Data Governance Act: ecco le regole da seguire per un corretto riutilizzo dei dati

Il Data Governance Act (Reg (UE) 2022/868) rappresenta uno dei pilastri fondamentali della Strategia Europea sui dati. Sono quattro gli obiettivi che il Regolamento persegue:

1. il riutilizzo dei “dati protetti”, come dati personali e commerciali;
2. la promozione della condivisione dei dati tramite servizi di intermediazione adeguatamente regolamentati (ossia, servizi che collegano “un numero indeterminato di interessati e titolari dei dati agli utenti dei dati per stabilire una relazione commerciale di condivisione dei dati”);
3. l’altruismo dei dati, inteso come “condivisione volontaria dei dati per obiettivi di interesse generale senza l’intenzione di generare profitti”;
4. l’istituzione di un Comitato Europeo per l’Innovazione in materia di dati che si occupi di sviluppare e divulgare le best practices in materia.

A distanza di un anno dalla sua entrata in vigore, al fine di facilitarne l’applicazione da parte degli stakeholders, la Commissione Europea ha pubblicato un’utile guida pratica, non vincolante, che possa fungere da bussola per comprendere meglio le varie misure stabilite dal Regolamento.

Di seguito si fornisce una sintetica disamina dei punti principali della guida, con focus sulle condizioni di riutilizzo dei dati.

Il riutilizzo dei dati appartenenti alle c.d. categorie protette

La direttiva sull’apertura dei dati (Direttiva (UE) 2019/1024) prevedeva, già prima dell’entrata in vigore del Regolamento, il riutilizzo delle informazioni, sempre detenute dagli enti, accessibili al pubblico. Mancava, tuttavia, una regolamentazione che consentisse il riutilizzo, in determinati frangenti, anche delle banche dati contenenti dati protetti.

Si tratta, in particolare, delle seguenti categorie di dati:

1. Dati commerciali riservati, quali segreti industriali o know-how che possono essere soggetti a restrizioni di riutilizzo per motivi di competitività.
2. Dati protetti da diritti di proprietà intellettuale, come brevetti o diritti d’autore.
3. Dati statistici riservati, utilizzati principalmente a fini di ricerca.
4. Dati personali, che sono già disciplinati dal GDPR ma possono essere riutilizzati nel rispetto delle normative vigenti, a condizione che siano adeguatamente anonimizzati.

Il Data Governance Act stabilisce un quadro normativo dettagliato che consente, a fronte della necessità di tutela di queste categorie di dati, di riutilizzarli senza comprometterne la natura protetta.

In particolare, il riutilizzo di queste informazioni è consentito solo se avviene nel rispetto di rigorose garanzie a tutela dei diritti di privacy (in conformità, dunque, con quanto affermato dal GDPR) e proprietà intellettuale (facendo dunque applicazione delle diverse normative nazionali per la tutela dei dati commerciali).

La guida sottolinea che la normativa non introduce un diritto automatico al riutilizzo di tali dati, ma specifica le condizioni legali alle quali il riutilizzo può avvenire.

Le condizioni e la procedura per la richiesta di riutilizzo

Il DGA stabilisce, come anticipato, una serie di condizioni per il riutilizzo dei dati protetti, meglio esplicate all’interno della guida pratica.

In primis, si ribadisce che le condizioni di riutilizzo devono essere:

1. Non discriminatorie: i riutilizzatori che presentano caratteristiche simili devono essere trattati allo stesso modo.
2. Trasparenti, proporzionate e obiettive: le condizioni devono essere chiaramente definite, adeguate al contesto e giustificate da esigenze legittime.
3. Capaci di promuovere l’accesso ai dati dalle PMI e dalle startup per favorire l’innovazione e la competitività delle piccole e medie imprese, prevedendo condizioni agevolate per la ricerca scientifica.
4. In grado di preservare la natura protetta dei dati, imponendo obblighi di riservatezza in capo al riutilizzatore che gli impediscano di “divulgare qualsiasi informazione ottenuta attraverso il riutilizzo che possa compromettere i diritti e gli interessi di terzi”.

