Regolamento (UE) 2025/2050

Regolamento delegato (UE) 2025/2050 sulla condivisione dei dati con ricercatori abilitati

Il regolamento delegato attua e completa l’articolo 40 del regolamento (UE) 2022/2065 (Digital Services Act), fissando condizioni tecniche e procedure uniformi per consentire ai ricercatori abilitati di accedere ai dati detenuti da piattaforme online di dimensioni molto grandi e motori di ricerca online di dimensioni molto grandi. La finalità dichiarata è consentire lo studio dei rischi sistemici nell’Unione e la valutazione dell’efficacia delle misure di mitigazione, garantendo al tempo stesso sicurezza, riservatezza, tutela dei segreti commerciali e protezione dei dati personali.

Ambito e struttura del meccanismo di accesso

Il regolamento si applica ai fornitori di dati designati ai sensi dell’articolo 33, paragrafo 4, del DSA, ai coordinatori dei servizi digitali e ai ricercatori coinvolti nel processo di accesso ai dati. Il meccanismo si articola in più fasi: presentazione della domanda di accesso, valutazione da parte del coordinatore del luogo di stabilimento, eventuale formulazione di una richiesta motivata, eventuali richieste di modifica del fornitore di dati, possibile mediazione e, infine, fornitura dei dati al ricercatore abilitato.

Portale di accesso ai dati e interoperabilità con AGORA

La Commissione istituisce e ospita un portale dedicato, concepito come punto centrale digitale per il processo di accesso ai dati. Il portale serve per la gestione delle informazioni, gli scambi tra le parti e la pubblicazione di sintesi e panoramiche del procedimento; non costituisce però la modalità sostanziale di accesso ai dati stessi. Il portale è interoperabile con AGORA, il sistema di condivisione delle informazioni istituito dal regolamento di esecuzione (UE) 2024/607, così da evitare duplicazioni informative per i coordinatori dei servizi digitali.

Ruoli privacy e trattamento dei dati personali nel portale

Il regolamento distingue il ruolo della Commissione, quale responsabile del trattamento per il portale, da quello dei coordinatori dei servizi digitali, qualificati come titolari distinti per i trattamenti effettuati nel quadro della gestione del processo e della pubblicazione delle informazioni. Il trattamento è limitato a quanto proporzionato e necessario, riguarda solo specifiche categorie di interessati e di dati, e deve essere effettuato mediante infrastrutture situate nello Spazio economico europeo. L’allegato dettaglia anche le responsabilità della Commissione in materia di sicurezza, sub-responsabili, conservazione, cancellazione e misure organizzative e tecniche.

Obblighi di informazione, punti di contatto e cataloghi dei dati

Ciascun coordinatore dei servizi digitali e ciascun fornitore di dati deve istituire un punto di contatto dedicato. I loro recapiti devono essere comunicati alla Commissione, che li pubblica nel portale. I coordinatori rendono inoltre disponibili sulla propria interfaccia online le informazioni sul processo e il link al portale. I fornitori di dati devono pubblicare anche un catalogo dei dati del regolamento sui servizi digitali, contenente la descrizione delle risorse di dati accessibili, della loro struttura e dei metadati, nonché le modalità di accesso suggerite. Tali informazioni vanno aggiornate periodicamente, in particolare alla luce delle valutazioni annuali dei rischi ex articolo 34 e delle revisioni ex articolo 37 del DSA.

Domanda di accesso ai dati: prerequisiti e termine di valutazione

Il coordinatore dei servizi digitali del luogo di stabilimento dispone di 80 giorni lavorativi dalla presentazione della domanda per decidere se formulare una richiesta motivata. La domanda deve contenere elementi puntuali per dimostrare che ogni ricercatore richiedente appartiene a un organismo di ricerca, è indipendente da interessi commerciali e si impegna a rendere pubblici gratuitamente i risultati della ricerca. Devono inoltre essere forniti dati sul finanziamento del progetto, sulla descrizione dei dati richiesti, sul loro formato e sulla loro necessità e proporzionalità, sui rischi per riservatezza, sicurezza e protezione dei dati personali, sulle misure di mitigazione e sulle attività di ricerca da svolgere. È richiesta anche una sintesi della domanda, utile per la futura pubblicazione della panoramica della richiesta motivata.

