L’Europa, con l’obiettivo di incrementare la condivisione dei dati nello spazio comune europeo dei dati, rafforza i meccanismi di data sharing e cerca di superarne gli ostacoli tecnici (nonché di mercato e legali). Lo fa mediante il c.d. Data Governance Act (o “Regolamento sulla governance europea dei dati”), Reg. UE 2022/868 (a sostituire il pregresso Reg. 2018/1724), entrato in vigore il 23 giugno 2022, e applicabile solo dal 24 settembre 2023.
Proprio la governance dei dati è parsa difficoltosa finora, intesa come un insieme di regole e mezzi per utilizzare i dati – ad esempio attraverso meccanismi di condivisione, accordi e standard tecnici. Implicando strutture e processi per condividere i dati in modo sicuro, anche attraverso terze parti fidate.
L’uso dei dati comporta enormi potenzialità economiche e sociali, come afferma la Commissione “può consentire l’emergere di nuovi prodotti e servizi basati su tecnologie innovative, rendere la produzione più efficiente e fornire strumenti per affrontare le sfide della società”. Volendo allineare gli interventi promossi dagli Stati membri in questo campo.
L’Unione punta così alla creazione e allo sviluppo di spazi appositi per la condivisione pubblica e privata dei dati, con una normativa che – insolitamente – cerca più di promuovere che di vietare, di offrire opportunità invece di spettri sanzionatori. A tal proposito coinvolge ambiti strategici, rivolgendosi sia a soggetti pubblici che privati operanti in settori quali l’ambiente, l’energia, la salute, la mobilità, la finanza, l’agricoltura, l’industria e la pubblica amministrazione.
Indice degli argomenti
Perché il Data Governance Act
La domanda da porsi è: quale vantaggio si potrà concretamente ottenere con questa (auspicata) maggiore libertà – regolamentata – nella condivisione dei dati? In primis, le aziende potranno far uso di queste informazioni per creare e sviluppare servizi e prodotti innovativi, rendendo il sistema produttivo più efficiente e permettendo un miglioramento delle vite dei singoli individui.
Oltretutto, si tratta di un incentivo a “sbloccare” il mercato dei dati – personali e non – che finora è stato governato da un oligopolio perlopiù statunitense e che, ora, dovrebbe aprirsi a nuovi soggetti grandi e meno grandi.
Per creare un flusso più ampio e accessibile, finalmente, di informazioni, quali mattoni costitutivi della nuova economia e di nuove imprese.
In secondo luogo, i vari Stati Membri potranno sfruttare tale disponibilità per incrementare le proprie politiche e per sviluppare servizi anche in ambito pubblico, con la creazione di un sistema di governance più trasparente.
Come vedremo, giocherà molto uno dei fattori chiave che finora ha rallentato o ostacolato l’uso benefico dei dati soprattutto da parte della P.A., cioè l’interoperabilità. Ciò potrebbe rendere progetti come quelli di smart cities ed efficace e-government finalmente davvero una realtà anche in Europa.
Per calare quanto appena detto nella quotidianità, il sito della Commissione Europea riporta alcuni esempi pratici di innovazione, vi troviamo infatti vantaggi come: trattamenti personalizzati per la salute, migliore assistenza sanitaria, risparmio di tempo nella mobilità pubblica, riduzione delle emissioni di CO₂, sviluppo di agricoltura di precisione e statistiche migliori e più affidabili per decisioni basate su dati concreti.
Visto quel che sta accadendo ovunque in merito al clima, “le conoscenze condivise possono essere utilizzate per rispondere a emergenze quali inondazioni e incendi, rendere le città più verdi e pulite e aiutare le persone a vivere più a lungo e in modo più sano”, afferma la Commissione.
Il Regolamento è strutturato su quattro macro-temi differenti: il riuso dei dati, i servizi di intermediazione, l’altruismo dei dati e il Comitato europeo per l’innovazione in materia di dati. Vediamo di offrirne una rapida disamina, per capi.
Il lettore dovrà comunque sempre tenere conto che si tratta di una normativa “orizzontale”, che si innesta (in maniera ancora parecchio da chiarire, si veda anche quanto riportato oltre sui rilievi EDPS circa i rischi del DGA) in un framework di diversi, complessi articolati europei: certamente il GDPR (cioè il Reg. 679/2016), poi il Regolamento sui dati non-personali (Reg. 2018/1807) e la normativa sugli Open Data della P.A. (vedi il recente Reg. di esecuzione 2023/138 e la Direttiva 2019/1024), per non parlare della proprietà intellettuale (vedi la Direttiva 96/9/CE per la tutela giuridica delle banche dati).
