Il Comitato per il controllo normativo, organo indipendente della Commissione Europea che si occupa di esaminare i progetti di valutazioni d’impatto della Commissione medesima sulle nuove proposte legislative, e di fornire pareri e raccomandazioni, il 27 ottobre si è espresso negativamente sul nuovo Data Act.
Stando a quanto riportato da Euractiv, che ha avuto modo di visionare la bozza della valutazione di impatto, motivo del parere negativo sarebbe l’assenza di sufficienti informazioni in merito alle condizioni di accesso ai dati da parte degli enti pubblici, ai compensi per le aziende che forniscono i dati e alle relazioni che il Data Act avrebbe con le altre normative vigenti.
Indice degli argomenti
Il Data Act
Occorre premettere, al fine di meglio comprendere quello che si andrà ad illustrare nel seguito, che il Data Act rappresenta uno degli atti normativi più rilevanti della complessiva Strategia Europea sui Dati, relativo alla “proposta di legge sui dati e modifica delle norme sulla tutela giuridica delle banche dati”.
Scopo primario della normativa è quello di realizzare un mercato unico europeo dei dati, che aiuti enti pubblici e privati a essere più competitivi ed efficienti in tutti i settori, specie se strategici, come quello sanitario, mediante l’accesso a informazioni strategiche, come quelle inerenti ai Big Data e al machine learning. L’efficacia di un ecosistema condiviso di dati è stata dimostrata proprio nel corso della pandemia da Covid-19: lo scambio di informazioni relative al virus e alle sue modalità di diffusione ha consentito non soltanto di addivenire più rapidamente al vaccino, ma anche di attuare, da parte dei governi nazionali, migliori strategie di contenimento del contagio.
Pertanto, si prevedono misure agevolate di accesso ai dati sia “business-to-business” che “business-to-government”. Ad oggi, infatti, sono molteplici i problemi che limitano la condivisione dei dati, specialmente B2B:
- mancanza di incentivi economici alla condivisione per i titolari dei dati;
- mancanza di fiducia tra le imprese sull’effettivo rispetto dei termini contrattuali;
- squilibri nel potere negoziale tra le parti;
- paura di appropriazione indebita dei dati condivisi da parte di terzi;
- mancanza di chiarezza giuridica su chi può fare cosa con i dati (ad esempio, dati cogenerati).
In tale contesto, occorre, ovviamente, chiarire quali possano essere le modalità di accesso e le finalità di utilizzo dei dati condivisi, nel rispetto dei generalissimi principi di correttezza, trasparenza, legalità, non discriminazione, oltre che coerentemente con le norme sulla tutela della libera concorrenza.
Ne consegue che il Data Act non è una normativa “standalone”, che si sovrappone al GDPR e alla Direttiva ePrivacy, ma è un atto connesso e conseguente a quest’ultime, che rimarranno pienamente in vigore in ogni loro parte.
Data Act: problemi affrontati nella valutazione d’impatto
Sono tre i temi principali affrontati dal Data Act e, conseguentemente, dalla valutazione d’impatto resa al Comitato per il controllo normativo:
- l’acceso ai dati nel settore Business-to-Business, ossia fra aziende private, con analisi dei profili di iniquità contrattuale e lesione della concorrenza che si riscontrano in alcuni settori particolarmente strategici, al fine di garantire una distribuzione equa dei diritti di utilizzo dei dati nel corso della catena del valore;
- lo scambio dei dati Business-to-Government, al fine di semplificare l’azione pubblica nella persecuzione di interessi di primaria importanza nazionale o europea;
- portabilità dei dati nei servizi di elaborazione dati e, in particolare, dei servizi cloud.
Come anticipato, però, sono state riscontrate alcune criticità nell’attuale versione del testo della proposta e della valutazione d’impatto, mancando la stessa di indicazioni specifiche su alcuni dei punti più sensibili dei tre temi indicati. Nonostante, inoltre, il Data Act si caratterizzi come una norma connessa alle altre già in vigore nei vari settori che interessano i dati (personali e non), mancano profili di coordinamento concreti con altre proposte di legge come il Data Governance Act.
