keyboard_tab Digital Governance Act 2022/0868 IT

1.   Gli enti pubblici che, a norma del diritto nazionale, hanno facoltà di concedere o negare l' accesso per il riutilizzo di una o più delle categorie di dati di cui all'articolo 3, paragrafo 1, rendono pubbliche le condizioni per consentire tale riutilizzo nonché la procedura di richiesta del riutilizzo attraverso lo sportello unico di cui all'articolo 8. Qualora concedano o neghino l' accesso per il riutilizzo, possono essere assistiti dagli organismi competenti di cui all'articolo 7, paragrafo 1.

Gli Stati membri garantiscono che gli enti pubblici siano dotati delle necessarie risorse per conformarsi al presente articolo.

2.   Le condizioni per il riutilizzo sono non discriminatorie, trasparenti, proporzionate e oggettivamente giustificate in relazione alle categorie di dati e alle finalità del riutilizzo e alla natura dei dati per i quali è consentito il riutilizzo. Tali condizioni non sono utilizzate per limitare la concorrenza.

3.   Gli enti pubblici garantiscono, conformemente al diritto dell'Unione e nazionale, la tutela della natura protetta dei dati. Essi garantiscono il rispetto dei requisiti seguenti:

4.   In caso di riutilizzo consentito conformemente al paragrafo 3, lettere b) e c), gli enti pubblici impongono condizioni che preservino l'integrità del funzionamento dei sistemi tecnici dell'ambiente di trattamento sicuro utilizzato. L' ente_pubblico si riserva il diritto di verificare il processo, i mezzi e i risultati del trattamento dei dati effettuato dal riutilizzatore per tutelare l'integrità della protezione dei dati come anche il diritto di vietare l'uso dei risultati che contengono informazioni che compromettono i diritti e gli interessi di terzi. La decisione di vietare il riutilizzo dei risultati è comprensibile e trasparente per il riutilizzatore.

5.   A meno che il diritto nazionale preveda tutele specifiche sugli obblighi di riservatezza applicabili relativi al riutilizzo dei dati di cui all'articolo 3, paragrafo 1, l' ente_pubblico subordina il riutilizzo dei dati forniti a norma del paragrafo 3 del presente articolo al rispetto, da parte del riutilizzatore, di un obbligo di riservatezza che vieti la divulgazione di qualsiasi informazione che comprometta i diritti e gli interessi di terzi e che il riutilizzatore possa aver acquisito malgrado le misure di tutela adottate. I riutilizzatori hanno il divieto di reidentificare gli interessati cui si riferiscono i dati e adottano misure tecniche e operative per impedire la reidentificazione e notificare all' ente_pubblico qualsiasi violazione dei dati che comporti la reidentificazione degli interessati. In caso di riutilizzo non autorizzato di dati non personali il riutilizzatore informa senza ritardo, se opportuno con l'assistenza dell' ente_pubblico, le persone giuridiche i cui diritti e interessi possono essere.

6.   Qualora il riutilizzo dei dati non possa essere consentito in conformità degli obblighi di cui ai paragrafi 3 e 4 del presente articolo e non vi sia alcuna base giuridica per la trasmissione dei dati a norma del regolamento (UE) 2016/679, l' ente_pubblico si adopera al meglio, conformemente al diritto dell'Unione e nazionale, per fornire assistenza ai potenziali riutilizzatori nel richiedere il consenso degli interessati o l' autorizzazione dei titolari dei dati i cui diritti e interessi possono essere interessati da tale riutilizzo, ove ciò sia fattibile senza un onere sproporzionato per l' ente_pubblico. Qualora fornisca tale assistenza, l' ente_pubblico può essere assistito dagli organismi competenti di cui all'articolo 7, paragrafo 1.

7.   Il riutilizzo dei dati è consentito solo nel rispetto dei diritti di proprietà intellettuale. Il diritto del costitutore di una banca di dati di cui all'articolo 7, paragrafo 1, della direttiva 96/9/CE non è esercitato dagli enti pubblici al fine di impedire il riutilizzo dei dati o di limitarlo oltre i limiti stabiliti dal presente regolamento.

