COMMISSIONE EUROPEA Bruxelles, 23.2.2022 COM(2022) 68 final 2022/0047(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO riguardante norme armonizzate sull'accesso equo ai dati e sul loro utilizzo

(normativa sui dati) (Testo rilevante ai fini del SEE) {SEC(2022) 81 final} - {SWD(2022) 34 final} - {SWD(2022) 35 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta La presente relazione accompagna la proposta di regolamento riguardante norme armonizzate sull'accesso equo ai dati e sul relativo utilizzo (normativa sui dati). I dati sono una componente fondamentale dell'economia digitale e una risorsa essenziale per garantire le transizioni verde e digitale. Negli ultimi anni il volume di dati generato dagli esseri umani e dalle macchine è aumentato in modo esponenziale, ma la maggior parte di tali dati è inutilizzata, o il loro valore è concentrato nelle mani di un numero relativamente limitato di grandi società. Scarsa fiducia, incentivi economici contrastanti e ostacoli tecnologici impediscono di concretizzare appieno le potenzialità offerte dall'innovazione basata sui dati. È quindi essenziale sfruttare tali potenzialità fornendo opportunità di riutilizzo dei dati e rimuovendo gli ostacoli allo sviluppo dell'economia dei dati europea, nel pieno rispetto delle norme e dei valori europei, e in linea con l'impegno di ridurre il divario digitale in modo che tutti possano beneficiare di tali opportunità. Garantire un maggiore equilibrio nella distribuzione del valore dei dati al ritmo della nuova ondata di dati industriali non personali e della proliferazione di prodotti connessi all'internet delle cose significa avere enormi possibilità di stimolare un'economia dei dati sostenibile in Europa. Per cogliere le opportunità offerte dall'era digitale attuale, un prerequisito fondamentale è la regolamentazione dell'accesso ai dati e del relativo utilizzo. Negli orientamenti politici per la Commissione 2019-2024, la presidente della Commissione, Ursula von der Leyen, ha affermato che l'Europa deve "equilibrare il flusso e l'ampio uso dei dati tutelando al contempo alti livelli di privacy, sicurezza, protezione e norme etiche". Il programma di lavoro della Commissione per il 2020 ha stabilito diversi obiettivi strategici, tra cui la strategia europea in materia di dati, adottata nel febbraio 2020, che mira a creare un mercato unico dei dati autentico e a fare dell'UE un leader mondiale dell'economia agile basata sui dati. Per questo motivo la normativa sui dati è un pilastro fondamentale e la seconda iniziativa più importante annunciata nella strategia in materia di dati. La normativa contribuisce in particolare alla creazione di un quadro di governance intersettoriale per l'accesso ai dati e il relativo utilizzo, disciplinando materie che riguardano le relazioni tra gli operatori dell'economia dei dati, al fine di fornire incentivi per la condivisione orizzontale dei dati tra i vari settori. Nelle sue conclusioni del 21 e 22 ottobre 2021, il Consiglio europeo ha sottolineato "l'importanza di compiere rapidi progressi in relazione a iniziative esistenti e future, in particolare: valorizzare i dati in Europa, in particolare attraverso un quadro normativo globale che favorisca l'innovazione, agevoli una migliore portabilità dei dati nonché un accesso equo agli stessi e garantisca l'interoperabilità". Il 25 marzo 2021 il Consiglio europeo ha ribadito l'importanza di sfruttare meglio il potenziale dei dati e delle tecnologie digitali a vantaggio della società e dell'economia. Nella riunione straordinaria del 1º e del 2 ottobre 2020 ha sottolineato "la necessità di rendere più facilmente accessibili dati di elevata qualità e di promuovere e consentire una migliore condivisione e messa in comune dei dati, nonché l'interoperabilità". Per quanto riguarda i servizi cloud, il 15 ottobre 2020 gli Stati membri dell'UE hanno adottato all'unanimità una dichiarazione congiunta sulla creazione del cloud di prossima generazione per le imprese e il settore pubblico nell'UE. A tal fine sarebbe necessaria un'offerta di servizi cloud dell'UE di prossima generazione che raggiunga, ad esempio, gli standard più elevati quanto a portabilità e interoperabilità. Nella sua risoluzione del 25 marzo 2021 su una strategia europea per i dati, il Parlamento europeo ha esortato la Commissione a presentare una legge sui dati per incoraggiare e consentire in tutti i settori un flusso di dati più ampio ed equo, da impresa a impresa, dall'impresa alla pubblica amministrazione, dalla pubblica amministrazione all'impresa e da pubblica amministrazione a pubblica amministrazione. Nella medesima risoluzione il Parlamento europeo ha inoltre posto l'accento sulla necessità di creare spazi comuni europei di dati al fine della libera circolazione dei dati non personali attraverso le frontiere e i settori e tra le imprese, il mondo accademico, i portatori di interessi pertinenti e il settore pubblico. In quest'ottica, ha esortato la Commissione a chiarire i diritti di utilizzo, in particolare in contesti da impresa a impresa e da impresa a pubblica amministrazione. Ha sottolineato che gli squilibri di mercato derivanti dalla concentrazione dei dati limitano la concorrenza, aumentano le barriere di ingresso al mercato e riducono un più ampio accesso ai dati e il loro utilizzo. Nella sua risoluzione il Parlamento europeo ha inoltre posto in evidenza che gli accordi contrattuali in contesti da impresa a impresa non garantiscono necessariamente alle PMI un accesso adeguato ai dati, a causa delle asimmetrie nel potere negoziale o nelle conoscenze. Il Parlamento europeo ha pertanto sottolineato la necessità che i contratti stabiliscano obblighi e responsabilità chiari relativamente all'accesso, al trattamento, alla condivisione e all'archiviazione dei dati, al fine di limitarne l'uso improprio. Il Parlamento europeo ha di conseguenza invitato la Commissione e gli Stati membri dell'UE ad analizzare i diritti e gli obblighi degli operatori relativamente all'accesso ai dati che hanno contribuito a generare e a migliorare la loro consapevolezza, in particolare per quanto concerne il diritto di accesso ai dati, il diritto di portabilità nonché il diritto di chiedere ad un'altra parte di cessare l'utilizzo dei suddetti dati, di correggerli o cancellarli, identificando nel contempo i titolari e definendo la natura di tali diritti. Per quanto riguarda la condivisione dei dati tra impresa e pubblica amministrazione, il Parlamento europeo ha invitato la Commissione a definire le circostanze, le condizioni e gli incentivi in base a cui il settore privato dovrebbe essere obbligato a condividere i dati con il settore pubblico, per esempio in ragione della necessità di tali dati per l'organizzazione di servizi pubblici basati sui dati, e ad esaminare anche i regimi di condivisione obbligatoria di dati tra impresa e pubblica amministrazione, per esempio in casi di forza maggiore. In tale contesto, la Commissione presenta una proposta di normativa sui dati con l'intento di garantire un'equa ripartizione del valore dei dati tra gli operatori dell'economia dei dati e di promuovere l'accesso ai dati e il relativo utilizzo. La proposta contribuirà a conseguire i seguenti obiettivi strategici più ampi: garantire che le imprese dell'UE in tutti i settori siano in grado di innovare ed essere competitive, dotare i cittadini degli strumenti necessari per gestire efficacemente i propri dati e fornire alle imprese e agli enti pubblici un meccanismo proporzionato e prevedibile per affrontare le principali sfide strategiche e sociali, comprese le emergenze pubbliche e altre situazioni eccezionali. Le imprese potranno facilmente trasferire i propri dati e altre risorse digitali da un fornitore di servizi cloud e di altri servizi di trattamento dei dati ad altri suoi concorrenti. La condivisione dei dati nell'ambito di un settore dell'economia e tra un settore e l'altro richiede un quadro di misure procedurali e legislative in materia di interoperabilità che rafforzi la fiducia e migliori l'efficienza. La creazione di spazi comuni europei di dati per i settori strategici dell'economia e i settori di interesse pubblico contribuirà a creare un autentico mercato interno dei dati che consentirà la condivisione e l'utilizzo dei dati in tutti i settori. Il presente regolamento contribuisce sia a tali quadri e infrastrutture di governance sia alla condivisione dei dati al di fuori degli spazi di dati. Di seguito sono sintetizzati gli obiettivi specifici della proposta. –Facilitare l'accesso ai dati e il relativo utilizzo da parte dei consumatori e delle imprese, preservando nel contempo gli incentivi a investire in modalità di generazione del valore grazie ai dati. A tal fine sono necessari tra l'altro maggiore certezza del diritto in merito alla condivisione dei dati ottenuti o generati dall'uso di prodotti o di servizi correlati, e l'attuazione di norme che garantiscano l'equità nei contratti di condivisione dei dati. La proposta chiarisce l'applicazione alle sue disposizioni dei diritti pertinenti previsti dalla direttiva 96/9/CE relativa alla tutela giuridica delle banche di dati (direttiva sulle banche di dati). –Prevedere che enti pubblici e istituzioni, agenzie o organismi dell'Unione possano utilizzare i dati detenuti dalle imprese in determinate situazioni in cui vi sia una necessità eccezionale di dati. Ciò riguarda principalmente le emergenze pubbliche, ma anche altre situazioni eccezionali in cui la condivisione obbligatoria dei dati tra imprese e pubbliche amministrazioni è giustificata al fine di sostenere politiche e servizi pubblici basati su dati concreti, efficaci, efficienti e orientati ai risultati. –Facilitare il passaggio tra diversi servizi cloud ed edge. L'accesso a servizi di trattamento dei dati competitivi e interoperabili è una condizione preliminare per una economia dei dati fiorente, in cui i dati possano essere facilmente condivisi all'interno degli ecosistemi settoriali e tra di essi. Il livello di fiducia nei servizi di trattamento dei dati determina la diffusione di tali servizi tra gli utenti in tutti i settori dell'economia. –Adottare garanzie contro il trasferimento illecito di dati senza notifica da parte dei fornitori di servizi cloud. Tale obiettivo deriva dal fatto che sono state espresse preoccupazioni in merito all'accesso illecito ai dati da parte di amministrazioni pubbliche di paesi terzi/esterni allo Spazio economico europeo (SEE). Simili garanzie dovrebbero rafforzare ulteriormente la fiducia nei servizi di trattamento dei dati che sono sempre più fondamentali per l'economia europea dei dati. –Prevedere l'elaborazione di norme di interoperabilità per il riutilizzo dei dati tra i vari settori, nel tentativo di eliminare gli ostacoli alla condivisione dei dati tra spazi comuni europei di dati specifici per settore, coerentemente con le prescrizioni di interoperabilità settoriali, e tra altri dati che non rientrano nell'ambito di uno spazio comune europeo dei dati specifico. La proposta sostiene inoltre la definizione di norme per i "contratti intelligenti", ossia programmi informatici su registri elettronici che eseguono e regolano transazioni sulla base di condizioni prestabilite. Tali programmi possono potenzialmente fornire ai titolari e ai destinatari dei dati garanzie del rispetto delle condizioni per la condivisione dei dati.

