Regolamento (UE) 2022/868

Quadro generale e principi di coordinamento

L'articolo 1 definisce l'oggetto del regolamento: condizioni per il riutilizzo nell'UE di determinate categorie di dati di enti pubblici, quadro di notifica e controllo per i servizi di intermediazione dei dati, quadro per la registrazione delle entità che operano nell'altruismo dei dati e istituzione del comitato europeo per l'innovazione in materia di dati. Il regolamento non impone agli enti pubblici l'obbligo di consentire il riutilizzo, non pregiudica la normativa settoriale, la protezione dei dati personali, il diritto della concorrenza e le competenze degli Stati membri in materia di sicurezza pubblica, difesa e sicurezza nazionale.

Definizioni chiave

L'articolo 2 introduce le nozioni fondamentali, tra cui dati, riutilizzo, dati personali e non personali, consenso, autorizzazione, titolare dei dati, utente dei dati, condivisione dei dati, servizio di intermediazione dei dati, cooperativa di dati, altruismo dei dati, ente pubblico, impresa pubblica, ambiente di trattamento sicuro e rappresentante legale. Le definizioni sono centrali per delimitare gli obblighi e le esclusioni del regolamento.

Riutilizzo di dati protetti detenuti da enti pubblici

L'articolo 3 delimita le categorie di dati pubblici protetti soggetti al capo II: dati coperti da riservatezza commerciale, riservatezza statistica, diritti di proprietà intellettuale di terzi o protezione dei dati personali non ricadenti nella direttiva (UE) 2019/1024. Restano esclusi i dati detenuti da imprese pubbliche, emittenti di servizio pubblico per la radiodiffusione di servizio pubblico, enti culturali e di istruzione, dati protetti per sicurezza pubblica, difesa o sicurezza nazionale, e dati la cui fornitura esula dai compiti di servizio pubblico.

Divieto di diritti esclusivi e regole transitorie

L'articolo 4 vieta accordi o pratiche che concedano diritti esclusivi di riutilizzo dei dati protetti, salvo eccezione strettamente necessaria alla fornitura di un servizio o prodotto di interesse generale. Il diritto esclusivo non può superare 12 mesi e deve essere trasparente e pubblicato online; gli accordi preesistenti conclusi prima del 23 giugno 2022 devono cessare alla scadenza e comunque entro il 24 dicembre 2024.

Condizioni di riutilizzo, tutela della riservatezza e trasferimenti verso paesi terzi

L'articolo 5 stabilisce che le condizioni di riutilizzo siano non discriminatorie, trasparenti, proporzionate e oggettivamente giustificate, senza effetti restrittivi della concorrenza. I dati devono essere anonimizzati o altrimenti modificati, oppure riutilizzati in ambiente di trattamento sicuro, anche in loco, con obblighi di riservatezza, divieto di reidentificazione e notifica delle violazioni. Se il riutilizzo non è possibile con tali modalità e manca una base giuridica ai sensi del regolamento (UE) 2016/679, l'ente pubblico deve agevolare, se fattibile, la richiesta di consenso o autorizzazione. Sono previsti regole per i trasferimenti verso paesi terzi di dati non personali protetti, clausole contrattuali tipo, possibile riconoscimento dell'equivalenza di taluni paesi terzi mediante atti di esecuzione e condizioni speciali mediante atti delegati per categorie di dati non personali altamente sensibili. Il comma 14 consente il trasferimento solo verso paesi terzi che rispettino tali condizioni.

Tariffe per il riutilizzo

L'articolo 6 consente agli enti pubblici di imporre tariffe, purché trasparenti, non discriminatorie, proporzionate e giustificate. Le tariffe devono poter essere pagate online con servizi transfrontalieri diffusi; gli Stati membri devono favorire il riutilizzo non commerciale, la ricerca scientifica, le PMI e le start-up, anche con tariffe ridotte o nulle. I costi ammissibili sono tassativamente elencati e gli Stati membri devono pubblicare criteri, metodologia e categorie di riutilizzatori agevolati.

Organismi competenti e sportello unico per il riutilizzo

L'articolo 7 impone agli Stati membri di designare uno o più organismi competenti per assistere gli enti pubblici nel concedere o negare l'accesso al riutilizzo; tali organismi possono anche essere autorizzati a concedere l'accesso in base al diritto nazionale o UE. Devono avere risorse adeguate e possono offrire supporto tecnico, pseudonimizzazione, ambienti sicuri e assistenza nella gestione di consenso e autorizzazioni. L'articolo 8 richiede uno sportello unico nazionale per informazioni e richieste, con elenco elettronico delle risorse di dati disponibili e possibilità di canali semplificati per PMI e start-up; la Commissione istituisce inoltre un punto di accesso unico europeo.

Procedura per le richieste di riutilizzo

L'articolo 9 prevede che la decisione sulla richiesta di riutilizzo sia adottata entro due mesi, prorogabili di ulteriori 30 giorni per richieste eccezionalmente cospicue e complesse. Gli interessati direttamente colpiti dalla decisione hanno diritto di ricorso effettivo nello Stato membro competente, con riesame da parte di un organo imparziale o di un'autorità giudiziaria.