Trattasi, senza dubbio, di profili che verranno approfonditi e integrati anche alla luce dei numerosi feedback ricevuti dalla Commissione Europea, la quale ha previsto come termine attuale di adozione del Data Act il primo trimestre del 2022 (termine, questo, che potrebbe essere anche prorogato, alla luce del mancato superamento dello scrutinio del Comitato per il controllo normativo).
Nel seguito, una disamina più specifica dei punti essenziali affrontati dalla normativa e dei profili di criticità riscontrati.
L’accesso ai dati B2B
La condivisione dei dati è un elemento essenziale, specialmente per PMI e start-up, per poter sviluppare nuovi prodotti/servizi nell’economia digitale. Manca, tuttavia, un coordinamento a livello legislativo di quelli che dovrebbero essere i requisiti di interoperabilità dei dati previsti all’interno dei contratti tra privati, che promuova un clima di equità contrattuale.
“La condivisione dei dati B2B”, si legge nella valutazione di impatto iniziale pubblicata sui siti istituzionali, “funziona meglio laddove il titolare dei dati ha un incentivo a condividere i dati e le parti potere negoziale è paragonabile. Un titolare dei dati con un potere negoziale più forte può, tuttavia, imporre unilateralmente clausole e condizioni abusive a danno di un’azienda che chiede l’accesso ai dati che potrebbe avere l’effetto di rendere la condivisione dei dati sproporzionatamente difficile o economicamente proibire o rifiutare del tutto l’accesso ai dati. Ciò potrebbe impedire alle aziende basate sui dati di sviluppare/gestire i propri modelli di business e potrebbe spingere gli operatori di mercato esistenti fuori dal mercato e impedire a nuovi operatori di entrare nel mercato”.
Al fine di prevenire fenomeni di lock-in, si intende armonizzare le modalità orizzontali di accesso ai dati, mediante l’indicazione di criteri generali che potranno essere integrati da specifiche norme di settore. L’accesso ai dati potrà dunque avvenire sulla base di “criteri equi, ragionevoli, proporzionati, condizioni trasparenti e non discriminatorie, da concordare tra le parti”.
A tal riguardo, Luca Bertuzzi di Euractiv rileva come il Data Act detti solo delle regole generali per consumatori e aziende, lasciando alla legislazione settoriale il compito di definire più nel dettaglio i diritti di accesso ai dati, seppur allo scopo di rendere il Data Act maggiormente flessibile e adattabile alle necessità di ogni settore strategico.
Il carattere eccessivamente generico della normativa, secondo le fonti di Euractiv, potrebbe, tuttavia, “non fornire di per sé diritti di accesso significativi, nonostante alcuni riferimenti contrastanti nella valutazione d’impatto, evidenziando il dibattito interno sulla forma della proposta”. Nelle condizioni generali di accesso, in particolare, non sarebbe incluso il diritto di accesso ai dati della catena di approvvigionamento, lasciando ai produttori e ai fornitori di servizi l’accesso ai dati generati dai loro servizi e prodotti.
In aggiunta a ciò, il testo richiama anche l’introduzione di misure tecniche di interoperabilità dei dati “essenziali”: ne consegue che è di primaria importanza comprendere se tali misure saranno da assumersi come obbligatorie oppure no.
I termini unilaterali contenuti all’interno dei contratti stipulati tra le parti sarebbero poi sottoposti ad un “equity test”: tale test avrebbe lo scopo di evitare condizioni inique imposte unilateralmente per l’accesso e l’uso dei dati. Tale test potrebbe essere integrato da clausole contrattuali tipo raccomandate dalla Commissione e potrebbe applicarsi a dati specifici, come i “dati non personali generati da oggetti connessi all’IoT in uso professionale, o a un insieme più ampio di situazioni di condivisione dei dati”.
Inoltre, con specifico riferimento ai servizi di cloud computing, gli obblighi di trasparenza previsti dal Data Act costringerebbero i fornitori di servizi a specificare nell’accordo quale tipo di dati dovrebbero essere generati e come possono essere accessibili ai clienti, fatta eccezione per le piccole e medie imprese.
