IT Gazzetta ufficiale dell'Unione europea L 96/1

REGOLAMENTO DELEGATO (UE) 2018/573 DELLA COMMISSIONE

del 15 dicembre 2017

relativo agli elementi principali dei contratti di archiviazione dei dati conclusi nell'ambito di un sistema di tracciabilità per i prodotti del tabacco

(Testo rilevante ai fini del SEE)

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,

vista la direttiva 2014/40/UE del Parlamento europeo e del Consiglio, del 3 aprile 2014, sul ravvicinamento delle disposizioni legislative, regolamentari e amministrative degli Stati membri relative alla lavorazione, alla presentazione e alla vendita dei prodotti del tabacco e dei prodotti correlati e che abroga la direttiva 2001/37/CE (1), in particolare l'articolo 15, paragrafo 12,

considerando quanto segue:

(1) L'articolo 15, paragrafo 8, della direttiva 2014/40/UE impone a ogni fabbricante e importatore, nell'ambito del sistema di tracciabilità per i prodotti del tabacco ulteriormente specificato nel regolamento di esecuzione (UE) 2018/574 della Commissione (2), di concludere un contratto con un fornitore terzo indipendente allo scopo di ospitare le informazioni relative ai propri prodotti del tabacco. L'articolo 15, paragrafo 12, della direttiva 2014/40/UE conferisce alla Commissione il potere di definire gli elementi principali di tali contratti.

(2) Per assicurare l'efficace funzionamento del sistema di tracciabilità per i prodotti del tabacco in generale e l'interoperabilità del sistema di repertori in particolare, è opportuno definire gli elementi principali dei contratti di archiviazione dei dati al fine di includere specifiche relative all'operabilità, alla disponibilità e all'esecuzione dei servizi che devono essere prestati dai fornitori di servizi di archiviazione dei dati. Il funzionamento efficace e continuo del sistema di tracciabilità e del sistema di archiviazione dei dati che ne è parte rende necessaria la definizione, da parte dei fornitori, di prescrizioni chiare in materia di portabilità dei dati per i casi in cui un fabbricante o un importatore decida di cambiare fornitore. Per tale motivo i contratti dovrebbero comprendere disposizioni che impongano l'uso di tecnologie prontamente disponibili sul mercato e comunemente utilizzate nel settore per garantire un trasferimento dei dati efficace e ininterrotto tra i fornitori precedenti e i nuovi fornitori.

(3) Al fine di assicurare il necessario livello di flessibilità, dovrebbe essere possibile chiedere al fornitore di servizi di archiviazione dei dati di prestare, dietro pagamento di un compenso, servizi tecnici accessori collegati alla gestione del repertorio primario quali l'espansione della funzionalità operativa delle interfacce utente, purché i servizi aggiuntivi contribuiscano al corretto funzionamento del sistema di repertori e non violino le prescrizioni del regolamento di esecuzione (UE) 2018/574. Il contratto dovrebbe pertanto prevedere tale opzione.

(4) Per salvaguardare il funzionamento indipendente del sistema di tracciabilità in ogni momento, la Commissione dovrebbe poter revocare l'autorizzazione concessa a un fornitore di servizi di archiviazione dei dati con il quale è già stato concluso un contratto qualora la valutazione o il riesame della capacità tecnica o dell'indipendenza del fornitore dia un esito negativo per quanto concerne l'idoneità dello stesso.

(5) Al fine di assicurare l'organizzazione efficace del funzionamento quotidiano del sistema, i fornitori di repertori primari dovrebbero cooperare fra loro e con le autorità competenti degli Stati membri e la Commissione,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

Articolo 1

Oggetto

Il presente regolamento definisce gli elementi principali dei contratti di archiviazione dei dati di cui all'articolo 15, paragrafo 8, della direttiva 2014/40/UE.

