Regolamento (UE) 2018/1807

Regolamento (UE) 2018/1807 relativo a un quadro applicabile alla libera circolazione dei dati non personali nell’Unione europea

Il regolamento si inserisce nel quadro della strategia europea per l’economia dei dati e mira a rimuovere gli ostacoli al trattamento transfrontaliero dei dati non personali. Il legislatore evidenzia, nei considerando, che la digitalizzazione dell’economia, l’Internet of Things, l’intelligenza artificiale e i servizi cloud rendono essenziale evitare frammentazioni nazionali basate su obblighi di localizzazione o su pratiche di vincolo al fornitore (vendor lock-in).

Finalità e rapporto con il diritto UE vigente

L’obiettivo è quello di creare un insieme uniforme di regole nel mercato interno, senza incidere sulla disciplina della protezione dei dati personali, del rispetto della vita privata e delle comunicazioni elettroniche, in particolare sul regolamento (UE) 2016/679, sulla direttiva (UE) 2016/680 e sulla direttiva 2002/58/CE. Il regolamento opera quindi sui dati diversi dai dati personali, pur riconoscendo che, nei dataset composti da dati personali e non personali, la parte personale resta soggetta al GDPR e, se le componenti sono inscindibili, il GDPR continua a prevalere per l’intero trattamento nei limiti della sua applicabilità.

Ambito soggettivo e oggettivo

Il regolamento si applica ai trattamenti elettronici di dati non personali nell’Unione quando il servizio è reso a utenti residenti o stabiliti nell’Unione, indipendentemente dal luogo di stabilimento del fornitore, oppure quando il trattamento è effettuato da soggetti stabiliti nell’Unione per proprie esigenze. La nozione di trattamento è ampia e comprende archiviazione, organizzazione, conservazione, consultazione, trasmissione, diffusione, cancellazione e altre operazioni su dati elettronici. Sono esclusi i trattamenti che non rientrano nel diritto dell’Unione; restano inoltre salve le norme nazionali sull’organizzazione interna degli Stati membri relative alla distribuzione di poteri e responsabilità tra autorità pubbliche e organismi di diritto pubblico, nonché la competenza esclusiva degli Stati membri in materia di sicurezza nazionale.

Definizioni rilevanti

L’articolo 3 definisce in modo funzionale i concetti cardine: "dati" come dati non personali; "fornitore di servizi" come il soggetto che presta servizi di trattamento; "utente" e "utente professionale" come utilizzatori, inclusi autorità pubbliche e organismi di diritto pubblico; "autorità competente" come l’ente che, ai sensi del diritto nazionale, può accedere ai dati per l’esercizio di funzioni ufficiali; e "obbligo di localizzazione dei dati" come qualsiasi vincolo che imponga di trattare dati nel territorio di un determinato Stato membro o che ostacoli il trattamento in un altro Stato membro.

Divieto degli obblighi di localizzazione dei dati

Il perno del regolamento è il divieto degli obblighi di localizzazione dei dati, consentiti solo se giustificati da motivi di sicurezza pubblica e nel rispetto della proporzionalità. Il testo chiarisce che la nozione di sicurezza pubblica va interpretata in senso restrittivo, in linea con l’articolo 52 TFUE e con la giurisprudenza della Corte di giustizia. Gli Stati membri devono notificare alla Commissione i progetti di atti che introducano o modifichino tali obblighi secondo la direttiva (UE) 2015/1535. Inoltre, entro il 30 maggio 2021 devono abrogare gli obblighi vigenti incompatibili con il divieto; se intendono mantenere un obbligo esistente, devono comunicarlo e motivarlo alla Commissione, che può formulare osservazioni e raccomandare modifiche o abrogazioni.

