Regolamento (UE) 2018/573

Elementi principali dei contratti di archiviazione dei dati nel sistema di tracciabilità dei prodotti del tabacco

Il regolamento delegato definisce il contenuto minimo dei contratti che fabbricanti e importatori di prodotti del tabacco devono concludere con un fornitore terzo indipendente per l'archiviazione dei dati nel sistema UE di tracciabilità. La disciplina attua l'articolo 15 della direttiva 2014/40/UE e si coordina con il regolamento di esecuzione (UE) 2018/574, con l'obiettivo di assicurare interoperabilità, continuità operativa, indipendenza dei fornitori e protezione dei dati.

Ambito e definizioni

L'ambito è circoscritto ai contratti di archiviazione dei dati relativi al sistema di tracciabilità dei prodotti del tabacco. Ai fini del regolamento, il "contratto" è l'accordo tra fabbricante/importatore e fornitore di sistemi di archiviazione; il "fornitore" è la persona giuridica incaricata dell'istituzione e gestione del repertorio primario e dei servizi correlati; la "portabilità dei dati" è la capacità di trasferire i dati tra repertori mediante tecnologie prontamente disponibili e comunemente usate nel settore.

Servizi che devono essere previsti nel contratto

Il contratto deve individuare i servizi principali che il fornitore è tenuto a prestare. In primo luogo, deve essere prevista l'istituzione e la gestione del repertorio primario, conformemente all'articolo 26 del regolamento di esecuzione (UE) 2018/574. Se il gestore del repertorio primario è anche designato come fornitore del repertorio secondario, il contratto deve includere anche l'istituzione e la gestione del repertorio secondario e del router, ai sensi degli articoli 27, 28 e 29 del medesimo regolamento. Inoltre, il contratto può prevedere, su richiesta, servizi tecnici accessori connessi alla gestione del repertorio primario, purché contribuiscano al corretto funzionamento del sistema di repertori.

Requisiti di operabilità, disponibilità e capacità tecnica

Le specifiche contrattuali devono soddisfare i requisiti minimi del regolamento e del capo V del regolamento di esecuzione (UE) 2018/574 in materia di operabilità, disponibilità ed esecuzione dei servizi. Il fornitore deve inoltre rilasciare una dichiarazione scritta sulle competenze tecniche e operative necessarie per prestare i servizi richiesti e per rispettare tali prescrizioni. Il regolamento esige anche una dichiarazione di indipendenza giuridica e finanziaria ai sensi dell'articolo 35 del regolamento di esecuzione (UE) 2018/574, estesa, se del caso, ai subappaltatori.

Disponibilità del repertorio e continuità del servizio

Per il repertorio primario il contratto deve garantire una disponibilità mensile del 99,5%. Devono essere previsti adeguati meccanismi di back-up per evitare la perdita dei dati archiviati, ricevuti o trasferiti nel caso di indisponibilità del repertorio. Il regolamento mira così a evitare interruzioni del sistema di tracciabilità e a preservare la continuità dell'operatività.

Accesso, controllo e verifiche

Il contratto deve disciplinare le condizioni di accesso fisico e virtuale al repertorio primario, a livello di server e banca dati, per gli amministratori nazionali degli Stati membri, la Commissione e i revisori esterni designati, in conformità all'articolo 25 del regolamento di esecuzione (UE) 2018/574. I revisori esterni autorizzati dalla Commissione devono poter svolgere verifiche con o senza preavviso sul repertorio primario e, se del caso, su quello secondario, con accesso illimitato ai repertori e ai servizi correlati per tutta la durata della verifica.

Subappalto, indipendenza e responsabilità

Se il contratto ammette il subappalto di alcuni obblighi, deve chiarire che il subappalto non incide sulla responsabilità primaria del fornitore. Il fornitore deve assicurare che il subappaltatore abbia le competenze tecniche richieste e rispetti i requisiti di indipendenza. In materia di responsabilità, il contratto deve disciplinare la responsabilità delle parti per eventuali danni diretti e indiretti secondo la normativa applicabile; non può però prevedere limiti di responsabilità per violazioni degli obblighi di riservatezza o delle norme in materia di protezione dei dati.

Protezione dei dati e sicurezza delle informazioni

Il fornitore è tenuto ad adottare tutte le misure adeguate per assicurare riservatezza, integrità e disponibilità dei dati archiviati, includendo controlli di sicurezza amministrativi, tecnici e fisici. Il trattamento dei dati personali nell'ambito del contratto deve avvenire in conformità alla direttiva 95/46/CE. Inoltre, il repertorio primario e, se del caso, il repertorio secondario devono essere gestiti secondo norme internazionali riconosciute in materia di gestione della sicurezza delle informazioni; la certificazione ISO/IEC 27001:2013 è considerata conforme.

Costi e servizi del repertorio secondario

I costi fatturati ai fabbricanti o importatori devono essere equi, ragionevoli e proporzionati ai servizi prestati e al numero di identificativi univoci richiesti in un determinato periodo, in coerenza con l'articolo 30 del regolamento di esecuzione (UE) 2018/574. Il contratto può inoltre prevedere che i fornitori recuperino dai fabbricanti e importatori i costi connessi all'istituzione, gestione e manutenzione del repertorio secondario e del router. Se il sistema secondario non è ancora istituito al momento della conclusione del contratto, il fornitore deve partecipare alla sua creazione, ove necessario, secondo il capo V del regolamento di esecuzione (UE) 2018/574.

Durata, cooperazione e funzionamento quotidiano

La durata minima del contratto è di cinque anni, con rinnovo possibile solo previo accordo delle parti e a condizione che il fornitore continui a rispettare la direttiva 2014/40/UE e il regolamento di esecuzione (UE) 2018/574. I fornitori devono cooperare tra loro e con le autorità competenti degli Stati membri e con la Commissione per assicurare l'organizzazione efficace del funzionamento quotidiano del sistema di repertori.

Risoluzione, preavviso e sospensione dei servizi

Il contratto deve prevedere i termini di risoluzione e la relativa notifica alla Commissione secondo le prescrizioni procedurali dell'allegato I del regolamento di esecuzione (UE) 2018/574. È richiesto un preavviso minimo di cinque mesi; tuttavia, i fabbricanti e gli importatori devono risolvere immediatamente il contratto in caso di grave violazione del fornitore o di insolvenza, o rischio immediato di insolvenza. Sono considerate gravi violazioni, tra l'altro, la mancata prestazione di servizi essenziali o la mancata conformità al capo V del regolamento di esecuzione (UE) 2018/574, nonché la perdita dei requisiti di indipendenza non sanata entro il termine previsto. È inoltre vietata la sospensione dei servizi per ritardi di pagamento, salvo che il ritardo superi almeno trenta giorni oltre il termine ultimo di pagamento.

Portabilità dei dati e cambio di fornitore

In caso di passaggio a un nuovo fornitore, il regolamento richiede la piena portabilità dei dati. Il precedente fornitore deve consegnare al nuovo fornitore, prima della risoluzione del contratto, una copia aggiornata di tutti i dati del repertorio primario e trasferire senza ritardo gli aggiornamenti successivi. Il contratto deve prevedere un piano di transizione che assicuri la continuità operativa fino a quando il nuovo fornitore diventa operativo. Dopo la consegna, il precedente fornitore non può trattenere dati, informazioni o altro materiale necessario al repertorio.

Legge applicabile, foro e entrata in vigore

Il contratto è disciplinato dalla legge di uno Stato membro dell'Unione europea e sottoposto alla giurisdizione di uno Stato membro, secondo quanto convenuto dalle parti. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea ed è direttamente applicabile in tutti gli Stati membri.