8.   Quando i dati richiesti sono considerati riservati, conformemente al diritto dell'Unione o nazionale in materia di riservatezza commerciale o statistica, gli enti pubblici provvedono affinché i dati riservati non siano divulgati in conseguenza all' autorizzazione di tale riutilizzo, a meno che tale riutilizzo non sia consentito a norma del paragrafo 6.

9.   Qualora intenda trasferire a un paese terzo dati non personali protetti per i motivi di cui all'articolo 3, paragrafo 1, il riutilizzatore informa l' ente_pubblico della sua intenzione a trasferire tali dati e della finalità di tale trasferimento al momento della richiesta di riutilizzo di tali dati. In caso di riutilizzo a norma del paragrafo 6 del presente articolo, il riutilizzatore informa, se opportuno con l'assistenza dell' ente_pubblico, la persona giuridica i cui diritti e interessi possono essere interessati da tale intenzione, tale finalità e tali tutele adeguate. L' ente_pubblico non consente il riutilizzo a meno che la persona giuridica non dia l' autorizzazione al trasferimento.

10.   Gli enti pubblici trasmettono dati riservati non personali o dati protetti da diritti di proprietà intellettuale a un riutilizzatore che intende trasferire tali dati a un paese terzo diverso da un paese designato in conformità del paragrafo 12 solo se il riutilizzatore si impegna contrattualmente:

11.   Gli enti pubblici forniscono, se del caso e nei limiti delle loro capacità, orientamenti e assistenza ai riutilizzatori affinché rispettino gli obblighi di cui al paragrafo 10 del presente articolo.

Al fine di assistere gli enti pubblici e i riutilizzatori, la Commissione può adottare atti di esecuzione che stabiliscano clausole contrattuali tipo per il rispetto degli obblighi di cui al paragrafo 10 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 33, paragrafo 3.

12.   Se giustificato da un numero considerevole di richieste in tutta l'Unione riguardanti il riutilizzo di dati non personali in determinati paesi terzi, la Commissione può adottare atti di esecuzione in cui si dichiara che le disposizioni legislative, di vigilanza e in materia di applicazione di un paese terzo:

Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 33, paragrafo 3.

13.   Specifici atti legislativi dell'Unione possono stabilire che determinate categorie di dati non personali detenuti da enti pubblici siano considerate altamente sensibili ai fini del presente articolo, laddove il loro trasferimento a paesi terzi possa mettere a rischio gli obiettivi di politica pubblica dell'Unione, quali la sicurezza e la salute pubblica, o possa comportare il rischio di una reidentificazione dei dati non personali anonimizzati. Qualora tale atto sia adottato, la Commissione adotta atti delegati conformemente all'articolo 32 al fine di integrare il presente regolamento stabilendo condizioni particolari applicabili ai trasferimenti di tali dati verso paesi terzi.

Tali condizioni particolari si basano sulla natura delle categorie di dati non personali individuate nello specifico atto legislativo dell'Unione e sui motivi per cui tali categorie sono considerate altamente sensibili, tenendo in considerazione il rischio di una reidentificazione dei dati non personali anonimizzati. Esse sono non discriminatorie e limitate a quanto necessario per conseguire gli obiettivi di politica pubblica dell'Unione individuati in tale atto, conformemente agli obblighi internazionali dell'Unione.

Qualora richiesto dagli atti legislativi specifici dell'Unione di cui al primo comma, tali condizioni particolari possono includere termini applicabili al trasferimento o alle modalità tecniche ad esso relative, limitazioni per quanto riguarda il riutilizzo di dati in paesi terzi o categorie di persone autorizzate a trasferire tali dati a paesi terzi o, in casi eccezionali, restrizioni per quanto riguarda i trasferimenti a paesi terzi.

14.   La persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati non personali può trasferire i dati solo ai paesi terzi per i quali sono soddisfatti i requisiti di cui ai paragrafi 10, 12 e 13.