•Coerenza con le disposizioni vigenti nel settore normativo interessato La presente proposta è coerente con le norme vigenti in materia di trattamento dei dati personali (compreso il regolamento generale sulla protezione dei dati, GDPR), di tutela della vita privata e della riservatezza delle comunicazioni e di qualsiasi dato (personale e non) conservato in apparecchiature terminali e consultato da tali apparecchiature (direttiva relativa alla vita privata e alle comunicazioni elettroniche, che sarà sostituita dal regolamento sulla vita privata e le comunicazioni elettroniche, attualmente oggetto di negoziati legislativi). La presente proposta integra diritti già esistenti, in particolare quelli relativi ai dati generati dal prodotto di un utente collegato a una rete di comunicazione elettronica accessibile al pubblico. Il regolamento sulla libera circolazione dei dati non personali ha introdotto un elemento fondamentale dell'economia europea dei dati, garantendo la possibilità di archiviare, trattare e trasferire dati non personali ovunque nell'Unione. Ha inoltre presentato un approccio di autoregolamentazione al problema del "vendor lock-in" a livello dei fornitori di servizi di trattamento dei dati, introducendo codici di condotta per facilitare il passaggio dei dati tra servizi cloud (codici di condotta "Switching Cloud Providers and Porting Data (SWIPO)" elaborati dal settore). La presente proposta si basa su tale approccio, integrandolo e aiutando le imprese e i cittadini a usufruire nel migliore dei modi del diritto al passaggio ad altri fornitori di servizi cloud e del diritto alla portabilità dei dati. È inoltre pienamente coerente con la direttiva concernente le clausole abusive nei contratti per quanto riguarda il diritto contrattuale. Rispetto ai servizi cloud, poiché l'approccio di autoregolamentazione non sembra aver inciso in modo significativo sulle dinamiche del mercato, la presente proposta prevede un approccio normativo al problema evidenziato nel regolamento sulla libera circolazione dei dati non personali. Il trattamento, l'archiviazione e il trasferimento dei dati a livello internazionale sono aspetti disciplinati dal GDPR, dagli impegni commerciali dell'Organizzazione mondiale del commercio (OMC), dall'accordo generale sugli scambi di servizi (GATS) e dagli accordi commerciali bilaterali. Il diritto della concorrenza è applicabile, tra l'altro, nel contesto del controllo delle concentrazioni, della condivisione dei dati da parte delle imprese o dell'abuso di posizione dominante di un'impresa. La direttiva sulle banche di dati prevede l'applicazione del diritto "sui generis" per la tutela delle banche di dati create a seguito di un investimento rilevante, anche se la banca dati stessa non è una creazione intellettuale originale tutelata dal diritto d'autore. Sulla base della considerevole giurisprudenza che interpreta le disposizioni della direttiva sulle banche di dati, la presente proposta affronta le attuali incertezze giuridiche in merito al diritto a tale protezione delle banche dati contenenti dati generati o ottenuti mediante l'uso di prodotti o servizi correlati, quali sensori, o altri tipi di dati generati automaticamente. Il regolamento sulle relazioni piattaforme/imprese impone obblighi di trasparenza, imponendo alle piattaforme di fornire agli utenti commerciali una descrizione dei dati generati dalla fornitura del servizio. La direttiva sull'apertura dei dati stabilisce norme minime sul riutilizzo dei dati detenuti dal settore pubblico e dei dati della ricerca finanziati con fondi pubblici messi a disposizione del pubblico tramite banche dati. L'iniziativa sull'interoperabilità a livello europeo mira a introdurre una politica di interoperabilità cooperativa per un settore pubblico modernizzato. L'iniziativa è nata dal programma ISA2, un programma di finanziamento dell'Unione che si è svolto dal 2016 al 2021 e ha sostenuto lo sviluppo di soluzioni digitali per consentire l'interoperabilità dei servizi pubblici transfrontalieri e intersettoriali. La presente proposta integra l'atto sulla governance dei dati adottato di recente, che mira a facilitare la condivisione volontaria dei dati da parte di singoli individui e imprese e armonizza le condizioni per l'utilizzo di determinati dati del settore pubblico, senza modificare i diritti materiali sui dati o i diritti già stabiliti relativi al relativo accesso e utilizzo. Integra inoltre la proposta di legge sui mercati digitali, che imporrà a determinati fornitori di servizi di piattaforma di base identificati come "gatekeeper" di garantire, tra l'altro, una portabilità più efficace dei dati generati mediante le attività di utenti commerciali o utenti finali. La presente proposta non pregiudica le norme vigenti in materia di proprietà intellettuale (ad eccezione dell'applicazione del diritto "sui generis" di cui alla direttiva sulle banche di dati), di concorrenza, di giustizia, di affari interni e di cooperazione (internazionale), di obblighi commerciali o di protezione giuridica dei segreti commerciali. Per promuovere la transizione digitale sono necessari adeguamenti legislativi in diversi settori. Nell'ambito del passaporto digitale europeo dei prodotti (che fa parte dell'iniziativa sui prodotti sostenibili) saranno stabilite norme chiare sull'accesso a dati specifici necessari in situazioni non eccezionali e per la circolarità e la sostenibilità di determinati prodotti durante tutto il loro ciclo di vita. Le norme di diritto privato sono un elemento chiave del quadro generale. Il presente regolamento adegua pertanto il diritto contrattuale e altre norme per migliorare le condizioni riguardanti il riutilizzo dei dati nel mercato interno e per evitare che le parti contraenti abusino degli squilibri nel potere negoziale a scapito delle parti più deboli. In quanto proposta orizzontale, la normativa sui dati prevede norme di base per tutti i settori per quanto riguarda i diritti di utilizzo dei dati, ad esempio nei settori dei macchinari intelligenti o dei beni di consumo. Tuttavia i diritti e gli obblighi in materia di accesso ai dati e relativo utilizzo sono stati disciplinati in misura diversa anche a livello settoriale. La normativa sui dati non modificherà la legislazione vigente, ma le future normative riguardanti tali ambiti dovrebbero in linea di principio essere conformi ai principi orizzontali che essa stabilisce. La convergenza con le norme orizzontali della normativa sui dati dovrebbe essere valutata in sede di riesame degli strumenti settoriali. La presente proposta lascia spazio alla legislazione verticale, cosicché possano essere stabilite norme più dettagliate per il conseguimento di obiettivi normativi specifici per settore. Data la normativa settoriale vigente, per quanto riguarda la creazione dello spazio di dati sul Green Deal, il riesame della direttiva Inspire consentirà di garantire ulteriormente la libera disponibilità e il riutilizzo di dati territoriali e ambientali. Lo scopo dell'iniziativa è fare in modo che per le autorità pubbliche, le imprese e i cittadini dell'UE sia più semplice sostenere la transizione verso un'economia più verde e neutra in termini di emissioni di carbonio e ridurre gli oneri amministrativi. L'iniziativa dovrebbe sostenere servizi di dati riutilizzabili su larga scala per contribuire alla raccolta, alla condivisione, al trattamento e all'analisi di grandi volumi di dati utili al fine di garantire la conformità alla legislazione ambientale e alle azioni prioritarie fissate nel Green Deal europeo. Essa razionalizzerà la presentazione delle relazioni e ridurrà gli oneri mediante un migliore riutilizzo dei dati esistenti, la generazione automatica delle relazioni attraverso l'estrazione di dati e l'intelligence aziendale. Il regolamento dell'UE sull'energia elettrica impone ai gestori dei sistemi di trasmissione di fornire dati alle autorità di regolamentazione e ai fini della pianificazione dell'adeguatezza delle risorse, mentre la direttiva sull'energia elettrica prevede un accesso trasparente e non discriminatorio ai dati e incarica la Commissione di determinare i relativi requisiti di interoperabilità e le procedure per facilitare tale accesso. La seconda direttiva relativa ai servizi di pagamento prevede che alcuni tipi di informazioni sulle operazioni di pagamento e sui conti abbiano, a determinate condizioni, un formato aperto consentendo in tal modo la condivisione dei dati tra imprese nell'ambito della tecnologia finanziaria. Nel settore della mobilità e dei trasporti esiste un'ampia gamma di norme in materia di accesso ai dati e della relativa condivisione. Le informazioni sulla riparazione e la manutenzione dei veicoli a motore e delle macchine agricole sono soggette a obblighi specifici in materia di accesso/condivisione dei dati in virtù della legislazione in materia di omologazione. Nuove norme sono tuttavia necessarie per garantire che tale legislazione vigente sia adeguata all'era digitale e promuova lo sviluppo di veicoli puliti, connessi e automatizzati. La normativa sui dati costituisce il quadro di riferimento per l'accesso ai dati e il relativo utilizzo, in base al quale tali norme affronteranno sfide settoriali specifiche, tra cui l'accesso alle funzioni e alle risorse dei veicoli. Nel quadro della direttiva sui sistemi di trasporto intelligenti sono stati elaborati diversi regolamenti delegati ed altri ne seguiranno, in particolare per specificare l'accessibilità dei dati per il trasporto stradale e multimodale di passeggeri, nello specifico attraverso i punti di accesso nazionali. Nella gestione del traffico aereo, i dati non operativi sono importanti per migliorare l'intermodalità e la connettività. I dati operativi relativi alla gestione del traffico aereo rientrerebbero nel regime specifico definito nel quadro del cielo unico europeo. Nel monitoraggio del traffico navale, i dati relativi alle navi (localizzazione e monitoraggio) sono importanti per migliorare l'intermodalità e la connettività: tali dati rientrano nel regime specifico definito nella direttiva sul sistema di monitoraggio del traffico navale e d'informazione e nell'ambito del sistema e dei servizi marittimi digitali. La proposta di regolamento sulla realizzazione di un'infrastruttura per i combustibili alternativi specifica i tipi di dati pertinenti da rendere disponibili, in sinergia con il quadro generale stabilito nella direttiva sui sistemi di trasporto intelligenti. •Coerenza con le altre normative dell'Unione La presente proposta è coerente con le priorità della Commissione di preparare l'Europa per l'era digitale e costruire un'economia pronta per il futuro al servizio delle persone, in cui la digitalizzazione del mercato interno sia caratterizzata da un elevato grado di fiducia, sicurezza, protezione e scelta per i consumatori. La digitalizzazione del mercato interno è altamente competitiva grazie a un quadro che favorisce la trasparenza, la concorrenza e l'innovazione e che è tecnologicamente neutro. Sostiene il dispositivo per la ripresa e la resilienza sulla scia dell'esperienza acquisita durante la pandemia di COVID-19 e dei vantaggi generati dalla presenza, ove necessario, di dati più facilmente accessibili. La presente proposta sostiene in vari modi il ruolo essenziale dei dati nel conseguimento degli obiettivi del Green Deal europeo. In primo luogo offre ad amministrazioni, imprese e cittadini una maggiore comprensione degli effetti che prodotti, servizi e materiali hanno sulla società e sull'economia in tutte le catene di approvvigionamento. In secondo luogo mobilita l'attuale patrimonio di dati pertinenti del settore privato per affrontare le questioni legate al clima, alla biodiversità, all'inquinamento e alle risorse naturali, in conformità degli obiettivi del Green Deal europeo, delle conclusioni del Consiglio e delle risoluzioni del Parlamento europeo in materia. In terzo luogo colma le lacune in termini di conoscenze e contribuisce a gestire le relative crisi attraverso azioni di mitigazione, preparazione, risposta e ripresa più efficaci. In linea con la strategia industriale la proposta riguarda tecnologie altamente strategiche quali il cloud computing e i sistemi di intelligenza artificiale, settori il cui pieno potenziale non è ancora stato sfruttato dall'UE, all'alba della prossima ondata di dati industriali. Essa attua l'obiettivo della strategia per i dati di far sì che le imprese siano maggiormente in grado di innovare e di essere competitive sulla base dei valori dell'UE, e il principio della libera circolazione dei dati nel mercato interno. La proposta è inoltre coerente con il piano d'azione sulla proprietà intellettuale in cui la Commissione si è impegnata a riesaminare la direttiva sulle banche di dati.