La procedura per la richiesta di riutilizzo dei dati deve essere accessibile al pubblico, e le informazioni pertinenti devono essere pubblicate su uno sportello unico nazionale designato, che funge da punto di contatto per i riutilizzatori.

Il processo di riutilizzo si articola in due fasi:

1. Presentazione della richiesta: l’ente pubblico deve ricevere e valutare la richiesta entro un massimo di due mesi. In casi eccezionali di particolare complessità o in presenza di un volume elevato di dati richiesti, questo termine può essere esteso di ulteriori 30 giorni.
2. Monitoraggio: una volta approvata la richiesta, l’ente pubblico è responsabile di garantire che il riutilizzatore non comprometta la natura protetta dei dati. Tra le misure suggerite ci sono tecniche di anonimizzazione o l’uso di un ambiente di trattamento sicuro, ossia “un ambiente informatico controllato dall’ente pubblico. Ciò consentirebbe all’ente pubblico di determinare quali riutilizzatori possono vedere e quali elementi dei dati o quale tipo di calcolo possono effettuare sui dati in modo da non poter ricostruire i dati originali. Inoltre, l’operatore dell’ambiente di trattamento sicuro dovrebbe adottare misure per controllare i risultati analitici in uscita”. L’accesso all’ambiente di trattamento sicuro può essere in loco o mediante VPN.

I riutilizzatori sono quindi vincolati a rispettare:

1. L’obbligo di riservatezza dei dati, prevedendosi che i dati ottenuti non debbano essere divulgati, ove la loro esposizione comprometta diritti o interessi di terzi.
2. Il divieto di reidentificazione: nel caso di dati personali, il riutilizzatore deve adottare tutte le misure tecniche e organizzative necessarie per impedire la reidentificazione degli interessati.

In caso di reidentificazione degli interessati o di uso non autorizzato di dati non personali, il riutilizzatore è tenuto a notificare la violazione all’ente pubblico che lo ha autorizzato al riutilizzo, nonché alle persone fisiche e giuridiche interessate, anche ai sensi di quanto previsto all’art. 33 GDPR.

Divieto di accordi di esclusiva

Una delle misure chiave del DGA è anche il divieto di accordi di esclusiva sul riutilizzo dei dati detenuti da enti pubblici.

La guida spiega che tale divieto garantisce che i dati siano disponibili a una pluralità di soggetti, favorendo la concorrenza e l’innovazione.

Gli accordi di esclusiva sono ammessi solo in circostanze eccezionali di interesse pubblico, e anche in questi casi, tali accordi devono essere di breve durata e non possono estendersi oltre un anno, e devono essere limitati ad una sola società.

L’ente pubblico che sottoscrive l’esclusiva dovrà comunque informare il pubblico della sua decisione e delle motivazioni poste alla base della stessa, nel rispetto dei principi generali di trasparenza.

Trasferimenti internazionali di dati

Per impostazione predefinita, il trasferimento di dati non personali ai fini del riutilizzo è consentito, a condizione che il riutilizzatore rispetti determinati requisiti. Il processo, riassunto dalla guida, si articola in due fasi:

1. informare in anticipo l’ente pubblico: quando chiede il riutilizzo, il potenziale riutilizzatore deve informare l’ente pubblico della sua intenzione di trasferire e della sua finalità;
2. impegno contrattuale con cui il riutilizzatore si impegna a garantire che la protezione dei dati non sia violata anche dopo il trasferimento e accetta la giurisdizione dello Stato membro dell’ente pubblico in caso di controversie relative a tale impegno.

