Regolamento (UE) 2023/2854

Regolamento (UE) 2023/2854 sui dati

Il regolamento istituisce un quadro orizzontale per l'accesso equo, l'utilizzo e la condivisione dei dati nell'Unione, con particolare attenzione ai dati generati da prodotti connessi, servizi correlati e servizi di trattamento dei dati. La logica di fondo è quella di riequilibrare la posizione contrattuale degli utenti, favorire la concorrenza e l'innovazione e ridurre gli ostacoli alla circolazione dei dati, preservando al contempo protezione dei dati personali, segreti commerciali, proprietà intellettuale e sicurezza.

Finalità e coordinamento con altri atti dell'Unione

Il regolamento nasce dall'esigenza di superare la frammentazione del mercato dei dati e di rendere disponibili dati di qualità per usi secondari, servizi post-vendita, manutenzione, innovazione e sviluppo di nuovi modelli di business. Il testo chiarisce espressamente che non attribuisce ai titolari dei dati un nuovo diritto sui dati generati dall'uso dei prodotti connessi e che deve essere letto in modo coerente con GDPR, direttiva ePrivacy, norme sui consumatori, sui segreti commerciali, sulla proprietà intellettuale e con gli atti UE e nazionali in materia penale, doganale, fiscale, sicurezza nazionale e difesa.

Ambito soggettivo e definizioni chiave

L'articolo 2 introduce una serie ampia di definizioni operative: dati, metadati, prodotto connesso, servizio correlato, titolare dei dati, destinatario dei dati, dati prontamente disponibili, servizio di trattamento dei dati, passaggio, tariffe di uscita dei dati, equivalenza funzionale, contratto intelligente e altri concetti centrali. Il regolamento si applica ai fabbricanti di prodotti connessi immessi sul mercato dell'Unione, ai fornitori di servizi correlati, agli utenti nell'Unione, ai titolari dei dati che mettono dati a disposizione di destinatari nell'Unione, ai fornitori di servizi di trattamento dei dati e, in caso di necessità eccezionali, agli enti pubblici, alla Commissione, alla BCE e agli organismi dell'Unione.

Dati dei prodotti connessi e dei servizi correlati

Il capo II è la parte più caratteristica del regolamento. I prodotti connessi e i servizi correlati devono essere progettati e forniti in modo che i dati e i metadati necessari siano accessibili all'utente, gratuitamente, in formato leggibile da dispositivo automatico e, ove possibile, anche direttamente e in tempo reale. Prima della conclusione del contratto devono essere fornite informazioni dettagliate sul tipo e volume dei dati, sulle modalità di accesso, conservazione, cancellazione e uso, nonché sull'identità del titolare dei dati e sull'eventuale presenza di segreti commerciali.

Se l'utente non può accedere direttamente ai dati, il titolare dei dati deve metterli a disposizione senza ritardo indebito su semplice richiesta elettronica. L'utente può poi chiedere che i dati siano condivisi con un terzo di propria scelta, salvo i limiti relativi alla sicurezza, ai segreti commerciali, alla tutela dei dati personali e al divieto di usare i dati per sviluppare un prodotto connesso concorrente o per ottenere informazioni sulla posizione economica del fabbricante o del titolare dei dati.

Segreti commerciali, limitazioni e tutela dell'utente

Il regolamento non neutralizza la tutela dei segreti commerciali: il titolare dei dati deve individuarli e concordare misure tecniche e organizzative di riservatezza con l'utente o con il terzo, incluse clausole tipo, NDA e protocolli di accesso. In caso di mancato accordo o di violazione delle misure concordate, la condivisione può essere bloccata o sospesa; in circostanze eccezionali, il rifiuto può essere opposto se la divulgazione causerebbe con elevata probabilità un grave danno economico.

Per i dati personali, il regolamento non costituisce base giuridica autonoma: l'accesso e la condivisione sono possibili solo se esiste una valida base ai sensi dell'articolo 6 GDPR e, se del caso, delle condizioni per i dati particolari e della direttiva ePrivacy. Restano integri i diritti dell'interessato, compreso quello alla portabilità, e il regolamento prevede espressamente il ricorso ad anonimizzazione o pseudonimizzazione quando necessario.

Condivisione B2B e clausole abusive

Quando il titolare dei dati è tenuto a mettere dati a disposizione di un altro operatore in ambito business-to-business, il capo III impone condizioni eque, ragionevoli, non discriminatorie e trasparenti. Il compenso può includere costi tecnici e, in linea generale, un margine ragionevole; per PMI e organismi di ricerca senza fini di lucro, però, il compenso non può superare i costi direttamente connessi alla messa a disposizione dei dati. La Commissione dovrà adottare orientamenti sul calcolo del compenso ragionevole.

Il capo IV introduce una disciplina specifica delle clausole abusive imposte unilateralmente tra imprese in materia di accesso ai dati, uso dei dati, responsabilità e rimedi. Le clausole abusive non sono vincolanti e il regolamento elenca sia ipotesi di abusività in via assoluta sia ipotesi di presunzione di abusività, con onere della prova in capo alla parte che ha imposto la clausola. Il controllo riguarda solo le clausole relative alla messa a disposizione dei dati, non l'intero contratto né il prezzo in quanto tale.