1.   I fornitori di servizi di intermediazione dei dati che intendono fornire i servizi di intermediazione dei dati di cui all'articolo 10 presentano una notifica all'autorità competente per i servizi di intermediazione dei dati.

2.   Ai fini del presente regolamento, un fornitore di servizi di intermediazione dei dati con stabilimenti in più di uno Stato membro è considerato soggetto alla giurisdizione dello Stato membro in cui ha lo stabilimento_principale, fatto salvo il diritto dell'Unione che disciplina le azioni transfrontaliere di risarcimento danni e i procedimenti connessi.

3.   Un fornitore di servizi di intermediazione dei dati che non è stabilito nell'Unione, ma che offre all'interno dell'Unione i servizi di intermediazione dei dati di cui all'articolo 10, designa un rappresentante_legale in uno degli Stati membri in cui offre tali servizi.

Al fine di garantire la conformità al presente regolamento, il rappresentante_legale riceve dal fornitore di servizi di intermediazione dei dati il mandato di essere interpellato oltre a tale fornitore o al suo posto dalle autorità competenti per i servizi di intermediazione dei dati o dagli interessati o dai titolari dei dati per quanto riguarda tutte le questioni relative ai servizi di intermediazione dei dati forniti. Il rappresentante_legale collabora con le autorità competenti per i servizi di intermediazione dei dati e, su richiesta, dimostra loro in modo esauriente le misure adottate e le disposizioni messe in atto dal fornitore di servizi di intermediazione dei dati per garantire la conformità al presente regolamento.

Il fornitore di servizi di intermediazione dei dati è considerato soggetto alla giurisdizione dello Stato membro in cui è situato il suo rappresentante_legale. La designazione di un rappresentante_legale a cura del fornitore di servizi di intermediazione dei dati fa salve le azioni legali che potrebbero essere promosse contro il fornitore di servizi di intermediazione dei dati.

4.   Dopo aver presentato una notifica conformemente al paragrafo 1, il fornitore di servizi di intermediazione dei dati può avviare l'attività alle condizioni stabilite nel presente capo.

5.   La notifica di cui al paragrafo 1 autorizza il fornitore di servizi di intermediazione dei dati a fornire servizi di intermediazione dei dati in tutti gli Stati membri.

6.   La notifica di cui al paragrafo 1 contiene le informazioni seguenti:

7.   L'autorità competente per i servizi di intermediazione dei dati assicura che la procedura di notifica sia non discriminatoria e non falsi la concorrenza.

8.   Su richiesta del fornitore di servizi di intermediazione dei dati, l'autorità competente per i servizi di intermediazione dei dati rilascia, entro una settimana dalla notifica debitamente e interamente completata, una dichiarazione standardizzata in cui conferma che il fornitore di servizi di intermediazione dei dati ha presentato la notifica di cui al paragrafo 1 e che la notifica contiene le informazioni di cui al paragrafo 6.

9.   Su richiesta del fornitore di servizi di intermediazione dei dati, l'autorità competente per i servizi di intermediazione dei dati conferma, che il fornitore di servizi di intermediazione dei dati è conforme alle disposizioni di cui al presente articolo e all'articolo 12. Una volta ricevuta detta conferma, il fornitore di servizi di intermediazione dei dati in questione può utilizzare il titolo «fornitore di servizi di intermediazione dei dati riconosciuto nell'Unione» nelle sue comunicazioni scritte e orali, nonché un logo comune.

Per garantire che i fornitori di servizi di intermediazione dei dati riconosciuti nell’Unione siano facilmente identificabili in tutta l'Unione, la Commissione stabilisce, mediante atti di esecuzione, un disegno per il logo comune. I fornitori di servizi di intermediazione dei dati riconosciuti nell’Unione espongono il logo comune in modo chiaro su ciascuna pubblicazione online e offline relativa alle loro attività di intermediazione dei dati.

Tali atti di esecuzione sono adottati secondo la procedura consultiva di cui all'articolo 33, paragrafo 2.

