Data Act 2023/2854 IT

1. Gli utenti, i titolari dei dati e i destinatari dei dati hanno accesso a un organismo di risoluzione delle controversie, certificati in conformità al paragrafo 5 del presente articolo, per comporre le controversie ai sensi dell’articolo 4, paragrafi 3 e 9, e dell’articolo 5, paragrafo 12, nonché le controversie relative all’adempimento, da parte del titolare dei dati, dell’obbligo di mettere i dati a disposizione del destinatario dei dati, nonché a condizioni eque, ragionevoli e non discriminatori e a modalità trasparenti di messa a disposizione dei dati a norma del presente capo e del capo IV.

2. Gli organismi di risoluzione delle controversie rendono noti alle parti interessate le tariffe, o i meccanismi utilizzati per determinare tali tariffe, prima che le parti interessate richiedano una decisione.

3. In caso di controversie deferite a un organismo di risoluzione delle controversie di cui all’articolo 4, paragrafo 3, qualora l’organismo di risoluzione delle controverse risolva la controversia a favore dell’ utente o del destinatario dei dati, il titolare dei dati sostiene tutti i costi stabiliti dall’organismo di risoluzione delle controversie e rimborsa all’ utente o al destinatario dei dati tutte le altre spese ragionevoli da questi sostenute relativamente alla risoluzione della controversia. Qualora l’organismo di risoluzione delle controverse risolva la controversia a favore del titolare dei dati, l’ utente o il destinatario dei dati non è tenuto a rimborsare costi o altre spese che il titolare dei dati ha sostenuto o deve sostenere relativamente alla risoluzione della controversia, a meno che l’organismo di risoluzione delle controversie ritenga che l’ utente o il destinatario dei dati abbia agito manifestamente in malafede.

4. I clienti e i fornitori di servizi di trattamento dei dati hanno accesso a un organismo di risoluzione delle controversie, certificati in conformità del paragrafo 6 del presente articolo, per comporre le controversie relative a violazioni dei diritti dei clienti e degli obblighi dei fornitori di servizi di trattamento dei dati, in conformità degli articoli da 23 a 31.

5. Su richiesta dell’organismo di risoluzione delle controversie lo Stato membro in cui questi è stabilito certifica che l’organismo ha dimostrato di soddisfare tutte le condizioni seguenti:

a)	è imparziale e indipendente e adotterà le proprie decisioni conformemente a norme procedurali chiare, non discriminatorie ed eque;

b)	dispone delle competenze necessarie, in particolare in relazione a condizioni eque, ragionevoli e non discriminatori, compreso il compenso, e alla messa a disposizione dei dati in modo trasparente, che consentono all’organismo di determinare efficacemente tali condizioni;

c)	è facilmente accessibile attraverso le tecnologie di comunicazione elettronica;

d)	è in grado di adottare le proprie decisioni in modo rapido, efficiente ed efficace sotto il profilo dei costi in almeno una delle lingue ufficiali dell’Unione.

6. Gli Stati membri notificano alla Commissione gli organismi di risoluzione delle controversie certificati in conformità del paragrafo 5. La Commissione pubblica un elenco di tali organismi su un sito web dedicato e lo mantiene aggiornato.

7. Un organismo di risoluzione delle controversie rifiuta di dare seguito a una richiesta di risoluzione di una controversia già presentata dinanzi a un altro organismo di risoluzione delle controversie o dinanzi a un organo giurisdizionale di uno Stato membro.

8. Un organismo di risoluzione delle controversie concede alle parti la possibilità, entro un termine ragionevole, di esprimere il loro punto di vista sulle questioni che le parti hanno sottoposto a tale organismo. In tale contesto, ciascuna delle parti in causa trasmette alle parti le comunicazioni relative alla controversia presentate dall’altra parte e le eventuali dichiarazioni di esperti. Alle parti è data la possibilità di presentare osservazioni in merito a tali comunicazioni e dichiarazioni.

