Legge sui dati spiegata

Perché?

Un obiettivo chiave della legge sui dati è creare equità nell'economia dei dati e consentire agli utenti di raccogliere valore dai dati che generano utilizzando i prodotti connessi di loro proprietà, in affitto o in leasing.

La legge sui dati consente agli utenti di prodotti connessi (ad esempio automobili connesse, dispositivi medici e di fitness, macchine industriali o agricole) e servizi correlati (vale a dire tutto ciò che farebbe sì che un prodotto connesso si comporti in un modo specifico, come un'app per regolare la luminosità delle luci o per regolare la temperatura di un frigorifero) di accedere ai dati che co-creano utilizzando i prodotti connessi / servizi correlati.

La disponibilità di tali dati avrà un impatto significativo sull'economia. Ad esempio, i dati generati dai prodotti connessi e dai servizi correlati possono essere utilizzati per promuovere i servizi post-vendita e ausiliari e per creare servizi completamente nuovi, a vantaggio sia delle imprese che dei consumatori. 

Tipi di dati che rientrano nell'ambito di applicazione

Il capo II della legge sui dati relativi alla condivisione dei dati tra imprese e tra imprese e consumatori si applica a tutti i dati grezzi e pretrattati generati dall'uso di un prodotto connesso o di un servizio correlato che sono prontamente disponibili per il titolare dei dati (ad esempio il fabbricante di un prodotto connesso/il fornitore di un servizio correlato), in altre parole i dati ai quali è possibile accedere facilmente senza sforzi sproporzionati, andando oltre una semplice operazione. Ciò vale sia per i dati personali che per quelli non personali, compresi i metadati pertinenti.

Tali dati comprendono i dati raccolti da un singolo sensore o da un gruppo di sensori collegati, quali temperatura, pressione, portata, audio, valore del pH, livello del liquido, posizione, accelerazione o velocità.

I dati e i contenuti desunti o derivati (ad esempio dati altamente arricchiti, materiale audiovisivo) non rientrano nell'ambito di applicazione. Inoltre, la legge sui dati lascia impregiudicate le leggi sulla protezione dei diritti di proprietà intellettuale.

In pratica

Il capo II della legge sui dati consente agli utenti (ossia a qualsiasi persona fisica o giuridica che possiede, affitta o noleggia un prodotto connesso) di accedere ai dati che generano attraverso l'uso del prodotto connesso o del servizio correlato. Se l'utente desidera condividere tali dati con un'altra entità o persona fisica ("terzo"),può farlo direttamente o può chiedere al titolare dei dati di condividerli con un terzo di sua scelta (esclusi i gatekeeper ai sensi della legge sui mercati digitali). Il titolare dei dati è in genere l'azienda che realizza il prodotto connesso o che fornisce un servizio correlato. Il titolare dei dati deve avere un contratto con l'utente (ad esempio contratto di vendita, contratto di noleggio, contratto di servizi correlati, ecc.) che definisce i diritti relativi all'accesso, all'uso e alla condivisione dei dati generati dal prodotto connesso o dal servizio correlato. È importante notare che il titolare dei dati non può utilizzare dati non personali generati dal prodotto senza il consenso dell'utente.

A titolo di esempio, e tenendo presente che il contratto in questione determina i ruoli esatti:

• Un'azienda gestisce un bulldozer: il titolare dei dati sarebbe in genere il produttore di bulldozer e l'utente sarebbe la società che gestisce il bulldozer.  

• Se qualcuno acquista un frigorifero collegato e scarica un'app che li aiuta a regolare la temperatura ottimale per il contenuto del frigorifero, ci sarebbero potenzialmente due titolari dei dati, vale a dire l'entità che ha immesso il frigorifero sul mercato e l'entità che offre il relativo servizio (l'app), e solo l'utente (il proprietario del frigorifero).

La legge sui dati prevede diversi meccanismi per agevolare l'utilizzo di tali disposizioni da parte degli utenti: i titolari dei dati devono fornire all'utente informazioni sul tipo di dati che genereranno quando utilizzeranno il prodotto connesso o il servizio correlato (compresi il volume, la frequenza di raccolta, ecc.); gli utenti dovrebbero poter richiedere l'accesso ai dati attraverso un processo semplice; e i titolari dei dati devono mettere i dati a disposizione degli utenti gratuitamente.