Trasparenza e pubblicità degli obblighi nazionali

Per rendere effettivo il principio di libera circolazione, gli Stati membri devono pubblicare informazioni dettagliate sugli obblighi di localizzazione in un portale unico nazionale online aggiornato periodicamente, oppure renderle disponibili tramite un punto informativo centrale istituito da altro atto UE. Devono inoltre comunicare alla Commissione l’indirizzo di tale portale, consentendo la pubblicazione di un elenco consolidato e aggiornato degli obblighi vigenti nell’Unione. L’impostazione è chiaramente orientata alla trasparenza per operatori economici e pubbliche amministrazioni.

Accesso ai dati da parte delle autorità competenti

Il regolamento tutela espressamente il potere delle autorità competenti di chiedere o ottenere accesso ai dati per fini ufficiali conformemente al diritto UE o nazionale. Tale accesso non può essere negato per il solo fatto che i dati siano trattati in un altro Stato membro. Se non esistono meccanismi specifici di cooperazione o strumenti internazionali applicabili, l’autorità competente può attivare la procedura di assistenza tramite l’autorità di un altro Stato membro. L’accesso a tutti i locali, compresi strumenti e dispositivi di trattamento, deve comunque rispettare il diritto dell’Unione e le norme procedurali nazionali, incluse eventuali autorizzazioni giudiziarie preventive.

Sanzioni e misure provvisorie

Gli Stati membri possono prevedere sanzioni effettive, proporzionate e dissuasive per la mancata cooperazione nell’accesso ai dati. In caso di abuso da parte dell’utente, possono essere adottate misure provvisorie rigorosamente proporzionate, soprattutto in situazioni urgenti che richiedano l’accesso ai dati. Se una misura provvisoria comporta la rilocalizzazione dei dati per oltre 180 giorni, la Commissione deve esserne informata e può verificare la compatibilità della misura con il diritto dell’Unione.

Portabilità dei dati e autoregolamentazione

La portabilità dei dati è trattata come elemento essenziale per la concorrenza e per evitare il lock-in contrattuale e tecnico. Il regolamento non introduce un regime rigido di dettaglio, ma affida alla Commissione il compito di favorire codici di condotta di autoregolamentazione a livello UE. Tali codici dovrebbero facilitare il cambio di fornitore, l’uso di formati strutturati e interoperabili, la trasparenza precontrattuale su tempi, costi e requisiti tecnici, nonché approcci di certificazione che aiutino gli utenti professionali a confrontare i servizi. Il testo indica anche il coinvolgimento di PMI, start-up, utenti e fornitori di cloud, con obiettivi temporali di sviluppo e attuazione rispettivamente entro il 29 novembre 2019 e il 29 maggio 2020.

Cooperazione amministrativa tra Stati membri

Ciascuno Stato membro deve designare un punto di contatto unico per l’applicazione del regolamento. Le richieste di assistenza tra autorità devono essere debitamente motivate, trasmesse tramite il punto di contatto e gestite con tempestività, in proporzione all’urgenza. Le informazioni scambiate sono utilizzabili solo per la finalità per cui sono state richieste. I punti di contatto hanno anche una funzione informativa verso gli utenti in merito al regolamento e ai codici di condotta.

Monitoraggio, relazione e orientamenti della Commissione

La Commissione deve pubblicare entro il 29 maggio 2019 orientamenti sull’interazione tra questo regolamento e il GDPR, soprattutto per i dataset misti. Entro il 29 novembre 2022 deve presentare una relazione sull’attuazione del regolamento, valutando in particolare l’applicazione ai dati misti, l’eccezione per pubblica sicurezza e il grado di elaborazione/attuazione dei codici di condotta, nonché l’effettiva trasparenza informativa da parte dei fornitori. Gli Stati membri sono tenuti a fornire alla Commissione le informazioni necessarie per tale valutazione.

Entrata in vigore e applicazione

Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale e si applica da sei mesi dopo la pubblicazione. È direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento, pur richiedendo misure nazionali di coordinamento, notifica e trasparenza nei limiti previsti dal testo.