stabilimento principale, ossia dove ha la sua amministrazione centrale o la sua sede sociale da cui esercita le principali funzioni finanziarie e il controllo operativo.
11. Qualsiasi entità rientrante nell’ambito di applicazione del presente regolamento che renda disponibili prodotti connessi o offra servizi correlati nell’Unione e che non sia stabilita nell’Unione designa un rappresentante legale in uno degli Stati membri.
12. Al fine di garantire la conformità al presente regolamento, il rappresentante legale riceve da un’entità rientrante nell’ambito di applicazione del presente regolamento che rende disponibili prodotti connessi o offre servizi correlati nell’Unione il mandato di essere interpellato oltre all’entità stessa o al suo posto dalle autorità competenti per quanto riguarda tutte le questioni relative a tale entità. Il rappresentante legale collabora con le autorità competenti e, su richiesta, dimostra loro in modo esauriente le misure adottate e le disposizioni messe in atto dall’entità rientrante nell’ambito di applicazione del presente regolamento che rende disponibili prodotti connessi o offre servizi correlati nell’Unione per garantire la conformità al presente regolamento.
13. Un’entità rientrante nell’ambito di applicazione del presente regolamento che rende disponibili prodotti connessi o offre servizi correlati nell’Unione è considerata soggetta alla giurisdizione dello Stato membro in cui è situato il suo rappresentante legale. La designazione di un rappresentante legale a cura di tale entità fa salve la responsabilità e le eventuali azioni legali che potrebbero essere promosse contro di essa. Fino a quando l’entità non avrà designato un rappresentante legale a norma del presente articolo, essa sarà soggetta alla competenza di tutti gli Stati membri, se del caso, al fine di garantire l’applicazione ed esecuzione del presente regolamento. Qualsiasi autorità competente può esercitare la propria competenza, anche infliggendo sanzioni effettive, proporzionate e dissuasive, a condizione che l’entità non sia soggetta a procedimenti esecutivi a norma del presente regolamento in relazione agli stessi fatti da parte di un’altra autorità competente.
14. Le autorità competenti hanno il potere di chiedere agli utenti, ai titolari dei dati o ai destinatari dei dati, ovvero ai loro rappresentanti legali, soggetti alla competenza del loro Stato membro tutte le informazioni necessarie a verificare la conformità al presente regolamento. Le richieste di informazioni sono motivate e proporzionate rispetto all’assolvimento del compito di base.
15. Se un’autorità competente di uno Stato membro chiede misure di assistenza o di esecuzione a un’autorità competente di un altro Stato membro, essa presenta una richiesta motivata. Al ricevimento di tale richiesta, l’autorità competente fornisce una risposta in cui si precisano le azioni che sono state adottate o che si prevede di adottare, senza indebito ritardo.
16. Le autorità competenti rispettano il principio di riservatezza e del segreto professionale e commerciale e tutelano i dati personali ai sensi del diritto dell’Unione o nazionale. Tutte le informazioni scambiate nel quadro di una richiesta di assistenza e fornite a norma del presente articolo sono utilizzate solo in relazione alla questione per cui sono state richieste.
Articolo 38
Diritto di presentare un reclamo
1. Fatto salvo ogni altro ricorso amministrativo o giudiziario, le persone fisiche e giuridiche che ritengano che i loro diritti a norma del presente regolamento siano stati violati hanno il diritto di presentare un reclamo individuale o, se opportuno, collettivo alla pertinente autorità competente dello Stato membro in cui risiedono abitualmente, lavorano o sono stabilite. Su richiesta, il coordinatore dei dati fornisce tutte le informazioni necessarie alle persone fisiche e giuridiche per presentare i loro reclami all’autorità competente appropriata.
2. L’autorità competente alla quale è stato presentato il reclamo informa il reclamante, conformemente al diritto nazionale, dello stato del procedimento e della decisione adottata.