Limitazioni all'uso dei dati

Per non scoraggiare le imprese dall'investire in prodotti che generano dati, i dati ottenuti non possono essere utilizzati per sviluppare un prodotto connesso concorrente. La legge sui dati non vieta la concorrenza nei servizi correlati o post-vendita. Inoltre, ai sensi della legge sui dati, il titolare dei dati non è tenuto a condividere i dati con terzi con sede al di fuori dell'UE.

La legge sui dati è pienamente conforme alle norme in materia di protezione dei dati, in particolare al GDPR. Se l'utente non è l'interessato i cui dati sono richiesti, i dati personali possono essere resi disponibili solo se esiste una base giuridica valida (ad esempio il consenso). Si tratta di una considerazione importante in quanto i dati cogenerati contengono spesso dati sia personali che non personali, che possono essere difficili da separare.  

Incentiva lo sviluppo di prodotti e servizi connessi basati su nuovi flussi di dati, che sono di particolare valore per le imprese più piccole. Inoltre, le microimprese e le piccole imprese, in quanto produttori o fornitori di servizi correlati, non sono soggette agli stessi obblighi delle imprese più grandi.

Per proteggere i segreti commerciali senza compromettere l'obiettivo della legge sui dati di rendere disponibili più dati, il titolare dei dati e l'utente/terzo possono concordare determinate misure per preservare la riservatezza dei segreti commerciali. Qualora tali misure non siano rispettate, il titolare dei dati può rifiutare o sospendere la condivisione dei dati. Il titolare dei dati può rifiutarsi di condividere i dati solo se è in grado di dimostrare che è altamente probabile che subisca gravi danni economici a causa della divulgazione di segreti commerciali.

Il titolare dei dati e l'utente possono convenire di limitare la condivisione dei dati se sussiste il rischio che i requisiti di sicurezza del prodotto connesso possano essere compromessi, con gravi effetti negativi per la salute, la sicurezza o la protezione delle persone. Tali requisiti devono essere stabiliti dal diritto dell'UE o nazionale.

Se il titolare dei dati sospende, rifiuta o rifiuta di condividere i dati per motivi di protezione dei segreti commerciali o di requisiti di sicurezza, deve informarne l'autorità nazionale competente. Gli utenti possono impugnare tale decisione dinanzi all'organo giurisdizionale competente di uno Stato membro mediante un reclamo presso l'autorità competente o previo accordo con il titolare dei dati dinanzi a un organismo di risoluzione delle controversie.

Perché?

La legge sui dati introduce norme per le situazioni in cui un'impresa ("titolare dei dati") ha l'obbligo giuridico, ai sensi del diritto dell'UE o nazionale, di mettere i dati a disposizione di un'altra impresa ("destinatario dei dati"), anche nel contesto dei dati IoT. In particolare, i termini e le condizioni per la condivisione dei dati devono essere equi, ragionevoli e non discriminatori.

Come incentivo alla condivisione dei dati, i titolari dei dati che sono tenuti a condividere i dati possono chiedere al destinatario dei dati un "indennizzo ragionevole".

Tipi di dati che rientrano nell'ambito di applicazione

Il capo III della legge sui dati si applica a tutti i dati (personali e non personali) detenuti da un'impresa, comprese le situazioni di cui al capo II della legge sui dati.

In pratica

I titolari dei dati possono chiedere un compenso ragionevole per aver messo i dati a disposizione di un destinatario dei dati. Ciò potrebbe includere i costi sostenuti per la messa a disposizione dei dati nonché i costi tecnici relativi alla diffusione e all'archiviazione. Tuttavia, alle microimprese, alle PMI e agli organismi di ricerca senza scopo di lucro non possono essere addebitati costi superiori a quelli sostenuti per la messa a disposizione dei dati.

Al fine di proteggere i titolari dei dati, la legge sui dati include un elenco non esaustivo di misure per porre rimedio a situazioni in cui un terzo o un utente ha avuto accesso o utilizzato dati illecitamente. Ad esempio, un titolare dei dati potrebbe esigere che una parte lesa interrompa la produzione del prodotto in questione o distrugga i dati ottenuti illecitamente, oppure potrebbe chiedere un risarcimento.

Restano impregiudicati gli obblighi di condivisione dei dati che precedono la legge sui dati. Gli obblighi della futura legislazione (settoriale) dovrebbero essere allineati alle disposizioni del capo III della legge sui dati.

