(1)

L’articolo 40 del regolamento (UE) 2022/2065 stabilisce norme relative all’accesso ai dati che i fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi devono concedere. In particolare esso consente ai ricercatori che hanno completato la procedura prevista per dimostrare di soddisfare le condizioni di cui al paragrafo 8 del medesimo articolo («ricercatori abilitati») di ottenere tale accesso.

(2)

A norma dell’articolo 40, paragrafo 4, del regolamento (UE) 2022/2065, l’accesso ai dati è concesso ai ricercatori abilitati al fine di permettere loro di studiare i rischi sistemici nell’Unione e valutare l’efficacia delle misure volte ad attenuare tali rischi. I risultati delle loro analisi possono costituire un contributo prezioso per l’applicazione del regolamento (UE) 2022/2065 e promuovere l’assunzione della responsabilità da parte dei fornitori di piattaforme online di dimensioni molto grandi e di motori di ricerca online di dimensioni molto grandi. Lo scopo del regolamento è quello di stabilire le condizioni tecniche e le procedure necessarie per consentire tale accesso in una maniera sicura ed efficiente che sia uniforme per tutti i coordinatori dei servizi digitali e in modo da garantire la parità di trattamento per i ricercatori e i fornitori di dati.

(3)

Al fine di garantire che il processo di accesso ai dati sia uniforme per tutti i coordinatori dei servizi digitali e di assicurarne la chiarezza e la trasparenza per tutti, è opportuno istituire un’infrastruttura digitale dedicata («portale di accesso ai dati del regolamento sui servizi digitali»). Il portale di accesso ai dati del regolamento sui servizi digitali dovrebbe consentire ai ricercatori, ai fornitori di dati e ai coordinatori dei servizi digitali di prendere parte al processo di accesso ai dati, di avere accesso alle informazioni pertinenti, come ad esempio quelle relative ai punti di contatto dedicati, e di diffonderle, nonché di comunicare tra loro. Il portale di accesso ai dati del regolamento sui servizi digitali non dovrebbe essere considerato come una delle modalità di accesso da usare per la fornitura di accesso ai dati a seguito di una richiesta motivata.

(4)

I fornitori di dati e i ricercatori che desiderano prendere parte al processo di accesso ai dati dovrebbero creare a tal fine un account sul portale di accesso ai dati del regolamento sui servizi digitali. Per garantire che i coordinatori dei servizi digitali possano accedere alle informazioni trasmesse tramite il portale di accesso ai dati del regolamento sui servizi digitali senza dover creare un account separato sul portale, quest’ultimo dovrebbe essere interoperabile con il sistema di condivisione delle informazioni AGORA istituito dal regolamento di esecuzione (UE) 2024/607 della Commissione (2).

(5)

Al fine di garantire la trasparenza del processo di accesso ai dati per tutte le parti coinvolte e monitorare l’efficacia e l’efficienza del processo stesso, nonché la conformità all’articolo 40, paragrafo 4, del regolamento (UE) 2022/2065 e al presente regolamento, il portale di accesso ai dati del regolamento sui servizi digitali dovrebbe generare notifiche automatiche relative alle varie fasi e agli aggiornamenti del processo.

(6)

Per fornire ai ricercatori informazioni coerenti sul processo di accesso ai dati, i coordinatori dei servizi digitali dovrebbero rendere disponibili e facilmente accessibili sulle loro interfacce online le informazioni relative al processo di accesso ai dati, compresi i link al portale di accesso ai dati del regolamento sui servizi digitali. Al fine di evitare di creare inutili oneri amministrativi, per aumentare l’efficienza e facilitare la comunicazione tra tutte le parti coinvolte nel processo di accesso ai dati, i coordinatori dei servizi digitali sono incoraggiati ad agevolare la gestione delle informazioni relative al processo di accesso ai dati anche da un punto di vista linguistico.

