L’Europa compie un deciso passo avanti nel suo progetto di riforma del mercato unico digitale: delle varie ambiziose proposte in ballo da più di un anno nella strategia denominata Shaping Europe’s digital future – incentrata sulla regolamentazione dei dati con proposte come il Digital Markets Act e il Digital Services Act – è giunto in fase avanzata il Data Governance Act (“DGA”), proposto nel novembre 2020 dalla Commissione Europea.
È stato infatti raggiunto a fine novembre un accordo provvisorio tra Parlamento e Consiglio dell’Unione, il che significa che a breve si potrà arrivare alla versione definitiva approvata.
Comprendere fin d’ora la portata di questa innovazione si rivela decisivo per arrivare a una vera condivisione dei dati tra i Paesi dell’Unione e alla promozione dell’innovazione, della ricerca, della conoscenza in genere.
Sebbene il riutilizzo dei dati e soggetti intermediari nella gestione dei dati già avvengano ed esistano nel mercato, il trovare una disciplina puntuale potrà aumentare (come sottolinea la Commissione Europea) “la fiducia nella condivisione dei dati, rafforzerà i meccanismi per aumentare la disponibilità dei dati e supererà gli ostacoli tecnici al riutilizzo dei dati”.
Tanto più attuale pensando che una buona gestione e condivisione dei dati “consentirà alle imprese di sviluppare prodotti e servizi innovativi e renderà molti settori dell’economia più efficienti e sostenibili. È anche essenziale per la formazione dei sistemi di intelligenza artificiale”, mentre il settore pubblico potrà “sviluppare politiche migliori, che portino a una governance più trasparente e a servizi pubblici più efficienti”.
Per citare qualche cifra che renda l’idea sotto il profilo economico, la Commissione stima che potrà portare a un risparmio ad es. di “circa 120 miliardi di EUR all’anno nel settore sanitario dell’UE”, oppure “di oltre 27 milioni di ore di tempo per gli utenti dei trasporti pubblici e fino a 20 miliardi di euro all’anno di costi di manodopera degli automobilisti” sfruttando i dati di mobilità. Il partenariato pubblico-privato ne sarebbe un importante, sebbene non esaustivo, protagonista. Con il risultato auspicato di un “mercato unico” europeo dei dati, personali e non.
Il DGA si lega alla recente proposta di un Data Act, concentrato sul data sharing tra imprese e tra le imprese e i soggetti del DGA, oltre che sulla revisione della normativa IP sui database, nell’ambito della strategia globale sui dati attuata dall’Unione.
Indice degli argomenti
I quattro pilastri della Governance europea dei dati
L’atto normativo non prevede un concetto unitario circa la “governance dei dati” declamata nel titolo, bensì si articola su quattro aree ritenute strategiche nell’utilizzo dei dati (personali e non, da cui vedremo sorgere alcune criticità):
- messa a disposizione dei dati del settore pubblico per il riutilizzo, qualora tali dati siano oggetto di diritti di terzi;
- condivisione dei dati tra le imprese, a fronte di un corrispettivo in qualsiasi forma;
- consenso all’utilizzo di dati personali con l’aiuto di un “intermediario per la condivisione dei dati personali“, il cui compito consiste nell’aiutare i singoli interessati a esercitare i propri diritti a norma del GDPR;
- consenso all’utilizzo dei dati per scopi altruistici, di interesse generale.
Le prime due aree, in particolare, si collegano e integrano con la già esistente Direttiva 2019/1024 (peraltro attualmente in fase di recepimento nazionale, dopo che a novembre è stato approvato lo schema di decreto) sul riutilizzo e gli open data nel settore della P.A. La differenza è che il DGA riguarda i dati di terzi nella disponibilità della stessa P.A., mentre la Direttiva si limita ai dati prodotti dalla stessa P.A., pur anticipando molti dei concetti e delle strategie sviluppati nel DGA – come l’ampliamento del riutilizzo, il contenimento delle esclusive eccetera.
Bussola per la gestione dei dati nel DGA sono i c.d. FAIR principles, divulgati dagli studiosi del progetto FORCE11 nel 2016: un complesso di principi guida per rendere i dati (di ricerca, ma non solo) rintracciabili, accessibili, interoperabili e riutilizzabili.
Non mancano ragioni mercantili esposte nel testo di presentazione del DGA: “le imprese hanno spesso bisogno di dati provenienti da numerosi Stati membri per poter sviluppare prodotti e servizi a livello dell’UE, poiché i campioni di dati disponibili nei singoli Stati membri non hanno spesso la ricchezza e la varietà necessarie alla rilevazione di caratteristiche sistematiche dei “Big Data” o all’apprendimento automatico”.
