Omnibus digitale

DaTNet partecipa alla procedura “Digital Omnibus” della Commissione europea

La procedura «Digital Omnibus» della Commissione europea ha lo scopo di rivedere e sviluppare ulteriormente le principali leggi europee in materia di digitale, tra cui il Data Governance ActDer Data Governance Act (DGA) ist eine im Mai 2022 verabschiedete, seit dem 23. September 2023 EU-weit gültige EU-Verordnung, die neue Möglichkeiten für das... (DGA). Questo costituisce la base per un’infrastruttura europea dei dati affidabile: Esso definisce il quadro giuridico per modelli di custodia dei dati, organizzazioni di altruismo dei dati e meccanismi di condivisione dei dati. L’obiettivo della procedura omnibus è quello di valutare, sulla base delle esperienze pratiche, in che modo tali norme possano essere ulteriormente sviluppate per promuovere l’innovazione, la protezione dei dati e la fiducia nella società.

Con il suo parere, DaTNet prosegue il proprio lavoro al crocevia tra ricerca, politica e pratica, contribuendo a dare maggiore risalto all’idea di amministrazione fiduciaria dei dati nel contesto europeo. In questa pagina troverete la nostra sintesi e la versione completa della dichiarazione presentata.

È possibile scaricare la dichiarazione completa relativa alla consultazione preliminare «Pacchetti omnibus per il settore digitale (parte del pacchetto di semplificazione per il settore digitale)» nonché una sintesi anche in formato PDF.

---

Parere sulla consultazione preliminare “Pacchetti omnibus per il settore digitale (parte del pacchetto di semplificazione per il settore digitale)”

Gli scienziati e le scienziate firmatari della rete di competenza sui modelli di amministrazione fiduciaria dei dati (DaTNet) sono lieti di esprimere la propria posizione in merito alle necessità di riforma dell’atto europeo sulla governance dei dati e della direttiva sui dati aperti.

Come rileva la Commissione europea nella sua richiesta di pareri, per quanto riguarda questi due atti giuridici sono necessarie misure volte a rafforzare la coerenza e a garantire una maggiore certezza del diritto. Proponiamo le seguenti modifiche:

1. Il DataDaten sind Zeichen oder Zeichenketten, die Informationen enthalten, wobei sie auch in Form von Diagrammen oder Zeichnungen auftreten können. Sie... Governance Act mira a migliorare le condizioni per la condivisione dei dati nel mercato interno, creando un quadro armonizzato per gli scambi di dati. A tal fine vengono previsti, tra l’altro, requisiti rigorosi per servizi di intermediazione dei dati, al fine di impedire la concentrazione del potere di mercato nelle mani di singoli operatori e di rafforzare la fiducia nei confronti di tali fornitori di servizi.

Sebbene tale obiettivo sia nel complesso da accogliere con favore, ci si chiede tuttavia perché i fornitori di servizi di intermediazione dei dati siano soggetti a una regolamentazione relativamente rigorosa, mentre, ad esempio, i broker di dati ne siano esclusi (art. 2 n. 11 lett. a) DGA). In questo punto l’obiettivo normativo dovrebbe essere evidenziato in modo ancora più chiaro.

2. Il termine «persona giuridica distinta», ovvero giuridicamente autonoma, è poco chiaro e crea un rapporto di tensione con gli ordinamenti nazionali in materia di diritto societario. Secondo il diritto tedesco, anche le società di persone dotate di capacità giuridica (Außen-GbR, GmbH & Co. KG) possiedono capacità giuridica, ma non sono “persone giuridiche”. Questa incertezza complica la costituzione e l’ammissione di amministratori fiduciari dei dati.

Il requisito di una «persona giuridica distinta» (art. 12, lett. a) DGA) dovrebbe essere precisato.

