Il Consiglio UE ha adottato il nuovo regolamento sui dati, o Data Act, contenente norme armonizzate su accesso equo ai dati, utilizzo, riutilizzo e condivisione dei dati.
Il Data Act si inserisce nel contesto della strategia europea per i dati della Commissione del febbraio 2020, il cui obiettivo è creare un’economia europea basata sui dati solida ed equa. Tale strategia ha previsto l’adozione di due fondamentali iniziative legislative europee: la prima, consolidatasi nel Data Governance Act, avente l’obiettivo di creare i processi e le strutture adeguate per facilitare la condivisione di dati da parte di persone fisiche e giuridiche, incluso nel settore pubblico; la seconda, finalizzata all’adozione del Data Act, volta a chiarire quali soggetti, a determinate condizioni, possono accedere ai dati generati nell’UE, utilizzarli e da essi creare valore. Lo scopo è introdurre nell’UE servizi innovativi e competitivi, in particolar modo per ciò che concerne il settore dell’Internet of Things (IoT).
Attraverso la proliferazione di prodotti connessi ad Internet, le tecnologie hanno trasformato tutti i settori economici. Ciò ha comportato l’aumento del volume e del valore dei dati per i consumatori, per le imprese e per la società. Le istituzioni europee hanno perciò rivolto particolare attenzione alla necessità di garantire l’utilizzo, il riutilizzo e l’interoperabilità di questi dati. A tal proposito, come sottolineato dal Consiglio UE, il Data Act impone ai fabbricanti e ai fornitori di servizi l’obbligo di consentire ai loro utenti, siano essi imprese o privati, di accedere ai dati generati dall’uso dei loro prodotti o servizi (dalle macchine da caffè alle turbine eoliche) e di riutilizzarli. Il Data Act permette agli utenti anche di condividere tali dati con terzi (ad esempio, i proprietari di automobili potrebbero scegliere in futuro di condividere determinati dati del veicolo con un meccanico o con la loro compagnia di assicurazione).
Il Data Act, pertanto, va a definire una normativa armonizzata a livello europeo su:
- la messa a disposizione dei dati di un prodotto connesso e di un servizio collegato all’utente;
- la messa a disposizione dei dati da parte dei titolari ai relativi destinatari;
- la messa a disposizione dei dati da parte dei titolari agli enti pubblici, alla Commissione, alla BCE e agli organismi dell’UE, qualora vi sia una necessità eccezionale, per finalità di pubblico interesse;
- la facilitazione del passaggio dei dati da un servizio di trattamento dei dati ad un altro;
- l’introduzione di misure di tutela e salvaguardia contro l’accesso illecito ai dati non personali;
- l’elaborazione e lo sviluppo di standards di interoperabilità per l’accesso, l’utilizzo ed il trasferimento dei dati.
L’obiettivo principale è garantire che gli utenti di un prodotto connesso o di un servizio collegato nell’UE (da elettrodomestici intelligenti a macchine industriali intelligenti) possano accedere tempestivamente ai dati generati dall’uso di tale prodotto o servizio ed utilizzare i relativi dati, anche condividendoli con terze parti. Detto scopo è ottenibile attraverso l’introduzione di specifici obblighi a carico dei titolari dei dati, che saranno quindi tenuti a mettere i dati a disposizione dei destinatari nell’UE, secondo termini e condizioni equi, ragionevoli e non discriminatori e modalità che garantiscano il rispetto del principio di trasparenza.
Con “prodotto connesso (connected product)” si intende un oggetto che ottiene, genera o raccoglie dati relativi al suo utilizzo o al suo ambiente e che è in grado di comunicare i dati del prodotto tramite un servizio di comunicazione elettronica, una connessione fisica o un accesso al dispositivo, e la cui funzione principale non è la memorizzazione, l’elaborazione o la trasmissione di dati per conto di una parte diversa dall’utente. Con “servizio collegato (related service)” si intende, invece, un servizio digitale, diverso da un servizio di comunicazione elettronica, incluso il software, che è collegato al prodotto al momento dell’acquisto, del noleggio o del leasing in modo tale che la sua assenza impedirebbe al prodotto connesso di eseguire una o più delle sue funzioni, o che è successivamente collegato al prodotto dal produttore o da un terzo per aggiungere, aggiornare o adattare le funzioni del prodotto connesso (articolo 2 del Data Act).