La presente proposta dovrebbe inoltre rispettare i principi del piano d'azione sul pilastro europeo dei diritti sociali e i requisiti di accessibilità della direttiva (UE) 2019/882 sui requisiti di accessibilità dei prodotti e dei servizi. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica La base giuridica della presente proposta è l'articolo 114 del trattato sul funzionamento dell'Unione europea, il cui obiettivo è l'instaurazione e il funzionamento del mercato interno mediante il rafforzamento delle misure relative al ravvicinamento delle normative nazionali. La presente proposta è intesa a promuovere il completamento del mercato interno dei dati in cui i dati del settore pubblico, delle imprese e dei cittadini siano utilizzati nel miglior modo possibile, nel rispetto dei diritti relativi a tali dati e degli investimenti effettuati per la loro raccolta. Le disposizioni sul passaggio tra servizi di trattamento dei dati mirano a creare condizioni di mercato eque e competitive per il mercato interno nell'ambito dei servizi cloud ed edge e dei servizi correlati. La protezione dei dati commerciali riservati e dei segreti commerciali è un aspetto importante del buon funzionamento del mercato interno, come lo è per altri contesti in cui avviene uno scambio di merci e servizi. La presente proposta garantisce il rispetto dei segreti commerciali nel contesto dell'utilizzo dei dati tra imprese o da parte dei consumatori. L'iniziativa consentirà all'Unione di beneficiare delle dimensioni del mercato interno, dal momento che i prodotti o i servizi correlati sono spesso sviluppati utilizzando dati provenienti da Stati membri differenti e successivamente commercializzati in tutta l'Unione. Alcuni Stati membri, al contrario di altri, hanno adottato misure legislative per affrontare i problemi descritti in precedenza in contesti da impresa a impresa e da impresa a pubbliche amministrazioni. Ciò può comportare una frammentazione legislativa nel mercato interno e di conseguenza norme e pratiche differenti nell'Unione, nonché generare costi per le imprese che dovrebbero conformarsi a regimi diversi. Per questo è importante garantire che le misure proposte siano applicate in modo coerente in tutti gli Stati membri. •Sussidiarietà (per la competenza non esclusiva) Data la natura transfrontaliera dell'utilizzo dei dati e i numerosi settori su cui incide la normativa sui dati, le questioni trattate nella presente proposta non possono essere affrontate efficacemente a livello degli Stati membri. È necessario evitare la frammentazione derivante dalle differenze tra le norme nazionali, che comporterebbe costi di transazione più elevati, mancanza di trasparenza, incertezza giuridica e la ricerca del foro più vantaggioso. Ciò è particolarmente importante in tutte le situazioni riguardanti gli aspetti dei dati nelle relazioni tra imprese che richiedono l'omogeneità del quadro giuridico in tutta l'Unione, come ad esempio l'esistenza di clausole contrattuali eque e di obblighi per i fabbricanti di prodotti o per i fornitori di servizi correlati legati all'internet delle cose. Anche una valutazione degli aspetti transfrontalieri dei flussi di dati da impresa a pubblica amministrazione dimostra la necessità di agire a livello dell'Unione. Molti operatori privati che detengono dati pertinenti sono imprese multinazionali che non dovrebbero trovarsi ad operare in un regime giuridico frammentato. I servizi di cloud computing sono raramente offerti in un solo Stato membro. Conformemente al GDPR e al regolamento sulla libera circolazione dei dati non personali, che consentono ai consumatori e alle imprese di trattare dati personali e non personali ovunque desiderino nell'Unione, il trattamento transfrontaliero dei dati nell'Unione è essenziale per svolgere attività commerciali nel mercato interno. Per questo è fondamentale che le disposizioni che disciplinano il passaggio tra servizi di trattamento dei dati siano applicate a livello dell'Unione, in modo da evitare una dannosa frammentazione in un mercato dei servizi di trattamento dei dati altrimenti unificato. Solo un'azione comune a livello dell'Unione può permettere il conseguimento degli obiettivi stabiliti nella presente proposta, tra cui la creazione di un contesto innovativo e competitivo a parità di condizioni per le imprese incentrate sui dati e la responsabilizzazione dei cittadini. Questa azione comune rappresenta un chiaro passo avanti nella realizzazione del progetto di creare un vero e proprio mercato interno dei dati. •Proporzionalità La presente proposta concilia i diritti e gli interessi dei portatori di interessi coinvolti con l'obiettivo generale di favorire un utilizzo più ampio dei dati da parte di una vasta serie di operatori e crea un quadro favorevole che si limita a quanto è necessario per conseguire gli obiettivi. Affronta inoltre gli ostacoli esistenti che si frappongono alla piena realizzazione del valore potenziale dei dati tra le imprese, i consumatori e il settore pubblico, e definisce un quadro per le future norme settoriali al fine di evitare la frammentazione e l'incertezza giuridica. La proposta chiarisce i diritti esistenti e, se necessario, conferisce diritti di accesso ai dati, contribuendo in tal modo allo sviluppo di un mercato interno per la condivisione dei dati. L'iniziativa consente una notevole flessibilità di applicazione a livello settoriale. La presente proposta comporterà costi finanziari e amministrativi che saranno principalmente a carico delle autorità nazionali, dei fabbricanti e dei fornitori di servizi al fine di rispettare gli obblighi stabiliti dal regolamento. Il vaglio di diverse opzioni, come pure dei relativi costi e benefici previsti, ha comunque consentito di concepire l'atto giuridico in modo equilibrato. Analogamente, le spese a carico degli utenti e dei titolari dei dati saranno compensate dal valore derivante da un più ampio accesso ai dati e da un relativo maggiore utilizzo, nonché dalla diffusione sul mercato di nuovi servizi. •Scelta dell'atto giuridico Si è scelto di ricorrere a un regolamento perché si tratta dello strumento migliore per conseguire gli obiettivi strategici più ampi di garantire che tutte le imprese dell'Unione siano in grado di innovare ed essere competitive, che i consumatori siano maggiormente capaci di esercitare un controllo sui loro dati e che le istituzioni, le agenzie e gli organismi dell'Unione siano meglio attrezzati per affrontare le principali sfide strategiche, comprese le emergenze pubbliche. Un regolamento è necessario nell'ottica dell'obiettivo perseguito dalla proposta di raggiungere una completa armonizzazione, al fine di garantire la certezza del diritto e la trasparenza per gli operatori economici, tra cui le microimprese e le piccole e medie imprese, e di offrire alle persone fisiche e giuridiche in tutti gli Stati membri lo stesso livello di diritti e obblighi giuridicamente applicabili onde garantire un'applicazione coerente in tutti gli Stati membri e un'efficace cooperazione tra le autorità competenti dei diversi Stati membri. La proposta rafforzerà il mercato interno dei dati aumentando la certezza del diritto e garantendo un quadro giuridico uniforme, orizzontale e coerente. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO •Valutazioni ex post / Vaglio di adeguatezza della legislazione vigente

La presente proposta si basa in parte sull'ultima valutazione della direttiva sulle banche di dati e sullo studio della Commissione a sostegno del riesame della direttiva. La direttiva sulle banche di dati ha introdotto, tra l'altro, un diritto "sui generis" specifico a proteggere la banca dati se il suo costitutore ha effettuato un investimento sostanziale per ottenere, verificare e presentare i dati. Dalla sua prima adozione, la direttiva è stata valutata due volte. Entrambe le valutazioni sono state integrate da comunicazioni della Commissione riguardanti la politica relativa all'economia dei dati. La Corte di giustizia dell'Unione europea ha fornito un'interpretazione più restrittiva della nozione di "investimenti sostanziali" in una banca dati, chiarendo che il diritto "sui generis" mira a tutelare gli investimenti nella raccolta e non nella creazione di dati come sottoprodotto di un'altra attività economica. Permane tuttavia qualche incertezza in merito all'applicazione accidentale o involontaria del diritto "sui generis" alle banche dati contenenti dati generati automaticamente, ossia dati ottenuti o generati dall'uso di prodotti o di servizi correlati. È necessario trovare un equilibrio tra gli obiettivi strategici della protezione della proprietà intellettuale di tali banche dati nel contesto dell'economia dei dati, in cui l'esclusività dei dati in quanto bene non rivale è generalmente considerata un ostacolo all'innovazione. Per garantire la coerenza con gli interventi normativi qui proposti, l'intervento relativo al diritto "sui generis" affronta specificamente l'applicazione problematica riscontrata di tale diritto nel contesto dell'internet delle cose. La Commissione è attualmente impegnata anche nella preparazione della valutazione del regolamento (UE) 2018/1807, prevista per novembre 2022. Le relazioni iniziali di contraenti esterni hanno dimostrato l'effetto limitato dei codici di condotta SWIPO per quanto riguarda il passaggio ad altri servizi cloud. •Consultazioni dei portatori di interessi Nel corso del mandato della precedente Commissione è stato avviato un ampio lavoro per individuare i problemi che impediscono all'Unione di sfruttare pienamente le potenzialità dell'innovazione basata sui dati nell'economia. La proposta si basa su precedenti azioni di consultazione, quali la consultazione pubblica del 2017 a sostegno della comunicazione della Commissione "Costruire un'economia europea dei dati", la consultazione pubblica del 2017 sulla valutazione della direttiva sulle banche di dati, la consultazione pubblica del 2018 sulla revisione della direttiva relativa al riutilizzo dell'informazione del settore pubblico, la consultazione del 2018 del gruppo di PMI sui principi e gli orientamenti per la condivisione dei dati tra imprese e la consultazione aperta online della Commissione sulla strategia per i dati da febbraio a maggio 2020. Una valutazione d'impatto iniziale è stata pubblicata sul portale "Legiferare meglio" il 28 maggio 2021 ed è stata aperta ai commenti per quattro settimane. La Commissione ha ricevuto 91 contributi sul portale "Legiferare meglio", principalmente dalle imprese. Una consultazione pubblica online sulla normativa sui dati è stata successivamente pubblicata il 3 giugno 2021 e si è conclusa il 3 settembre 2021. La consultazione ha affrontato i punti trattati nell'iniziativa con sezioni e domande pertinenti. Si è rivolta a tutti i tipi di portatori di interessi, raccogliendo contributi sulla condivisione e l'utilizzo dei dati e sull'accesso agli stessi in contesti da impresa a impresa e da impresa a pubblica amministrazione, sulla responsabilizzazione dei consumatori e sulla portabilità dei dati, sul ruolo potenziale di misure tecniche quali i contratti intelligenti, sulla possibilità degli utenti di passare da un servizio cloud a un altro, sui diritti di proprietà intellettuale (tutela delle banche dati) e sulle garanzie per i dati non personali nel contesto internazionale. Dopo aver effettuato un'analisi approfondita delle risposte, la Commissione ha pubblicato una relazione di sintesi sul suo sito web. In totale sono pervenuti 449 contributi da 32 paesi. Il maggior numero di contributi è pervenuto da entità commerciali, comprendenti 122 associazioni di imprese e 105 imprese/organizzazioni imprenditoriali. Inoltre 100 rispondenti erano autorità pubbliche e 58 singoli cittadini. In generale le risposte hanno confermato che vi sono numerosi ostacoli a una condivisione dei dati efficace ed efficiente in tutti i tipi di relazioni basate sui dati. Nel contesto da impresa a impresa, nonostante la condivisione dei dati sia una pratica comune, i rispondenti che avevano incontrato difficoltà hanno individuato ostacoli di natura tecnica (formati, mancanza di standard - 69 %), oppure altri come il rifiuto assoluto di concedere l'accesso non per problemi di concorrenza (55 %) o l'abuso di uno squilibrio contrattuale (44 %). Per quanto riguarda gli aspetti contrattuali, quasi la metà dei rispondenti si è espressa a favore dell'introduzione di un test di abusività (46 %), mentre più del doppio di questi si è espresso a sfavore (21 %). Le PMI hanno decisamente sostenuto il test di abusività (50 %), accompagnate da un numero significativo di grandi imprese (41 %). Analogamente, il 46 % dei portatori di interessi in vari settori si è dichiarato favorevole a norme generali di accesso basate su condizioni eque, ragionevoli e non discriminatorie (46 %). Il 60 % dei rispondenti, in particolare le PMI e le microimprese (78 %), ha convenuto che clausole contrattuali tipo potrebbero contribuire a una maggiore condivisione dei dati. Il 70 % dei portatori di interessi ritiene