Necessità eccezionali e richieste delle autorità pubbliche

Il capo V disciplina l'accesso ai dati da parte di enti pubblici e istituzioni UE in situazioni di necessità eccezionale. La nozione comprende, da un lato, le emergenze pubbliche e, dall'altro, situazioni non emergenziali ma strettamente limitate in cui servono dati non personali per un compito specifico di interesse pubblico previsto dalla legge e non ottenibile con altri mezzi. Le richieste devono essere scritte, specifiche, proporzionate, pubbliche online in linea di principio, motivate e corredate da indicazioni su finalità, durata, soggetti coinvolti, misure di protezione e base giuridica del compito pubblico.

I dati ricevuti non possono essere usati per scopi incompatibili con la richiesta, non possono essere impiegati per sviluppare prodotti o servizi in concorrenza con quelli del titolare dei dati e devono essere cancellati quando non più necessari. Per le emergenze pubbliche, i titolari diversi da micro e piccole imprese devono fornire i dati gratuitamente; negli altri casi è previsto un compenso equo, con regole specifiche per le statistiche ufficiali. Il capo prevede anche la possibilità di condividere i dati con ricercatori o istituti statistici, con limiti di lucro, riservatezza e conservazione temporanea.

Passaggio tra servizi cloud e riduzione del lock-in

Il capo VI è destinato a incidere in modo significativo sul mercato cloud. I fornitori di servizi di trattamento dei dati devono rimuovere gli ostacoli al passaggio verso altri fornitori o verso infrastrutture TIC locali e devono aiutare il cliente nel trasferimento dei dati esportabili e delle risorse digitali, garantendo continuità, sicurezza e, per alcuni servizi IaaS, equivalenza funzionale. Il contratto deve disciplinare chiaramente termini, preavvisi, periodi transitori, recupero dei dati, cancellazione finale, categorie di dati trasferibili ed eventuali esclusioni connesse ai segreti commerciali.

Il periodo transitorio ordinario per il passaggio è di massimo 30 giorni di calendario, ma può essere prorogato fino a un massimo di sette mesi se l'adempimento in 30 giorni è tecnicamente impossibile; il cliente ha comunque il diritto di prorogarlo una volta. Le tariffe di passaggio sono abolite dal 12 gennaio 2027; fino a tale data possono essere applicate solo tariffe ridotte e limitate ai costi diretti. Il regolamento prevede inoltre obblighi di trasparenza su giurisdizione e misure contro accessi governativi esteri ai dati non personali.

Interoperabilità e data spaces

Il capo VIII introduce requisiti essenziali di interoperabilità per dati, meccanismi e servizi di condivisione dei dati e per gli spazi comuni europei di dati. Le regole riguardano la descrizione del contenuto e delle limitazioni d'uso dei dati, la standardizzazione di strutture, formati, vocabolari e codici, i mezzi tecnici di accesso, le API e l'interoperabilità dei contratti intelligenti. La Commissione può promuovere norme armonizzate, adottare specifiche comuni come soluzione di ripiego e pubblicare i riferimenti delle norme in un archivio centrale UE.

Il regolamento contiene anche requisiti essenziali specifici per i contratti intelligenti usati per eseguire accordi di condivisione dei dati: robustezza, controllo accessi, possibilità di arresto e disattivazione, conservazione e verificabilità, e coerenza con l'accordo sottostante. Il venditore o l'operatore professionale che li implementa deve effettuare una valutazione di conformità e rilasciare dichiarazione UE di conformità.

Governance, reclami, sanzioni e assistenza reciproca

Gli Stati membri devono designare una o più autorità competenti e, se necessario, un coordinatore dei dati. Le autorità devono promuovere l'alfabetizzazione dei dati, trattare i reclami, svolgere indagini, cooperare transfrontalmente e applicare sanzioni effettive, proporzionate e dissuasive. Per i profili di protezione dei dati personali restano competenti le autorità GDPR, e per la Commissione, la BCE e gli organismi dell'Unione vigila il Garante europeo della protezione dei dati.

Sono previsti il diritto di presentare reclamo, il diritto a un ricorso giurisdizionale effettivo e la notifica alla Commissione delle sanzioni nazionali. La Commissione deve inoltre elaborare clausole contrattuali tipo non vincolanti per la condivisione dei dati e clausole standard non vincolanti per il cloud, utili soprattutto alle PMI.

Rapporti con altri atti e decorrenza

Il regolamento modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 per consentire cooperazione e azioni rappresentative in materia consumeristica. Il diritto 'sui generis' sulle banche dati di cui alla direttiva 96/9/CE non si applica ai dati ottenuti o generati da prodotti connessi e servizi correlati rientranti nel regolamento. L'applicazione generale decorre dal 12 settembre 2025, con scadenze specifiche: i nuovi obblighi di accessibilità per prodotti e servizi immessi sul mercato dopo il 12 settembre 2026, il regime B2B del capo III solo per obblighi che diventano applicabili dopo il 12 settembre 2025, il capo IV ai contratti conclusi dopo tale data e, per alcuni contratti preesistenti, dal 12 settembre 2027.

Valutazione futura

Entro il 12 settembre 2028 la Commissione deve presentare una valutazione completa dell'impatto del regolamento, con attenzione particolare alle necessità eccezionali, all'efficacia delle tariffe di passaggio e del meccanismo di enforcement, all'impatto su PMI, innovazione, segreti commerciali, interoperabilità, accesso ai dati e interazione con altri atti dell'Unione. Sulla base di tale valutazione la Commissione potrà proporre modifiche legislative.