Proposta di modifica (art. 12, lett. a) DGA nella nuova versione):

«Il fornitore di servizi di intermediazione dei dati utilizza i dati per i quali presta tali servizi esclusivamente allo scopo di metterli a disposizione degli utenti dei dati. I servizi di intermediazione dei dati sono forniti tramite un’unità organizzativa giuridicamente autonoma, dotata di personalità giuridica o capacità giuridica e separata, dal punto di vista organizzativo, dalle altre attività del fornitore. Gli Stati membri garantiscono che a tal fine siano disponibili forme giuridiche a responsabilità limitata.”

Motivazione: La formulazione proposta sostituisce il concetto ristretto di «persona giuridica» con il criterio più appropriato della capacità giuridica e della limitazione della responsabilità, includendo così anche forme societarie quali GmbH & Co. KG (società di capitali) o GbR (società di persone) dotata di capacità giuridica, purché presentino una chiara struttura di governance. Il concetto, da intendersi in modo autonomo nell’ambito dell’Unione, viene precisato dal punto di vista funzionale (capacità giuridica anziché la nozione ristretta di «persona giuridica»), senza indebolire la separazione e la neutralità richieste; allo stesso tempo, il testo affronta i rischi di responsabilità, significativi nella pratica (GDPR, diritto antitrust), facendo riferimento alle forme societarie disponibili con responsabilità limitata (ad es. GmbH, AG, eventualmente GmbH & Co. KG).

3. Il DGA chiede neutralità, indipendenza e fiducia, senza tuttavia stabilire standard minimi di diritto societario per l’organizzazione interna. Finora questi aspetti sono stati lasciati interamente alla discrezione del diritto nazionale.

Si dovrebbe pertanto introdurre un nuovo articolo 12a del DGA – «Corporate Governance dei servizi di intermediazione dei dati» – che garantisca la neutralità, l’indipendenza e la fiducia sotto forma di standard minimi.

Questo nuovo articolo definisce un quadro di riferimento per i principi di corporate governance degli amministratori di dati e garantisce che i meccanismi di controllo previsti dal diritto societario (dovere di lealtà, comitato consultivo, cogestione) siano orientati in modo funzionale alla neutralità dei dati e alla creazione di fiducia, senza interferire con la definizione della forma giuridica da parte degli Stati membri.

Proposta di un nuovo articolo 12 bis:

«Art. 12a – Requisiti minimi di diritto societario
(1) I fornitori di servizi di intermediazione dei dati dispongono di strutture di governance adeguate che garantiscono che
a) gli organi direttivi agiscano in modo indipendente dai titolari dei dati e dagli utenti dei dati;
b) i conflitti di interesse siano evitati grazie a competenze chiaramente definite, a norme di incompatibilità e a una politica sulle operazioni con parti correlate;
c) Esistono diritti di controllo e di partecipazione per le parti interessate rilevanti, in linea con le categorie di cui all’articolo 10.
(2) A tal fine, gli Stati membri consentono o impongono, in particolare:
– l’istituzione di un comitato di vigilanza o di un comitato consultivo,
– obblighi di trasparenza e di informativa relativi alla struttura proprietaria e di controllo,
– obblighi di fedeltà e neutralità dei soci e dei membri degli organi societari nei confronti dello scopo statutario.
(3) La Commissione adotta orientamenti in materia di interpretazione e di buone pratiche, nel rispetto delle normative nazionali in materia di diritto societario.»

4. L’attuale apertura del DGA riguardo alla forma giuridica comporta incertezza giuridica e una scarsa comparabilità.

Una forma speciale, riconosciuta a livello dell’Unione e caratterizzata da responsabilità limitata, potrebbe favorire la fiducia e l’omogeneità del mercato. Proponiamo quindi una nuova forma giuridica denominata «Amministrazione fiduciaria europea dei dati». Una simile forma societaria europea facoltativa creerebbe standard di governance uniformi senza privare gli Stati membri della loro autonomia in materia di diritto societario, analogamente alla SE (Societas Europaea) o alla SCE (Società Cooperativa Europea). Due proposte di modifica in tal senso prevedono l’inserimento di un nuovo considerando 33 bis e di un nuovo articolo 12 b.