che esista un problema di equità per quanto riguarda i dati generati nel contesto dell'internet delle cose, e che i fabbricanti di prodotti connessi o di servizi correlati non dovrebbero avere la possibilità di decidere unilateralmente in merito ai dati generati da tali prodotti. Il 79 % dei rispondenti ritiene che i contratti intelligenti possano essere uno strumento efficace per applicare tecnicamente l'accesso ai dati e il relativo utilizzo nel contesto dei dati co-generati relativi all'internet delle cose. L'incertezza e le barriere giuridiche, i disincentivi commerciali e la mancanza di infrastrutture adeguate sono stati tra i principali fattori indicati dai rispondenti come ostacoli alla condivisione dei dati tra impresa e pubblica amministrazione. Quasi tutte le autorità pubbliche ritengono necessario un intervento (a livello dell'Unione o degli Stati membri) in materia di condivisione dei dati tra impresa e pubblica amministrazione, rispetto all'80 % degli istituti universitari/di ricerca e al 38 % delle imprese/organizzazioni/associazioni imprenditoriali. Una netta maggioranza dei portatori di interessi (in particolare i cittadini e le pubbliche amministrazioni) ha inoltre espresso il parere che la condivisione dei dati tra impresa e pubblica amministrazione dovrebbe essere obbligatoria, con chiare garanzie per casi d'uso specifici che rivestano un chiaro interesse pubblico in situazioni di emergenza e a fini di gestione delle crisi, nell'ambito di statistiche ufficiali, per la protezione dell'ambiente e a favore di una società più sana in generale. I rispondenti hanno inoltre confermato l'utilità di un diritto al passaggio ad altri fornitori per gli utenti commerciali dei servizi di cloud computing. Per quanto riguarda le garanzie relative ai dati non personali in contesti internazionali, il 76 % dei rispondenti ritiene che un eventuale accesso ai dati da parte di autorità straniere, fondato su legislazioni straniere, costituisca un rischio per la propria organizzazione, mentre il 19 % indica che si tratta di un rischio importante. •Assunzione e uso di perizie La proposta si basa su vari studi, seminari e altri contributi di esperti. –Studio a sostegno della valutazione d'impatto sul miglior utilizzo dei dati in Europa, comprendente interviste a portatori di interessi mirati. Nell'ambito dello studio si sono tenuti due seminari intersettoriali sulla condivisione dei dati tra imprese e tra imprese e pubblica amministrazione e un seminario conclusivo a conferma dei risultati organizzato nella primavera del 2021. –Studio sulle clausole contrattuali tipo, sul controllo dell'equità nella condivisione dei dati e nei contratti cloud e sui diritti di accesso ai dati. Lo studio ha valutato, in particolare, gli aspetti relativi all'equità nelle relazioni di condivisione dei dati tra imprese. Sono stati intervistati portatori di interessi mirati e si è svolto un seminario conclusivo a conferma dei risultati. –Studio sui pregiudizi economici derivanti da clausole abusive e non equilibrate nei contratti di cloud computing. Nell'ambito dello studio è stata effettuata anche un'indagine online su un campione di PMI e start-up che utilizzano il cloud computing per svolgere la loro attività. –Studio sul passaggio da un fornitore di servizi cloud ad altri, nell'ambito del quale, nel secondo trimestre del 2017, si è svolto un seminario intersettoriale. –Studio a sostegno del riesame della direttiva sulle banche di dati, comprendente interviste a portatori di interessi mirati. La Commissione si è avvalsa dello studio per preparare la valutazione d'impatto che accompagna il riesame della direttiva sulle banche di dati, nel contesto della normativa sui dati e nel conseguimento dei loro obiettivi interconnessi. –Sostegno metodologico alla valutazione d'impatto relativa all'utilizzo di dati detenuti da privati in statistiche ufficiali. Questo esercizio fornisce un contributo alla valutazione d'impatto del riutilizzo dei dati nelle statistiche ufficiali, in un contesto da impresa a pubblica amministrazione, sviluppando un approccio metodologico e descrivendo i costi e i benefici del riutilizzo dei dati e di casi d'uso selezionati per diversi settori statistici e diversi tipi di dati del settore privato. Contribuisce inoltre alla ricerca e alle discussioni in corso volte al conseguimento di una migliore comprensione della condivisione dei dati in un contesto da impresa a pubblica amministrazione. –Webinar sulle piattaforme di dati personali e sulle piattaforme di dati industriali. Il 6, 7 e 8 maggio 2020 sono stati organizzati tre webinar durante i quali sono stati presentati i pertinenti progetti di piattaforme di dati del portafoglio del partenariato pubblico-privato Big Data Value. –Relazione del gruppo di esperti di alto livello sulla condivisione dei dati in contesti da impresa a pubblica amministrazione. La relazione contiene un'analisi dei problemi che sussistono in merito alla condivisione dei dati in contesti da impresa a pubblica amministrazione nell'Unione e offre una serie di raccomandazioni volte a garantire una condivisione dei dati nei suddetti contesti scalabile, responsabile e sostenibile nell'interesse del pubblico. La suddetta relazione, oltre a raccomandare alla Commissione di valutare l'opportunità di un quadro giuridico in questo settore, illustra diversi modi per incoraggiare le imprese private a condividere i propri dati. Tra tali modi figurano incentivi monetari e non monetari, ad esempio incentivi fiscali, investimenti di fondi pubblici per sostenere lo sviluppo di strumenti tecnici affidabili e regimi di riconoscimento per la condivisione dei dati.

–Seminario su certificazioni/attestazioni per i fornitori di soluzioni tecniche per lo scambio di dati. Il webinar, che si è svolto il 12 maggio 2020, ha riunito circa cento partecipanti provenienti da imprese (tra cui PMI), istituzioni europee e mondo accademico, con l'obiettivo di valutare se un sistema di certificazione/attestazione potesse promuovere il ricorso delle imprese a intermediari di dati rafforzando la fiducia nell'ecosistema dei dati. –Dieci seminari riguardanti diversi settori, organizzati tra luglio e novembre 2019, hanno coinvolto oltre 300 portatori di interessi. Il tema affrontato nei seminari riguardava il modo in cui l'organizzazione della condivisione dei dati in determinati settori, quali l'ambiente, l'agricoltura, l'energia o l'assistenza sanitaria, potrebbe giovare alla società nel suo insieme, permettendo da una parte ai soggetti pubblici di elaborare politiche più adeguate e di migliorare i servizi pubblici e dall'altra ai soggetti privati di offrire servizi che contribuiscano ad affrontare le sfide sociali. –Consultazione del gruppo PMI. La consultazione del gruppo PMI, organizzata tra ottobre 2018 e gennaio 2019, ha raccolto i pareri delle PMI sui principi e gli orientamenti della Commissione relativi alla condivisione dei dati tra imprese, pubblicati nella comunicazione "Verso uno spazio comune europeo dei dati" e nel documento di lavoro dei servizi della Commissione del 25 aprile 2018 che la accompagna. –L'ultimo Eurobarometro sull'impatto della digitalizzazione. Questa indagine generale sulla vita quotidiana degli europei include domande sul controllo e sulla condivisione delle informazioni personali. Pubblicato il 5 marzo 2020, fornisce informazioni sulla propensione dei cittadini europei a condividere le loro informazioni personali e sulle condizioni alle quali sono disposti a farlo. –Parere del Garante europeo della protezione dei dati (GEPD) sulla strategia europea per i dati. Il 16 giugno 2020 il GEPD ha adottato il parere 3/2020 sulla strategia europea per i dati in cui ha accolto con favore la strategia, sostenendo che la sua attuazione può fungere da esempio di un modello alternativo di economia dei dati. •Valutazione d'impatto La presente proposta è accompagnata da una valutazione d'impatto, presentata al comitato per il controllo normativo il 29 settembre e il 13 dicembre 2021. Il 21 gennaio 2022 il comitato ha espresso un parere positivo con riserva. •Efficienza normativa e semplificazione La proposta chiarisce che il diritto "sui generis" di cui alla direttiva sulle banche di dati (direttiva 96/9/CE) non si applica alle banche dati contenenti dati generati o ottenuti mediante l'uso di prodotti o di servizi correlati e in tal modo garantisce che il diritto "sui generis" non interferisca con i diritti delle imprese e dei consumatori di accedere ai dati, utilizzarli e condividerli di cui al presente regolamento. Tale chiarimento consentirà di allineare l'applicazione del diritto "sui generis" all'obiettivo della proposta legislativa e avrà un effetto positivo sull'applicazione uniforme delle norme nel mercato interno e per l'economia dei dati. La normativa sui dati, facilitando l'accesso ai dati e il relativo utilizzo, dovrebbe ridurre gli oneri che gravano sul settore pubblico e sulle imprese, principalmente grazie alla riduzione dei costi di transazione e a una maggiore efficienza. Nell'ambito del principio "one in, one out", che mira a ridurre al minimo gli oneri che gravano su cittadini e imprese in ragione delle conseguenze e dei costi dell'applicazione di una normativa, l'onere amministrativo netto stimato relativo alla normativa sui dati, basato sulla valutazione d'impatto, tiene conto dei benefici suscettibili non solo di compensare ma anche di superare di gran lunga i costi amministrativi associati. •Diritti fondamentali La proposta è conforme alla legislazione dell'Unione in materia di protezione dei dati personali e di riservatezza delle comunicazioni e delle apparecchiature terminali e prevede ulteriori garanzie nei casi che possono riguardare l'accesso ai dati personali e nei casi soggetti a diritti di proprietà intellettuale. Il capo II rafforza l'elevato livello di protezione dei consumatori mediante il nuovo diritto di accesso ai dati generati dagli utenti in situazioni precedentemente non contemplate dal diritto dell'Unione. Il diritto di utilizzare beni acquisiti legalmente e di disporne è rafforzato dal diritto di accesso ai dati generati dall'utilizzo di un oggetto dell'internet delle cose. In tal modo il proprietario può beneficiare di una migliore esperienza per l'utente e di una gamma più ampia di servizi, ad esempio, di riparazione e manutenzione. Nel contesto della protezione dei consumatori, i diritti dei minori in quanto consumatori vulnerabili meritano un'attenzione particolare e le norme della normativa sui dati contribuiranno ad apportare una maggiore chiarezza per quanto riguarda l'accesso ai dati e il relativo utilizzo. Il diritto di accesso ai dati dell'internet delle cose da parte di terzi su richiesta dell'utente limita la libertà d'impresa e la libertà contrattuale del fabbricante o del progettista di un prodotto o di un servizio correlato. Tale limitazione è giustificata dalla maggiore tutela del consumatore, in particolare dalla promozione dei suoi interessi economici. Il fabbricante o il progettista di un prodotto o di un servizio correlato ha generalmente il controllo esclusivo sull'utilizzo dei dati generati dall'uso di un prodotto o di un servizio correlato, il che contribuisce a creare effetti di lock-in e ostacola l'ingresso nel mercato degli operatori che offrono servizi post-vendita. Il diritto di accesso ai dati dell'internet delle cose risolve tale problematica fornendo ai consumatori che impiegano prodotti o servizi correlati gli strumenti per controllare in modo significativo le modalità di utilizzo dei dati generati dal loro uso di tali prodotti o servizi correlati e consentendo a un maggior numero di operatori del mercato di partecipare al processo di innovazione. I consumatori possono quindi beneficiare di una scelta più ampia di servizi post-vendita, come la riparazione e la manutenzione, e non dipendono più unicamente dai servizi del fabbricante. La proposta agevola la portabilità dei dati dell'utente verso terzi, permettendo in tal modo sia un'offerta competitiva di servizi post vendita sia una maggiore innovazione basata sui dati, oltre allo sviluppo di prodotti o servizi non correlati a quelli inizialmente acquistati o sottoscritti dall'utente. La limitazione della libertà contrattuale e d'impresa del fabbricante o del progettista è proporzionata e mitigata dalla loro capacità inalterata di continuare ad utilizzare i dati, nei limiti in cui tale utilizzo sia conforme alla legislazione applicabile e all'accordo stabilito con l'utente. Inoltre il fabbricante o il progettista beneficeranno anche del diritto ad un compenso per la concessione dell'accesso a terzi. Il diritto di accesso non pregiudica i diritti di accesso e portabilità esistenti per gli interessati in virtù del GDPR. Garanzie supplementari assicurano un utilizzo proporzionato dei dati da parte di terzi. Il capo IV prevede un sistema equo ed efficace di protezione contro clausole contrattuali abusive nella condivisione dei dati che contribuirà alla capacità delle microimprese e delle piccole o medie