Ecco un altro incentivo alla agile circolazione transfrontaliera dei dati B2B dell’UE, in una cornice regolamentare unitaria. A beneficiare del mercato unico dei dati dovranno essere P.A. (soprattutto per l’accessibilità e utilizzo responsabile), imprese (per il controllo e la tutela degli investimenti), cittadini (per il controllo sui propri dati), in particolare per il settore della ricerca scientifica.
Data Governance Act e Gdpr, i profili di incompatibilità: il parere delle Autorità Ue
Il riutilizzo dei dati protetti di terzi, detenuti dalla P.A.
Per evitare malintesi, ricorriamo all’art. 4 per definire cosa sia esattamente il “riutilizzo” dei dati menzionato nel DGA: “l’utilizzo di dati in possesso di enti pubblici da parte di persone fisiche o giuridiche a fini commerciali o non commerciali diversi dallo scopo iniziale nell’ambito dei compiti di servizio pubblico per i quali i dati sono stati prodotti, fatta eccezione per lo scambio di dati tra enti pubblici esclusivamente in adempimento dei loro compiti di servizio pubblico”.
Si sa che sui dati possono insistere diverse tutele e relative discipline, protezioni, diritti e obblighi. Il DGA distingue i casi della possibile protezione normativa: proprietà intellettuale (pensiamo ad es. alle banche dati, tutelate dalla legge sul diritto d’autore), dati personali (oggetto del GDPR), segretezza (commerciale o statistica, tutelata come informazione riservata dal codice per la proprietà industriale). Tali discipline di protezione restano immutate e non pregiudicate dalla proposta del DGA.
Le P.A. che utilizzano tali dati “protetti” non avranno un connesso obbligo di consentire il riutilizzo di tali dati, mentre sconteranno un divieto di accordi (o altre pratiche relativi al loro riutilizzo) che concedano (o comunque abbiano effetto analogo) diritti esclusivi sui dati a terzi, oppure che limitino la disponibilità di dati per il riutilizzo da parte di entità diverse dalle parti coinvolte.
Un diritto di riutilizzo in esclusiva è concedibile, però, nella misura necessaria alla fornitura di un servizio o di un prodotto di interesse generale, nel contesto di un pertinente contratto di servizio o di concessione. Tutto nel rispetto dei principi di trasparenza, parità di trattamento e non discriminazione. Il periodo di esclusiva del diritto di riutilizzo dei dati non può superare i tre anni, ribadendo la massima trasparenza sulle ragioni dell’esclusiva con una pubblicazione online.
Le condizioni per il riutilizzo dei dati vanno rese pubbliche dagli enti pubblici che li detengono, oltre che nel rispetto dei già citati principi, curandosi di non limitare la concorrenza. È interessante il caso dei dati “pretrattati”: sarebbe possibile imporre un obbligo di uso solo di questi, laddove il pretrattamento sia inteso come attività mirate ad “anonimizzare o pseudonimizzare i dati personali o a cancellare informazioni commerciali riservate, compresi i segreti commerciali”. Più volte il testo ricorda che non si vuole né si deve violare – per aversi riutilizzo dei dati – la proprietà intellettuale, la riservatezza o altri diritti commerciali dei legittimi detentori.
Il GDPR mostra la sua importanza in specifiche disposizioni come l’art. 5.6, ove si prevede che i) se il riutilizzo dei dati non può essere concesso in conformità agli obblighi visti sopra e ii) se non sussiste altra base giuridica per la trasmissione dei dati a norma del GPDR, allora l’ente pubblico deve aiutare i riutilizzatori “a richiedere il consenso degli interessati e/o l’autorizzazione delle entità giuridiche i cui diritti e interessi possono essere interessati da tale riutilizzo”, sempre che ciò sia “fattibile senza costi sproporzionati per il settore pubblico”.
Non pare facile da definire: in base a quale criterio il costo può dirsi “sproporzionato” per la P.A.? Il testo non fornisce altro supporto in merito, rischiando di restare una norma solo di carta.