3. Le autorità competenti cooperano per trattare e risolvere i reclami efficacemente e in modo tempestivo, anche scambiando tutte le informazioni pertinenti per via elettronica, senza indebito ritardo. Tale cooperazione non pregiudica i meccanismi di cooperazione di cui ai capi VI e VII del regolamento (UE) 2016/679 e al regolamento (UE) 2017/2394.
Articolo 39
Diritto a un ricorso giurisdizionale effettivo
1. Fatti salvi eventuali ricorsi amministrativi o altri ricorsi extragiudiziali, le persone fisiche e giuridiche interessate hanno diritto a un ricorso giurisdizionale effettivo per quanto riguarda le decisioni giuridicamente vincolanti adottate dalle autorità competenti.
2. Se un’autorità competente non dà seguito a un reclamo, le persone fisiche e giuridiche interessate, conformemente al diritto nazionale, hanno diritto a un ricorso giurisdizionale effettivo o hanno accesso al riesame da parte di un organo imparziale dotato delle competenze adeguate.
3. I procedimenti a norma del presente articolo sono presentati dinanzi agli organi giurisdizionali dello Stato membro dell’autorità competente contro cui è mosso il ricorso giurisdizionale individualmente o, se del caso, collettivamente dai rappresentanti di una o più persone fisiche o giuridiche.
Articolo 40
Sanzioni
1. Gli Stati membri stabiliscono le norme relative alle sanzioni da applicare in caso di violazione del presente regolamento e adottano tutte le misure necessarie per assicurarne l’applicazione. Le sanzioni previste devono essere effettive, proporzionate e dissuasive.
2. Gli Stati membri notificano tali norme e misure alla Commissione entro il 12 settembre 2025 e provvedono poi a dare immediata notifica delle eventuali modifiche successive. La Commissione tiene e aggiorna regolarmente un registro pubblico facilmente accessibile di tali misure.
3. Per l’inflizione delle sanzioni da applicare in caso di violazioni del presente regolamento, gli Stati membri tengono conto delle raccomandazioni dell’EDIB e dei criteri non esaustivi seguenti:
a) |
la natura, la gravità, l’entità e la durata della violazione; |
b) |
eventuali azioni intraprese dall’autore della violazione per attenuare il danno causato dalla violazione o porvi rimedio; |
c) |
eventuali violazioni commesse in precedenza dall’autore della violazione; |
d) |
i vantaggi finanziari ottenuti o le perdite evitate dall’autore della violazione in ragione della violazione, nella misura in cui tali vantaggi o perdite possano essere determinati in modo attendibile; |
e) |
eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso; |
f) |
il fatturato annuo nell’Unione nell’esercizio precedente dell’autore della violazione. |
4. Per l’inosservanza degli obblighi di cui ai capi II, III e V del presente regolamento, le autorità di controllo responsabili del controllo dell’applicazione del regolamento (UE) 2016/679 possono, nei limiti delle proprie competenze, infliggere sanzioni amministrative pecuniarie in conformità dell’articolo 83 del regolamento (UE) 2016/679 a concorrenza dell’importo di cui al paragrafo 5 del medesimo articolo.
5. Per l’inosservanza degli obblighi di cui al capo V del presente regolamento, il Garante europeo della protezione dei dati può, nei limiti delle proprie competenze, infliggere sanzioni amministrative pecuniarie conformemente all’articolo 66 del regolamento (UE) 2018/1725 a concorrenza dell’importo di cui al paragrafo 3 del medesimo articolo.
Articolo 41
Clausole contrattuali tipo e clausole contrattuali standard
La Commissione, prima del 12 settembre 2025, elabora e raccomanda clausole contrattuali tipo non vincolanti relative all’accesso ai dati e al relativo utilizzo, comprese clausole su un compenso ragionevole e sulla protezione dei segreti commerciali, nonché clausole contrattuali standard non vincolanti per i contratti di cloud computing per assistere le parti nella stesura e nella negoziazione di contratti equi, ragionevoli e non discriminatori dal punto di vista dei diritti e degli obblighi contrattuali.