Sono previsti anche dei poteri in capo alla Commissione per garantire che il trasferimento avvenga in modo sicuro:

1. Definire clausole contrattuali tipo: la Commissione può proporre clausole contrattuali standard che gli enti pubblici e i riutilizzatori possono utilizzare per garantire che i trasferimenti di dati non personali verso paesi terzi siano conformi alle normative UE, e che il trattamento dei dati sia conforme anche a seguito del trasferimento.
2. Adottare “decisioni di equivalenza”: la Commissione può adottare decisioni che dichiarino alcuni paesi terzi come aventi un livello di protezione dei dati equivalente a quello dell’UE. Queste decisioni facilitano il trasferimento dei dati senza la necessità di ulteriori garanzie contrattuali per le parti coinvolte.
3. Adottare condizioni per il trasferimento di dati non personali altamente sensibili: in situazioni in cui vengono trasferiti dati non personali che sono considerati altamente sensibili (ad esempio, dati sanitari), la Commissione può stabilire condizioni aggiuntive per tali trasferimenti, al fine di proteggere obiettivi di politica pubblica dell’UE, come la salute pubblica.

L’accesso e i trasferimenti di dati non personali

Il Data Governance Act si occupa anche di rafforzare la tutela dei dati non personali che vengono coinvolti nei flussi di dati, anche a livello internazionale.

L’articolo 31, a tal scopo, esplica le garanzie che devono essere applicate in caso di richieste di accesso a dati non personali da parte di autorità governative o giurisdizionali di paesi terzi. Questo articolo è stato introdotto per assicurare che i dati non personali trasferiti al di fuori dell’Unione Europea continuino a essere protetti e non siano soggetti a interferenze che potrebbero violare le normative europee o nazionali.

In particolare, l’articolo 31 stabilisce che gli enti pubblici, i riutilizzatori di dati, i fornitori di servizi di intermediazione e le organizzazioni per l’altruismo dei dati devono adottare tutte le misure tecniche, giuridiche e organizzative necessarie per impedire che le autorità di paesi terzi possano accedere a dati non personali in modo contrario alle leggi dell’UE.

Si prevedono, tuttavia, delle eccezioni a detta regola, legate alla esecuzione di una decisione o di una sentenza di un organo giurisdizionale di un paese terzo o di un’autorità amministrativa:

1. Se esiste un accordo internazionale valido, come un trattato di mutua assistenza giudiziaria tra il paese terzo richiedente e l’Unione Europea o uno Stato membro, l’accesso ai dati non personali può essere concesso in conformità a tale accordo.
2. In mancanza di un accordo internazionale, il trasferimento o l’accesso ai dati può avvenire solo se sono soddisfatte alcune condizioni specifiche, tra cui:
   • la decisione o sentenza del tribunale o dell’autorità amministrativa del paese terzo deve essere giustificata in termini di motivazioni e proporzionalità. I motivi e la proporzionalità della decisione o sentenza devono essere esposti e avere carattere specifico;
   • il destinatario dell’ordine di trasferimento/accesso nel paese terzo deve avere il diritto di opporsi a tale richiesta, e la sua obiezione deve essere riesaminata da un organo giurisdizionale competente nel paese terzo;
   • l’organo giurisdizionale o amministrativo del paese terzo deve tenere in considerazione i diritti e gli interessi giuridici garantiti dalla normativa dell’Unione Europea o del paese membro (principio di “cortesia” del diritto internazionale).

Si prevede, in ogni caso, che “l’ente pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati, il fornitore di servizi di intermediazione dei dati o l’organizzazione per l’altruismo dei dati riconosciuta devono informare il titolare dei dati di qualsiasi richiesta di accesso ai suoi dati da parte di un paese terzo prima di soddisfare tale richiesta.

Le uniche eccezioni a questa norma comprendono le richieste a fini di contrasto o il mantenimento dell’efficacia delle attività di contrasto”.

Conclusione

Il Data Governance Act segna un importante passo avanti verso una gestione dei dati più sicura e trasparente nell’UE, promuovendo fiducia, innovazione e collaborazione.

Grazie alle linee guida della Commissione, che saranno comunque implementate ulteriormente nel corso degli anni, imprese ed enti pubblici possono ora sfruttare meglio il valore dei dati, garantendo al contempo una solida protezione dei diritti dei cittadini e il rispetto delle normative europee, anche a livello internazionale.