imprese di condurre un'attività. Tale disposizione limita solo parzialmente la libertà contrattuale delle imprese che rientrano nell'ambito di applicazione, in quanto si applica esclusivamente alle clausole contrattuali abusive che riguardano l'accesso ai dati e il relativo utilizzo, imposte unilateralmente da una delle parti contraenti a una microimpresa o a una piccola o media impresa. Tale disposizione è giustificata dal fatto che le PMI si trovano generalmente in una posizione negoziale più debole e spesso non hanno altra scelta se non quella di accettare clausole contrattuali "prendere o lasciare". La libertà contrattuale rimane ampiamente inalterata, poiché solo le clausole eccessive e abusive sono rese invalide, senza che ciò influisca sulla validità del contratto privo di clausole abusive. Inoltre le parti possono sempre negoziare individualmente una specifica clausola contrattuale. Al capo V, le disposizioni relative alla condivisione dei dati tra impresa e pubblica amministrazione dettata da una necessità eccezionale rafforzeranno la capacità delle autorità pubbliche di intervenire per il bene comune, ad esempio per prevenire un'emergenza pubblica, rispondervi o favorire la ripresa. Anche il settore privato trarrà beneficio dalla semplificazione delle procedure di richiesta dei dati. Al capo VI, le disposizioni sul passaggio ad altri fornitori di servizi di trattamento dei dati rafforzano la posizione dei clienti commerciali e tutelano la loro scelta di cambiare fornitore. La limitazione del diritto d'impresa imposta ai fornitori di servizi di trattamento dei dati è giustificata dal fatto che le nuove norme risolvono le problematiche legate agli effetti di lock-in nel mercato del cloud e dell'edge e aumentano la scelta di servizi di trattamento dei dati offerta agli utenti commerciali e ai singoli individui. Al capo X, l'intervento sul diritto "sui generis" sulle banche dati di cui alla direttiva sulle banche di dati non limita la tutela della proprietà intellettuale in esso contenuta. Esso contribuisce piuttosto alla certezza del diritto nei casi in cui la tutela del diritto "sui generis" era precedentemente poco chiara. 4.INCIDENZA SUL BILANCIO

La proposta non avrà alcuna incidenza sul bilancio. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione A livello settoriale e macroeconomico, lo studio di monitoraggio del mercato dei dati attualmente in corso contribuirà a monitorare l'incidenza economica dell'attuale proposta sulla crescita del mercato dei dati nell'Unione. L'incidenza sulle PMI, in particolare la loro percezione dei problemi legati all'accesso ai dati e al relativo utilizzo, sarà valutata tramite una consultazione del gruppo PMI cinque anni dopo l'adozione della normativa sui dati. Dato il ruolo centrale degli spazi comuni europei di dati nell'attuazione della strategia europea per i dati, molti degli effetti di questa iniziativa saranno monitorati a livello degli spazi di dati settoriali, e delle informazioni raccolte dal centro di sostegno agli spazi di dati che sarà finanziato nell'ambito del programma Europa digitale. La regolare interazione tra i servizi della Commissione, il centro di sostegno e il comitato europeo per l'innovazione in materia di dati (che sarà istituito a seguito dell'entrata in vigore dell'atto sulla governance dei dati) dovrebbe servire come fonte affidabile di informazioni utili a valutare i progressi compiuti. Infine quattro anni dopo l'adozione della normativa sui dati sarà avviata una valutazione dell'iniziativa in base alla quale, se necessario, saranno previste altre azioni. •Illustrazione dettagliata delle singole disposizioni della proposta Il capo I definisce l'oggetto e l'ambito di applicazione del regolamento e stabilisce le definizioni utilizzate in tutto l'atto. Il capo II accresce la certezza del diritto per consumatori e imprese per quanto riguarda l'accesso ai dati generati dai prodotti o dai servizi correlati che possiedono, affittano o noleggiano. I fabbricanti e i progettisti devono progettare i prodotti in modo che i dati siano, per impostazione predefinita, facilmente accessibili e dovranno indicare in modo trasparente quali dati saranno accessibili e come accedervi. Le disposizioni di tale capo non impediscono ai fabbricanti di accedere ai dati dei prodotti o dei servizi correlati offerti e di utilizzarli, previo accordo dell'utente. Il titolare dei dati ha l'obbligo di metterli a disposizione di terzi su richiesta dell'utente. Gli utenti avranno il diritto di autorizzare il titolare dei dati a dare accesso ai dati a fornitori di servizi terzi, come ad esempio i fornitori di servizi post-vendita. Le microimprese e le piccole imprese saranno esentate da tali obblighi. Il capo III stabilisce le norme generali applicabili agli obblighi relativi alla messa a disposizione dei dati. Qualora il titolare dei dati sia tenuto a mettere i dati a disposizione di un destinatario dei dati in virtù del capo II o di altra normativa dell'Unione o di uno Stato membro, il quadro generale definisce le condizioni alle quali metterli a disposizioni e il relativo compenso. Tutte le condizioni dovranno essere eque e non discriminatorie e gli eventuali compensi per la messa a disposizione dei dati dovranno essere ragionevoli, senza precludere che altre normative dell'Unione o normative nazionali che attuano il diritto dell'Unione escludano tali compensi o ne prevedano di inferiori. Gli eventuali compensi stabiliti per le PMI non possono superare i costi sostenuti per la messa a disposizione dei dati, salvo diversamente specificato in normative settoriali. Gli organismi di risoluzione delle controversie certificati dagli Stati membri possono assistere le parti che siano in disaccordo sul compenso o sulle condizioni affinché giungano a un accordo. Il capo IV riguarda il carattere abusivo delle clausole contrattuali nei contratti di condivisione dei dati tra imprese, nelle situazioni in cui una clausola contrattuale sia imposta unilateralmente a una micro, piccola o media impresa. Tale capo garantisce che gli accordi contrattuali sull'accesso ai dati e sul relativo utilizzo non traggano vantaggio da squilibri del potere negoziale tra le parti contraenti. Il test di abusività è uno strumento comprendente una disposizione generale che definisce il carattere abusivo di una clausola contrattuale relativa alla condivisione dei dati, accompagnata da un elenco di clausole che sono sempre abusive o presunte tali. In situazioni di potere negoziale non equo, tale test tutela la parte contrattuale più debole al fine di evitare contratti abusivi. La mancanza di equità ostacola l'utilizzo dei dati da parte di entrambe le parti contraenti. Le disposizioni pertanto garantiscono una più equa ripartizione del valore nell'economia dei dati. Le clausole contrattuali tipo raccomandate dalla Commissione possono aiutare le parti commerciali a concludere contratti basati su condizioni eque. Il capo V istituisce un quadro armonizzato per l'utilizzo, da parte degli enti pubblici e delle istituzioni, agenzie e organismi dell'Unione, dei dati detenuti dalle imprese, in situazioni in cui vi sia una necessità eccezionale dei dati richiesti. Il quadro si basa sull'obbligo di mettere a disposizione i dati e sarebbe applicabile solo in caso di emergenze pubbliche o in situazioni in cui gli enti pubblici hanno la necessità eccezionale di utilizzare determinati dati che non possono essere ottenuti sul mercato, in modo tempestivo mediante l'adozione di un nuovo atto legislativo o mediante obblighi di comunicazione già vigenti. In caso di necessità eccezionale, per rispondere a emergenze pubbliche, quali emergenze di sanità pubblica, o gravi catastrofi naturali o provocate dall'uomo, i dati sarebbero messi a disposizione gratuitamente. In altri casi di necessità eccezionale, anche per prevenire un'emergenza pubblica o favorire la ripresa, il titolare dei dati che li mette a disposizione dovrebbe avere diritto a un compenso che includa i costi relativi alla messa a disposizione dei dati pertinenti oltre a un margine ragionevole. Per garantire che non si abusi del diritto di richiedere dati e che il settore pubblico rimanga responsabile del relativo utilizzo, le richieste di dati dovrebbero essere proporzionate, indicare chiaramente la finalità da conseguire e rispettare gli interessi dell'impresa che mette a disposizione tali dati. Le autorità competenti dovrebbero garantire la trasparenza e la disponibilità pubblica di tutte le richieste e gestire gli eventuali reclami che ne conseguano. Il capo VI introduce prescrizioni normative minime di natura contrattuale, commerciale e tecnica, imposte ai fornitori di servizi cloud, edge e di altri servizi di trattamento dei dati, per permettere il passaggio tra tali servizi. In particolare, la proposta garantisce che i clienti mantengano l'equivalenza funzionale (un livello minimo di funzionalità) del servizio dopo il passaggio a un altro fornitore di servizi. La proposta contiene un'eccezione riguardante l'impossibilità tecnica, ma pone l'onere della prova a tale riguardo a carico del fornitore di servizi. La proposta non impone norme tecniche o interfacce specifiche, ma richiede che i servizi siano compatibili con le norme europee o con le specifiche tecniche di interoperabilità aperte, se esistenti. Il capo VII riguarda l'accesso illecito di terzi ai dati non personali detenuti nell'Unione da servizi di trattamento dei dati offerti sul mercato dell'Unione. La proposta non pregiudica la base giuridica delle richieste di accesso ai dati detenuti da cittadini o da imprese dell'UE e lascia impregiudicato il quadro dell'Unione in materia di protezione dei dati e tutela della vita privata. Sono offerte garanzie specifiche, mediante l'obbligo per i fornitori di adottare tutte le ragionevoli misure tecniche, giuridiche e organizzative per evitare che tale accesso sia in conflitto con gli obblighi concorrenti di proteggere tali dati a norma del diritto dell'Unione, a meno che non siano soddisfatte condizioni rigorose. Il regolamento rispetta gli impegni internazionali dell'Unione nell'ambito dell'OMC e degli accordi commerciali bilaterali. Il capo VIII stabilisce le prescrizioni essenziali in materia di interoperabilità che gli operatori degli spazi di dati e i fornitori di servizi di trattamento dei dati devono rispettare e stabilisce le prescrizioni essenziali dei contratti intelligenti. Tale capo prevede inoltre specifiche di interoperabilità aperte e norme europee per l'interoperabilità dei servizi di trattamento dei dati al fine di promuovere un ambiente cloud uniforme con più fornitori. Il capo IX stabilisce il quadro di attuazione e di esecuzione, con autorità competenti in ogni Stato membro e un meccanismo per il trattamento delle denunce. La Commissione raccomanda clausole contrattuali tipo volontarie per l'accesso ai dati e il relativo utilizzo. In caso di violazione del presente regolamento sono previste sanzioni. Il capo X contiene una disposizione in base alla quale il diritto "sui generis" sancito dalla direttiva 96/9/CE non si applica nel caso di banche dati contenenti dati ottenuti o generati dall'uso di un prodotto o di un servizio correlato per ostacolare l'effettivo esercizio del diritto degli utenti di accedere ai dati e di utilizzarli conformemente all'articolo 4 del presente regolamento o del diritto di condividere tali dati con terzi conformemente all'articolo 5 del presente regolamento. Il capo XI conferisce alla Commissione il potere di adottare atti delegati al fine di introdurre un meccanismo di controllo delle tariffe di passaggio imposte ai fornitori di servizi di trattamento dei dati, di specificare ulteriormente le prescrizioni essenziali in materia di interoperabilità e di pubblicare i riferimenti delle specifiche di interoperabilità aperte e delle norme europee per l'interoperabilità dei servizi di trattamento dei dati. Tale capo prevede inoltre la procedura di comitato per l'adozione di atti di esecuzione volti a facilitare l'adozione di specifiche comuni per l'interoperabilità e i contratti intelligenti qualora non esistano norme armonizzate o tali norme siano insufficienti a garantire la conformità alle prescrizioni essenziali. La proposta chiarisce inoltre la relazione con altri atti giuridici dell'Unione che disciplinano i diritti e gli obblighi in materia di condivisione dei dati. 2022/0047 (COD)

Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO riguardante norme armonizzate sull'accesso equo ai dati e sul loro utilizzo

