Data Act 2023/2854 IT

b)	dimostra che sono soddisfatte le condizioni necessarie perché sussista una necessità eccezionale di cui all’articolo 15 al cui fine sono richiesti i dati;

spiega la finalità della richiesta, l’utilizzo previsto dei dati richiesti, compreso, se del caso, da parte di un terzo in conformità del paragrafo 4 del presente articolo, la durata di tale utilizzo e, se pertinente, le modalità con cui il trattamento dei dati personali risponderà alla necessità eccezionale;

d)	specifica, se possibile, quando si prevede che i dati siano cancellati da tutte le parti che vi hanno accesso;

e)	giustifica la scelta del titolare dei dati cui è rivolta la richiesta;

f)	specifica gli eventuali altri enti pubblici, o la Commissione, la Banca centrale europea o gli organismi_dell’Unione e i terzi con i quali si prevede che saranno condivisi i dati richiesti;

qualora siano richiesti dati personali, specifica le misure tecniche e organizzative necessarie e proporzionate per attuare i principi di protezione dei dati e le garanzie necessarie, quali la pseudonimizzazione, come anche la possibilità o meno, per il titolare dei dati, di applicare l’anonimizzazione prima di mettere i dati a disposizione;

h)	indica la disposizione legislativa che attribuisce all’ ente_pubblico richiedente, alla Commissione, alla Banca centrale europea o all’organismo dell’Unione lo specifico compito svolto nell’interesse pubblico pertinente per la richiesta dei dati;

i)	specifica il termine entro il quale i dati devono essere messi a disposizione e il termine di cui all’articolo 18, paragrafo 2, entro il quale il titolare dei dati può rifiutare o chiedere la modifica della richiesta;

j)	si adopera al meglio per evitare che il soddisfacimento della richiesta di dati comporti la responsabilità del titolare dei dati per violazione del diritto dell’Unione o nazionale.

2. Una richiesta di dati presentata a norma del paragrafo 1 del presente articolo:

a)	è presentata per iscritto ed espressa in un linguaggio chiaro, conciso e semplice, comprensibile per il titolare dei dati;

b)	è specifica per quanto riguarda il tipo di dati richiesti e corrisponde ai dati su cui il titolare dei dati ha il controllo al momento della richiesta;

c)	è proporzionata alla necessità eccezionale e debitamente giustificata, per quanto riguarda la granularità e il volume dei dati richiesti e la frequenza di accesso ai dati richiesti;

d)	rispetta gli obiettivi legittimi del titolare dei dati, impegnandosi a rispettare la tutela dei segreti commerciali in conformità dell’articolo 19, paragrafo 3, e tenendo conto dei costi e degli sforzi necessari per mettere a disposizione i dati;

riguarda dati non personali e, solo nel caso in cui sia dimostrato che ciò è insufficiente a rispondere alla necessità eccezionale di usare i dati, in conformità dell’articolo 15, paragrafo 1, lettera a), richiede dati personali in forma pseudominizzata e istituisce le misure tecniche e organizzative che saranno adottate per proteggere i dati;

f)	informa il titolare dei dati delle sanzioni che l’autorità competente designata ai sensi dell’articolo 37 impone a norma dell’articolo 40 in caso di mancato soddisfacimento della richiesta;

qualora sia presentata da un ente_pubblico, è trasmessa al coordinatore dei dati, di cui all’articolo 37, dello Stato membro in cui è stabilito l’ ente_pubblico richiedente, che mette la richiesta a disposizione del pubblico online senza indebito ritardo, a meno che ritenga che tale pubblicazione costituirebbe un rischio per la sicurezza pubblica;

h)	qualora la richiesta sia presentata dalla Commissione, dalla Banca centrale europea e da un organismo dell’Unione è resa disponibile al pubblico online senza indebito ritardo;

i)	qualora siano richiesti dati personali, è notificata senza indebito ritardo all’autorità di controllo responsabile di sorvegliare l’applicazione del regolamento (UE) 2016/679 nello Stato membro in cui l’ ente_pubblico è stabilito.