Articolo 42
Ruolo dell’EDIB
L’EDIB, istituito dalla Commissione come gruppo di esperti a norma dell’articolo 29 del regolamento (UE) 2022/868 e in cui sono rappresentate le autorità competenti, sostiene l’applicazione coerente del presente regolamento:
a) |
consigliando e assistendo la Commissione nello sviluppo di una prassi coerente delle autorità competenti nell’esecuzione dei capi II, III, V e VII; |
b) |
facilitando la cooperazione tra le autorità competenti attraverso lo sviluppo di capacità e lo scambio di informazioni, in particolare stabilendo metodi per lo scambio efficiente di informazioni relative all’esecuzione dei diritti e degli obblighi di cui ai capi II, III e V in casi transfrontalieri, compreso il coordinamento in merito alla fissazione di sanzioni; |
c) |
consigliando e assistendo la Commissione per quanto riguarda:
|
CAPO X
DIRITTO « SUI GENERIS » A NORMA DELLA DIRETTIVA 96/9/CE
Articolo 43
Banche dati che contengono determinati dati
Il diritto «sui generis» di cui all’articolo 7 della direttiva 96/9/CE non si applica quando i dati sono ottenuti o generati da un prodotto connesso o un servizio correlato che rientra nell’ambito di applicazione del presente regolamento, in particolare in relazione agli articoli 4 e 5.
CAPO XI
DISPOSIZIONI FINALI
Articolo 44
Altri atti giuridici dell’Unione che disciplinano i diritti e gli obblighi in materia di accesso ai dati e relativo utilizzo
1. Restano impregiudicati gli obblighi specifici per la messa a disposizione dei dati tra imprese, tra imprese e consumatori e, in via eccezionale, tra imprese e organismi pubblici contenuti in atti giuridici dell’Unione entrati in vigore il o anteriormente all’11 gennaio 2024 e in atti delegati o di esecuzione basati su tali atti giuridici.
2. Il presente regolamento non pregiudica la normativa dell’Unione che, alla luce delle esigenze di un settore, di uno spazio comune europeo di dati o di un ambito di interesse comune, specifica ulteriori requisiti, in particolare per quanto riguarda:
a) |
gli aspetti tecnici dell’accesso ai dati; |
b) |
le limitazioni ai diritti dei titolari dei dati di accedere a determinati dati forniti dagli utenti o di utilizzarli; |
c) |
gli aspetti che vanno al di là dell’accesso ai dati e del relativo utilizzo. |
3. Il presente regolamento, ad eccezione del capo V, non pregiudica il diritto dell’Unione e nazionale che dispongono l’accesso ai dati e ne autorizzano l’uso a fini di ricerca scientifica.
Articolo 45
Esercizio della delega
1. Il potere di adottare atti delegati è conferito alla Commissione alle condizioni stabilite nel presente articolo.
2. Il potere di adottare atti delegati di cui all’articolo 29, paragrafo 7, e all’articolo 33, paragrafo 2, è conferito alla Commissione per un periodo indeterminato a decorrere dall’11 gennaio 2024.
3. La delega di potere di cui all’articolo 29, paragrafo 7, e all’articolo 33, paragrafo 2, può essere revocata in qualsiasi momento dal Parlamento europeo o dal Consiglio. La decisione di revoca pone fine alla delega di potere ivi specificata. Gli effetti della decisione decorrono dal giorno successivo alla pubblicazione della decisione nella Gazzetta ufficiale dell’Unione europea o da una data successiva ivi specificata. Essa non pregiudica la validità degli atti delegati già in vigore.
4. Prima dell’adozione dell’atto delegato la Commissione consulta gli esperti designati da ciascuno Stato membro nel rispetto dei principi stabiliti nell’accordo interistituzionale «Legiferare meglio» del 13 aprile 2016.
5. Non appena adotta un atto delegato, la Commissione ne dà contestualmente notifica al Parlamento europeo e al Consiglio.