Tutte norme che – salvo indicazione contraria – non sono affatto “superate” dal DGA bensì dovranno conviverci, trovando casi di possibile deroga o prevalenza.
Ad esempio, la Commissione circa gli Open Data della P.A. – spesso non condivisi o usati esternamente per ostacoli giuridici – sottolinea come “la sfida consiste nel trovare il modo di estrarre le conoscenze dai dati nel rispetto della privacy o di altri diritti eventualmente associati ai dati”. E si dice certa che il DGA favorirà la diffusione di tali pratiche nell’Unione, “aumentando la reperibilità dei dati e garantendo che gli enti pubblici dispongano dei mezzi tecnici necessari per garantire la tutela della vita privata e della riservatezza in caso di riutilizzo dei dati”.
Il riuso: condizioni, tariffe, sportello unico e organismi competenti
Il riuso, come dice la parola stessa, mira a facilitare il riutilizzo – pubblico e privato – di dati di appannaggio del settore pubblico. I dati in questione non possono essere resi disponibili “di default”, senza valutazioni e trattamenti preliminari, e proprio per questo è necessario che gli enti pubblici rispettino alcune specifiche condizioni.
I dati devono essere (sufficientemente) anonimizzati quando si tratta di dati personali, poiché è assolutamente vietata qualsiasi forma di re-identificazione, oppure vanno modificati, aggregati o trattati mediante altri metodi, se si tratta di dati contenenti informazioni commerciali o protetti da diritti di proprietà intellettuale. Nel contempo, l’accesso e il riutilizzo dei dati devono avvenire all’interno di un ambiente di trattamento sicuro e controllato, che rispetti le normative sulla sicurezza perseguite dall’ente pubblico.
Gli enti pubblici depositari dei dataset hanno anche la facoltà di stabilire tariffe per l’accesso e il riutilizzo dei dati. Altresì, hanno la possibilità di fissare tariffe ridotte o persino concedere esenzioni, promuovendo la disponibilità di dati a beneficio delle piccole e medie imprese (PMI) e delle start-up, e a sostegno del processo di crescita comune.
Nel contesto della fruizione dei dati, il DGA introduce anche un istituto a vantaggio soprattutto di queste categorie di soggetti: lo sportello unico. Lo sportello è responsabile della ricezione delle richieste di informazioni, risolve dubbi e gestisce le richieste di riutilizzo – indirizzandole verso gli enti competenti. La presenza dello sportello unico semplifica notevolmente il processo di indirizzo e guida per le aziende, contribuendo a eliminare ostacoli burocratici e a favorire una comunicazione fluida con gli enti pubblici.
Per assicurare un trattamento dei dati corretto e conforme, gli organismi competenti sono designati direttamente dallo Stato Membro e assistono l’ente anche in ambito tecnico, ad esempio durante la gestione della conservazione e della pseudonimizzazione dei dati e nelle richieste degli interessati. È utile precisare che per richiedere l’accreditamento è sufficiente rivolgersi all’ente o all’organismo competente, il quale adotterà la decisione entro due mesi dalla richiesta. È sempre possibile, per qualsiasi persona fisica o giudica interessata, proporre ricorso nello Stato Membro dell’organismo in questione.
Infine, però, è importante notare che, soddisfatti i requisiti sopra menzionati e autorizzato il riutilizzo, i dati possono essere trasferiti solo a paesi dell’Unione Europea che garantiscano un elevato livello di protezione, come specificato nel DGA. A eco delle disposizioni sui trasferimenti extra-UE contenute nel GDPR e che tanto hanno tenuto banco nelle note vicissitudini giudiziarie innescate dall’attivista austriaco Max Schrems.
Il riuso dei dati forniti dal settore pubblico rappresenta un’opportunità preziosa, forse unica per le aziende, poiché offre accesso a una vasta gamma di informazioni utili a migliorare le proprie attività, che possono essere sfruttate per potenziare la loro competitività e l’innovazione.
Immaginiamo di essere un produttore di dispositivi medici che desidera collaborare con un laboratorio di ricerca per sviluppare nuove soluzioni. Questa condivisione di dati stimola infatti la collaborazione tra imprese, enti pubblici e istituti di ricerca.
L’altro aspetto cruciale è la possibilità per le aziende di accedere a dati anonimizzati o aggregati, garantendo al contempo la privacy dei cittadini e la protezione dei diritti di proprietà intellettuale, quindi una maggiore comprensione delle responsabilità e delle procedure necessarie per gestire i dati in conformità con le normative vigenti, senza dover provvedere a ulteriori attività di prevenzione. Ne consegue che le aziende avranno maggiori poteri di controllo sui propri dati, inclusa la possibilità di decidere come vengano utilizzati da terzi – una forma di gestione simile alle licenze di proprietà intellettuale. Questo rafforza la protezione dei dati sensibili e consente alle aziende di negoziare accordi di condivisione dei dati più favorevoli.