9. Un organismo di risoluzione delle controversie adotta la sua decisione su una questione sottopostagli entro 90 giorni dal ricevimento di una richiesta ai sensi dei paragrafi 1 e 4. Tale decisione è adottata per iscritto o su un supporto durevole ed è suffragata da una motivazione.

10. Gli organismi di risoluzione delle controversie redigono e rendono pubbliche le relazioni annuali di attività. Tali relazioni annuali contengono in particolare le informazioni generali seguenti:

a)	un’aggregazione dei risultati delle controversie;

b)	il tempo medio necessario per la risoluzione delle controversie;

c)	i motivi più comuni alla base delle controversie.

11. Al fine di agevolare lo scambio di informazioni e migliori prassi, un organismo pubblico di risoluzione delle controversie può decidere di includere raccomandazioni nella relazione di cui al paragrafo 10 su come evitare o risolvere problemi.

12. La decisione dell’organismo di risoluzione delle controversie è vincolante per le parti solo se le parti hanno esplicitamente acconsentito al suo carattere vincolante prima dell’avvio del procedimento di risoluzione delle controversie.

13. Il presente articolo non pregiudica il diritto delle parti a un ricorso effettivo dinanzi a un organo giurisdizionale di uno Stato membro.

Articolo 11

Misure tecniche di protezione relative all’uso non autorizzato o alla divulgazione dei dati

1. Un titolare dei dati può applicare adeguate misure tecniche di protezione, compresi i contratti intelligenti e la cifratura, per impedire l’accesso non autorizzato ai dati, meta dati compresi, e garantire il rispetto degli articoli 4, 5, 6, 8 e 9, nonché delle clausole contrattuali concordate per la messa a disposizione dei dati. Tali misure tecniche di protezione non creano discriminazioni tra i destinatari dei dati né ostacolano il diritto dell’ utente di ottenere una copia, reperire, utilizzare o accedere ai dati o fornire dati a terzi a norma dell’articolo 5 o qualsiasi diritto di terzi a norma del diritto dell’Unione o della legislazione nazionale adottata ai sensi del diritto dell’Unione. Gli utenti, i terzi e altri destinatari dei dati non modificano né rimuovono dette misure tecniche di protezione, salvo accordo con il titolare dei dati.

2. Nelle circostanze di cui al paragrafo 3, il terzo o il destinatario dei dati adempie, senza indebito ritardo, alle richieste del titolare dei dati e, se del caso e qualora non si tratti della stessa persona, del detentore del segreto_commerciale, oppure dell’ utente di:

a)	cancellare i dati messi a disposizione dal titolare dei dati e le loro eventuali copie;

porre fine alla produzione, all’offerta o all’ immissione_sul_mercato o all’uso di beni, dati derivati o servizi prodotti sulla base delle conoscenze ottenute mediante tali dati, o all’importazione, all’esportazione o allo stoccaggio di merci costituenti violazione a tali fini, e a distruggere le merci costituenti violazione, qualora sussista un grave rischio che l’uso illecito di tali dati causi un danno significativo al titolare dei dati, al detentore del segreto_commerciale o all’ utente oppure qualora una tale misura non sarebbe sproporzionata rispetto agli interessi del titolare dei dati, del detentore del segreto_commerciale o dell’ utente;

c)	informare l’ utente dell’uso o della divulgazione non autorizzati dei dati e delle misure adottate per porre fine all’uso o alla divulgazione non autorizzati dei dati;

d)	compensare la parte lesa dall’uso improprio o dalla divulgazione di tali dati utilizzati o cui si ha avuto accesso in modo illecito.