6. L’atto delegato adottato ai sensi dell’articolo 29, paragrafo 7, e dell’articolo 33, paragrafo 2, entra in vigore solo se né il Parlamento europeo né il Consiglio hanno sollevato obiezioni entro il termine di tre mesi dalla data in cui esso è stato loro notificato o se, prima della scadenza di tale termine, sia il Parlamento europeo che il Consiglio hanno informato la Commissione che non intendono sollevare obiezioni. Tale termine è prorogato di tre mesi su iniziativa del Parlamento europeo o del Consiglio.
Articolo 46
Procedura di comitato
1. La Commissione è assistita dal comitato istituito dal regolamento (UE) 2022/868. Esso è un comitato ai sensi del regolamento (UE) n. 182/2011.
2. Nei casi in cui è fatto riferimento al presente paragrafo, si applica l’articolo 5 del regolamento (UE) n. 182/2011.
Articolo 47
Modifica del regolamento (UE) 2017/2394
Nell’allegato del regolamento (UE) 2017/2394 è aggiunto il punto seguente:
«29. |
Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (normativa sui dati) (GU L 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj).» |
Articolo 48
Modifica della direttiva (UE) 2020/1828
Nell’allegato I della direttiva (UE) 2020/1828 è aggiunto il punto seguente:
«68. |
Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (normativa sui dati) (GU L 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj).» |
Articolo 49
Valutazione e riesame
1. Entro il 12 settembre 2028 la Commissione effettua una valutazione del presente regolamento e presenta al Parlamento europeo, al Consiglio e al Comitato economico e sociale europeo una relazione sulle principali conclusioni tratte. La valutazione verte in particolare sugli elementi seguenti:
a) |
le situazioni da considerare necessità eccezionali ai fini dell’articolo 15 del presente regolamento e dell’applicazione pratica del capo V del presente regolamento, in particolare l’esperienza nell’applicazione del capo V del presente regolamento da parte di enti pubblici, la Commissione, la Banca centrale europea e organismi dell’Unione; numero ed esito dei procedimenti presentati all’autorità competente a norma dell’articolo 18, paragrafo 5, in merito all’applicazione del capo V del presente regolamento, come comunicato dalle autorità competenti; impatto di altri obblighi previsti dalle normative dell’Unione o nazionali ai fini del soddisfacimento delle richieste di accesso a informazioni; impatto dei meccanismi volontari di condivisione dei dati, ad esempio quelli messi in atto dalle organizzazioni per l’altruismo dei dati riconosciute a norma del regolamento (UE) 2022/868, sul conseguimento degli obiettivi del capo V del presente regolamento, e ruolo dei dati personali nel contesto dell’articolo 15 del presente regolamento, compresa l’evoluzione delle tecnologie di rafforzamento della tutela della vita privata; |
b) |
l’impatto del presente regolamento sull’uso dei dati nell’economia, anche per quanto riguarda l’innovazione in materia di dati, le prassi di monetizzazione dei dati e i servizi di intermediazione dei dati, nonché la condivisione dei dati nel quadro degli spazi comuni europei di dati; |
c) |
l’accessibilità e uso di diverse categorie e tipi di dati; |
d) |
l’esclusione di determinate categorie di imprese dal ruolo di beneficiario a norma dell’articolo 5; |
e) |
l’assenza di qualsiasi impatto sui diritti di proprietà intellettuale; |
f) |
l’impatto sui segreti commerciali, anche per quanto riguarda la protezione contro l’acquisizione, l’utilizzo e la divulgazione illeciti, e impatto del meccanismo che consente al titolare dei dati di respingere la richiesta dell’utente a norma dell’articolo 4, paragrafo 8, e dell’articolo 5, paragrafo 11, tenendo conto, nella misura del possibile, di qualsiasi revisione della direttiva (UE) 2016/943; |
g) |