La Banca centrale europea e gli organismi_dell’Unione informano la Commissione delle loro richieste

3. Un ente_pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione non mette i dati ottenuti a norma del presente capo a disposizione per il riutilizzo ai sensi dell’articolo 2, punto 2), del regolamento (UE) 2022/868 o dell’articolo 2, punto 11), della direttiva (UE) 2019/1024. Il regolamento (UE) 2022/868 e la direttiva (UE) 2019/1024 non si applicano ai dati detenuti da enti pubblici ottenuti a norma del presente capo.

4. Il paragrafo 3 del presente articolo non preclude a un ente_pubblico, o alla Commissione, alla Banca centrale europea o a un organismo dell’Unione di scambiare i dati ottenuti a norma del presente capo con altri enti pubblici, la Commissione, la Banca centrale europea o un organismo dell’Unione al fine di svolgere i compiti di cui all’articolo 15, secondo quanto specificato nella richiesta a norma del paragrafo 1, lettera f ) del presente articolo, o di mettere i dati a disposizione di un terzo nei casi in cui abbia delegato a tale terzo, mediante un accordo accessibile al pubblico, ispezioni tecniche o altre funzioni. Gli obblighi incombenti agli enti pubblici a norma dell’articolo 19, in particolare le garanzie tese a preservare la riservatezza dei segreti commerciali, si applicano anche a detti terzi. Se trasmette o mette a disposizione dati a norma del presente paragrafo, un ente_pubblico o la Commissione, la Banca centrale europea o un organismo dell’Unione ne informa senza indebito ritardo il titolare dei dati che li ha trasmessi.

5. Se ritiene che i suoi diritti di cui al presente capo siano stati violati dalla trasmissione o dalla messa a disposizione dei dati, il titolare dei dati può presentare un reclamo all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui è stabilito.

6. La Commissione elabora un modello per le richieste a norma del presente articolo.

Articolo 21

Condivisione dei dati ottenuti nel contesto di necessità eccezionali con organismi di ricerca o istituti statistici

1. Un ente_pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione ha il diritto di condividere i dati ricevuti a norma del presente capo:

a)	con persone o organizzazioni al fine di svolgere ricerche o analisi scientifiche compatibili con la finalità per la quale i dati sono stati richiesti; o

b)	con istituti nazionali di statistica ed Eurostat per la produzione di statistiche ufficiali.

2. Le persone o le organizzazioni che ricevono i dati a norma del paragrafo 1 agiscono senza fini di lucro o nell’ambito di una missione di interesse pubblico riconosciuta dal diritto dell’Unione o nazionale. Tali organizzazioni non comprendono le organizzazioni su cui imprese commerciali esercitano un’influenza significativa che è probabile possa comportare un accesso preferenziale ai risultati della ricerca.

3. Le persone o le organizzazioni che ricevono i dati a norma del paragrafo 1 del presente articolo rispettano gli stessi obblighi applicabili agli enti pubblici, alla Commissione, alla Banca centrale europea o agli organismi_dell’Unione, a norma dell’articolo 17, paragrafo 3, e dell’articolo 19.

4. Nonostante l’articolo 19, paragrafo 1, lettera c), le persone o le organizzazioni che ricevono i dati a norma del paragrafo 1 del presente articolo possono conservare i dati ricevuti per la finalità per la quale sono stati richiesti per un periodo massimo di sei mesi dalla loro cancellazione da parte degli enti pubblici, della Commissione, della Banca centrale europea e degli organismi_dell’Unione.

5. Se intende trasmettere o mettere a disposizione dati a norma del paragrafo 1 del presente articolo, un ente_pubblico, la Commissione, la Banca centrale europea o un organismo dell’Unione informa in merito, senza indebito ritardo, il titolare dei dati che li ha trasmessi, indicando l’identità e i dati di contatto dell’organizzazione o della persona che riceve i dati, le finalità della trasmissione o della messa a disposizione dei dati, il periodo per il quale i dati devono essere utilizzati e le misure tecniche e organizzative di protezione adottate, compresi i casi in cui si tratta di dati personali o segreti commerciali. Se è in disaccordo con la trasmissione o la messa a disposizione dei dati, il titolare dei dati può presentare un reclamo all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui è stabilito.