10.   L'autorità competente per i servizi di intermediazione dei dati notifica senza ritardo alla Commissione, per via elettronica, ogni nuova notifica. La Commissione tiene e aggiorna regolarmente un registro pubblico di tutti i fornitori di servizi di intermediazione dei dati che forniscono i loro servizi nell'Unione. Le informazioni di cui al paragrafo 6, lettere a), b), c), d), f) e g), sono pubblicate nel registro pubblico.

11.   L'autorità competente per i servizi di intermediazione dei dati può imporre tariffe per la notifica, in conformità del diritto nazionale. Tali tariffe sono proporzionate e oggettive e si basano sui costi amministrativi relativi al monitoraggio della conformità e ad altre attività di controllo del mercato da parte dell'autorità competente per i servizi di intermediazione dei dati in relazione alle notifiche dei fornitori di servizi di intermediazione dei dati. Nel caso delle PMI e delle start-up, l'autorità competente per i servizi di intermediazione dei dati può applicare tariffe ridotte o consentire la notifica a titolo gratuito.

12.   I fornitori di servizi di intermediazione dei dati notificano all'autorità competente per i servizi di intermediazione dei dati ogni eventuale modifica delle informazioni fornite a norma del paragrafo 6 entro 14 giorni dalla data della modifica stessa.

13.   Qualora un fornitore di servizi di intermediazione dei dati cessi le sue attività, ne dà notifica entro 15 giorni alla pertinente autorità competente per i servizi di intermediazione dei dati individuata a norma dei paragrafi 1, 2 e 3.

14.   L'autorità competente per i servizi di intermediazione dei dati notifica senza ritardo alla Commissione, per via elettronica, ciascuna notifica di cui ai paragrafi 12 e 13. La Commissione aggiorna di conseguenza il registro pubblico dei fornitori di servizi di intermediazione dei dati nell'Unione.

1.   Le autorità competenti per i servizi di intermediazione dei dati monitorano e controllano la conformità dei fornitori dei servizi di intermediazione dei dati ai requisiti di cui al presente capo. Le autorità competenti per i servizi di intermediazione dei dati possono inoltre monitorare e controllare la conformità dei fornitori dei servizi di intermediazione dei dati sulla base di una richiesta da parte di persone fisiche o giuridiche.

2.   Le autorità competenti per i servizi di intermediazione dei dati hanno il potere di chiedere ai fornitori di servizi di intermediazione dei dati o ai loro rappresentanti legali tutte le informazioni necessarie per verificare la conformità ai requisiti di cui al presente capo. Le richieste di informazioni sono motivate e proporzionate rispetto all'assolvimento del compito.

3.   Qualora constati che un fornitore di servizi di intermediazione dei dati non rispetta uno o più requisiti di cui al presente capo, l'autorità competente per i servizi di intermediazione dei dati notifica tale circostanza al fornitore di servizi di intermediazione dei dati e gli offre l'opportunità di esprimere osservazioni entro 30 giorni dal ricevimento della notifica.

4.   L'autorità competente per i servizi di intermediazione dei dati ha il potere di imporre la cessazione della violazione di cui al paragrafo 3 entro un termine ragionevole oppure immediatamente in caso di violazione grave e adotta misure adeguate e proporzionate volte ad assicurare l'osservanza. A tal proposito l'autorità competente per i servizi di intermediazione dei dati ha il potere, ove opportuno, di:

Una volta ordinata la cessazione della fornitura del servizio di intermediazione dei dati, l'autorità competente per i servizi di intermediazione dei dati chiede alla Commissione di eliminare il fornitore del servizio di intermediazione dei dati dal registro dei fornitori di servizi di intermediazione dei dati in conformità del primo comma, lettera c).

Se un fornitore di servizi di intermediazione dei dati rettifica le violazioni, tale fornitore di servizi di intermediazione dei dati invia una nuova notifica all'autorità competente per i servizi di intermediazione dei dati. L'autorità competente per i servizi di intermediazione dei dati notifica alla Commissione ognuna di tali nuove notifiche.