Nuovo considerando 33 bis:

«Al fine di promuovere standard minimi uniformi per l’organizzazione, ai sensi del diritto societario, dei servizi di intermediazione dei dati, gli Stati membri possono prevedere una forma giuridica o una denominazione nazionale specifica (Società europea di amministrazione fiduciaria dei dati / European Data Trust – EDaT), che garantisca la limitazione della responsabilità, la neutralità e la trasparenza. »

Nuovo articolo 12b della DGA – Società europea di custodia dei dati (EDaT):

«(1) Gli Stati membri possono istituire una forma giuridica specifica o una denominazione protetta dalla legge per i fornitori di servizi di intermediazione dei dati.
(2) Tale forma giuridica deve presentare le seguenti caratteristiche minime:
– limitazione di responsabilità,
– organo di vigilanza indipendente,
– divieto assoluto di utilizzare per fini personali i dati forniti,
– maggiore trasparenza nei confronti dell’autorità di vigilanza e nel registro ai sensi dell’art. 11.
(3) Le società che soddisfano i requisiti possono fregiarsi della denominazione «EDaT».»

5. L’art. 12, lett. a, del DGA richiede la neutralità, ma manca un fondamento giuridicamente vincolante della neutralità dei dati nei rapporti interni alla società.

L’integrazione della neutralità dei dati come manifestazione del dovere di fedeltà previsto dal diritto societario amplia il campo di applicazione di tale diritto, rafforza il vincolo interno degli organi societari e rende gli obblighi di neutralità esigibili anche in sede civile.

Proposta di integrazione all’art. 12, lett. a) del DGA:

«Tale obbligo è considerato, sul piano interno, una manifestazione del dovere di fedeltà previsto dal diritto societario a carico dei membri degli organi sociali e dei soci; esso deve essere recepito nello statuto e tenuto in considerazione nella nomina dei membri degli organi sociali.»

6. I requisiti di cui all’art. 18, cpv. 2, lett. c) del DGA («senza scopo di lucro» in caso di indipendenza giuridica) comportano problemi di finanziamento e una scarsa qualità della governance.

L’articolo 18 del DGA (organizzazioni di altruismo dei dati) dovrebbe essere precisato. L’integrazione precisativa proposta di seguito consente strutture di governance autonome ed evita l’esclusione di fatto delle organizzazioni che perseguono l’altruismo dei dati dalle forme societarie professionali.

Art. 18, cpv. 2, lett. c) DGA – nuovo:

«opera senza scopo di lucro; ciò non esclude che vengano svolte attività economiche secondarie esclusivamente finalizzate al finanziamento degli scopi altruistici, purché ciò non dia luogo a conflitti di interesse con lo scopo altruistico e non comporti la distribuzione di utili; l’indipendenza giuridica delle organizzazioni che perseguono fini di lucro rimane inalterata.»

7. L’art. 11, cpv. 6, richiede, al momento della registrazione, tra l’altro, l’indicazione della forma giuridica, della struttura proprietaria e delle controllate rilevanti; la Commissione tiene un registro pubblico (art. 11, cpv. 14). Finora, tuttavia, mancano i dettagli relativi alla governance (organi di controllo, prevenzione dei conflitti).

Una simile divulgazione delle informazioni relative alla governance dei servizi di intermediazione dei dati favorisce la trasparenza e la fiducia. Si occupa dell’organizzazione societaria per fornitori e utenti di dati, senza introdurre ulteriori obblighi di registrazione.

Proposta di integrazione all’art. 11, cpv. 6, del DGA (nuove lettere da h) a k)):

«h) Informazioni sui consigli di sorveglianza/consigli consultivi (composizione, criteri di nomina, criteri di indipendenza),
i) Politica sui conflitti di interesse e norme relative alle operazioni con parti correlate,
j) Obblighi di fedeltà e neutralità nei rapporti interni (sanciti dallo statuto),
k) misure di conformità a livello centrale (ad esempio interoperabilità, sicurezza, registrazione) in relazione all’articolo 12.”