3. Il paragrafo 2 si applica qualora un terzo o un destinatario dei dati :

a)	al fine di ottenere dati , abbia fornito a un titolare dei dati informazioni false, ha impiegato mezzi ingannevoli o coercitivi o ha abusato di lacune nell’infrastruttura tecnica del titolare dei dati destinata a proteggere i dati;

b)	abbia utilizzato i dati messi a disposizione per scopi non autorizzati, compreso lo sviluppo di un prodotto_connesso concorrente ai sensi dell’articolo 6, paragrafo 2, lettera e);

c)	abbia comunicato illecitamente i dati a terzi;

d)	non abbia mantenuto le misure tecniche e organizzative concordate a norma dell’articolo 5, paragrafo 9; o

e)	abbia modificato o rimosso le misure tecniche di protezioni applicate dal titolare dei dati, in conformità del paragrafo 1 del presente articolo, senza l’accordo del titolare dei dati.

4. Il paragrafo 2 si applica altresì qualora un utente modifichi o rimuova le misure tecniche di protezione applicate dal titolare dei dati oppure non mantenga le misure tecniche e organizzative adottate dall’ utente in accordo con il titolare dei dati o, qualora non si tratti della stessa persona, con il detentore del segreto_commerciale al fine di preservare i segreti commerciali, nonché riguardo a qualsiasi terzo che riceva i dati dall’ utente mediante una procedura d’infrazione del presente regolamento.

5. Qualora il destinatario dei dati violi l’articolo 6, paragrafo 2, lettere a) e b), gli utenti hanno gli stessi diritti dei titolari dei dati a norma del presente articolo.

Articolo 12

Ambito di applicazione degli obblighi per i titolari dei dati ai sensi del diritto dell’Unione a mettere a disposizione i dati

1. Il presente capo si applica nei casi in cui, nei rapporti tra imprese, il titolare dei dati è tenuto, ai sensi dell’articolo 5 o del diritto dell’Unione o della legislazione nazionale applicabile adottata in conformità del diritto dell’Unione, a mettere i dati a disposizione di un destinatario dei dati.

2. Una clausola contrattuale di un accordo di condivisione dei dati che, a danno di una parte o, ove applicabile, a danno dell’ utente, escluda l’applicazione del presente capo, deroghi allo stesso o ne modifichi gli effetti non è vincolante per tale parte.

CAPO IV

CLAUSOLE CONTRATTUALI ABUSIVE relative ALL’ACCESSO AI DATI E AL RELATIVO UTILIZZO TRA IMPRESE

Articolo 18

Soddisfacimento delle richieste di dati

1. Il titolare dei dati che riceve una richiesta di mettere i dati a disposizione a norma del presente capo mette i dati a disposizione dell’ ente_pubblico o della Commissione, della Banca centrale europea o di un organismo dell’Unione richiedente senza indebito ritardo, tenendo conto delle misure tecniche, organizzative e giuridiche necessarie.

2. Fatte salve le esigenze specifiche relative alla disponibilità dei dati definite nel diritto dell’Unione o nazionale, un titolare dei dati può rifiutare o chiedere la modifica di una richiesta di mettere i dati a disposizione ai sensi del presente capo senza indebito ritardo e, in ogni caso, entro cinque giorni lavorativi dal ricevimento di una richiesta di dati necessari per rispondere a un’ emergenza_pubblica e senza indebito ritardo e, in ogni caso, entro 30 giorni lavorativi dal ricevimento di tale richiesta in altri casi di necessità eccezionale, per uno dei motivi seguenti:

a)	il titolare dei dati non ha il controllo sui dati richiesti;

b)	un altro ente_pubblico, o la Commissione, la Banca centrale europea o un organismo dell’Unione ha presentato in precedenza una richiesta analoga per la stessa finalità e al titolare dei dati non è stata notificata la cancellazione dei dati a norma dell’articolo 19, paragrafo 1, lettera c);

c)	la richiesta non soddisfa le condizioni di cui all’articolo 17, paragrafi 1 e 2.