(7)

Per consentire ai ricercatori di identificare i dati pertinenti per le finalità di cui all’articolo 40, paragrafo 4, del regolamento (UE) 2022/2065, i fornitori di dati dovrebbero mettere a disposizione dei cataloghi di dati del regolamento sui servizi digitali per i propri servizi. Tali cataloghi dovrebbero essere facilmente reperibili e accessibili sulle interfacce online dei fornitori di dati e dovrebbero descrivere le risorse di dati disponibili, la relativa struttura e i metadati, il cui accesso può essere richiesto a norma dell’articolo 40, paragrafo 4, del regolamento (UE) 2022/2065. Nel mettere a disposizione i cataloghi di dati del regolamento sui servizi digitali, i fornitori di dati dovrebbero tenere conto dei rischi per la riservatezza, la sicurezza dei dati o la protezione dei dati personali che potrebbero derivare dalla divulgazione di tali informazioni.

(8)

Al fine di contribuire allo sviluppo di progetti di ricerca pertinenti per le finalità di cui all’articolo 40, paragrafo 4, del regolamento (UE) 2022/2065, i cataloghi di dati del regolamento sui servizi digitali dovrebbero includere in particolare i dati relativi ai rischi sistemici nell’Unione individuati dai fornitori di dati nelle loro valutazioni annuali dei rischi a norma dell’articolo 34 del medesimo regolamento, nonché i dati relativi a eventuali misure di attenuazione dei rischi di cui all’articolo 35. Per garantirne la pertinenza e la tempestività, tali cataloghi dovrebbero essere aggiornati periodicamente tenendo debitamente conto dei nuovi rischi sistemici individuati e della loro evoluzione. Ad esempio dovrebbero riflettere i rischi emergenti individuati a seguito di una valutazione dei rischi ad hoc a norma dell’articolo 34 del regolamento (UE) 2022/2065 o a seguito di una relazione di revisione a norma dell’articolo 37 del medesimo regolamento. Per ridurre al minimo gli oneri procedurali a carico dei fornitori di dati, se del caso, i cataloghi possono basarsi sulle risorse di documentazione dei dati esistenti utilizzate per altri scopi e destinatari, quali la pubblicità, la creazione di contenuti o lo sviluppo di applicazioni di terzi. I cataloghi di dati del regolamento sui servizi digitali non dovrebbero obbligatoriamente essere esaustivi e pertanto non dovrebbero vincolare né limitare i ricercatori richiedenti nell’elaborazione delle domande di accesso ai dati.

(9)

Al fine di agevolare la determinazione delle modalità di accesso da parte del coordinatore dei servizi digitali del luogo di stabilimento e ridurre l’onere complessivo del processo di accesso ai dati per tutti i soggetti coinvolti, i fornitori di dati dovrebbero pubblicare le modalità di accesso suggerite per i dati descritti nei cataloghi di dati del regolamento sui servizi digitali. Tali modalità di accesso suggerite dovrebbero essere proporzionate alla sensibilità dei dati e includere informazioni sulle possibili condizioni tecniche, organizzative e giuridiche che i fornitori di dati ritengono appropriate per consentire la fornitura dei dati. Le modalità di accesso suggerite dai fornitori di dati non dovrebbero vincolare i coordinatori dei servizi digitali del luogo di stabilimento, i quali dovrebbero restare competenti a determinare le modalità di accesso adeguate.

(10)

Per garantire che le domande di accesso ai dati siano trattate allo stesso modo, indipendentemente dal coordinatore dei servizi digitali cui è presentata la domanda di accesso o da cui proviene la richiesta motivata, è opportuno specificare il termine per la formulazione delle richieste motivate in modo da garantire uniformità per tutti i coordinatori dei servizi digitali. Se la formulazione della richiesta motivata richiede un periodo di tempo supplementare, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe informarne il ricercatore principale, motivando il ritardo. I motivi possono includere la necessità di ulteriori verifiche da parte del coordinatore dei servizi digitali dell’organismo di ricerca o del luogo di stabilimento, ad esempio nei casi in cui le domande di accesso ai dati implichino trasferimenti internazionali di dati o laddove il coordinatore dei servizi digitali del luogo di stabilimento abbia individuato potenziali rischi per la sicurezza dell’Unione in caso di condivisione dei dati. Al fine di allineare anche le fasi del processo di accesso ai dati che precedono la formulazione delle richieste motivate, incluse la valutazione delle domande di accesso ai dati e la concessione dello status di ricercatore abilitato, i coordinatori dei servizi digitali sono incoraggiati a sviluppare un metodo di lavoro coerente e coordinato, compresi i criteri operativi comuni, nel quadro del comitato europeo per i servizi digitali.