La Commissione prevede anche una revisione della direttiva sulle banche dati per escludere i dati generati dalle macchine dal campo di applicazione, rendendo questo tipo di dati più accessibili e prevenendo situazioni di lock-in (ossia di negazione del diritto alla portabilità in virtù dell’interoperabilità dei dati).
Su quest’ultimo punto, si era già pronunciato il Governo olandese, il quale aveva affermato “la protezione legale dei dati ‘non personali’ è attualmente molto frammentata e spesso indiretta”, e gestita prevalentemente da contratti privati, che il più delle volte si presentano squilibrati e asimmetrici, specie quando una delle parti è una PMI o una start-up priva di potere contrattuale. “Il Data Act”, si osservava, “dovrebbe contenere anche ulteriori misure come modalità orizzontali, accesso codificato, diritti di utilizzo, pratiche inserite in black-list o grey-list. L’obiettivo dovrebbe essere quello di stabilire un ampio standard per l’equità d’uso, in modo che i diritti e gli interessi di tutte le parti siano protetti e le organizzazioni possano controllare e beneficiare dei loro dati co-generati”.
Lo scambio dei dati B2G
L’utilizzo di dati privati da parte del settore pubblico, allo scopo di servire l’interesse pubblico, appare oggi estremamente complesso e limitato, in virtù dell’assenza di strutture e funzioni dedicate al perseguimento di tale scopo, oltre che di regole chiare e uniformi che gettino le basi per la condivisione sicura e trasparente delle informazioni detenute dai privati.
Si assiste, infatti, ad una estrema frammentazione delle norme sulla condivisione dei dati all’interno dei diversi Stati Membri dell’Unione, oltre che tra i diversi settori industriali.
Ne consegue che l’utilizzo di informazioni raccolte dai privati, anche in situazioni occasionali di estrema e imprevedibile urgenza come il contenimento delle conseguenze di una pandemia o di un disastro naturale, appare estremamente costoso, oltre che gravoso da un punto di vista tecnico. “L’utilizzo di tali dati richiede elevati costi di investimento iniziale mentre i rischi ex post in termini di violazione della normativa sulla protezione dei dati personali e sulla privacy o della percezione pubblica sono molto alti. Di conseguenza, le aziende normalmente non renderebbero disponibili dati reali ma preferirebbero la commercializzazione dei servizi di dati al settore pubblico”, si legge nella valutazione di impatto iniziale reperibile sul sito istituzionale della Commissione Europea.
Relativamente a tale aspetto della direttiva, EURACTIV riporta come l’obbligo di condivisione dei dati con le autorità pubbliche sarebbe fondato su una precisa lista di finalità, definita a livello europeo e concernente i soli “bisogni sociali più urgenti, dove non sono disponibili altri mezzi di accesso ai dati”, tra cui circostanze eccezionali, protezione ambientale e salute pubblica. Agli Stati Membri verrebbe poi concessa la facoltà di prevedere finalità aggiuntive per la condivisione dei dati, sulla scorta di un’analisi dei bisogni pubblici rilevati.
Ovviamente, dovrà essere garantito che la condivisione dei dati avvenga sia nel rispetto dei diritti fondamentali che degli interessi dell’azienda, alla luce degli obblighi attualmente previsti dalla normativa sulla protezione dei dati e sui diritti di proprietà intellettuale, al fine di prevenire l’insorgere di fenomeni abusivi che potrebbero comportare una grave lesione degli interessi perseguiti dai privati. Dello stesso parere anche il Governo Olandese, il quale aveva affermato, commentando la proposta di Data Act, che “Per utilizzare i dati al massimo delle loro potenzialità, tutti gli individui e le organizzazioni che partecipano all’economia dei dati dovrebbero essere in grado di trarre vantaggio dall’uso dei dati ed essere sicuri che i loro diritti e interessi siano protetti”.