(normativa sui dati) (Testo rilevante ai fini del SEE) IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA, visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 114, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, visto il parere del Comitato delle regioni, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)Negli ultimi anni le tecnologie basate sui dati hanno avuto effetti trasformativi su tutti i settori dell'economia. In particolare la proliferazione di prodotti connessi all'internet delle cose ha aumentato il volume e il valore potenziale dei dati per i consumatori, le imprese e la società. Dati interoperabili e di elevata qualità provenienti da diversi settori aumentano la competitività e l'innovazione e garantiscono una crescita economica sostenibile. Lo stesso set di dati può essere potenzialmente utilizzato e riutilizzato per una varietà di scopi e in misura illimitata, senza alcuna perdita in termini di qualità o quantità. (2)Gli ostacoli alla condivisione dei dati impediscono un'allocazione ottimale dei dati a vantaggio della società. Tali ostacoli comprendono la mancanza di incentivi per i titolari dei dati a stipulare volontariamente accordi di condivisione dei dati, l'incertezza sui diritti e gli obblighi in relazione ai dati, i costi per la conclusione di contratti e l'implementazione di interfacce tecniche, l'elevato livello di frammentazione delle informazioni in silos di dati, la cattiva gestione dei metadati, l'assenza di norme per l'interoperabilità semantica e tecnica, le strozzature che impediscono l'accesso ai dati, la mancanza di pratiche comuni di condivisione dei dati e l'abuso degli squilibri contrattuali per quanto riguarda l'accesso ai dati e il loro uso. (3)Nei settori caratterizzati dalla presenza di microimprese e piccole e medie imprese vi è spesso una mancanza di capacità e competenze digitali per raccogliere, analizzare e utilizzare i dati, e l'accesso è frequentemente limitato nei casi in cui è detenuto da un unico operatore o a causa della mancanza di interoperabilità tra i dati, tra i servizi di dati o a livello transfrontaliero. (4)Al fine di rispondere alle necessità dell'economia digitale e di eliminare gli ostacoli al buon funzionamento del mercato interno dei dati, è necessario stabilire un quadro armonizzato che specifichi chi, oltre al fabbricante o ad altro titolare dei dati, ha il diritto di accedere ai dati generati dai prodotti o dai servizi correlati, a quali condizioni e su quale base. Di conseguenza gli Stati membri non dovrebbero adottare o mantenere requisiti nazionali supplementari per le questioni che rientrano nell'ambito di applicazione del presente regolamento, salvo ove esplicitamente previsto da quest'ultimo, in quanto ciò inciderebbe sull'applicazione diretta e uniforme del presente regolamento. (5)Il presente regolamento garantisce che gli utenti di un prodotto o di un servizio correlato nell'Unione possano accedere tempestivamente ai dati generati dall'uso di tale prodotto o servizio correlato e che tali utenti possano utilizzare i dati, anche condividendoli con terzi di loro scelta. Esso impone al titolare dei dati l'obbligo di mettere i dati a disposizione degli utenti e dei terzi designati dagli utenti in determinate circostanze. Garantisce inoltre che i titolari dei dati mettano i dati a disposizione dei destinatari dei dati nell'Unione a condizioni eque, ragionevoli e non discriminatorie e in modo trasparente. Le norme di diritto privato sono fondamentali nel quadro generale della condivisione dei dati. Il presente regolamento adegua pertanto le norme di diritto contrattuale e impedisce lo sfruttamento degli squilibri contrattuali che ostacolano l'accesso equo ai dati e il loro uso da parte delle microimprese e delle piccole e medie imprese ai sensi della raccomandazione 2003/361/CE. Il presente regolamento garantisce inoltre che i titolari dei dati mettano a disposizione degli enti pubblici degli Stati membri e delle istituzioni, delle agenzie o degli organismi dell'Unione, ove vi sia una necessità eccezionale, i dati necessari per lo svolgimento dei compiti nell'interesse pubblico. Il presente regolamento mira altresì ad agevolare il passaggio tra servizi di trattamento dei dati e a migliorare l'interoperabilità dei dati e dei meccanismi e servizi di condivisione dei dati nell'Unione. È opportuno non interpretare il presente regolamento come un atto che riconosce o creare una base giuridica che consenta al titolare dei dati di detenere i dati, trattarli e avervi accesso o che conferisce al titolare dei dati un nuovo diritto di utilizzare i dati generati dall'uso di un prodotto o di un servizio correlato. Il punto di partenza del presente regolamento è invece il controllo che il titolare dei dati effettivamente esercita, di fatto o di diritto, sui dati generati dai prodotti o dai servizi correlati. (6)La generazione dei dati è il risultato delle azioni di almeno due soggetti, il progettista o il fabbricante di un prodotto e l'utente di tale prodotto. Ciò solleva questioni di equità nell'economia digitale, in quanto i dati registrati da tali prodotti o servizi correlati costituiscono un input importante per i servizi post-vendita, ausiliari e di altro tipo. Al fine di realizzare gli importanti vantaggi economici dei dati in quanto bene non rivale per l'economia e la società, è preferibile adottare un approccio generale all'assegnazione dei diritti di accesso e uso dei dati rispetto alla concessione di diritti esclusivi di accesso e uso. (7)Il diritto fondamentale alla protezione dei dati personali è garantito in particolare dal regolamento (UE) 2016/679 e dal regolamento (UE) 2018/1725. La direttiva 2002/58/CE tutela inoltre la vita privata e la riservatezza delle comunicazioni, definendo anche condizioni per la conservazione dei dati personali e non personali nelle apparecchiature terminali e per l'accesso agli stessi da tali apparecchiature. Questi strumenti costituiscono la base per un trattamento sostenibile e responsabile dei dati, anche nei casi in cui i set di dati comprendono una combinazione di dati personali e non personali. Il presente regolamento integra e lascia impregiudicato il diritto dell'Unione in materia di protezione dei dati e di vita privata, in particolare il regolamento (UE) 2016/679 e la direttiva 2002/58/CE. Nessuna disposizione del presente regolamento dovrebbe essere applicata o interpretata in modo da ridurre o limitare il diritto alla protezione dei dati personali o il diritto alla vita privata e alla riservatezza delle comunicazioni. (8)I principi della minimizzazione dei dati e della protezione dei dati fin dalla progettazione e per impostazione predefinita sono essenziali quando il trattamento comporta rischi significativi per i diritti fondamentali delle persone. Tenendo conto dello stato dell'arte, tutte le parti coinvolte nella condivisione dei dati, comprese le condivisioni rientranti nell'ambito di applicazione del presente regolamento, dovrebbero attuare misure tecniche e organizzative per tutelare questi diritti. Tali misure comprendono non solo la pseudonimizzazione e la cifratura, ma anche l'uso di tecnologie sempre più disponibili che consentono di applicare gli algoritmi ai dati e di ricavare informazioni preziose senza la trasmissione tra le parti o la copia non necessaria dei dati stessi, siano essi grezzi o strutturati.

(9)Il presente regolamento integra e lascia impregiudicato il diritto dell'Unione volto a promuovere gli interessi dei consumatori e a garantire un livello elevato di protezione dei consumatori, a proteggere la loro salute, la loro sicurezza e i loro interessi economici, in particolare la direttiva 2005/29/CE del Parlamento europeo e del Consiglio, la direttiva 2011/83/UE del Parlamento europeo e del Consiglio e la direttiva 93/13/CEE del Parlamento europeo e del Consiglio. (10)Il presente regolamento lascia impregiudicati gli atti giuridici dell'Unione che prevedono la condivisione dei dati, l'accesso agli stessi e il loro uso a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, o a fini doganali e fiscali, indipendentemente dalla base giuridica a norma del trattato sul funzionamento dell'Unione europea sulla cui base sono stati adottati. Tali atti comprendono il regolamento (UE) 2021/784 del Parlamento europeo e del Consiglio, del 29 aprile 2021, relativo al contrasto della diffusione di contenuti terroristici online, [le proposte sulle prove elettroniche [COM(2018) 225 e 226] una volta adottate], [la proposta di] regolamento del Parlamento europeo e del Consiglio relativo a un mercato unico dei servizi digitali (legge sui servizi digitali) e che modifica la direttiva 2000/31/CE, nonché la cooperazione internazionale in questo contesto, in particolare sulla base della convenzione sulla criminalità informatica del Consiglio d'Europa del 2001 ("convenzione di Budapest"). Il presente regolamento lascia impregiudicate le competenze degli Stati membri per quanto riguarda le attività in materia di pubblica sicurezza, difesa e sicurezza nazionale conformemente al diritto dell'Unione e le attività delle dogane in materia di gestione dei rischi e, in generale, di verifica del rispetto del codice doganale da parte degli operatori economici. (11)Il presente regolamento non dovrebbe incidere sul diritto dell'Unione che stabilisce requisiti in materia di progettazione fisica e di dati per i prodotti da immettere sul mercato dell'Unione. (12)Il presente regolamento integra e lascia impregiudicato il diritto dell'Unione volto a stabilire requisiti di accessibilità per determinati prodotti e servizi, in particolare la direttiva 2019/882. (13)Il presente regolamento lascia impregiudicate le competenze degli Stati membri per quanto riguarda le attività in materia di pubblica sicurezza, difesa e sicurezza nazionale conformemente al diritto dell'Unione e le attività delle dogane in materia di gestione dei rischi e, in generale, di verifica del rispetto del codice doganale da parte degli operatori economici. (14)I prodotti fisici che ottengono, generano o raccolgono, mediante i loro componenti, dati relativi alle loro prestazioni, al loro uso o al loro ambiente e che sono in grado di comunicare tali dati tramite un servizio di comunicazione elettronica accessibile al pubblico (spesso denominato "internet delle cose") dovrebbero rientrare nell'ambito di applicazione del presente regolamento. I servizi di comunicazione elettronica comprendono le reti telefoniche terrestri, le reti televisive via cavo, le reti satellitari e le reti di comunicazione in prossimità (NFC). Tali prodotti possono comprendere veicoli, apparecchiature domestiche e beni di consumo, dispositivi medici e sanitari o macchine agricole e industriali. I dati rappresentano la digitalizzazione delle azioni e degli eventi degli utenti e dovrebbero pertanto essere accessibili all'utente, mentre le informazioni ricavate o desunte da tali dati, se detenute in modo lecito, non dovrebbero essere considerate nell'ambito di applicazione del presente regolamento. Tali dati sono potenzialmente preziosi per l'utente e sostengono l'innovazione e lo sviluppo di servizi digitali e di altro tipo che tutelano l'ambiente, la salute e l'economia circolare, in particolare agevolando la manutenzione e la riparazione dei prodotti in questione. (15)Per contro, determinati prodotti progettati principalmente per visualizzare o riprodurre contenuti o per registrare e trasmettere contenuti, anche per l'uso da parte di un servizio online, non dovrebbero rientrare nell'ambito di applicazione del presente regolamento. Tali prodotti comprendono, ad esempio, personal computer, server, tablet e smartphone, telecamere, webcam, sistemi di registrazione sonora e scanner di testo. Essi richiedono un contributo umano per produrre varie forme di contenuto, quali documenti di testo, file audio, file video, giochi, mappe digitali. (16)È necessario stabilire norme applicabili ai prodotti connessi che incorporano un servizio o sono interconnessi con tale servizio in modo tale che l'assenza del servizio impedirebbe al prodotto di svolgere le sue funzioni. Tali servizi correlati possono far parte del contratto di vendita, di locazione o di noleggio o sono di norma forniti per prodotti dello stesso tipo, e l'utente potrebbe ragionevolmente aspettarsi che siano forniti in considerazione della natura del prodotto e di qualsiasi dichiarazione pubblica resa dal venditore, dal locatore, dal noleggiatore o da altre persone nei precedenti anelli della catena di transazioni commerciali, compreso il fabbricante, o per loro conto. Questi servizi correlati possono generare essi stessi dati utili per l'utente indipendentemente dalle capacità di raccolta dei dati del prodotto con il quale sono interconnessi. Il presente regolamento dovrebbe applicarsi anche a un servizio correlato che non è fornito dal venditore, dal locatore o dal noleggiatore stesso, ma che è prestato, nell'ambito di un contratto di vendita, di locazione o di noleggio, da un terzo. In caso di dubbi sul fatto che la prestazione del servizio faccia parte del contratto di vendita, di locazione o di noleggio, è opportuno applicare il presente regolamento. (17)I dati generati dall'uso di un prodotto o di un servizio correlato comprendono i dati registrati intenzionalmente dall'utente. Tali dati comprendono anche i dati generati come sottoprodotto dell'azione dell'utente, quali i dati diagnostici, e senza alcuna azione da parte dell'utente, ad esempio quando il prodotto è in "modalità stand-by", nonché i dati registrati