Il ruolo chiave dei fornitori di servizi di condivisione dei dati
I fornitori di servizi di condivisione dei dati, detti nel DGA anche “servizi di intermediazione dei dati“, svolgono un ruolo cruciale nel facilitare l’interscambio di informazioni all’interno di spazi condivisi. Essi fungono da ponte tra diversi attori, agevolando la condivisione efficiente e promuovendo l’interscambio tra le parti coinvolte. La loro funzione di facilitazione diventa particolarmente rilevante quando si tratta di dati che non dipendono da un singolo attore con un considerevole potere e interesse nel mercato.
La particolarità di questi soggetti e soprattutto l’impossibilità di svolgimento in parallelo attività ulteriori all’intermediazione ai sensi del DGA, richiede che il fornitore utilizzi una dicitura specifica nelle sue comunicazioni. Esso viene identificato come “Fornitore di servizi di intermediazione dei dati riconosciuti nell’Unione” con la presenza di un logo ufficiale, rendendo così più facile la loro identificazione da parte dell’interessato e garantendo chiarezza e trasparenza per le aziende coinvolte nella condivisione dei dati. Anche in questo caso lo Stato Membro nominerà un’autorità competente per la procedura di valutazione e notifica agli intermediari.
L’inclusione dei fornitori di servizi di condivisione dei dati rappresenta una svolta significativa per le aziende, poiché offre opportunità pratiche per migliorare l’accesso e l’utilizzo dei dati in un ambiente digitale sempre più interconnesso.
Ad esempio, un’azienda manifatturiera che produce componenti per l’industria automobilistica potrebbe condividere dati sulla qualità e le specifiche dei componenti con i produttori di automobili, consentendo di migliorare la produzione e ridurre i difetti, contribuendo a una maggiore efficienza e riducendo i costi di manutenzione.
Inoltre, la creazione di infrastrutture, semplificando il processo di scambio di dati, favorisce la cooperazione e l’innovazione attraverso settori diversi, consentendo alle aziende di sfruttare al meglio l’ecosistema dati condiviso. Ne consegue la nascita e crescita di partnership strategiche – ad esempio, una società di trasporti può collaborare con una società di logistica per ottimizzare le rotte di consegna.
È fondamentale considerare un’importante distinzione riguardo ai fornitori di dati: dovremmo escludere dalla discussione quei fornitori che acquisiscono dati dai titolari, li aggregano, li elaborano e li mettono a disposizione degli utenti. Questa attività è spesso condotta da intermediari del settore digital marketing oppure società di consulenza in materia di dati, svolgendo un ruolo cruciale nell’ecosistema aziendale. Ma non corrisponde ai fornitori di servizi di dati, regolati dal DGA.
Parallelamente, i fornitori di servizi di condivisione dei dati dovrebbero essere autorizzati a personalizzare i dati scambiati, sempre nel rispetto delle esigenze dell’utente. Questo adattamento può consistere, ad esempio, nella conversione dei dati in formati specifici, al fine di migliorare l’usabilità degli stessi. Pensiamo a una società di e-commerce che potrebbe sfruttare i dati quantitativi di acquisto e preferenze dei clienti derivanti da altri rivenditori per personalizzare le offerte e le raccomandazioni.
Questo approccio mira a migliorare l’esperienza del cliente, aumentare le vendite per l’azienda e a facilitare l’integrazione dei dati nei servizi aziendali.
Precisiamo, en passant, che “titolari dei dati” ai sensi del DGA sono i soggetti – persone giuridiche o fisiche, diverse dall’interessato a cui si riferiscono gli eventuali dati personali – che, ai sensi di legge, ha il diritto di concedere l’accesso a o condividere determinati dati.
Altruismo dei dati: promuovere la condivisione responsabile per cittadini e imprese
La Commissione Europea si impegna a semplificare il processo mediante il quale cittadini e imprese possono mettere a disposizione i propri dati. In quest’ottica, le “Organizzazioni per l’altruismo dei dati” nell’Unione Europea sono i soggetti che, secondo il DGA, assumono un ruolo cruciale, fungendo da intermediari tra i detentori-titolari dei dati e coloro che li utilizzano.
Per garantire che queste organizzazioni siano facilmente riconoscibili all’interno dell’Unione e si distinguano dagli intermediari tradizionali, è previsto l’uso di un logo specifico e l’inserimento in un registro pubblico.