Perché?

La libertà contrattuale è fondamentale per i rapporti business-to-business. Tuttavia, la legge sui dati mira a proteggere tutte le imprese europee che cercano di acquisire dati, in particolare le PMI, dalle clausole contrattuali abusive attraverso le sue misure per intervenire in situazioni in cui, ad esempio, una delle imprese si trova in una posizione negoziale più forte (ad esempio a causa delle sue dimensioni di mercato) e impone una clausola non negoziabile ("take-it-or-leave-it") relativa all'accesso ai dati e al loro utilizzo dall'altra.

Tipi di dati che rientrano nell'ambito di applicazione

Tali norme riguardano tutti i dati, sia personali che non personali, detenuti da un soggetto privato a cui si accede e che viene utilizzato sulla base di un contratto tra imprese.

In pratica

Le clausole "take-it-or-leave-it" imposte unilateralmente possono, qualora riguardino la messa a disposizione dei dati, essere soggette a una verifica del carattere abusivo.

La legge sui dati stabilisce un elenco non esaustivo di clausole che sono sempre considerate abusive (ad esempio che escluderebbero o limiterebbero la responsabilità della parte che ha imposto unilateralmente la clausola per atti intenzionali o negligenza grave) e di clausole che si presume siano abusive (ad esempio che limiterebbero in modo inappropriato i rimedi in caso di inadempimento degli obblighi contrattuali o la responsabilità in caso di violazione di tali obblighi, o estenderebbero la responsabilità dell'impresa alla quale la clausola è stata imposta unilateralmente). Se una clausola è considerata abusiva, non è più valida e, ove possibile, è semplicemente separata dal contratto. Se si presume che sia abusiva, l'entità che ha imposto la clausola può tentare di dimostrare che la clausola non è abusiva.

Perché?

Al fine di garantire un mercato competitivo nell'UE, i clienti dei servizi di trattamento dei dati (compresi i servizi cloud ed edge) dovrebbero poter passare senza soluzione di continuità da un fornitore all'altro. Tuttavia, i clienti si trovano attualmente di fronte a una serie di ostacoli, tra cui oneri elevati associati, ad esempio, all'uscita dei dati, a procedure lunghe e alla mancanza di interoperabilità tra i fornitori che possono comportare una perdita di dati e applicazioni.

Il Data Act renderà il passaggio libero, veloce e fluido. Ciò andrà a vantaggio dei clienti, che possono scegliere liberamente i servizi che meglio soddisfano le loro esigenze, nonché dei fornitori, che beneficeranno di un pool più ampio di clienti.

Ambito di applicazione

Il capo VI della legge sui dati si applica ai fornitori di servizi di trattamento dei dati (ossia servizi digitali che consentono l'accesso onnipresente e a richiesta alla rete, quali reti, server o altre infrastrutture e software virtuali o fisici). I dati fondamentali per il passaggio comprendono i dati di input e output, compresi i metadati, generati dall'uso del servizio da parte del cliente, esclusi i dati protetti da diritti di proprietà intellettuale o che costituiscono un segreto commerciale del prestatore di servizi.  

In pratica

Per superare lo squilibrio di potere tra fornitori e clienti nel mercato del cloud, la legge sui dati stabilisce requisiti minimi per il contenuto dei contratti di cloud. In particolare, i clienti del settore pubblico e privato beneficeranno di una trasparenza contrattuale molto maggiore.

La legge sui dati prevede misure volte a garantire che i clienti possano passare da un fornitore di servizi di trattamento dei dati ("fornitore di fonti") a un altro fornitore ("destinazione") in modo rapido e agevole, senza perdere alcun dato o la funzionalità delle applicazioni. Ad esempio, i fornitori di Platform and Software as a Service devono rendere disponibili interfacce aperte e, come minimo, esportare i dati in un formato di uso comune e leggibile meccanicamente. I fornitori di infrastrutture come servizio devono adottare misure per facilitare che, quando un cliente passa a un servizio dello stesso tipo, il cliente ottenga risultati materialmente comparabili in risposta allo stesso input per caratteristiche che entrambi i servizi condividono ("equivalenza funzionale"). Come esempio di tale misura, il fornitore di origine potrebbe dover utilizzare strumenti per spostare i carichi di lavoro di calcolo da una tecnologia di virtualizzazione all'altra. 