se l’elenco delle clausole contrattuali abusive di cui all’articolo 13 sia aggiornato alla luce delle nuove pratiche commerciali e del rapido ritmo dell’innovazione del mercato; |
h) |
le modifiche delle pratiche contrattuali dei fornitori di servizi di trattamento dei dati, e se tali modifiche comportino un sufficiente rispetto dell’articolo 25; |
i) |
la diminuzione delle tariffe applicate dai fornitori di servizi di trattamento dei dati per il processo di passaggio, in linea con l’abolizione graduale delle tariffe di passaggio a norma dell’articolo 29; |
j) |
l’interazione del presente regolamento con altri atti giuridici dell’Unione rilevanti per l’economia dei dati; |
k) |
la prevenzione dell’accesso governativo illecito a dati non personali; |
l) |
l’efficacia del regime di esecuzione richiesto a norma dell’articolo 37; |
m) |
l’impatto del presente regolamento sulle PMI, sulla loro capacità di innovare e sulla disponibilità di servizi di trattamento dei dati per gli utenti dell’Unione, sull’onere che comporta il rispetto dei nuovi obblighi. |
2. Entro il 12 settembre 2028 la Commissione effettua una valutazione del presente regolamento e presenta al Parlamento europeo, al Consiglio e al Comitato economico e sociale europeo una relazione sulle principali conclusioni tratte. Tale valutazione esamina l’impatto degli articoli da 23 a 31 e degli articoli 34 e 35, in particolare per quanto riguarda la fissazione dei prezzi e la diversità dei servizi di trattamento dei dati offerti all’interno dell’Unione, ponendo l’accento sulle PMI fornitrici.
3. Gli Stati membri forniscono alla Commissione le informazioni necessarie per redigere delle relazioni di cui ai paragrafi 1 e 2.
4. Sulla base delle relazioni di cui ai paragrafi 1 e 2 la Commissione può presentare, se del caso, una proposta legislativa al Parlamento europeo e al Consiglio al fine di modificare il presente regolamento.
Articolo 50
Entrata in vigore e applicazione
Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Esso si applica a decorrere dal 12 settembre 2025.
L’obbligo derivante dall’articolo 3, paragrafo 1, si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo il 12 settembre 2026.
Il capo III si applica solo in relazione agli obblighi di messa a disposizione dei dati a norma del diritto dell’Unione o della legislazione nazionale adottata in conformità del diritto dell’Unione, che entrano in vigore dopo il 12 settembre 2025.
Il capo IV si applica ai contratti conclusi dopo il 12 settembre 2025.
Il capo IV si applica a decorrere dal 12 settembre 2027 ai contratti conclusi il o anteriormente al 12 settembre 2025, a condizione che:
a) |
siano a tempo indeterminato; o |
b) |
scadano almeno 10 anni dopo l’11 gennaio 2024. |
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Fatto a Strasburgo, il 13 dicembre 2023
Per il Parlamento europeo
La presidente
R. METSOLA
Per il Consiglio
Il presidente
P. NAVARRO RÍOS
(1) GU C 402 del 19.10.2022, pag. 5.
(2) GU C 365 del 23.9.2022, pag. 18.
(3) GU C 375 del 30.9.2022, pag. 112.
(4) Posizione del Parlamento europeo del 9 novembre 2023 (non ancora pubblicata nella Gazzetta ufficiale) e decisione del Consiglio del 27 novembre 2023.
(5) Raccomandazione 2003/361/CE della Commissione, del 6 maggio 2003, relativa alla definizione delle microimprese, piccole e medie imprese (GU L 124 del 20.5.2003, pag. 36).
(6) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE («regolamento generale sulla protezione dei dati») (GU L 119 del 4.5.2016, pag. 1).
(7) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).
(8) Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 del 31.7.2002, pag. 37).
(9) Direttiva 93/13/CEE del Consiglio, del 5 aprile 1993, concernente le clausole abusive nei contratti stipulati con i consumatori (GU L 95 del 21.4.1993, pag. 29).