I titolari dei dati devono tenere in considerazione due aspetti chiave. In primo luogo, esiste il modulo europeo di consenso all’altruismo dei dati. Ovvero un documento conforme all’articolo 25 del DGA che permette di ottenere il consenso ai sensi del GDPR da parte degli interessati, in un formato standard valido in tutti gli Stati Membri.
Importante notare che questo consenso rimane sempre revocabile, in conformità con le vigenti disposizioni anche del GDPR. Inoltre, questo modulo è personalizzabile per adattarsi alle specifiche esigenze del settore o dell’obiettivo del trattamento. In secondo luogo, sia le persone fisiche che le aziende hanno il diritto di presentare reclami (individuali, o se del caso collettivi) avverso le organizzazioni per l’altruismo dei dati.
D’altra parte, chi riceve i dati deve rispettare due obblighi principali. Il primo è l’obbligo di trasparenza, che implica la tenuta di registri completi e precisi, includendo informazioni sulle persone fisiche e giuridiche coinvolte, la durata del trattamento, le finalità e le eventuali tariffe. Inoltre, devono adempiere agli obblighi specifici di tutela dei diritti degli interessati, per qualsiasi trattamento dei loro dati, garantendo un trattamento responsabile e in linea con le normative vigenti.
Questo concetto innovativo dovrebbe incoraggiare la condivisione volontaria dei dati tra diverse entità, promuovendo la collaborazione e il beneficio reciproco. Per le imprese, questo significa avere la possibilità di accedere a una vasta gamma di informazioni, provenienti da fonti diverse, che possono essere utilizzate per migliorare le proprie operazioni, per sviluppare nuovi prodotti o servizi e per affinare le strategie di marketing.
Ad esempio, le aziende possono collaborare per affrontare sfide ambientali o sociali, utilizzando dati condivisi per sviluppare iniziative sostenibili. Supponiamo che un’azienda operi nel settore delle energie rinnovabili: grazie all’accesso semplificato ai dati meteorologici e climatici, è possibile migliorare le previsioni di produzione energetica, ottimizzare l’efficienza dei pannelli solari e aumentare la redditività.
Pratiche del genere possono contribuire a costruire una reputazione positiva per le aziende, dimostrando il loro impegno per la responsabilità sociale d’impresa e favorire conseguentemente la fedeltà dei clienti.
Oppure pensiamo che tramite la condivisione di dati demografici e comportamentali di un ente pubblico sanitario, un’organizzazione no-profit potrebbe personalizzare le sue campagne di sensibilizzazione, ad esempio mirando a gruppi di età specifici o a comunità a rischio elevato con messaggi e risorse volte a promuovere comportamenti salutari. Difatti uno dei principali vantaggi dell’altruismo dei dati è la creazione di sinergie tra aziende, enti pubblici e organizzazioni non profit.
Il Comitato per l’innovazione in materia di dati
Nel quadro del DGA, il Capitolo VI si concentra, infine, sulla figura del nuovo Comitato europeo per l’innovazione in materia di dati, il quale svolge un ruolo di grande rilevanza nel contesto dell’innovazione e della ricerca. Questo comitato è composto da gruppi di esperti altamente qualificati.
La sua importanza risiede principalmente nel suo ruolo di consulenza e assistenza alla Commissione europea, alla quale offre orientamenti a supporto delle scelte da intraprendere e definirne le priorità.
In generale, faciliterà la condivisione delle migliori pratiche da parte delle amministrazioni nazionali – ad esempio quanto all’altruismo nel campo dei dati, oppure circa l’uso di dati pubblici che non possono essere resi disponibili come open data.
Non solo luci: le ombre (e i rischi) per la protezione dei dati personali
Detto così degli scenari positivi, un’operazione così complessa e ambiziosa non può non avere dei coni d’ombra, dei rischi connessi ai vantaggi e alle opportunità.
Non dimentichiamo che il DGA è una normativa che era stata oggetto anche di alcune critiche fin dalla gestazione. Il documento chiave in tal senso era quello congiunto, il n. 3/2021 v. 1.1 delle autorità privacy centrali europee, cioè EDPS-EDPB (“Joint Opinion on the Proposal for a regulation of the European Parliament and of the Council on European data governance (Data Governance Act)”).
In nuce, le autorità adombravano un testo (allora in bozza) sì da plaudire per lo sforzo nell’incentivare la condivisione dei dati per fini economici e sociali, però fin troppo sorvolando o non entrando nello specifico della – comunque dovuta e adeguata – tutela dei dati personali. Uno sbilanciamento rischioso e ingiustificato, secondo le autorità.