Il Data Act introduce varie importanti previsioni. Tra queste rientrano non solo quelle volte a garantire un livello adeguato di protezione dei segreti commerciali e dei diritti di proprietà intellettuale, ma anche misure rilevanti in ambito contrattuale, finalizzate ad impedire l’abuso di squilibri contrattuali che ostacolerebbero l’accesso ai dati ed il loro uso equo. Tra di esse, si possono menzionare misure che hanno lo scopo di:
- consentire ad un consumatore di passare da un fornitore di servizi cloud ad un altro in maniera semplice ed agevole e di essere protetto da trasferimenti illeciti di dati, auspicando la possibilità, per il futuro, di avere a disposizione un servizio post-vendita di determinati dispositivi più efficiente ed economico (Capitolo II del Data Act). Viene inoltre introdotto l’obbligo da parte del venditore/rentor/lessor (il quale potrebbe essere anche il produttore) di un prodotto connesso, e da parte del fornitore di un servizio collegato, di fornire al consumatore informazioni chiare e comprensibili prima della conclusione dei relativi contratti di acquisto, noleggio o leasing di un prodotto connesso, o di fornitura di un servizio collegato;
- prevedere che possa essere concordato, nei rapporti tra imprese, un compenso non discriminatorio e ragionevole per la messa a disposizione dei dati, quando per i titolari dei dati è previsto l’obbligo di mettere i dati a disposizione di un destinatario ai sensi del diritto dell’UE (Capitolo III del Data Act). L’obiettivo è di promuovere investimenti continui nella messa a disposizione dei dati e di evitare oneri eccessivi sull’accesso e sull’uso dei dati che rischierebbero di rendere la condivisione dei dati non più redditizia. In ogni caso, tale compenso non deve essere inteso come un pagamento per i dati stessi;
- proteggere il contraente debole da clausole contrattuali abusive imposte dalla parte che si trova in una posizione negoziale più forte (Capitolo IV del Data Act). In tale caso, si stabilisce che una clausola contrattuale relativa all’accesso e all’utilizzo dei dati, o alla responsabilità e ai rimedi per la violazione o la cessazione degli obblighi relativi ai dati, che sia stata imposta unilateralmente da un’impresa ad un’altra impresa, non sia vincolante per quest’ultima se è abusiva. Il Data Act, a tal proposito, introduce anche un elenco di clausole che sono sempre considerate abusive ed un elenco di clausole che si presumono abusive. Come evidenziato nei Considerando, le clausole elencate come clausole contrattuali abusive nel regolamento sui dati dovrebbero servire come parametro per interpretare la clausola generale di abusività.
Ciò che assume particolare rilevanza nel Data Act è l’esigenza di facilitare il passaggio da un servizio di elaborazione dei dati all’altro, per esempio ricomprendendovi tutte quelle azioni necessarie affinché i clienti di un fornitore di servizi di trattamento dei dati possano, tra l’altro, concludere uno o più nuovi contratti con diversi fornitori di servizi di trattamento dei dati (Capitolo VI del Data Act). Rilevante è anche l’interoperabilità dei dati, che va garantita attraverso il rispetto di determinati requisiti essenziali (Capitolo VIII del Data Act).
Infine, nei mesi successivi all’entrata in vigore del Data Act, la Commissione elaborerà e raccomanderà clausole contrattuali standard non vincolanti sull’accesso e l’utilizzo dei dati, comprese le clausole relative a un compenso ragionevole e alla protezione dei segreti commerciali, e clausole contrattuali standard non vincolanti per i contratti di cloud computing (articolo 41).
Dopo l’adozione formale da parte del Consiglio, il Data Act sarà pubblicato nella Gazzetta ufficiale dell’UE ed entrerà in vigore il ventesimo giorno dopo la pubblicazione. Il Data Act sarà applicabile dopo 20 mesi dalla data di entrata in vigore.
Su un medesimo argomento, potrebbe interessarti anche “Approvato il Data Act, cosa cambia per la tutela dei trade secrets”.