Determinazione delle modalità di accesso

Nella richiesta motivata il coordinatore stabilisce le modalità tecniche, giuridiche e organizzative con cui il fornitore di dati dovrà rendere accessibili i dati. La valutazione è caso per caso e deve considerare la sensibilità dei dati, i diritti e gli interessi dei fornitori e dei destinatari del servizio, la riservatezza, i segreti commerciali e la sicurezza del servizio. Quando sono coinvolti dati personali, il coordinatore deve considerare anche l’eventuale DPIA, le misure di sicurezza, le politiche di conservazione e distruzione, i rapporti contrattuali tra le parti, la formazione dei ricercatori e la necessità di ambienti di trattamento sicuri. Il coordinatore può consultare le autorità di controllo competenti ai sensi del GDPR.

Richiesta motivata, pubblicazione e trasferimenti verso paesi terzi

La richiesta motivata deve indicare almeno il termine entro cui l’accesso deve essere concesso e quello di cessazione, le modalità di accesso prescelte e la sintesi della domanda. Può includere anche i nominativi e i recapiti dei ricercatori abilitati, se necessari per l’esecuzione dell’accesso. Se l’accesso comporta trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali, la richiesta deve richiamare la necessità di un meccanismo di trasferimento adeguato ai sensi del capo V del GDPR. Dopo la formulazione della richiesta, il coordinatore pubblica nel portale una panoramica della decisione, aggiornata in caso di modifiche o mediazione.

Richieste di modifica e mediazione

Il fornitore di dati può presentare una richiesta di modifica ai sensi dell’articolo 40, paragrafo 5, del DSA. Il coordinatore valuta, a seconda del fondamento invocato, se la mancata disponibilità dei dati o le vulnerabilità siano effettivamente comprovate, se il problema sia permanente o temporaneo e se le modalità di accesso possano mitigare il rischio. Può chiedere informazioni integrative, senza alterare i termini decisionali previsti dal DSA. Se non concorda con la decisione, il fornitore può chiedere la mediazione entro cinque giorni lavorativi. La mediazione è volontaria per il coordinatore, deve essere avviata entro 20 giorni lavorativi e concludersi entro 40 giorni lavorativi; il mediatore deve essere indipendente e competente, e i costi sono posti a carico del fornitore di dati. L’esito viene registrato in AGORA e, se si raggiunge un accordo, la richiesta motivata può essere adeguata di conseguenza.

Consultazione di esperti e supporto all’istruttoria

Prima di formulare la richiesta motivata o di decidere su una richiesta di modifica, il coordinatore può consultare esperti indipendenti, imparziali e dotati di competenze specifiche. Essi devono dichiarare l’assenza di legami finanziari o personali, di interessi nell’esito e di conflitti di interesse. Le consultazioni e i pareri sono registrati in AGORA, anche per favorire la continuità e la coerenza delle prassi.

Fornitura dei dati e obblighi del fornitore di dati

Una volta reso disponibile l’accesso, il fornitore di dati deve notificarlo al coordinatore entro tre giorni lavorativi, e comunicare entro lo stesso termine anche la cessazione dell’accesso. Deve mettere a disposizione la documentazione necessaria per comprendere i dati, come codebooks, changelogs e documentazione architetturale. Non può imporre ai ricercatori vincoli sugli strumenti analitici standard né obblighi di archiviazione, conservazione, aggiornamento o cancellazione, salvo che siano espressamente previsti nella richiesta motivata. Se sono trattati dati personali, non possono essere imposte condizioni ulteriori rispetto a quelle già fissate nella richiesta motivata.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Il testo è adottato in forma di regolamento delegato della Commissione e si coordina con il DSA, con il GDPR, con il regolamento (UE) 2018/1725 e con il regolamento (UE) 2022/868, oltre che con il regolamento di esecuzione (UE) 2024/607.