Articolo 25

Clausole contrattuali relative al passaggio

1. I diritti del cliente e gli obblighi del fornitore di servizi di trattamento dei dati in relazione al passaggio da un fornitore di tali servizi a un altro o, se del caso, a un’ infrastruttura_TIC_locale sono chiaramente definiti in un contratto scritto. Il fornitore di servizi di trattamento dei dati mette il contratto a disposizione del cliente prima della firma del contratto in modo da consentire al cliente di conservare e riprodurre il contratto.

2. Fatta salva la direttiva (UE) 2019/770, il contratto di cui al paragrafo 1 del presente articolo comprende almeno i seguenti elementi:

clausole che autorizzano il cliente, su richiesta, a passare a un servizio di trattamento dei dati offerto da un diverso fornitore di servizi di trattamento dei dati o a trasferire tutti i dati, e le risorse_digitali esportabili in un’ infrastruttura_TIC_locale, senza indebito ritardo e in ogni caso non oltre un periodo transitorio massimo obbligatorio di 30 giorni di calendario da far partire dopo il termine massimo di preavviso di cui alla lettera d), durante il quale il contratto di servizio resta applicabile e il fornitore di servizi di trattamento dei dati:

i)	fornisce un’assistenza ragionevole al cliente e ai terzi da questi autorizzati nel processo di passaggio;

ii)	agisce con la diligenza dovuta per mantenere la continuità operativa e prosegue la fornitura delle funzioni o dei rispettivi servizi nell’ambito del contratto;

iii)	fornisce informazioni chiare sui rischi noti per la continuità della fornitura delle funzioni o dei servizi da parte del fornitore di servizi di trattamento dei dati di origine;

iv)

garantisce il mantenimento di un elevato livello di sicurezza durante l’intero processo di passaggio, in particolare la sicurezza dei dati durante il loro trasferimento e la continuità della sicurezza dei dati durante il periodo di conservazione di cui alla lettera g), in conformemente al diritto dell’Unione o nazionale applicabile;

b)	l’obbligo per il fornitore di servizi di trattamento dei dati di sostenere la strategia di uscita del cliente in relazione ai servizi a contratto, anche fornendo tutte le informazioni pertinenti;

una clausola in cui si specifica che il contratto si considera risolto e che la risoluzione è notificata al cliente in uno dei seguenti casi:

i)	ove applicabile, una volta completato con successo il processo di passaggio;

ii)	alla fine del termine massimo di preavviso di cui alla lettera d), nel caso in cui il cliente non desideri passare a un altro fornitore ma cancellare i suoi dati esportabili e le sue risorse_digitali al momento della cessazione del servizio;

d)	un termine massimo di preavviso per l’avvio del processo di passaggio, non superiore a due mesi;

e)	un’indicazione specifica dettagliata di tutte le categorie di dati e risorse_digitali che possono essere trasferite durante il processo di passaggio, compresi almeno tutti i dati esportabili;

un’indicazione specifica dettagliata delle categorie di dati specifiche al funzionamento interno dei servizi di trattamento dei dati del fornitore che devono essere esentate dai dati esportabili di cui alla lettera e) del presente paragrafo qualora esista un di rischio di violazione dei segreti commerciali del fornitore; a condizione che tali esenzioni non ostacolino o ritardino il processo di passaggio di cui all’articolo 23;

g)	un periodo minimo di almeno 30 giorni di calendario per il recupero dei dati, a decorrere dalla fine del periodo transitorio concordato tra il cliente e il fornitore di servizi di trattamento dei dati, conformemente alla lettera a) del presente paragrafo e al paragrafo 4;

una clausola che garantisce la completa cancellazione di tutti i dati e a risorse_digitali esportabili generati direttamente dal cliente, o che lo riguardano direttamente, dopo la scadenza del periodo di cui alla lettera g) o dopo la scadenza di un periodo alternativo concordato che sia successiva alla data di scadenza del periodo di conservazione di cui alla lettera g), a condizione che il processo di passaggio sia stato completato con successo;

i)	le tariffe di passaggio che possono essere imposte dai fornitori di servizi di trattamento dei dati a norma dell’articolo 29.