Il testo è già stato compiutamente esaminato in precedenza, richiamiamo comunque alcuni dei nodi principali:
- possibili sovrapposizioni non chiare con la normativa GDPR, tali da minarne il livello di tutela con termini ambigui (per es. nell’uso dell’espressione “titolare dei dati”, dal significato diverso dal “titolare” ai sensi del GDPR); l’opinione delle autorità è, in sostanza, che il DGA sposi una concezione “proprietaria” dei dati, estranea però alla concezione del GDPR quanto ai dati personali;
- confusione, discrepanze e attrito di competenze e azioni tra autorità, di nuovo tra i controlli privacy e le autorità designate dal DGA;
- mancato coordinamento con il GDPR, specialmente per quanto riguarda la base giuridica del trattamento e i requisiti di informativa quando si tratta del riutilizzo dei dati da parte della P.A.;
- incerta parificazione tra dati pseudonimizzati e anonimizzati (solo i secondi sono esclusi dal regime del GDPR, oltretutto solo se “sufficientemente” anonimizzati, vista la quasi impossibilità di avere dati non re-identificabili in assoluto);
- il concetto di “data sharing” solleva preoccupazioni riguardo alla privacy e alla trasparenza, poiché Il DGA sembra contraddire principi cardine del GDPR come quelli privacy by design e by default, ad esempio;
- la disciplina del “data altruism” è stata criticata per la mancanza di chiarezza nella raccolta del consenso e nella definizione delle finalità per cui i dati possono essere riutilizzati.
A parere degli scriventi, molti di questi dubbi – giustificati dal tenore più generale e vago del testo regolamentare – potrebbero essere risolti o attenuati in sede di chiarimenti delle autorità competenti nonché, soprattutto, della Commissione. Commissione che (pensiamo al Digital Services Act) viene sempre più spesso delegata dai nuovi regolamenti a specificare e integrare con linee guida, chiarimenti e altri documenti i precetti dell’Unione. Per tentare di adattarli efficacemente a una realtà marcata dalle velocissime e liquide mutazioni indotte dalla dimensione digitale.
In ogni caso, gli operatori che vorranno entrare nell’arena della governance dei dati (anche personali) delineata dal DGA, dovranno per forza confrontarsi di frequente con dilemmi legali di vario genere, auspicando che via via si possa ottenere maggiore chiarezza e certezza. Cioè davvero sgombrando la via che il DGA vuole lastricare ma, forse, senza preoccuparsi per ora di definire come farlo in una certa sicurezza. Ergo: sarà necessario mantenere un aggiornamento costante delle tematiche legali coinvolte (basti pensare al controverso tema dell’anonimizzazione dei dati personali), per poter davvero fruire delle possibilità offerte dal DGA, senza rischi e incertezze eccessivi.
Conclusioni
Data l’invitabile crucialità dei dati per le aziende, è fondamentale garantire che il loro trattamento sia conforme alle stringenti normative europee ed è essenziale comprenderne le modalità corrette di condivisione e gestione.
In questo contesto, il Data Governance Act rappresenta un importante passo avanti nell’agevolazione alla condivisione dei dati, volendo garantire al contempo la protezione e la sicurezza dei dati personali, i diritti spettanti ai titolari e favorire un nuovo flusso di dati.
Il Regolamento stabilisce le basi per una gestione responsabile dei dati, promuovendo la trasparenza e l’accesso equo. Per le aziende, questo significa opportunità di collaborazione più ampie, facilitando l’innovazione e il successo nel mercato europeo. Per la P.A., può rappresentare uno scatto nell’effettiva digitalizzazione dell’amministrazione.
E dice bene la Commissione, rispondendo alla domanda “in che modo gli intermediari garantiranno la fiducia nella condivisione dei dati?”. Ebbene, è vero che oggi molte imprese “temono che la condivisione dei loro dati possa comportare una perdita di vantaggio competitivo e presentare un rischio di abuso”. I fornitori affidabili di servizi di condivisione dei dati dovrebbero riunire e organizzare i dati neutralmente, per accrescere tale fiducia.
Un primo passo verso la promozione nell’uso dei dati, sempre più ampia, è stato compiuto con il DGA: dovremo sorvegliare se e come, con i successivi passi si delinei una retta via per un maggiore e migliore uso europeo dei dati, pur sempre rispettoso dei diritti fondamentali dell’Unione.
Ora si attendono i connessi next step, in particolare due: l’uso più esteso e utile degli Open Data, da un lato, la regolazione di spazi europei specifici per i dati, dall’altro. In particolare, vedremo che accadrà alle proposte di Regolamento per l’European Health Data Space e per l’European Green Deal Data Space.