(11)

Per razionalizzare le procedure per la formulazione di richieste motivate, tutti i coordinatori dei servizi digitali del luogo di stabilimento dovrebbero essere tenuti a verificare che determinati elementi comuni del processo di accesso ai dati siano stati debitamente contemplati nelle domande di accesso ai dati. A tal fine i coordinatori dei servizi digitali del luogo di stabilimento dovrebbero verificare che tutti i ricercatori richiedenti indicati nella domanda di accesso ai dati abbiano dimostrato di appartenere a un organismo di ricerca, ad esempio fornendo prove documentali attestanti contratti di lavoro o altre forme giuridiche associative con l’organismo di ricerca. I coordinatori dei servizi digitali del luogo di stabilimento dovrebbero inoltre verificare che i ricercatori richiedenti abbiano dimostrato la propria indipendenza da interessi commerciali, ad esempio a mezzo di una dichiarazione a tal fine.

(12)

Il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe verificare che nella domanda di accesso ai dati sia stato comunicato il finanziamento del progetto di ricerca per il quale sono richiesti i dati. Le informazioni fornite dai ricercatori richiedenti dovrebbero includere dettagli sui contributi, quali l’ente finanziatore, l’importo, la natura e la durata del contributo, specificando se il finanziamento è già stato aggiudicato o se è ancora in fase di valutazione una domanda di finanziamento, nonché, ove applicabile, i riferimenti pertinenti a progetti finanziati dall’Unione. Ove disponibili, la domanda di accesso ai dati dovrebbe includere anche i risultati delle valutazioni condotte dall’ente o dagli enti finanziatori.

(13)

Il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe verificare che la domanda di accesso ai dati descriva le modalità di selezione dei dati e il loro formato, con riferimento ai requisiti di necessità e proporzionalità rispetto alla finalità della ricerca prevista. Qualora i dati richiesti siano reperibili anche tramite altre fonti, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe valutare se la richiesta di tali dati contenuta nella domanda di accesso ai dati sia debitamente giustificata, tenuto conto delle informazioni fornite nella domanda stessa. Tra le possibili giustificazioni possono figurare elementi che dimostrino la scarsa qualità o l’inaffidabilità dei dati provenienti da altre fonti oppure l’inadeguatezza del formato in cui tali dati possono essere acquisiti da altre fonti per le finalità del progetto di ricerca, tali da ostacolare l’esecuzione del progetto di ricerca. I dati che possono essere richiesti per studiare i rischi sistemici nell’Unione o la loro attenuazione possono evolvere in futuro. Tra gli esempi attuali di tali dati si possono citare i dati relativi agli utenti dei servizi, quali le informazioni del profilo, le reti di relazioni, l’esposizione ai contenuti a livello individuale e la cronologia delle interazioni (engagement histories); i dati sull’interazione quali commenti o altro genere di interazioni; i dati relativi alle raccomandazioni di contenuti, compresi i dati utilizzati per la personalizzazione delle raccomandazioni; i dati relativi al targeting degli annunci pubblicitari e alla profilazione, compresi i dati sul costo per click e altre misure dei prezzi della pubblicità; i dati relativi ai test di nuove funzionalità prima della loro introduzione, compresi i risultati dei test A/B; i dati relativi alla moderazione e alla governance dei contenuti, quali i dati su sistemi e processi algoritmici o di altro tipo per la moderazione dei contenuti, compresi i registri delle modifiche (changelogs), gli archivi o i repertori che documentano i contenuti moderati, inclusi gli account, nonché i dati relativi ai prezzi, alle quantità e alle caratteristiche dei beni o servizi forniti o intermediati dal fornitore di dati.