(10) Direttiva 2005/29/CE del Parlamento europeo e del Consiglio, dell’11 maggio 2005, relativa alle pratiche commerciali sleali tra imprese e consumatori nel mercato interno e che modifica la direttiva 84/450/CEE del Consiglio e le direttive 97/7/CE, 98/27/CE e 2002/65/CE del Parlamento europeo e del Consiglio e il regolamento (CE) n. 2006/2004 del Parlamento europeo e del Consiglio («direttiva sulle pratiche commerciali sleali») (GU L 149 dell’11.6.2005, pag. 22).
(11) Direttiva 2011/83/UE del Parlamento europeo e del Consiglio, del 25 ottobre 2011, sui diritti dei consumatori, recante modifica della direttiva 93/13/CEE del Consiglio e della direttiva 1999/44/CE del Parlamento europeo e del Consiglio e che abroga la direttiva 85/577/CEE del Consiglio e la direttiva 97/7/CE del Parlamento europeo e del Consiglio (GU L 304 del 22.11.2011, pag. 64).
(12) Regolamento (UE) 2021/784 del Parlamento europeo e del Consiglio, del 29 aprile 2021, relativo al contrasto della diffusione di contenuti terroristici online (GU L 172 del 17.5.2021, pag. 79).
(13) Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio, del 19 ottobre 2022, relativo a un mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE (regolamento sui servizi digitali) (GU L 277 del 27.10.2022, pag. 1).
(14) Regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, del 12 luglio 2023, relativo agli ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali (GU L 191 del 28.7.2023, pag. 118).
(15) Direttiva (UE) 2023/1544 del Parlamento europeo e del Consiglio, del 12 luglio 2023, recante norme armonizzate sulla designazione di stabilimenti designati e sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove elettroniche nei procedimenti penali (GU L 191 del 28.7.2023, pag. 181).
(16) Regolamento (UE) 2015/847 del Parlamento europeo e del Consiglio, del 20 maggio 2015, riguardante i dati informativi che accompagnano i trasferimenti di fondi e che abroga il regolamento (CE) n. 1781/2006 (GU L 141 del 5.6.2015, pag. 1).
(17) Direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio, del 20 maggio 2015, relativa alla prevenzione dell’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo, che modifica il regolamento (UE) n. 648/2012 del Parlamento europeo e del Consiglio e che abroga la direttiva 2005/60/CE del Parlamento europeo e del Consiglio e la direttiva 2006/70/CE della Commissione (GU L 141 del 5.6.2015, pag. 73).
(18) Direttiva (UE) 2019/882 del Parlamento europeo e del Consiglio, del 17 aprile 2019, sui requisiti di accessibilità dei prodotti e dei servizi (GU L 151 del 7.6.2019, pag. 70).
(19) Direttiva 2001/29/CE del Parlamento europeo e del Consiglio, del 22 maggio 2001, sull’armonizzazione di taluni aspetti del diritto d’autore e dei diritti connessi nella società dell’informazione (GU L 167 del 22.6.2001, pag. 10).
(20) Direttiva 2004/48/CE del Parlamento europeo e del Consiglio, del 29 aprile 2004, sul rispetto dei diritti di proprietà intellettuale (GU L 157 del 30.4.2004, pag. 45).
(21) Direttiva (UE) 2019/790 del Parlamento europeo e del Consiglio, del 17 aprile 2019, sul diritto d’autore e sui diritti connessi nel mercato unico digitale e che modifica le direttive 96/9/CE e 2001/29/CE (GU L 130 del 17.5.2019, pag. 92).
(22) Regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio, del 30 maggio 2022, relativo alla governance europea dei dati e che modifica il regolamento (UE) 2018/1724 (regolamento sulla governance dei dati) (GU L 152 del 3.6.2022, pag. 1).
(23) Direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti (GU L 157 del 15.6.2016, pag. 1).
(24) Direttiva 98/6/CE del Parlamento europeo e del Consiglio, del 16 febbraio 1998, relativa alla protezione dei consumatori in materia di indicazione dei prezzi dei prodotti offerti ai consumatori (GU L 80 del 18.3.1998, pag. 27).
(25) Direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell’8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno («direttiva sul commercio elettronico») (GU L 178 del 17.7.2000, pag. 1).