5.   Qualora un fornitore di servizi di intermediazione dei dati non stabilito nell'Unione non designi un rappresentante_legale o qualora quest'ultimo non fornisca, su richiesta dell'autorità competente per i servizi di intermediazione dei dati, le informazioni necessarie che dimostrino in modo esauriente il rispetto del presente regolamento, l'autorità competente per i servizi di intermediazione dei dati ha il potere di rinviare l'inizio della fornitura del servizio di intermediazione dei dati, o sospenderla, fino alla designazione del rappresentante_legale o alla presentazione delle informazioni necessarie.

6.   Le autorità competenti per i servizi di intermediazione dei dati notificano senza ritardo al fornitore di servizi di intermediazione dei dati interessato le misure imposte a norma dei paragrafi 4 e 5 e i motivi su cui si basano, nonché le misure che occorre adottare per rettificare le lacune pertinenti, e stabiliscono un periodo ragionevole, non superiore a 30 giorni, entro il quale il fornitore di servizi di intermediazione dei dati deve conformarsi a tali misure.

7.   Se lo stabilimento_principale o il rappresentante_legale di un fornitore di servizi di intermediazione dei dati si trova in uno Stato membro, ma tale fornitore presta servizi in altri Stati membri, l'autorità competente per i servizi di intermediazione dei dati dello Stato membro dello stabilimento_principale o in cui si trova il rappresentante_legale e le autorità competenti per i servizi di intermediazione dei dati di tali altri Stati membri collaborano e si prestano assistenza reciprocamente. Tali assistenza e collaborazione possono comprendere scambi di informazioni tra le autorità competenti per i servizi di intermediazione dei dati interessate ai fini dell'assolvimento dei loro compiti a norma del presente regolamento e richieste motivate di adottare le misure di cui al presente articolo.

Se un'autorità competente per i servizi di intermediazione dei dati di uno Stato membro chiede assistenza a un'autorità competente per i servizi di intermediazione dei dati di un altro Stato membro, essa presenta una richiesta motivata. L'autorità competente per i servizi di intermediazione dei dati che riceve tale richiesta fornisce una risposta senza ritardo ed entro un termine proporzionato all'urgenza della richiesta.

Tutte le informazioni scambiate nel quadro dell'assistenza richiesta e prestata a norma del presente paragrafo sono utilizzate solo in relazione alla questione per cui sono state richieste.

1.   Un'entità che soddisfi i requisiti di cui all'articolo 18 può presentare una domanda di registrazione nel registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute nello Stato membro in cui è stabilita.

2.   Un'entità che soddisfa i requisiti di cui all'articolo 18 e ha stabilimenti in più di uno Stato membro può presentare una domanda di registrazione nel registro pubblico nazionale delle organizzazioni di altruismo dei dati riconosciute nello Stato membro in cui ha lo stabilimento_principale.

3.   Un'entità che soddisfa i requisiti di cui all'articolo 18 ma che non è stabilita nell'Unione designa un rappresentante_legale in uno degli Stati membri in cui offre i servizi di intermediazione dei dati.

Al fine di garantire la conformità al presente regolamento, il rappresentante_legale riceve dall'entità il mandato di essere interpellato oltre all'entità stessa o al suo posto dalle autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati o dagli interessati o dai titolari dei dati per quanto riguarda tutte le questioni relative a tale entità. Il rappresentante_legale collabora con le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati e, su richiesta, dimostra loro in modo esauriente le misure adottate e le disposizioni messe in atto dall'entità per garantire la conformità al presente regolamento.

L'entità è considerata soggetta alla giurisdizione dello Stato membro in cui è situato il rappresentante_legale. Tale entità può presentare una domanda di registrazione nel registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute in tale Stato membro. La designazione di un rappresentante_legale a cura dell'entità fa salve eventuali azioni legali che potrebbero essere promosse contro l'entità.