(14)

Il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe verificare se la domanda di accesso ai dati fornisce informazioni sufficienti a dimostrare che il ricercatore è in grado di soddisfare i requisiti specifici di riservatezza, sicurezza e protezione dei dati personali in relazione ai dati richiesti, individua i potenziali rischi derivanti dall’accesso a tali dati e dal loro trattamento ai fini della ricerca e documenta le eventuali modalità di accesso proposte, comprese le condizioni giuridiche, organizzative e tecniche che saranno messe in atto per ridurre al minimo i rischi individuati, ad esempio mediante una lettera d’impegno dell’organismo di ricerca che conferma l’accesso a mezzi che possono costituire garanzie pertinenti, o altri documenti giustificativi.

(15)

Qualora siano richiesti dati personali, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe verificare che la domanda di accesso ai dati contenga informazioni circa la base giuridica per il trattamento dei dati personali, comprese le categorie particolari di dati personali, ove applicabile, e se tale base giuridica sia in linea con l’articolo 6, paragrafo 1, lettera e) o f), e, ove applicabile, con l’articolo 9, paragrafo 2, lettera g) o j), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (3). Inoltre il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe verificare che la domanda di accesso ai dati contenga sufficienti indicazioni del fatto che i ricercatori hanno effettuato una valutazione dei rischi per la protezione dei dati personali. Ciò potrebbe essere dimostrato ad esempio da una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 di tale regolamento. Al fine di garantire che l’accesso ai dati personali sia conforme al regolamento (UE) 2016/679, i coordinatori dei servizi digitali dovrebbero essere autorizzati a consultare le pertinenti autorità di controllo istituite a norma dell’articolo 51 del medesimo regolamento, che restano competenti a valutarne la conformità.

(16)

Per agevolare la formulazione della richiesta motivata e preservare l’integrità delle informazioni contenute nella domanda di accesso ai dati, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe verificare se la domanda di accesso ai dati includa una sintesi. Tale sintesi dovrebbe contenere una panoramica delle informazioni che faranno parte della richiesta motivata, pubblicata sul portale di accesso ai dati del regolamento sui servizi digitali, nei casi in cui la valutazione della domanda di accesso ai dati porti alla formulazione di una richiesta motivata.

(17)

Al fine di garantire che le modalità di accesso determinate dal coordinatore dei servizi digitali del luogo di stabilimento siano adeguate alla sensibilità dei dati specifici richiesti in una domanda di accesso ai dati, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe effettuare una valutazione caso per caso sulla base delle informazioni fornite nella domanda stessa. Le modalità di accesso stabilite nella richiesta motivata dovrebbero essere adeguate per soddisfare i requisiti in materia di sicurezza dei dati, riservatezza dei dati e protezione dei dati personali e nel contempo permettere di conseguire gli obiettivi di ricerca del progetto di ricerca. L’accesso ai dati può avvenire ad esempio mediante trasmissione dei dati ai ricercatori abilitati utilizzando un’interfaccia idonea e consentendo un’adeguata conservazione dei dati; trasmettendo i dati e conservandoli in un ambiente di trattamento sicuro, gestito dal fornitore di dati o da un fornitore terzo, a cui i ricercatori abilitati hanno accesso, senza che abbia luogo la trasmissione diretta dei dati ai ricercatori stessi, oppure attraverso altre modalità di accesso che devono essere istituite o facilitate dal fornitore di dati. Nel definire le modalità di accesso, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe inoltre elencare eventuali condizioni giuridiche, tecniche o organizzative a cui l’accesso deve essere subordinato. Nei casi in cui la fornitura dell’accesso comporti un trasferimento di dati personali verso paesi terzi o organizzazioni internazionali ai sensi del capo V del regolamento (UE) 2016/679, le modalità di accesso dovrebbero includere anche informazioni sulla necessità di istituire un meccanismo di trasferimento adeguato affinché il fornitore di dati adotti le misure necessarie per garantire la conformità a tale regolamento.