(26) Regolamento (UE) 2022/1925 del Parlamento europeo e del Consiglio, del 14 settembre 2022, relativo a mercati equi e contendibili nel settore digitale e che modifica le direttive (UE) 2019/1937 e (UE) 2020/1828 (regolamento sui mercati digitali) (GU L 265 del 12.10.2022, pag. 1).
(27) Regolamento (CE) n. 223/2009 del Parlamento europeo e del Consiglio, dell’11 marzo 2009, relativo alle statistiche europee e che abroga il regolamento (CE, Euratom) n. 1101/2008 del Parlamento europeo e del Consiglio, relativo alla trasmissione all’Istituto statistico delle Comunità europee di dati statistici protetti dal segreto, il regolamento (CE) n. 322/97 del Consiglio, relativo alle statistiche comunitarie, e la decisione 89/382/CEE, Euratom del Consiglio, che istituisce un comitato del programma statistico delle Comunità europee (GU L 87 del 31.3.2009, pag. 164).
(28) Direttiva (UE) 2019/1024 del Parlamento europeo e del Consiglio, del 20 giugno 2019, relativa all’apertura dei dati e al riutilizzo dell’informazione del settore pubblico (GU L 172 del 26.6.2019, pag. 56).
(29) Direttiva 96/9/CE del Parlamento europeo e del Consiglio, dell’11 marzo 1996, relativa alla tutela giuridica delle banche di dati (GU L 77 del 27.3.1996, pag. 20).
(30) Regolamento (UE) 2018/1807 del Parlamento europeo e del Consiglio, del 14 novembre 2018, relativo a un quadro applicabile alla libera circolazione dei dati non personali nell’Unione europea (GU L 303 del 28.11.2018, pag. 59).
(31) Direttiva (UE) 2019/770 del Parlamento europeo e del Consiglio, del 20 maggio 2019, relativa a determinati aspetti dei contratti di fornitura di contenuto digitale e di servizi digitali (GU L 136 del 22.5.2019, pag. 1).
(32) Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011 (GU L 333 del 27.12.2022, pag. 1).
(33) Regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio, del 25 ottobre 2012, sulla normazione europea, che modifica le direttive 89/686/CEE e 93/15/CEE del Consiglio nonché le direttive 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE del Parlamento europeo e del Consiglio e che abroga la decisione 87/95/CEE del Consiglio e la decisione n. 1673/2006/CE del Parlamento europeo e del Consiglio (GU L 316 del 14.11.2012, pag. 12).
(34) Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento che abroga il regolamento (CEE) n. 339/93 (GU L 218 del 13.8.2008, pag. 30).
(35) Decisione n. 768/2008/CE del Parlamento europeo e del Consiglio, del 9 luglio 2008, relativa a un quadro comune per la commercializzazione dei prodotti e che abroga la decisione 93/465/CEE (GU L 218 del 13.8.2008, pag. 82).
(36) Regolamento (UE) 2017/2394 del Parlamento europeo e del Consiglio, del 12 dicembre 2017, sulla cooperazione tra le autorità nazionali responsabili dell’esecuzione della normativa che tutela i consumatori e che abroga il regolamento (CE) n. 2006/2004 (GU L 345 del 27.12.2017, pag. 1).
(37) Direttiva (UE) 2020/1828 del Parlamento europeo e del Consiglio, del 25 novembre 2020, relativa alle azioni rappresentative a tutela degli interessi collettivi dei consumatori e che abroga la direttiva 2009/22/CE (GU L 409 del 4.12.2020, pag. 1).
(38) GU L 123 del 12.5.2016, pag. 1.
(39) Regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio, del 16 febbraio 2011, che stabilisce le regole e i principi generali relativi alle modalità di controllo da parte degli Stati membri dell’esercizio delle competenze di esecuzione attribuite alla Commissione (GU L 55 del 28.2.2011, pag. 13).
ELI: http://data.europa.eu/eli/reg/2023/2854/oj
ISSN 1977-0707 (electronic edition)