3. Il contratto, di cui al paragrafo 1, include le clausole in virtù delle quali il cliente può notificare al fornitore di servizi di trattamento dei dati la sua decisione di eseguire una o più delle azioni seguenti al termine del periodo di preavviso massimo, di cui al paragrafo 2, lettera d):

a)	passare a un diverso fornitore di servizi di trattamento dei dati, nel qual caso il cliente fornisce le informazioni necessarie su tale fornitore;

b)	passare a un’ infrastruttura_TIC_locale;

c)	cancellare i suoi dati esportabili e le sue risorse_digitali.

4. Se è tecnicamente impossibile attuare il periodo transitorio massimo obbligatorio di cui al paragrafo 2, lettera a), il fornitore di servizi di trattamento dei dati informa in merito il cliente entro 14 giorni lavorativi dalla presentazione della richiesta di passaggio, motiva debitamente l’impossibilità tecnica e indica un periodo transitorio alternativo, che non supera i sette mesi. In conformità del paragrafo 1, la continuità del servizio è garantita per tutto il periodo transitorio alternativo.

5. Fatto salvo il paragrafo 4, il contratto di cui al paragrafo 1, include clausole che conferiscono al cliente il diritto di prorogare il periodo transitorio una volta, per un periodo che il cliente considera più appropriato per i propri fini.

Articolo 26

Obbligo di informazione per i fornitori di servizi di trattamento dei dati

Il fornitore di servizi di trattamento dei dati fornisce al cliente:

informazioni sulle procedure disponibili per il passaggio e la portabilità al servizio di trattamento dei dati, comprese informazioni sui metodi e i formati di passaggio e di portabilità disponibili, nonché sulle restrizioni e le limitazioni tecniche note al fornitore di servizi di trattamento dei dati;

un riferimento a un registro online aggiornato ospitato dal fornitore di servizi di trattamento dei dati, con informazioni dettagliate su tutte le strutture e i formati dei dati nonché le norme pertinenti e le specifiche di interoperabilità aperte, in cui devono essere disponibili i dati esportabili di cui all’articolo 24, paragrafo 2, lettera e).

Articolo 40

Sanzioni

1. Gli Stati membri stabiliscono le norme relative alle sanzioni da applicare in caso di violazione del presente regolamento e adottano tutte le misure necessarie per assicurarne l’applicazione. Le sanzioni previste devono essere effettive, proporzionate e dissuasive.

2. Gli Stati membri notificano tali norme e misure alla Commissione entro il 12 settembre 2025 e provvedono poi a dare immediata notifica delle eventuali modifiche successive. La Commissione tiene e aggiorna regolarmente un registro pubblico facilmente accessibile di tali misure.

3. Per l’inflizione delle sanzioni da applicare in caso di violazioni del presente regolamento, gli Stati membri tengono conto delle raccomandazioni dell’EDIB e dei criteri non esaustivi seguenti:

a)	la natura, la gravità, l’entità e la durata della violazione;

b)	eventuali azioni intraprese dall’autore della violazione per attenuare il danno causato dalla violazione o porvi rimedio;

c)	eventuali violazioni commesse in precedenza dall’autore della violazione;

d)	i vantaggi finanziari ottenuti o le perdite evitate dall’autore della violazione in ragione della violazione, nella misura in cui tali vantaggi o perdite possano essere determinati in modo attendibile;

e)	eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso;

f)	il fatturato annuo nell’Unione nell’esercizio precedente dell’autore della violazione.

4. Per l’inosservanza degli obblighi di cui ai capi II, III e V del presente regolamento, le autorità di controllo responsabili del controllo dell’applicazione del regolamento (UE) 2016/679 possono, nei limiti delle proprie competenze, infliggere sanzioni amministrative pecuniarie in conformità dell’articolo 83 del regolamento (UE) 2016/679 a concorrenza dell’importo di cui al paragrafo 5 del medesimo articolo.

5. Per l’inosservanza degli obblighi di cui al capo V del presente regolamento, il Garante europeo della protezione dei dati può, nei limiti delle proprie competenze, infliggere sanzioni amministrative pecuniarie conformemente all’articolo 66 del regolamento (UE) 2018/1725 a concorrenza dell’importo di cui al paragrafo 3 del medesimo articolo.

whereas

keyboard_tab Data Act 2023/2854 IT

Data Act 2023/2854 IT