Tuttavia, secondo quanto riscontrato dal Comitato di controllo normativo, il concetto di “interesse pubblico” meritevole di essere perseguito appare nella valutazione di impatto poco definito, e il modo in cui la proporzionalità fra quest’ultimo e gli interessi dei privati sia garantita non è chiaro.
Non solo: secondo la proposta, le imprese che forniscono i dati al settore pubblico dovrebbero essere compensate mediante il riconoscimento di prezzi più bassi e l’introduzione di un “regime di trattamento preferenziale”; ma il valore economico che viene attribuito ai dati (personali e non) condivisi con gli enti pubblici non è chiaro o definito, dando adito a potenziali problematiche applicative.
Sono esenti dal meccanismo premiale i dati richiesti per le emergenze pubbliche, che dovrebbero essere offerti gratuitamente, proprio allo scopo di ridurre l’onerosità dell’ottenimento dei dati nei casi di maggiore impatto pubblico (come la pandemia da Covid-19 che stiamo tuttora attraversando).
I servizi cloud e il diritto alla portabilità
Particolare rilievo viene conferito, all’interno della valutazione di impatto alla “portabilità” dei dati e dei servizi, specie se forniti in cloud.
In particolare, si cerca, relativamente ai servizi cloud, di:
- migliorare la portabilità dei dati e delle applicazioni tra i servizi di cloud computing nell’intera economia dei dati, senza barriere contrattuali, tecniche e/o economiche, che impediscono la portabilità, con conseguente rafforzamento della posizione degli utenti aziendali e maggiore competitività del mercato cloud europeo;
- migliorare gli standard tecnici per la portabilità dei dati generati dagli individui, al fine di consentire ai consumatori di scegliere tra più servizi differenti e prevenendo fenomeni di lock-in;
- ridurre il rischio che insorgano conflitti legislativi, stabilire garanzie chiare di accesso per i dati non personali e chiarire la posizione dei servizi di elaborazione dati nel rispetto di quanto attualmente previsto dall’OMC e dagli accordi commerciali bilaterali nel settore dei servizi, degli investimenti e della proprietà intellettuale.
Per perseguire tali obiettivi, si prevede, nella valutazione d’impatto, l’introduzione di alcuni requisiti essenziali che garantirebbero la portabilità dei servizi cloud, stabilendo a livello normativo, in particolar modo, delle funzionalità minime fondamentali che consentano di rendere tali servizi maggiormente coerenti fra loro e rispondenti a standard univoci.
Tuttavia, riporta EURACTIV, la Commissione propone più soluzioni, fra cui quella “di non fornire caratteristiche tecniche o norme per la condivisione dei dati nella legge sui dati (Data Act), ma piuttosto di lasciare la possibilità di adottare il diritto derivato relativo al processo di definizione delle norme o di imporre norme specifiche per il trasferimento”.
“La Commissione avrebbe il potere di approvare i requisiti di interoperabilità dei dati elaborati dagli organismi di standardizzazione o dall’industria per determinati spazi comuni europei di dati in atti delegati. I requisiti non sarebbero obbligatori per le parti interessate negli spazi di dati”, si legge nella valutazione d’impatto.
Alla luce dei testi resi noto, interessati dai requisiti minimi di portabilità potrebbero essere, secondo una interpretazione ampia, tutti i fornitori di servizi di elaborazione dati e non soltanto le imprese che si occupano di fornire servizi cloud.
Detti fornitori, inoltre, in un’ottica di coordinamento del Data Act con le ulteriori normative vigenti in tema di trattamento e condivisione dei dati, saranno obbligati ad adottare misure tecniche, legali e organizzative che impediscano il trasferimento verso Paesi dotati di legislazioni che confliggono con gli standard normativi e con gli atti legislativi Europei e nazionali.
Sempre a tutela della portabilità dei dati, si prevede che i dati debbano essere resi in formato strutturato, ampiamente diffuso e leggibile da dispositivo automatico, a titolo gratuito o a fronte di un corrispettivo massimo di modesta entità, a seconda dei diversi casi d’uso.