Tema delicato e sempre caldo è quello dei trasferimenti in Paesi terzi. Un’altra eco del GDPR e delle complessità legate al trasferimento extra-UE dei dati personali la troviamo all’art. 5.9 del DGA, ove si legge che la Commissione Europea può dichiarare la normativa di un Paese terzo “equivalente” nella protezione della proprietà intellettuale e dei segreti commerciali, che lo sia in maniera efficace e con strumenti giurisdizionali effettivi. In alternativa l’importatore riutilizzatore dei dati può impegnarsi (contrattualmente) verso la P.A. a rispettare vari obblighi della normativa in esame e ad accettare la competenza degli organi giurisdizionali dello Stato membro dell’ente pubblico. Lo stesso tipo di obbligo andrà rispettato da eventuali sub-riutilizzatori degi stessi dati, altro eco del GDPR e della figura dei sub-responsabili ex art. 28 GDPR.
Per il riutilizzo la P.A. potrà comunque addebitare una tariffa, sempre all’insegna dei principi di non discriminazione, proporzionalità e oggettivamente giustificate e non limitazione della concorrenza.
Gli Stati membri dovranno designare uno o più organismi competenti per supportare degli enti che concedono il riutilizzo dei dati, ad es. fornendo assistenza tecnica nell’applicazione di tecniche sperimentate che garantiscano il trattamento dei dati in modo da tutelare la privacy delle informazioni contenute nei dati per i quali è consentito il riutilizzo, comprese “le tecniche di pseudonimizzazione, anonimizzazione, generalizzazione, soppressione e randomizzazione dei dati personali”. Sempre gli Stati dovranno mettere a disposizione tutte le informazioni sulle condizioni di riutilizzo ed eventuali tariffe mediante uno sportello unico, oltre a fungere da punto di contatto e smistamento delle richieste di riutilizzo.
Intermediari dei servizi di condivisione dati e PIMS, una nuova frontiera
Potranno esservi più tipologie di soggetti dediti al loro riutilizzo: anzitutto servizi di intermediazione – sia tra le persone giuridiche titolari dei dati e i potenziali utenti dei dati, sia tra interessati che intendono mettere a disposizione i propri dati personali e imprese utilizzatrici.
La seconda fattispecie è già nota nella prassi anche come Personal Information Management System (“PIMS”), ovvero entità che fungono da centri di raccolta di dati personali forniti direttamente dagli utenti, i quali utenti così possono esercitare i propri diritti tramite questi PIMS (compresi consensi e revoche), come controllare direttamente come e a quali terzi concederne l’utilizzo, spesso a fronte di una remunerazione.
Un ambito di servizi che è stato già analizzato dall’EDPS, con grandi aspettative per gli sviluppi futuri. L’idea di fondo è di fornire all’utente una sorta di repository unica dei propri dati personali, a cui far attingere, in maniera più o meno granulare e pseudonimizzata (di rado in chiaro o comunque in forma individualizzante), gli operatori che vogliano sfruttarli per fare marketing, in cambio di un ritorno economico o altri vantaggi diretti per l’utente. Il mercato ospita già esempi in tal senso, ove la fornitura di dati personali e loro gestione è direttamente compensata all’utente, possiamo menzionare ad es. la startup statunitense Streamlytics (che offre l’app Clture), oppure sul territorio nazionale Weople e Hudi.
Ai sensi del DGA vi potranno essere anche cooperative (dunque a scopo mutualistico) dedicate ai dati e che forniscono servizi, a supporto di interessati o imprese membri, come può essere il negoziare i termini e le condizioni per il trattamento dei dati prima di acconsentire all’uso, per compiere scelte maggiormente informate e consapevoli.
Tutti questi soggetti dovranno notificarsi alle autorità competenti degli Stati membri. Le stesse autorità, a fronte della notifica, potranno eventualmente imporre le tariffe dette sopra, oltre a essere tenute a monitorare il rispetto della normativa in esame.
Non sappiamo quali autorità potranno essere designate in Italia, si intuisce che serviranno risorse e competenze non banali: dovesse toccare al Garante per la protezione dei dati personali, avrebbe bisogno di maggiori risorse rispetto alle (risicate) attuali.