(18)

Per garantire che le modalità di accesso ai dati siano adeguate a far fronte a specifiche sensibilità in termini di protezione dei dati, sicurezza dei dati o riservatezza, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe poter richiedere che l’accesso ai dati sia fornito attraverso ambienti di trattamento sicuri, sulla base delle informazioni ricevute nella domanda di accesso ai dati. In tali casi il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe garantire che l’ambiente scelto operi in linea con la tecnologia più appropriata e consenta ai ricercatori abilitati di conseguire gli obiettivi della propria ricerca.

(19)

Al fine di garantire la coerenza delle informazioni trasmesse dai coordinatori dei servizi digitali del luogo di stabilimento ai fornitori di dati, è necessario specificare il contenuto delle richieste motivate.

(20)

Al fine di salvaguardare gli interessi dei fornitori di dati, ridurre la frequenza delle richieste di modifica nel tempo e agevolare la formulazione delle pertinenti domande di accesso ai dati da parte dei ricercatori, il coordinatore dei servizi digitali del luogo di stabilimento che ha emesso le relative richieste motivate dovrebbe rendere disponibile al pubblico una panoramica di ciascuna richiesta motivata, comprese eventuali modifiche e aggiornamenti, nel portale di accesso ai dati del regolamento sui servizi digitali.

(21)

Per garantire che il coordinatore dei servizi digitali del luogo di stabilimento disponga delle informazioni pertinenti per valutare una richiesta di modifica e per facilitare un approccio uniforme nella valutazione delle richieste di modifica, il fornitore di dati dovrebbe essere tenuto a specificare i motivi della richiesta stessa, come previsto all’articolo 40, paragrafo 5, del regolamento (UE) 2022/2065. Più specificamente, nel valutare una richiesta di modifica presentata sulla base del mancato accesso ai dati da parte di un fornitore di dati, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe essere in grado di verificare se la presunta impossibilità sia debitamente giustificata, ad esempio, dall’inesistenza dei dati richiesti o da restrizioni tecniche quali la cifratura, e dovrebbe disporre delle informazioni necessarie per valutare se la mancanza di accesso sia permanente o temporanea. A tale riguardo dovrebbe essere chiaro che le considerazioni commerciali non dovrebbero costituire un motivo per rifiutare automaticamente l’accesso ai dati richiesti, bensì una ragione per modificare i mezzi per fornire l’accesso ai dati, il che può comportare l’imposizione di requisiti supplementari in materia di sicurezza e riservatezza dei dati.

(22)

Al fine di garantire una risoluzione efficiente delle controversie e incoraggiare l’individuazione di una soluzione reciprocamente accettabile a seguito di una richiesta di modifica, i fornitori di dati dovrebbero poter chiedere ai coordinatori dei servizi digitali del luogo di stabilimento di prendere parte alla mediazione. La partecipazione dovrebbe essere volontaria durante l’intero processo di mediazione e non dovrebbe comportare alcun esito vincolante per il coordinatore dei servizi digitali del luogo di stabilimento, che rimane competente a decidere in merito alle richieste di modifica. Tutte le parti coinvolte nel processo di mediazione dovrebbero agire in buona fede e impegnarsi per raggiungere un accordo equo e reciprocamente accettabile.

(23)

Al fine di evitare che la mediazione prolunghi per un periodo indefinito il processo di accesso ai dati, la trasmissione della richiesta scritta di mediazione, la selezione del Mediatore e il processo di mediazione stesso dovrebbero avvenire entro termini definiti. I coordinatori dei servizi digitali del luogo di stabilimento dovrebbero fissare un termine per il processo di mediazione in relazione a una determinata richiesta motivata e il Mediatore dovrebbe avere l’autorità di porre fine al processo di mediazione in circostanze specifiche.