Servizi di intermediazione dei dati: perimetro, notifica e condizioni

Gli articoli 10-14 disciplinano i servizi di intermediazione dei dati, cioè servizi che mettono in relazione interessati o titolari dei dati con gli utenti dei dati, anche tramite cooperative di dati. La fornitura è soggetta a notifica all'autorità competente del primo Stato membro e abilita l'attività in tutta l'Unione; per i fornitori extra-UE è richiesto un rappresentante legale nell'Unione. La notifica contiene informazioni dettagliate sul soggetto e sul servizio, e l'autorità rilascia una conferma; su richiesta può essere riconosciuto il titolo di "fornitore di servizi di intermediazione dei dati riconosciuto nell'Unione" e il relativo logo comune. Le condizioni sostanziali includono separazione strutturale, neutralità, divieto di riuso dei dati per scopi diversi dall'intermediazione, protezione dei dati raccolti, misure contro frodi, interoperabilità, continuità in caso di insolvenza, garanzie per i dati personali e non personali, e obblighi specifici per i servizi rivolti agli interessati. Le autorità nazionali vigilano sulla conformità e possono ordinare la cessazione delle violazioni, sospendere o vietare il servizio e, nei casi gravi, chiedere la cancellazione dal registro.

Deroghe per l'altruismo dei dati rispetto al regime di intermediazione

L'articolo 15 esclude dal capo III le organizzazioni per l'altruismo dei dati riconosciute e altre entità senza scopo di lucro che raccolgono dati per obiettivi di interesse generale, salvo che mirino a creare rapporti commerciali tra interessati/titolari e utenti dei dati.

Altruismo dei dati: politiche nazionali, registrazione e requisiti

Gli articoli 16-25 disciplinano l'altruismo dei dati. Gli Stati membri possono adottare politiche nazionali e misure organizzative o tecniche per facilitarlo. Le organizzazioni per l'altruismo dei dati riconosciute devono essere persone giuridiche senza scopo di lucro, giuridicamente indipendenti da soggetti for profit, funzionalmente separate e conformi al codice europeo previsto dall'articolo 22. La registrazione nazionale, valida in tutta l'Unione, richiede una domanda con informazioni su identità, forma giuridica, fonti di reddito, sede, sito web, contatti, obiettivi di interesse generale, natura dei dati e documentazione probatoria. La registrazione deve avvenire entro 12 settimane se i requisiti sono soddisfatti. Sono previsti obblighi di trasparenza, registri delle attività, informativa preventiva chiara agli interessati e ai titolari, strumenti per consenso e revoca, sicurezza dei dati, notifica di accessi o usi non autorizzati e indicazione della giurisdizione di eventuali paesi terzi. La Commissione istituisce, mediante atto di esecuzione, un modulo europeo di consenso all'altruismo dei dati, modulare e utilizzabile in formato stampabile ed elettronico.

Autorità competenti, reclami e tutela giurisdizionale

L'articolo 26 richiede autorità competenti giuridicamente distinte e funzionalmente indipendenti dai fornitori e dalle organizzazioni riconosciute, dotate di risorse adeguate e soggette a obblighi di cooperazione e riservatezza. Gli articoli 27 e 28 riconoscono il diritto di presentare reclami individuali o collettivi e il diritto a un ricorso giurisdizionale effettivo avverso le decisioni vincolanti delle autorità competenti, con possibilità di riesame anche quando il reclamo non sia accolto.

Comitato europeo per l'innovazione in materia di dati

Gli articoli 29 e 30 istituiscono un comitato europeo per l'innovazione in materia di dati, composto da rappresentanti delle autorità nazionali competenti, del comitato europeo per la protezione dei dati, del garante europeo della protezione dei dati, di ENISA, della Commissione, delle PMI e di altri portatori di interessi. Il comitato assiste la Commissione nella coerenza delle prassi nazionali, nell'interoperabilità, nella protezione dei dati commerciali sensibili, nella cibersicurezza, negli orientamenti sugli spazi comuni europei di dati, nelle condizioni armonizzate di riutilizzo e nell'elaborazione del modulo europeo di consenso.

Accesso internazionale e trasferimento di dati non personali

L'articolo 31 impone a enti pubblici, riutilizzatori, fornitori di servizi di intermediazione dei dati e organizzazioni per l'altruismo dei dati riconosciute di adottare misure tecniche, giuridiche e organizzative per impedire trasferimenti o accessi incompatibili con il diritto UE o nazionale. Le decisioni di autorità di paesi terzi sono riconoscibili o esecutive solo se basate su accordi internazionali; in mancanza, sono ammissibili solo se il sistema del paese terzo garantisce specifiche condizioni di motivazione, proporzionalità, specificità della richiesta e controllo giurisdizionale. È previsto il trasferimento della quantità minima di dati e l'obbligo, salvo eccezioni per contrasto, di informare il titolare dei dati delle richieste di accesso da parte di autorità amministrative estere.

Deleghe, comitologia, sanzioni e modifiche al regolamento sullo sportello digitale unico

Gli articoli 32 e 33 disciplinano la delega alla Commissione per atti delegati e la procedura di comitato. L'articolo 34 impone agli Stati membri di stabilire sanzioni effettive, proporzionate e dissuasive per le violazioni delle regole sul trasferimento internazionale, la notifica dei fornitori, le condizioni di fornitura dei servizi di intermediazione e i requisiti di registrazione delle organizzazioni per l'altruismo dei dati; le norme devono essere notificate entro il 24 settembre 2023. L'articolo 36 modifica il regolamento (UE) 2018/1724 per includere tra le procedure dello sportello digitale unico la notifica dei fornitori di servizi di intermediazione dei dati e la registrazione delle organizzazioni per l'altruismo dei dati riconosciute.

Disposizioni transitorie, riesame ed entrata in vigore

L'articolo 37 prevede che le entità che fornivano servizi di intermediazione dei dati al 23 giugno 2022 si adeguino al capo III entro il 24 settembre 2025. L'articolo 35 impone alla Commissione una valutazione entro il 24 settembre 2025, con relazione e, se necessario, proposte legislative. L'articolo 38 stabilisce che il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale e si applica dal 24 settembre 2023.