durante i periodi in cui il prodotto è spento. Tali dati dovrebbero comprendere i dati nella forma e nel formato in cui sono generati dal prodotto, ma non riguardano i dati risultanti da un'elaborazione software che calcoli dati derivati da tali dati, in quanto tale elaborazione software può esser soggetta a diritti di proprietà intellettuale. (18)L'utente di un prodotto dovrebbe essere inteso come la persona fisica o giuridica, ad esempio un consumatore o un'impresa, che ha acquistato, affittato o noleggiato il prodotto. A seconda del titolo giuridico con il quale lo utilizza, tale utente sopporta i rischi e gode dei vantaggi derivanti dall'uso del prodotto connesso e dovrebbe beneficiare anche dell'accesso ai dati che esso genera. L'utente dovrebbe pertanto avere il diritto di trarre vantaggio dai dati generati da tale prodotto e da qualsiasi servizio correlato. (19)Nella pratica, non tutti i dati generati dai prodotti o dai servizi correlati sono facilmente accessibili agli utenti e le possibilità di portabilità dei dati generati da prodotti connessi all'internet delle cose sono spesso limitate. Gli utenti non sono in grado di ottenere i dati necessari per avvalersi dei fornitori di servizi di riparazione e di altri servizi e le imprese non sono in grado di introdurre servizi innovativi, più efficienti e convenienti. In molti settori i fabbricanti sono spesso in grado di determinare, attraverso il controllo della progettazione tecnica del prodotto o dei servizi correlati, quali dati sono generati e come possono essere consultati, anche se non hanno alcun diritto legale ai dati. È pertanto necessario garantire che i prodotti siano progettati e fabbricati e che i servizi correlati siano forniti in modo tale che i dati generati dal loro uso siano sempre facilmente accessibili all'utente. (20)Nel caso in cui più persone o entità siano proprietarie di un prodotto o siano parti di un contratto di noleggio o di locazione e beneficino dell'accesso a un servizio correlato, dovrebbero essere compiuti sforzi ragionevoli nella progettazione del prodotto o del servizio correlato o dell'interfaccia pertinente affinché tutte le persone possano avere accesso ai dati che generano. Agli utenti di prodotti che generano dati viene in genere richiesto di creare di un account utente. Questo consente l'identificazione dell'utente da parte del fabbricante e funge da mezzo di comunicazione per effettuare richieste di accesso ai dati e per il loro trattamento. I fabbricanti o i progettisti di un prodotto generalmente utilizzato da più persone dovrebbero porre in essere il meccanismo necessario per consentire, se del caso, account utente separati per le singole persone o la possibilità per più persone di utilizzare lo stesso account utente. L'accesso dovrebbe essere accordato all'utente su semplice richiesta, tramite meccanismi che consentono l'esecuzione automatica e non richiedono un esame o un'autorizzazione da parte del fabbricante o del titolare dei dati. Ciò significa che i dati dovrebbero essere resi disponibili solo quando l'utente lo desidera effettivamente. Qualora l'esecuzione automatizzata della richiesta di accesso ai dati non sia possibile, ad esempio, attraverso un account utente o un'applicazione mobile complementare fornita con il prodotto o il servizio, il fabbricante dovrebbe informare l'utente in merito alle modalità di accesso ai dati. (21)I prodotti possono essere progettati in modo da rendere alcuni dati direttamente disponibili da un archivio dati sul dispositivo o da un server remoto al quale i dati sono comunicati. L'accesso all'archivio dati sul dispositivo può essere consentito tramite reti locali via cavo o senza fili collegate a un servizio di comunicazione elettronica accessibile al pubblico o a una rete mobile. Il server può essere il server locale del fabbricante o quello di un terzo o di un fornitore di servizi cloud che opera in qualità di titolare dei dati. I prodotti possono essere progettati in modo da consentire all'utente o a terzi di trattare i dati sul prodotto o su un'istanza di calcolo del fabbricante. (22)Gli assistenti virtuali svolgono un ruolo sempre più importante nella digitalizzazione degli ambienti dei consumatori e fungono da interfaccia di facile utilizzo per riprodurre contenuti, ottenere informazioni o attivare oggetti fisici connessi all'internet delle cose. Gli assistenti virtuali possono fungere da punto di accesso unico, ad esempio, in un ambiente domestico intelligente e registrare quantità significative di dati pertinenti sul modo in cui gli utenti interagiscono con i prodotti connessi all'internet delle cose, compresi quelli fabbricati da altre parti; possono inoltre sostituire l'uso di interfacce fornite dal fabbricante quali schermi tattili o applicazioni per smartphone. L'utente può voler mettere tali dati a disposizione di fabbricanti terzi e consentire così la realizzazione nuovi servizi domestici intelligenti. Tali assistenti virtuali dovrebbero essere contemplati dal diritto di accesso ai dati di cui al presente regolamento anche per quanto riguarda i dati registrati prima dell'attivazione dell'assistente virtuale mediante la parola di attivazione e i dati generati quando un utente interagisce con un prodotto tramite un assistente virtuale fornito da un'entità diversa dal fabbricante del prodotto. Tuttavia solo i dati derivanti dall'interazione tra l'utente e il prodotto attraverso l'assistente virtuale rientrano nell'ambito di applicazione del presente regolamento. I dati prodotti dall'assistente virtuale non correlati all'uso di un prodotto non sono oggetto del presente regolamento. (23)Prima di concludere un contratto per l'acquisto, la locazione o il noleggio di un prodotto o la fornitura di un servizio correlato, è opportuno fornire all'utente informazioni chiare e sufficienti sulle modalità di accesso ai dati generati. Tale obbligo garantisce la trasparenza dei dati generati e migliora la facilità di accesso per l'utente. L'obbligo di fornire informazioni non pregiudica l'obbligo per il titolare del trattamento di fornire informazioni all'interessato ai sensi degli articoli 12, 13 e 14 del regolamento (UE) 2016/679. (24)Il presente regolamento impone ai titolari dei dati l'obbligo di mettere a disposizione i dati in determinate circostanze. Nella misura in cui sono trattati dati personali, il titolare dei dati dovrebbe essere un titolare del trattamento ai sensi del regolamento (UE) 2016/679. Qualora gli utenti siano interessati, i titolari dei dati dovrebbero essere tenuti a fornire loro l'accesso ai dati e a mettere i dati a disposizione di terzi scelti dall'utente in conformità al presente regolamento. Tuttavia il presente regolamento non crea una base giuridica a norma del regolamento (UE) 2016/679 in virtù della quale il titolare dei dati possa consentire l'accesso ai dati personali o renderli disponibili a terzi su richiesta di un utente che non è un interessato e non dovrebbe essere inteso come un nuovo diritto del titolare dei dati di utilizzare i dati generati dall'uso di un prodotto o di un servizio correlato. Ciò vale in particolare nel caso in cui il fabbricante sia il titolare dei dati. In tal caso, la base per l'utilizzo di dati non personali da parte del fabbricante dovrebbe essere un accordo contrattuale tra il fabbricante e l'utente. Tale accordo può far parte del contratto di vendita, di locazione o di noleggio relativo al prodotto. Qualsiasi clausola contrattuale dell'accordo che preveda che il titolare dei dati possa utilizzare i dati generati dall'utente di un prodotto o di un servizio correlato dovrebbe essere trasparente per l'utente, anche per quanto riguarda la finalità per la quale il titolare dei dati intende utilizzare i dati. Il presente regolamento non dovrebbe impedire condizioni contrattuali che abbiano l'effetto di escludere o limitare l'uso dei dati, o di talune loro categorie, da parte del titolare dei dati. Il presente regolamento non dovrebbe inoltre impedire requisiti normativi settoriali specifici ai sensi del diritto dell'Unione, o del diritto nazionale compatibile con il diritto dell'Unione, che escluderebbero o limiterebbero l'uso di alcuni di tali dati da parte del titolare dei dati per motivi ben definiti di ordine pubblico. (25)Nei settori caratterizzati dalla concentrazione di un piccolo numero di fabbricanti che riforniscono gli utenti finali, le opzioni a disposizione degli utenti per quanto riguarda la condivisione dei dati con tali fabbricanti sono limitate. In tali circostanze gli accordi contrattuali possono essere insufficienti per conseguire l'obiettivo di conferire maggiori poteri agli utenti. I dati tendono a rimanere sotto il controllo dei fabbricanti, rendendo difficile per gli utenti ottenere valore dai dati generati dalle apparecchiature che acquistano o noleggiano. Di conseguenza le piccole imprese innovative hanno un potenziale limitato nell'offrire soluzioni basate sui dati in modo competitivo e a favore di un'economia dei dati diversificata in Europa. Il presente regolamento dovrebbe pertanto basarsi sui recenti sviluppi in settori specifici, come il codice di condotta sulla condivisione dei dati agricoli mediante accordo contrattuale. Potrebbe dunque essere presentata una normativa settoriale per rispondere alle necessità e agli obiettivi settoriali specifici. Inoltre il titolare dei dati non dovrebbe utilizzare dati generati dall'uso del prodotto o del servizio correlato al fine di ottenere informazioni sulla situazione economica, sulle risorse o sui metodi di produzione o sull'utilizzo dell'utente in qualsiasi altro modo che possa compromettere la posizione commerciale dell'utente sui mercati in cui è attivo. Ciò riguarderebbe ad esempio l'utilizzo di conoscenze sulle prestazioni complessive di un'impresa o di un'azienda agricola in trattative contrattuali con l'utente in merito alla potenziale acquisizione dei prodotti o della produzione agricola dell'utente a danno di quest'ultimo, o l'utilizzo di tali informazioni per alimentare banche di dati più ampie su alcuni mercati in forma aggregata (ad esempio, banche di dati sulle rese delle colture per la prossima stagione di raccolta), in quanto tale utilizzo potrebbe incidere negativamente sull'utente in modo indiretto. L'utente dovrebbe disporre dell'interfaccia tecnica necessaria per gestire le autorizzazioni, preferibilmente con opzioni di autorizzazione dettagliate (come "consenti una sola volta" o "consenti l'utilizzo di questa app o servizio"), compresa la possibilità di revocare l'autorizzazione. (26)Nei contratti tra un titolare dei dati e un consumatore in quanto utente di un prodotto o di un servizio correlato che genera dati, la direttiva 93/13/CEE si applica alle clausole del contratto per garantire che il consumatore non sia soggetto a clausole contrattuali abusive. Per le clausole contrattuali abusive imposte unilateralmente a una microimpresa, piccola o media impresa quale definita all'articolo 2 dell'allegato della raccomandazione 2003/361/CE, il presente regolamento prevede che tali clausole abusive non siano vincolanti per tale impresa. (27)Il titolare dei dati può richiedere un'adeguata identificazione dell'utente per verificare il diritto dell'utente di accedere ai dati. Nel caso di dati personali trattati da un responsabile del trattamento per conto del titolare del trattamento, il titolare dei dati dovrebbe garantire che la richiesta di accesso sia ricevuta e trattata dal responsabile del trattamento. (28)L'utente dovrebbe essere libero di utilizzare i dati per qualsiasi finalità legittima. Ciò include la fornitura dei dati che l'utente ha ricevuto nell'esercizio del diritto di cui al presente regolamento a un terzo che offre un servizio post-vendita che può essere in concorrenza con un servizio fornito dal titolare dei dati, o l'incarico al titolare dei dati di agire in tal senso. Il titolare dei dati dovrebbe garantire che i dati messi a disposizione del terzo siano tanto accurati, completi, affidabili, pertinenti e aggiornati quanto i dati ai quali il titolare stesso può essere in grado o avere il diritto di accedere in virtù dell'uso del prodotto o del servizio correlato. Nel trattamento dei dati dovrebbero essere rispettati eventuali segreti commerciali o diritti di proprietà intellettuale. È importante mantenere gli incentivi a investire in prodotti con funzionalità basate sull'uso di dati provenienti da sensori integrati in tale prodotto. L'obiettivo del presente regolamento dovrebbe pertanto essere inteso nel senso di promuovere lo sviluppo di prodotti o di servizi correlati nuovi e innovativi, stimolare l'innovazione nei servizi post-vendita, ma anche stimolare lo sviluppo di servizi completamente nuovi che utilizzano i dati, anche sulla base di dati provenienti da una varietà di prodotti o servizi correlati. Allo stesso tempo, esso mira a evitare di compromettere gli incentivi agli investimenti per il tipo di prodotto da cui i dati sono ottenuti, ad esempio mediante l'uso di dati per sviluppare un prodotto concorrente.