Tutti i fornitori sono tenuti a rimuovere gli ostacoli che i loro clienti potrebbero incontrare quando desiderano passare a un altro fornitore o utilizzare più servizi contemporaneamente.

A decorrere dal 12 gennaio 2027 la legge sui dati eliminerà del tutto anche le spese di trasferimento, comprese le spese per l'uscita dei dati (ossia le spese per il transito dei dati). Ciò significa che i fornitori non saranno in grado di addebitare ai loro clienti le operazioni necessarie per facilitare il passaggio o l'uscita dei dati. Tuttavia, come misura transitoria durante i primi tre anni successivi all'entrata in vigore della legge sui dati (dall'11 gennaio 2024 al 12 gennaio 2027), i fornitori possono ancora addebitare ai loro clienti i costi sostenuti in relazione al passaggio e all'uscita dei dati.

Perché?

Talvolta, una decisione o una sentenza emessa da un paese al di fuori dell'UE ("paese terzo") mira a consentire al governo l'accesso ai dati non personali trattati e conservati all'interno dell'UE e il loro trasferimento. Tuttavia, in alcuni casi, concedere l'accesso o il trasferimento di tali dati può essere effettivamente illecito, in particolare quando la richiesta è in contrasto con il diritto dell'UE e con le garanzie in materia di tutela dei diritti fondamentali delle persone, degli interessi di sicurezza nazionale o dei dati sensibili sotto il profilo commerciale.

La legge sui dati segue la legge sulla governance dei dati per quanto riguarda le disposizioni volte a prevenire l'accesso e il trasferimento illeciti da parte di governi di paesi terzi di dati non personali detenuti nell'UE. Tali disposizioni non hanno alcun impatto sulla normale condivisione dei dati tra imprese. Aumentano la trasparenza e la certezza del diritto per quanto riguarda il processo e le condizioni in base ai quali i dati non personali possono essere consultati o trasferiti a organismi governativi di paesi terzi.

Tipi di dati che rientrano nell'ambito di applicazione

Qualsiasi dato non personale detenuto nell'UE da un fornitore di un servizio di trattamento dei dati.

In pratica

La legge sui dati non vieta i flussi transfrontalieri di dati, ma garantisce che la protezione offerta ai dati nell'UE viaggi con i dati trasferiti al di fuori dell'UE.

In tale contesto, la legge sui dati stabilisce norme e garanzie per le richieste di accesso da parte di un ente pubblico straniero ai dati non personali detenuti nell'Unione. Tali disposizioni lasciano impregiudicata la cooperazione internazionale legittima in materia di applicazione della legge.

Se non esiste un accordo internazionale che disciplini l'accesso da parte di un governo di un paese terzo a dati non personali situati all'interno dell'UE, i dati possono essere trasferiti o consultati solo a condizioni specifiche. Tali condizioni si riferiscono a determinate garanzie a tutela dei diritti europei che devono essere soddisfatte dall'ordinamento giuridico del paese terzo, tra cui l'obbligo di motivare la decisione e di valutarne la proporzionalità. Il fornitore di servizi di trattamento dei dati oggetto di tale decisione può contattare l'organismo nazionale competente per valutare se le condizioni stabilite nella legge sui dati sono soddisfatte. Per contribuire a valutare se tali condizioni sono state soddisfatte, la Commissione europea elaborerà orientamenti insieme al comitato europeo per l'innovazione in materia di dati (un gruppo di esperti istituito a norma dell'atto sulla governance dei dati per facilitare la condivisione delle migliori pratiche e dare priorità alle norme di interoperabilità intersettoriale).

I fornitori di servizi di trattamento dei dati dovrebbero adottare tutte le misure ragionevoli (ad esempio cifratura, audit, aderenza ai sistemi di certificazione) per impedire l'accesso ai sistemi in cui memorizzano dati non personali. Tali misure dovrebbero essere pubblicate sui loro siti web. Inoltre, ove possibile, dovrebbero informare i loro clienti prima di dare accesso ai loro dati.

Perché?

Le norme e l'interoperabilità sono fondamentali per garantire che i dati provenienti da fonti diverse possano essere utilizzati all'interno degli spazi comuni europei di dati e tra di essi per promuovere la ricerca e sviluppare nuovi prodotti o servizi. A tal fine, la legge sui dati stabilisce alcuni requisiti essenziali che i partecipanti agli spazi di dati devono rispettare e che possono essere ulteriormente specificati dalla Commissione europea mediante atti delegati.

