La disciplina dell'accesso e dell'utilizzo dei dati nella Proposta di Data Act

1. Perché il Data Act

Nella Risoluzione del 25 marzo 2021, il Parlamento europeo aveva sottolineato la necessità di creare spazi comuni europei per il libero flusso di dati non personali, a causa degli squilibri di mercato conseguenti alla concentrazione di dati che pongono limiti alla concorrenza, aumentano le restrizioni all'accesso nel mercato e diminuiscono pertanto gli spazi per utilizzi più ad ampio respiro. Per tali ragioni, il Parlamento europeo aveva incoraggiato la Commissione europea a specificare i diritti di utilizzo di tali dati, soprattutto nell’ambito business-to-business e business-to-government. 

In questo contesto, il 23 febbraio 2022 la Commissione europea ha presentato la proposta per una normativa armonizzata a livello europeo sui dati, inclusi i dati non personali (“Proposta di Data Act”)¹ con l'obiettivo di garantire l'equità nell’attribuzione del valore dei dati tra i provider che operano nel settore dei dati e di promuovere l'accesso e l'uso dei dati.

Con specifico riferimento ai dati personali, la nuova disciplina si pone in ottica di complementarità e coerenza rispetto al quadro normativo vigente, in particolare a quanto stabilito dal Regolamento UE 2016/679 (“GDPR”). Gli obblighi sanciti dalla Proposta di Data Act e i diritti ivi previsti si aggiungono dunque a quelli già specificati nell’attuale disciplina in materia di protezione dei dati personali.

2. I dati nella Proposta di Data Act

La definizione di dati (“data”) presente nella Proposta di Data Act include qualsiasi rappresentazione digitale di atti, fatti o informazioni e qualsiasi compilazione di tali atti, fatti o informazioni, anche sotto forma di registrazione sonora, visiva o audiovisiva.

In estrema sintesi, la Proposta di Data Act prevede, tra gli altri, quanto segue:

• i fabbricanti di prodotti il cui utilizzo comporta il trattamento di dati dovranno progettare i prodotti in modo da rendere i dati facilmente accessibili di default e dovranno indicare con trasparenza quali dati saranno accessibili e come accedervi. Nel caso in cui i dati trattati includano anche dati personali, il diritto d’accesso ai dati dev’essere garantito senza pregiudizio per i diritti di accesso e portabilità disposti dal GDPR;
• nel caso di dati generati dall’utilizzo dei prodotti e dei servizi correlati, gli utenti godono del diritto di accesso ai dati. Qualora si tratti di dati personali e l’utente sia un soggetto diverso rispetto all’interessato, l’accesso ai dati è legittimo se sussiste una delle basi giuridiche di cui all’art. 6 del GDPR (o di cui all’art. 9, nel caso in cui i dati trattati rientrino in una delle categorie di dati particolari);
• i fornitori di servizi che comportano il trattamento di dati dovranno adottare tutte le misure tecniche, legali e organizzative ragionevoli per impedire l’accesso abusivo da parte di terzi ai dati non personali conservati nell'Unione Europea attraverso i suddetti servizi offerti nell'Unione;
• i soggetti terzi a cui vengono trasmessi i dati sono tenuti a trattarli nei limiti delle finalità e delle condizioni stabilite dall’utente e, qualora si tratti di dati personali, nel rispetto dei diritti sanciti dal GDPR. In ogni caso, i dati non possono essere utilizzati per finalità di profilazione delle persone fisiche, salvo nel caso in cui ciò sia necessario per l’erogazione del servizio richiesto dall’utente. È previsto altresì l’obbligo di cancellazione dei dati quando non più necessari alla luce delle finalità perseguite;
• viene definito il carattere vessatorio di una clausola contrattuale e viene predisposto un elenco di clausole che sono sempre vessatorie o che si presumono essere tali nei contratti di condivisione dei dati (“data sharing contracts”) tra imprese, qualora una clausola contrattuale sia imposta unilateralmente da una parte;
• vengono introdotti alcuni requisiti minimi di regolamentazione di natura contrattuale, commerciale e tecnica per i fornitori di servizi cloud, edge e di altri servizi di elaborazione dati, per consentire il trasferimento dei dati tra tali servizi. In particolare, viene richiesto ai suddetti fornitori di garantire che i clienti mantengano l'equivalenza funzionale (cioè, un livello minimo di funzionalità) del servizio dopo essere passati a un altro fornitore di servizi, tranne nel caso in cui ciò non sia possibile per motivi tecnici (in questo caso, l'onere della prova sarebbe a carico del fornitore di servizi). Con riferimento ai dati personali, l’adempimento di questi obblighi non pregiudica l’esercizio del diritto alla portabilità dei dati di cui all’art. 20 del GDPR;
• vengono indicati requisiti essenziali da rispettare in materia di interoperabilità per gli amministratori di spazi di dati e i fornitori di servizi di trattamento dei dati, nonché i requisiti essenziali per i c.d. “smart contracts”;
• viene specificato che il diritto sui generis di cui alla direttiva 96/9/CE – in materia di banche dati – non si applica alle banche dati contenenti dati ottenuti o generati dall'uso di un prodotto o di un servizio connesso, per ostacolare l'effettivo esercizio del diritto degli utenti di accedere ai dati e di utilizzarli o del diritto di condividere tali dati con terzi conformemente alla Proposta di Data Act.

3. Prossimi passi

Quella resa pubblica in data 23.02.2022 è una prima, mera proposta di “Data Act”. Seguiranno, nei prossimi mesi, discussioni della bozza a livello di istituzioni europee, ed eventuali modifiche o integrazioni. Considerate le tempistiche usuali per l’approvazione in via definitiva di atti di tale natura, un testo finale potrebbe essere licenziato nel corso del 2023 (più probabilmente, nella seconda parte del 2023).

Il nostro Studio monitorerà le evoluzioni sull’approvazione della Proposta di Data Act e fornirà ulteriori aggiornamenti sulle novità che seguiranno nei prossimi mesi.

___________________________________________________________________________________________________________

¹La versione della Proposta di Data Act è disponibile in inglese al seguente indirizzo URL: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=COM:2022:68:FIN.