Articolo 2

Definizioni

Ai fini del presente regolamento, in aggiunta alle definizioni di cui alla direttiva 2014/40/UE e al regolamento di esecuzione (UE) 2018/574 si applicano le seguenti definizioni:

1) «contratto»: un accordo contrattuale tra un fabbricante o un importatore di prodotti del tabacco e un fornitore di sistemi di archiviazione dei dati in conformità all'articolo 15, paragrafo 8, della direttiva 2014/40/UE e al regolamento di esecuzione (UE) 2018/574;

2) «fornitore»: qualunque persona giuridica con la quale un fabbricante o un importatore di prodotti del tabacco abbia concluso un contratto ai fini dell'istituzione e della gestione del proprio repertorio primario e dei servizi correlati;

3) «portabilità dei dati»: la capacità di spostare i dati da un repertorio a un altro tramite l'uso di tecnologie prontamente disponibili sul mercato e comunemente utilizzate nel settore.

Articolo 3

Responsabilità principali derivanti dal contratto

1. Il contratto specifica i servizi principali che devono essere prestati dal fornitore, che comprendono:

1) l'istituzione e la gestione di un repertorio primario in conformità all'articolo 26 del regolamento di esecuzione (UE) 2018/574;

2) nel caso in cui il gestore del repertorio primario sia designato come fornitore del repertorio secondario, l'istituzione e la gestione del repertorio secondario e del router, in conformità agli articoli 27, 28 e 29 del regolamento di esecuzione (UE) 2018/574;

3) la prestazione, su richiesta, di altri servizi tecnici accessori collegati alla gestione del repertorio primario che contribuiscano al corretto funzionamento del sistema di repertori.

2. Nel definire i servizi principali di cui al paragrafo 1, punti 1) e 2), il contratto contiene specifiche relative all'operabilità, alla disponibilità e all'esecuzione dei servizi che soddisfano le prescrizioni minime precisate nel presente regolamento e definite al capo V del regolamento di esecuzione (UE) 2018/574.

Articolo 4

Competenze tecniche

Il contratto impone ai fornitori di rilasciare al fabbricante o all'importatore una dichiarazione scritta nella quale attestano di possedere, o di avere a disposizione, le competenze tecniche e operative necessarie per prestare i servizi di cui all'articolo 3 e per soddisfare le prescrizioni di cui al capo V del regolamento di esecuzione (UE) 2018/574.

Articolo 5

Disponibilità del repertorio primario

1. Il contratto specifica una disponibilità e un tempo di attività mensile garantiti del 99,5 % per il repertorio primario.

2. Il contratto impone al fornitore di prevedere adeguati meccanismi di back-up per evitare la perdita di dati archiviati, ricevuti o trasferiti nel momento in cui il repertorio primario diventi non disponibile.

Articolo 6

Diritti di accesso

Il contratto specifica le condizioni alle quali l'accesso fisico e virtuale al repertorio primario, a livello di server e banca dati, può essere concesso agli amministratori nazionali degli Stati membri, alla Commissione e ai revisori esterni designati, in conformità all'articolo 25 del regolamento di esecuzione (UE) 2018/574.

Articolo 7

Subappalto

1. Qualora il contratto specifichi che il fornitore può subappaltare alcuni obblighi previsti dal contratto stesso, esso contiene una disposizione in cui è precisato che il subappalto non incide sulla responsabilità primaria del fornitore per l'esecuzione del contratto.

2. Il contratto impone inoltre al fornitore:

a) di assicurare che il subappaltatore proposto disponga delle necessarie competenze tecniche e soddisfi le prescrizioni di indipendenza di cui all'articolo 35 del regolamento di esecuzione (UE) 2018/574;

b) di presentare alla Commissione una copia della dichiarazione di cui all'articolo 8 del presente regolamento, firmata dai pertinenti subappaltatori.

Articolo 8

Indipendenza giuridica e finanziaria

Il contratto impone ai fornitori e, se del caso, ai loro subappaltatori di rilasciare al fabbricante o all'importatore, unitamente al contratto di archiviazione dei dati, una dichiarazione scritta nella quale attestano di soddisfare le prescrizioni di indipendenza giuridica e finanziaria di cui all'articolo 35 del regolamento di esecuzione (UE) 2018/574.