Essa mira inoltre a garantire l'interoperabilità tra i servizi di trattamento dei dati; ciò è essenziale affinché i clienti possano beneficiare di un passaggio più agevole.

Principali portatori di interessi

Il presente capitolo si rivolge ai partecipanti agli spazi di dati che offrono dati o servizi basati su dati ad altri partecipanti e che facilitano o partecipano alla condivisione dei dati all'interno degli spazi di dati.

Si rivolge anche ai fornitori di contratti intelligenti e ai fornitori di servizi di elaborazione dati.

In pratica

I partecipanti allo spazio di dati dovrebbero rispettare diversi requisiti essenziali per consentire il flusso dei dati all'interno degli spazi di dati e tra di essi. Ad esempio, una descrizione delle strutture di dati, dei formati di dati e dei vocabolari, ove disponibili, dovrebbe essere accessibile al pubblico. Dovrebbero inoltre essere garantiti i mezzi per garantire l'interoperabilità degli accordi di condivisione dei dati, come i contratti intelligenti.

La legge sui dati prepara inoltre il terreno per aumentare l'interoperabilità dei servizi di trattamento dei dati attraverso norme armonizzate e specifiche di interoperabilità aperte.

Inoltre, stabilisce requisiti per i venditori di contratti intelligenti per l'esecuzione automatizzata di accordi di condivisione dei dati, ad esempio per garantire che essi attuino correttamente le disposizioni dell'accordo di condivisione dei dati e resistano alla manipolazione da parte di terzi.

La Commissione valuterà gli ostacoli all'interoperabilità e darà priorità alle esigenze di normazione, sulla base delle quali potrà chiedere alle organizzazioni europee di normazione di elaborare norme armonizzate conformi ai suddetti requisiti.

Se la richiesta non porta a una norma armonizzata o se la norma non è sufficiente a garantire la conformità alla normativa sui dati, la Commissione può adottare specifiche comuni come soluzione alternativa. Questi dovrebbero essere sviluppati in modo aperto e inclusivo, tenendo conto dei riscontri del comitato europeo per l'innovazione in materia di dati.

Gli Stati membri designeranno una o più autorità competenti (nuove o esistenti) per garantire l'attuazione efficiente della normativa sui dati. Ovunque vi siano più autorità competenti, gli Stati membri devono designare una di esse come "coordinatore dei dati". Il coordinatore dei dati fungerà da "sportello unico" per tutte le questioni relative all'attuazione della legge sui dati a livello nazionale, facilitando l'applicazione sia per le imprese che per le autorità pubbliche. Ad esempio, se un'impresa chiede un risarcimento per la violazione dei propri diritti ai sensi della legge sui dati, il coordinatore dei dati dovrebbe (su richiesta) fornire tutte le informazioni necessarie per aiutarla a presentare il reclamo all'autorità competente. Il coordinatore dei dati faciliterà inoltre la collaborazione in situazioni transfrontaliere, ad esempio quando un'autorità competente di un determinato Stato membro non sa a quale autorità dovrebbe rivolgersi nello Stato membro del coordinatore dei dati.

La Commissione terrà un registro pubblico delle autorità competenti e dei coordinatori dei dati.

Il comitato europeo per l'innovazione in materia di dati faciliterà le discussioni tra le autorità competenti, ad esempio per coordinare e adottare raccomandazioni sulla fissazione di sanzioni in caso di violazione della legge sui dati. Le sanzioni sono stabilite dalle autorità competenti e, ai sensi della legge sui dati, dovrebbero essere previste sanzioni effettive, proporzionate e dissuasive.

Gli Stati membri possono, se lo desiderano, istituire organismi certificati di risoluzione delle controversie per assistere le parti che non riescono a concordare condizioni eque, ragionevoli e non discriminatorie per la messa a disposizione dei dati. Le parti sono libere di rivolgersi a qualsiasi organismo di risoluzione delle controversie, nello Stato membro in cui sono stabilite o in un altro.

I meccanismi certificati di risoluzione delle controversie e le autorità competenti specializzate renderanno più facile per le imprese, in particolare le piccole imprese, far valere i loro diritti ai sensi della legge sui dati, in quanto offrono una soluzione semplice, rapida e a basso costo alle parti coinvolte.