(29)Un terzo cui sono resi disponibili i dati può essere un'impresa, un istituto di ricerca o un'organizzazione senza scopo di lucro. Nel mettere i dati a disposizione del terzo, il titolare dei dati non dovrebbe abusare della sua posizione per cercare di ottenere un vantaggio competitivo in mercati in cui il titolare dei dati e il terzo possono trovarsi in concorrenza diretta. Pertanto il titolare dei dati non dovrebbe utilizzare dati generati dall'uso del prodotto o del servizio correlato al fine di ottenere informazioni sulla situazione economica, sulle risorse o sui metodi di produzione o sull'utilizzo del terzo in qualsiasi altro modo che possa compromettere la posizione commerciale del terzo sui mercati in cui è attivo. (30)In particolare quando l'utente è una persona fisica, l'uso di un prodotto o di un servizio correlato può generare dati che si riferiscono a una persona fisica identificata o identificabile (l'interessato). Il trattamento di tali dati è soggetto alle norme stabilite ai sensi del regolamento (UE) 2016/679, anche qualora i dati personali e non personali all'interno di un insieme di dati siano indissolubilmente legati. L'interessato può essere l'utente o un'altra persona fisica. I dati personali possono essere richiesti solo da un titolare del trattamento o da un interessato. A norma del regolamento (UE) 2016/679, un utente che è l'interessato ha, in determinate circostanze, il diritto di accedere ai dati personali che lo riguardano e tale diritto non è pregiudicato dal presente regolamento. A norma del presente regolamento l'utente che è una persona fisica ha inoltre il diritto di accedere a tutti i dati generati dal prodotto, personali e non personali. Se l'utente non è l'interessato ma un'impresa, compreso un operatore commerciale individuale, e non nei casi di uso domestico condiviso del prodotto, l'utente sarà un titolare del trattamento ai sensi del regolamento (UE) 2016/679. Di conseguenza tale utente, in qualità di titolare del trattamento che intenda richiedere dati personali generati dall'uso di un prodotto o di un servizio correlato, deve disporre di una base giuridica per il trattamento dei dati a norma dell'articolo 6, paragrafo 1, del regolamento (UE) 2016/679, come il consenso dell'interessato o un legittimo interesse. Tale utente dovrebbe garantire che l'interessato sia adeguatamente informato delle finalità specificate, esplicite e legittime del trattamento di tali dati e del modo in cui l'interessato può effettivamente esercitare i propri diritti. Il titolare dei dati e l'utente, se sono contitolari del trattamento ai sensi dell'articolo 26 del regolamento (UE) 2016/679, sono tenuti a determinare in modo trasparente, mediante un accordo tra loro, le rispettive responsabilità in materia di conformità a tale regolamento. Dovrebbe restare inteso che tale utente, una volta resi disponibili i dati, può a sua volta diventare titolare dei dati se soddisfa i criteri di cui al presente regolamento e divenire così soggetto all'obbligo di mettere a disposizione i dati a norma del presente regolamento. (31)I dati generati dall'uso di un prodotto o di un servizio correlato dovrebbero essere messi a disposizione di terzi solo su richiesta dell'utente. Il presente regolamento integra di conseguenza il diritto di cui all'articolo 20 del regolamento (UE) 2016/679. Tale articolo prevede il diritto degli interessati di ricevere i dati personali che li riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmettere tali dati ad altri titolari del trattamento, qualora il trattamento di tali dati sia basato sull'articolo 6, paragrafo 1, lettera a), o sull'articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell'articolo 6, paragrafo 1, lettera b). Gli interessati hanno inoltre il diritto di ottenere che i dati personali siano trasmessi direttamente da un titolare del trattamento a un altro, ma solo ove tecnicamente fattibile. L'articolo 20 specifica che esso riguarda i dati forniti dall'interessato, ma non chiarisce se ciò richieda un comportamento attivo da parte dell'interessato o se si applichi anche a situazioni in cui un prodotto o un servizio correlato osservi, in conseguenza delle sue caratteristiche di progettazione, il comportamento di un interessato o altre informazioni relative all'interessato in modo passivo. Il diritto di cui al presente regolamento integra in vari modi il diritto di ricevere i dati personali e il diritto alla portabilità degli stessi a norma dell'articolo 20 del regolamento (UE) 2016/679. Esso conferisce agli utenti il diritto di accedere a tutti i dati generati dall'uso di un prodotto o di un servizio correlato, e di metterli a disposizione di terzi, indipendentemente dalla loro natura di dati personali, dalla distinzione tra dati forniti attivamente o osservati passivamente e dalla base giuridica del trattamento. A differenza degli obblighi tecnici di cui all'articolo 20 del regolamento (UE) 2016/679, il presente regolamento impone e garantisce la fattibilità tecnica dell'accesso di terzi a tutti i tipi di dati che rientrano nel suo ambito di applicazione, siano essi personali o non personali. Consente inoltre al titolare dei dati di fissare un compenso ragionevole a carico di terzi, ma non dell'utente, per eventuali costi sostenuti per fornire un accesso diretto ai dati generati dal prodotto dell'utente. Se un titolare dei dati e un terzo non sono in grado di concordare le condizioni di tale accesso diretto, all'interessato non dovrebbe essere in alcun modo impedito di esercitare i diritti di cui al regolamento (UE) 2016/679, compreso il diritto alla portabilità dei dati, esperendo i mezzi di ricorso in conformità a tale regolamento. In tale contesto resta inteso che, conformemente al regolamento (UE) 2016/679, un accordo contrattuale non consente il trattamento di categorie particolari di dati personali da parte del titolare dei dati o del terzo. (32)L'accesso ai dati conservati nelle apparecchiature terminali e consultati da tali apparecchiature è soggetto alla direttiva 2002/58/CE e richiede il consenso dell'abbonato o dell'utente ai sensi di tale direttiva, a meno che non sia strettamente necessario per la fornitura di un servizio della società dell'informazione esplicitamente richiesto dall'utente o dall'abbonato (o al solo scopo della trasmissione di una comunicazione). La direttiva 2002/58/CE ("direttiva relativa alla vita privata e alle comunicazioni elettroniche") (e la proposta di regolamento sulla vita privata e le comunicazioni elettroniche) tutela l'integrità delle apparecchiature terminali dell'utente per quanto riguarda l'uso delle capacità di trattamento e archiviazione e la raccolta di informazioni. Le apparecchiature per l'internet delle cose sono considerate apparecchiature terminali se sono direttamente o indirettamente collegate a una rete pubblica di comunicazione. (33)Al fine di impedire lo sfruttamento degli utenti, i terzi a disposizione dei quali sono stati messi i dati su richiesta dell'utente dovrebbero trattare i dati solo per le finalità concordate con l'utente e condividerli con un altro terzo solo se ciò è necessario per fornire il servizio richiesto dall'utente. (34)In linea con il principio della minimizzazione dei dati, il terzo dovrebbe accedere solo alle informazioni supplementari necessarie per la fornitura del servizio richiesto dall'utente. Una volta ricevuto l'accesso ai dati, il terzo dovrebbe trattarli esclusivamente per le finalità concordate con l'utente, senza interferenze da parte del titolare dei dati. Per l'utente, rifiutare o interrompere l'accesso ai dati da parte di terzi dovrebbe essere altrettanto facile quanto autorizzare l'accesso. Il terzo non dovrebbe ricorrere in nessun modo a mezzi coercitivi, ingannevoli o manipolatori nei confronti dell'utente, sovvertendone o pregiudicandone l'autonomia, il processo decisionale o le scelte, anche mediante un'interfaccia digitale con l'utente. In tale contesto, i terzi non dovrebbero fare affidamento sui cosiddetti dark patterns nella progettazione delle loro interfacce digitali. I dark patterns sono tecniche di progettazione che ingannano i consumatori spingendoli verso decisioni che hanno conseguenze negative per loro. Queste tecniche di manipolazione possono essere utilizzate per persuadere gli utenti, in particolare i consumatori vulnerabili, ad adottare comportamenti indesiderati, per indurli con l'inganno a prendere decisioni in favore di operazioni di divulgazione dei dati, o per distorcere indebitamente il processo decisionale degli utenti del servizio, in modo da sovvertirne e pregiudicarne l'autonomia, il processo decisionale e la scelta. Le pratiche commerciali comuni e legittime che sono conformi al diritto dell'Unione non dovrebbero di per sé essere considerate dark patterns. I terzi dovrebbero rispettare i loro obblighi ai sensi del pertinente diritto dell'Unione, in particolare gli obblighi di cui alla direttiva 2005/29/CE, alla direttiva 2011/83/UE, alla direttiva 2000/31/CE e alla direttiva 98/6/CE. (35)Il terzo dovrebbe inoltre astenersi dall'utilizzare i dati per la profilazione delle persone, a meno che tali attività di trattamento non siano strettamente necessarie per fornire il servizio richiesto dall'utente. L'obbligo di cancellare i dati quando non sono più necessari per la finalità concordata con l'utente integra il diritto dell'interessato alla cancellazione a norma dell'articolo 17 del regolamento (UE) 2016/679. Se il terzo è un fornitore di un servizio di intermediazione dei dati ai sensi dell'[atto sulla governance dei dati], si applicano le garanzie per l'interessato previste da tale regolamento. Il terzo può utilizzare i dati per sviluppare un prodotto o un servizio correlato nuovo e innovativo, ma non per sviluppare un prodotto concorrente. (36)Le start-up, le piccole e medie imprese e le imprese dei settori tradizionali con capacità digitali meno sviluppate faticano a ottenere l'accesso ai dati pertinenti. Il presente regolamento mira ad agevolare l'acc