Articolo 9

Protezione dei dati e riservatezza

1. Il contratto specifica che il fornitore adotta tutte le misure adeguate necessarie per assicurare la riservatezza, l'integrità e la disponibilità di tutti i dati archiviati nell'esecuzione del contratto. Tali misure comprendono controlli di sicurezza amministrativi, tecnici e fisici.

2. Il contratto prevede che il trattamento dei dati personali nell'ambito del contratto stesso sia effettuato in conformità alla direttiva 95/46/CE del Parlamento europeo e del Consiglio (3).

Articolo 10

Gestione della sicurezza delle informazioni

Il contratto impone ai fornitori di dichiarare che il repertorio primario e, se del caso, il repertorio secondario sono gestiti in conformità alle norme riconosciute a livello internazionale in materia di gestione della sicurezza delle informazioni. I fornitori certificati ISO/IEC 27001:2013 sono considerati conformi a tali norme.

Articolo 11

Costi

Il contratto prevede che i costi addebitati dai fornitori ai fabbricanti o agli importatori in conformità all'articolo 30 del regolamento di esecuzione (UE) 2018/574 siano equi, ragionevoli e proporzionati:

a) ai servizi prestati e

b) al numero di identificativi univoci richiesti dal fabbricante o dall'importatore in questione nell'arco di un determinato periodo di tempo.

Articolo 12

Partecipazione al sistema del repertorio secondario

1. Il contratto impone al fornitore di partecipare all'istituzione del sistema del repertorio secondario (qualora il sistema secondario non sia ancora stato istituito alla data della conclusione del contratto), ove necessario, in conformità alle disposizioni di cui al capo V del regolamento di esecuzione (UE) 2018/574.

2. Il contratto contiene una disposizione che consente ai fornitori di rivalersi sui fabbricanti e sugli importatori di prodotti del tabacco per recuperare i costi connessi all'istituzione, alla gestione e alla manutenzione del repertorio secondario e del router di cui al capo V del regolamento di esecuzione (UE) 2018/574.

Articolo 13

Durata

La durata del contratto è fissata a un minimo di cinque anni con possibilità di rinnovo previo accordo delle parti e a condizione che sia mantenuta la conformità del fornitore alle prescrizioni della direttiva 2014/40/UE e del regolamento di esecuzione (UE) 2018/574.

Articolo 14

Comunicazione con altri soggetti

Il contratto impone ai fornitori di cooperare fra loro e con le autorità competenti degli Stati membri nella misura necessaria ad assicurare l'organizzazione efficace del funzionamento quotidiano del sistema di repertori.

Articolo 15

Verifiche

1. Il contratto stabilisce termini che consentono ai revisori esterni autorizzati dalla Commissione, in conformità all'articolo 15, paragrafo 8, della direttiva 2014/40/UE, di effettuare verifiche con o senza preavviso in relazione al repertorio primario e, se del caso, al repertorio secondario, compresa una valutazione della conformità del fornitore e, se del caso, dei subappaltatori alle pertinenti prescrizioni legislative.

2. Il contratto specifica che ai revisori esterni è concesso l'accesso fisico e virtuale illimitato al repertorio primario e, se del caso, al repertorio secondario, e ai servizi correlati per l'intera durata della verifica.

Articolo 16

Responsabilità

Il contratto stabilisce termini che precisano la responsabilità delle parti, anche per quanto riguarda eventuali danni diretti e indiretti nell'ambito del contratto, in conformità alla normativa applicabile. Fatta salva la normativa applicabile, il contratto precisa inoltre che non esiste alcuna limitazione di responsabilità in caso di violazione dell'obbligo di riservatezza o delle norme in materia di protezione dei dati.