Come si può avvertire facilmente, la mancanza di limiti normativi potrebbe consentire l’abuso dei dati da parte dei fornitori di servizi di condivisione. Ecco perché all’art. 11 rinveniamo molteplici imposizioni, una vera sfida nel loro insieme. Tra queste segnaliamo:
- il divieto di utilizzare i dati per scopi diversi dalla messa a disposizione di tali dati agli utenti dei dati e i servizi di condivisione dei dati;
- il divieto di utilizzo dei metadati – raccolti nel corso della fornitura del servizio di condivisione – per scopi diversi dallo sviluppo del servizio stesso; i metadati sono qui definiti come “i dati raccolti su qualsiasi attività di una persona fisica o giuridica ai fini della fornitura di un servizio di condivisione di dati, compresi la data, l’ora e i dati di geolocalizzazione, la durata dell’attività e i collegamenti con altre persone fisiche o giuridiche stabiliti dalla persona che utilizza il servizio”;
- l’uso di adeguate misure tecniche, giuridiche e organizzative al fine di impedire il trasferimento di dati non personali o l’accesso a questi ultimi, nel caso in cui ciò sia illegale ai sensi di legge;
- l’adozione di misure per garantire un elevato livello di sicurezza per la conservazione e la trasmissione di dati non personali;
- nel caso dei PIMS, l’obbligo di agire nell’interesse superiore degli interessati nel facilitare l’esercizio dei loro diritti, in particolare fornendo loro consulenza sui potenziali utilizzi dei dati e sui termini e le condizioni standard collegati a tali utilizzi.
L’altruismo dei dati, quando si opera nell’interesse generale
Non sono solo i fornitori di servizi a essere introdotti e disciplinati dalla normativa, vi si aggiungono le organizzazioni dedicate all’altruismo dei dati, appositamente incluse – se riconosciute come tali a fronte di determinati requisiti – in uno specifico registro pubblico (da costituire).
Per capire dobbiamo anzitutto definire cosa intenda la normativa con l’espressione inedita “altruismo dei dati”, ex art. 2.10: è basata sul consenso accordato dagli interessati al trattamento dei loro dati personali (o sulle autorizzazioni di altri titolari dei dati non personali che hanno il diritto di consentirne l’accesso senza la richiesta di un compenso) per finalità di interesse generale. Interesse in cui si includono, esemplificativamente, la tutela della salute, la mobilità, la statistica ufficiale, la ricerca scientifica o il miglioramento dei servizi pubblici.
È da subito evidente la difficoltà a perimetrare il concetto di “interesse generale”, il che di fatto potrà essere esteso o ristretto dall’autorità che esamina i richiedenti l’iscrizione al registro pubblico. Si segnala che il consenso richiesto – al fine di facilitare la raccolta dei dati – potrà essere raccolto con un modulo comune a tutta l’UE, reso disponibile dalla Commissione Europea, onde pervenire a un uniforme trattamento.
Circa i requisiti detti sopra per le organizzazioni, sono presto detti (ex art. 16):
- essere un’entità giuridica costituita per conseguire obiettivi di interesse generale;
- operare i) senza scopo di lucro e ii) essere indipendente da qualsiasi entità che operi a scopo di lucro;
- svolgere le attività relative all’altruismo dei dati mediante una struttura giuridicamente indipendente, separatamente dalle altre attività che ha intrapreso.
Da non confondersi col registro (pubblico) di tutte le organizzazioni è il registro privato (oppure i più registri) che a loro volta ogni organizzazione deve mantenere per poter essere ritenuta conforme alla normativa e così permanere nel registro pubblico. In tale documento l’organizzazione dovrà indicare tutte le persone fisiche o giuridiche cui è stata data la possibilità di trattare i dati detenuti dall’entità, le date e durate di trattamento, le finalità, le eventuali tariffe applicate. Oltre a ciò le organizzazioni dovranno inviare una relazione annuale alle autorità competenti.
Autorità, EDIB e il punctum dolens delle sanzioni
Per concludere la panoramica, come detto andranno designate autorità nazionali competenti e specifiche (altresì aggiungendo competenze a quelle già esistenti, ad es. quelle dedicate alla protezione dei dati) e la Commissione Europea costituirà un nascente Comitato europeo per l’innovazione in materia di dati (European Data Innovation Board – “EDIB”), sotto forma di un gruppo di esperti, costituito da rappresentanti delle predette autorità competenti di tutti gli Stati membri, dell’EDPB, della Commissione Europea e altre autorità competenti di settori specifici. L’EDIB andrebbe a supportare la Commissione e le autorità nazionali nelle loro attività derivanti dal DGA.
Spicca infine l’art. 31 sulle sanzioni per la violazione del DGA: a sorpresa, non sono fissate parimenti “one size fits all” ma si lascia libertà agli Stati membri di sceglierle e implementarle. Ovviamente adottando tutte le misure necessarie per assicurarne l’applicazione, dovendo essere effettive, proporzionate e dissuasive. Al netto della genericità pure un po’ retorica, è evidente che il rischio è di ottenere una UE frammentata, in cui determinati soggetti potranno fare forum shopping negli Stati membri che minacciano pene più blande e così siano quasi un “porto sicuro” per sfruttare il riutilizzo dei dati in maniera non del tutto lecita e corretta. Un risultato paradossale a fronte delle intenzioni del DGA che – essendo un regolamento – dovrebbe puntare all’uniformità nella UE.