Proposta di integrazione all’art. 11, cpv. 14 – frase (nuova):

«Le informazioni di cui al cpv. 6, lettere a–c, f e h–k, sono pubblicate in tale registro.»

8. I requisiti sostanziali di cui all’articolo 12 non sono collegati alle esigenze di un’organizzazione interna concretamente funzionante, ma dovrebbero esserlo.

Nuovo considerando 33b – Diritto societario e governance dei dati:

«Poiché la fiducia nei servizi di intermediazione dei dati dipende in misura determinante dalla loro organizzazione dal punto di vista del diritto societario, la struttura interna di tali servizi dovrebbe essere caratterizzata da adeguati meccanismi di governance (neutralità intesa come obbligo di fedeltà, organi di controllo indipendenti, trasparenza sulle strutture proprietarie e di controllo). In questo modo viene garantito, in modo adeguato alla sua funzione, il quadro di neutralità e indipendenza sancito dagli articoli 10-12.»

9. L’articolo 12 è attualmente formulato in modo tale da non includere con sufficiente precisione i modelli di amministrazione fiduciaria dei dati basati sulle transazioni.

Si propone un’integrazione – principalmente a scopo chiarificatore – che identifichi i servizi del fiduciario basato sulle transazioni (e attività simili) come un sotto-settore dell’attività di intermediazione dei dati.

It. «(e) I servizi di intermediazione dei dati possono comprendere l’offerta di strumenti e servizi supplementari specifici ai titolari dei dati o agli interessati allo scopo specifico di facilitare lo scambio dei dati, come la conservazione temporanea, la cura, la conversione, l’anonimizzazione e la pseudonimizzazione, fermo restando che tali strumenti e servizi sono utilizzati solo su richiesta o approvazione esplicita del titolare dei dati o dell’interessato e gli strumenti di terzi offerti in tale contesto non utilizzano i dati per altri scopi;»

Ingl. „(e) data intermediation services may include offering additional specific tools and services to data holders or data subjects for the specific purpose of facilitating the exchange of data, such as temporary storage, value-neutral aggregation, evaluation, curation, conversion, anonymisation and pseudonymisation, such tools being used only at the explicit request or approval of the data holder or data subject and third-party tools offered in that context not being used for other purposes;“

10. Nella pratica, inoltre, si riscontrano ostacoli quali definizioni poco chiare e incongruenze. Ne sono un esempio: Esistono diverse interpretazioni riguardo al concetto di «rapporti commerciali» («commercial relationships») tra titolari dei dati e utenti dei dati nell’ambito della definizione dei servizi di intermediazione dei dati di cui all’art. 2, n. 11, del DGA. Tra gli elementi di valutazione si considera determinante, ad esempio, se il rapporto commerciale sia di una certa durata, se entrambe le parti agiscano nell’esercizio della loro attività commerciale o professionale autonoma, se lo scopo dell’utilizzo dei dati sia di natura commerciale o se si verifichi uno scambio nel senso che il titolare dei dati riceve una controprestazione, ad esempio un compenso o l’accesso ad altri dati.

Queste ambiguità relative a un concetto così fondamentale come quello di «commercial relationships», determinante ai fini dell’ambito di applicazione del DGA, dovrebbero essere eliminate.

11. Rimangono aperte alcune questioni anche per quanto riguarda i servizi a valore aggiunto. Ai sensi dell’articolo 12, lett. a), i fornitori di servizi di intermediazione dei dati non utilizzano i dati per scopi diversi dalla loro messa a disposizione degli utenti dei dati. Un’eccezione a tale norma è prevista dall’art. 12, lett. e), che consente servizi aggiuntivi quali, ad esempio, la conversione, l’anonimizzazione e la pseudonimizzazione.

A causa delle divergenze tra le diverse versioni linguistiche del DGA, non è chiaro se tali servizi aggiuntivi siano ammessi esclusivamente o in particolare per agevolare lo scambio di dati. Questo va chiarito. Potrebbe inoltre essere opportuno considerare ammissibili anche servizi a valore aggiunto di facile accesso, quali la selezione e la standardizzazione.