Articolo 17

Risoluzione del contratto

1. Il contratto stabilisce i termini per la risoluzione del contratto stesso, in conformità alla normativa applicabile. In caso di risoluzione, esso impone alla parte che risolve il contratto di darne notifica alla Commissione, in conformità alle prescrizioni procedurali di cui all'allegato I del regolamento di esecuzione (UE) 2018/574.

2. Il contratto impone alle parti di prevedere un periodo minimo di preavviso di cinque mesi per la risoluzione del contratto.

In deroga al primo comma, il contratto impone ai fabbricanti e agli importatori di risolvere immediatamente il contratto:

a) in caso di grave violazione, da parte del fornitore, degli obblighi derivanti dal contratto;

b) in caso di insolvenza, o di esistenza di un rischio immediato di insolvenza, del fornitore ai sensi della normativa applicabile.

3. Ai fini del paragrafo 2, lettera a), le gravi violazioni comprendono:

a) la mancata osservanza, da parte del fornitore, degli obblighi o la mancata prestazione, da parte del fornitore, di servizi previsti dal contratto ed essenziali all'efficace funzionamento del sistema di tracciabilità, compresa in particolare la mancata conformità alle prescrizioni di cui al capo V del regolamento di esecuzione (UE) 2018/574;

b) la cessazione della conformità, da parte del fornitore, alle prescrizioni di indipendenza giuridica e finanziaria di cui all'articolo 35, paragrafo 2, del regolamento di esecuzione (UE) 2018/574 e il mancato ripristino della conformità alle prescrizioni alla scadenza del periodo di cui all'articolo 35, paragrafo 6, del regolamento di esecuzione (UE) 2018/574.

Articolo 18

Sospensione dei servizi

Il contratto precisa che è vietata la sospensione dei servizi in caso di ritardo nei pagamenti al fornitore da parte di un fabbricante o di un importatore, a meno che il ritardo superi il termine ultimo per il pagamento di almeno trenta giorni.

Articolo 19

Portabilità dei dati

1. Il contratto impone ai fornitori di assicurare la piena portabilità dei dati qualora un fabbricante o un importatore concluda un contratto con un nuovo fornitore per la gestione del proprio repertorio primario. Il fornitore precedente consegna al nuovo fornitore, prima della data di risoluzione del contratto, una copia aggiornata di tutti i dati archiviati nel repertorio primario. Eventuali aggiornamenti dei dati dopo tale consegna sono trasferiti al nuovo fornitore senza indebito ritardo.

2. Al fine di assicurare la continuità operativa, il contratto comprende un piano applicabile che stabilisce la procedura da seguire qualora il contratto venga risolto e sia concluso un contratto tra un nuovo fornitore e il fabbricante o l'importatore. Il piano comprende la prescrizione che il fornitore precedente continui a prestare i propri servizi fino a quando il nuovo fornitore non diventa operativo.

3. Il contratto contiene disposizioni che assicurano che il fornitore precedente non abbia alcun diritto di ritenzione di dati, informazioni o altro materiale necessario relativi al repertorio primario dopo che questi sono stati consegnati al nuovo fornitore.

Articolo 20

Legge applicabile e foro competente

1. Il contratto è disciplinato dalle leggi di uno degli Stati membri dell'Unione europea, come convenuto dalle parti del contratto.

2. Il contratto è sottoposto alla competenza giurisdizionale di uno degli Stati membri dell'Unione europea, come convenuto dalle parti del contratto.

Articolo 21

Entrata in vigore

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Fatto a Bruxelles, il 15 dicembre 2017. Per la Commissione Il presidente Jean-Claude JUNCKER

(1) GU L 127 del 29.4.2014, pag. 1.

(2) Regolamento di esecuzione (UE) 2018/574 della Commissione, del 15 dicembre 2017, sulle norme tecniche per l'istituzione e il funzionamento di un sistema di tracciabilità per i prodotti del tabacco (cfr. pagina 7 della presente Gazzetta ufficiale).

(3) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).