Il parere (critico) delle autorità di controllo
Nel marzo scorso le autorità EDPB ed EDPS hanno rilasciato un comunicato congiunto di commento alla prima bozza del DGA, la dichiarazione 5/2021, additando alcune criticità. L’EDPB è tornata sul punto a novembre con una dichiarazione generale sull’insieme delle proposte del “pacchetto” strategico per i servizi digitali, commentando nuovamente pure il DGA.
Dall’insieme di tali rilievi possiamo riassumere le seguenti doglianze, a documentare un testo del DGA – secondo le autorità – non ancora maturo.
I punti chiave su cui lavorare sarebbero i seguenti:
- incoerenze tra il DGA e il GDPR, pur ivi richiamato, a livello terminologico e concettuale; ad es. il DGA dovrebbe sempre rammentare che qualsivoglia trattamento di dati personali dovrà basarsi su una delle basi ex artt. 6 e/o 9 e/o 10 del GDPR, aspetto tanto più rilevante per il riutilizzo di dati nel settore pubblico;
- così come l’uso di eventuali insiemi “misti” di dati (personali e non) dovrebbe trovare sempre disciplina nel GDPR; in tal senso, le autorità di controllo per la governance dei dati (ancor più per il connubio possibile tra dati personali e non) dovrebbero essere le medesime che proteggono i dati personali, come il Garante nazionale;
- a livello terminologico, per evitare confusioni e conflitti si dovrebbero adottare i medesimi termini e significati del GDPR – ad es. “interessati” in luogo di “utenti dei dati”; il termine “autorizzazione” andrebbe limitato ai dati non personali, evitando interpretazioni ambigue; le finalità di “interesse generale” e il concetto stesso di “altruismo dei dati” sarebbero troppo vaghi (potendo mischiare concetti econnomici e non, prestandosi ad abusi), oltre che potenzialmente decettivi nel suggerire finalità “idealistiche”, tutte poi da verificare nel concreto; un’alternativa potrebbe essere nel limitare la finalità “altruistica” ai soli dati non personali, come suggerito dal BEUC nella sua analisi del DGA [https://www.beuc.eu/publications/beuc-x-2021-026_data_governance_act_position_paper.pdf];
- rilevantissima è l’obiezione di fondo circa l’assetto complessivo del testo del DGA che fa pensare a una sottesa “commerciabilità” dei dati personali, quale commodity, cosa che le autorità ricordano essere in acceso contrasto con il GDPR e la Carta dei diritti dell’UE, ragion per cui all’interessato spettano sempre i suoi diritti fondamentali come quelli pertinenti ai dati personali, non rinunciabili;
- decisivo è il riferimento del DGA al “consenso” degli interessati per il riutilizzo dei dati: le autorità paventano scenari in cui non possa essere liberamente prestato, invitando piuttosto ad aprire a modelli di “partecipazione civica” che accolgano proposte dal basso per il riutilizzo dei dati; qui va detto che le autorità non sono chiare su quali basi giuridiche, allora, potrebbero fornire un plausibile supporto per il riutilizzo dei dati;
- non mancano falle nelle procedure di notifica/registrazione – ritenute troppo deboli per garantire un adeguato controllo (così limitato a mere auto-dichiarazioni, oltretutto limitate), invitando a proporre alternative come l’adesione a codici di condotta o meccanismi di certificazione.
Vedremo se e come il testo ultimo (se sarà l’ultimo quello disponibile) verrà commentato dalle autorità menzionate, posto che non risultano accolti molti dei rilievi pregressi. In caso contrario, se questo fosse il testo definitivo si potrebbe avere una norma sì “avveniristica” ma non adeguata al rispetto della disciplina sui dati personali quanto a eventuali conflitti, ambiguità, incertezze.
ll che rappresenterebbe un enorme, paradossale disincentivo allo sviluppo dell’ecosistema tratteggiato nel DGA, alla sua fattibilità in ultima analisi.
Rendendo quasi inutile lo sforzo dei legislatori, ambiziosi sì ma forse non sempre con la dovuta attenzione al sistema complessivo che si andrà a costruire. Un’architettura che sarebbe preferibile non inagurare già con crepe e lacune nelle architravi.