(24)

Al fine di mantenere la fiducia reciproca tra le parti coinvolte nella mediazione, il coordinatore dei servizi digitali del luogo di stabilimento dovrebbe garantire che il Mediatore proposto soddisfi i requisiti di imparzialità e indipendenza e possieda le competenze pertinenti relative all’oggetto della mediazione.

(25)

Al fine di agevolare un processo decisionale informato ed efficace relativo al processo di accesso ai dati, i coordinatori dei servizi digitali dovrebbero avere la possibilità di chiedere pareri di esperti su elementi specifici del processo, quali la determinazione delle modalità di accesso, ivi incluse le interfacce appropriate, la formulazione della richiesta motivata e le eventuali richieste di modifica da parte del fornitore di dati. Gli esperti consultati dovrebbero possedere una comprovata competenza nella materia oggetto del parere e dovrebbero essere indipendenti. In particolare non dovrebbero avere alcun conflitto di interessi derivante, ad esempio, da legami con i ricercatori richiedenti o con il fornitore di dati.

(26)

Al fine di aumentare la trasparenza e consentire ai coordinatori dei servizi digitali di basarsi sulle conoscenze acquisite nel tempo, ogni richiesta di consultazione di esperti e i relativi sviluppi dovrebbero essere registrati in AGORA.

(27)

Per agevolare l’efficace vigilanza del rispetto delle condizioni definite nella richiesta motivata, il fornitore di dati dovrebbe notificare entro tre giorni lavorativi al coordinatore dei servizi digitali del luogo di stabilimento la data in cui è stato fornito l’accesso ai ricercatori abilitati e la data della sua cessazione.

(28)

Al fine di consentire ai ricercatori abilitati di utilizzare i dati richiesti ai fini della ricerca e di fornire informazioni contestuali pertinenti, i fornitori di dati dovrebbero fornire ai ricercatori abilitati i metadati e la documentazione pertinenti che descrivono i dati resi disponibili, quali codici (codebooks), registri delle modifiche (changelogs) e documentazione architetturale.

(29)

Per agevolare una ricerca significativa da parte dei ricercatori abilitati, anche rendendo possibile la combinazione dei dati richiesti con quelli reperibili tramite altre fonti, i fornitori di dati non dovrebbero imporre restrizioni agli strumenti analitici utilizzati dai ricercatori abilitati, comprese le librerie software pertinenti, né imporre obblighi di archiviazione, conservazione, aggiornamento e cancellazione, a meno che non siano esplicitamente indicati nelle modalità di accesso stabilite nella richiesta motivata.

(30)

Qualora i dati forniti ai ricercatori abilitati comprendano dati personali ai sensi dell’articolo 4 del regolamento (UE) 2016/679, il fornitore di dati dovrebbe rispettare le norme previste da tale regolamento. In particolare, l’articolo 40, paragrafo 4, del regolamento (UE) 2022/2065 sancisce un obbligo legale ai sensi dell’articolo 6, paragrafo 1, lettera c), del regolamento (UE) 2016/679 per qualsiasi trattamento di dati personali necessario affinché il fornitore di dati possa fornire l’accesso ai dati specificati nella richiesta motivata. Qualora debbano essere trattate categorie particolari di dati personali ai sensi dell’articolo 9 del regolamento (UE) 2016/679, il presente regolamento soddisfa il requisito di cui all’articolo 9, paragrafo 2, lettera g), del regolamento (UE) 2016/679.

(31)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (4), il garante europeo della protezione dei dati è stato consultato e ha espresso un parere il 4 dicembre 2024.

(32)

Previa consultazione del comitato europeo per i servizi digitali in conformità dell’articolo 40, paragrafo 13, del regolamento (UE) 2022/2065 e a seguito dell’approvazione da parte dello stesso,