4.   La domanda di registrazione di cui ai paragrafi 1, 2 e 3 contiene le informazioni seguenti:

5.   Qualora l'entità abbia presentato tutte le informazioni necessarie a norma del paragrafo 4 e una volta che l'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati abbia valutato la domanda di registrazione e concluso che l'entità soddisfa i requisiti di cui all'articolo 18, l'autorità competente registra l'entità nel registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute entro 12 settimane dalla data di ricevimento della domanda di registrazione. La registrazione è valida in tutti gli Stati membri.

L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati notifica ogni registrazione alla Commissione. La Commissione inserisce tale registrazione nel registro pubblico dell'Unione delle organizzazioni per l'altruismo dei dati riconosciute.

6.   Le informazioni di cui al paragrafo 4, lettere a), b), f), g) e h), sono pubblicate nel registro pubblico nazionale pertinente delle organizzazioni per l'altruismo dei dati riconosciute.

7.   Un'organizzazione per l'altruismo dei dati riconosciuta notifica alla pertinente autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati le eventuali modifiche delle informazioni fornite a norma del paragrafo 4 entro 14 giorni dalla data della modifica.

L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati notifica senza ritardo alla Commissione, per via elettronica, ciascuna di tali notifiche. Sulla base di tale notifica la Commissione aggiorna senza ritardo il registro pubblico dell'Unione delle organizzazioni per l'altruismo dei dati riconosciute.

1.   L' ente_pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, il fornitore di servizi di intermediazione dei dati, o l'organizzazione per l'altruismo dei dati riconosciuta, adotta tutte le ragionevoli misure tecniche, giuridiche e organizzative, compresi accordi contrattuali, per impedire il trasferimento internazionale di dati non personali detenuti nell'Unione o l' accesso a questi ultimi da parte delle autorità pubbliche qualora tale trasferimento o accesso confliggesse con il diritto dell'Unione o il diritto nazionale dello Stato membro pertinente, fatto salvo il paragrafo 2 o 3.

2.   Le decisioni o le sentenze di un'autorità giurisdizionale di un paese terzo e le decisioni di un'autorità amministrativa di un paese terzo che dispongano che un ente_pubblico, una persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, un fornitore di servizi di intermediazione dei dati o un'organizzazione per l'altruismo dei dati riconosciuta trasferiscano dati non personali detenuti nell'Unione o vi diano accesso nell'ambito di applicazione del presente regolamento sono rinconosciute o assumono qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l'Unione, ad esempio un trattato di mutua assistenza giudiziaria, o su un accordo di questo tipo concluso tra il paese terzo richiedente e uno Stato membro.

3.   In mancanza di un accordo internazionale di cui al paragrafo 2 del presente articolo, qualora un ente_pubblico, una persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, un fornitore di servizi di intermediazione dei dati o un'organizzazione per l'altruismo dei dati riconosciuta siano destinatari di una decisione o di una sentenza di un'autorità giurisdizionale di un paese terzo o di una decisione di un'autorità amministrativa di un paese terzo che ordini il trasferimento di dati non personali detenuti nell'Unione o che vi sia dato accesso nell'ambito di applicazione del presente regolamento, e il rispetto di tale decisione rischi di mettere il destinatario in conflitto con il diritto dell'Unione o con il diritto nazionale dello Stato membro pertinente, il trasferimento di tali dati o l' accesso agli stessi da parte di tale autorità di un paese terzo ha luogo solo se:

4.   Se le condizioni di cui ai paragrafi 2 o 3 sono soddisfatte, l' ente_pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, il fornitore di servizi di intermediazione dei dati o l'organizzazione per l'altruismo dei dati riconosciuta fornisce la quantità minima di dati ammissibile in risposta a una richiesta, sulla base di un'interpretazione ragionevole della richiesta.

5.   L' ente_pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, il fornitore di servizi di intermediazione dei dati e l'organizzazione per l'altruismo dei dati riconosciuta informano il titolare dei dati dell'esistenza di una richiesta di accesso ai suoi dati da parte di un'autorità amministrativa di un paese terzo prima di soddisfare tale richiesta, tranne nei casi in cui la richiesta abbia fini di contrasto e per il tempo necessario a preservare l'efficacia dell'attività di contrasto.