12. Non sono chiari nemmeno la portata e i destinatari degli obblighi relativi alla prosecuzione adeguata dei servizi di intermediazione dei dati in caso di insolvenza, art. 12, lett. h). La norma è rivolta ai fornitori di servizi di intermediazione dati, per cui resta da chiarire se anche il curatore fallimentare, in caso di insolvenza, sia vincolato da essa.

Dalla normativa non risulta chiaro se il suo obiettivo sia quello di garantire che alle richieste dei fornitori e utenti dei dati debba essere assegnata una priorità nella gerarchia dei crediti dei creditori. Le ambiguità citate dovrebbero essere chiarite. Solo una regolamentazione dei casi di insolvenza orientata alla sostenibilità rafforza la fiducia in nuovi intermediari.

13. Nel dibattito politico-giuridico relativo all’utilizzabilità dei dati in possesso degli enti pubblici, viene ripetutamente invocato l’obbligo di mettere a disposizione tali dati.

È opportuno che né la direttiva Open DataOpen Data, auch als offene Daten bezeichnet, sind Daten, die ohne Einschränkungen öffentlich zugänglich sind und unter einer Lizenz bereitgestellt..., né il Data Governance Act stabiliscano un obbligo «rigido» di messa a disposizione dei dati in formato aperto. Le cose dovrebbero rimanere così.

Tuttavia, da un lato andrebbe valutato il rapporto costi-benefici della fornitura di dati aperti. A questo proposito occorre tenere presente che la fornitura e la gestione continua di dati dinamici tramite API efficienti comportano un notevole impegno in termini tecnici, di personale e finanziari. Soprattutto per gli enti locali, che spesso devono fare i conti con bilanci ridotti e risorse informatiche limitate, tale requisito potrebbe risultare insostenibile. In questo contesto, sarebbe opportuno valutare se non sia più efficace investire inizialmente le risorse disponibili nella creazione di un’infrastruttura di base unificata e modernizzata (anziché nell’“apertura”). Una base consolidata di questo tipo potrebbe poi, in una fase successiva, consentire di preparare il terreno per una distribuzione delle API più ampia e, potenzialmente, più efficiente in termini di costi.

D’altra parte, l’importanza critica dei dati e della loro messa a disposizione si presenta oggi in modo diverso rispetto a pochi anni fa. Il mutato contesto geopolitico si è ormai rivelato una sfida per il concetto di “Open”. Ciò riguarda il mondo della scienza (“Open Science”), ma anche il settore pubblico nel suo complesso. In linea di principiopotrebberosussistere preoccupazioniin materia di sicurezza, ad esempio quando si tratta di dati dettagliati a livello comunale. Parola chiave «Infrastrutture critiche»(KRITIS): Anche i tempi di funzionamento dei semafori nella città X in tempo reale, i dati HVD forniti dall’amministrazione delle dighe dell’Ente per la gestione delle risorse idriche Y, la capacità di carico e lo stato strutturale dei ponti della città Z, ecc. possono contenere informazioni rilevanti per la sicurezza.

Infine, ci si chiede se l’accesso ai dati del settore pubblico debba essere garantito in modo uguale a tutti i richiedenti oppure se debbano essere previste restrizioni per le imprese con sede in paesi terzi o per quelle designate come “gatekeeper” (analogamente a quanto previsto nel quadro del Data ActDer Data Act (dt. Datenverordnung) ist ein Rechtsakt der Europäischen Union. Er gehört zur Datenstrategie, die die Kommission im Jahre..., art. 5, cpv. 3 del Data Act).

Prof. Dr. Steffen Augsberg (Università di Gießen)
Prof. Dr. Johannes Buchheim (Università di Marburg)
Prof.ssa Petra Gehring (Università Tecnica di Darmstadt)
Prof.ssa Dr. Anne Lauber-Rönsberg (Università Tecnica di Dresda)
Prof. Dr. Florian Möslein (Università di Marburg)
Prof. Dr. Sebastian Omlor (Università di Marburg)