3. Se decide di rifiutare la richiesta o di chiederne la modifica a norma del paragrafo 2, lettera b), il titolare dei dati indica l’identità dell’ ente_pubblico o della Commissione, della Banca centrale europea o dell’organismo dell’Unione che ha presentato in precedenza una richiesta per la stessa finalità.

4. Se l’insieme di dati richiesto include dati personali, il titolare dei dati anonimizza adeguatamente i dati, a meno che il soddisfacimento della richiesta di mettere i dati a disposizione di un ente_pubblico, della Commissione, della Banca centrale europea o di un organismo dell’Unione imponga la divulgazione di dati personali. In tali casi il titolare dei dati pseudonimizza i dati .

5. Se l’ ente_pubblico, la Commissione, la Banca centrale europea o l’organismo dell’Unione intende contestare il rifiuto del titolare dei dati di fornire i dati richiesti o se il titolare dei dati intende contestare la richiesta e la questione non può essere risolta mediante opportuna modifica della stessa, la questione è sottoposta all’autorità competente, designata ai sensi dell’articolo 37, dello Stato membro in cui è stabilito il titolare dei dati.

Articolo 25

Clausole contrattuali relative al passaggio

1. I diritti del cliente e gli obblighi del fornitore di servizi di trattamento dei dati in relazione al passaggio da un fornitore di tali servizi a un altro o, se del caso, a un’ infrastruttura_TIC_locale sono chiaramente definiti in un contratto scritto. Il fornitore di servizi di trattamento dei dati mette il contratto a disposizione del cliente prima della firma del contratto in modo da consentire al cliente di conservare e riprodurre il contratto.

2. Fatta salva la direttiva (UE) 2019/770, il contratto di cui al paragrafo 1 del presente articolo comprende almeno i seguenti elementi:

clausole che autorizzano il cliente, su richiesta, a passare a un servizio di trattamento dei dati offerto da un diverso fornitore di servizi di trattamento dei dati o a trasferire tutti i dati, e le risorse_digitali esportabili in un’ infrastruttura_TIC_locale, senza indebito ritardo e in ogni caso non oltre un periodo transitorio massimo obbligatorio di 30 giorni di calendario da far partire dopo il termine massimo di preavviso di cui alla lettera d), durante il quale il contratto di servizio resta applicabile e il fornitore di servizi di trattamento dei dati:

i)	fornisce un’assistenza ragionevole al cliente e ai terzi da questi autorizzati nel processo di passaggio;

ii)	agisce con la diligenza dovuta per mantenere la continuità operativa e prosegue la fornitura delle funzioni o dei rispettivi servizi nell’ambito del contratto;

iii)	fornisce informazioni chiare sui rischi noti per la continuità della fornitura delle funzioni o dei servizi da parte del fornitore di servizi di trattamento dei dati di origine;

iv)

garantisce il mantenimento di un elevato livello di sicurezza durante l’intero processo di passaggio, in particolare la sicurezza dei dati durante il loro trasferimento e la continuità della sicurezza dei dati durante il periodo di conservazione di cui alla lettera g), in conformemente al diritto dell’Unione o nazionale applicabile;

b)	l’obbligo per il fornitore di servizi di trattamento dei dati di sostenere la strategia di uscita del cliente in relazione ai servizi a contratto, anche fornendo tutte le informazioni pertinenti;

una clausola in cui si specifica che il contratto si considera risolto e che la risoluzione è notificata al cliente in uno dei seguenti casi:

i)	ove applicabile, una volta completato con successo il processo di passaggio;

ii)	alla fine del termine massimo di preavviso di cui alla lettera d), nel caso in cui il cliente non desideri passare a un altro fornitore ma cancellare i suoi dati esportabili e le sue risorse_digitali al momento della cessazione del servizio;

d)	un termine massimo di preavviso per l’avvio del processo di passaggio, non superiore a due mesi;

e)	un’indicazione specifica dettagliata di tutte le categorie di dati e risorse_digitali che possono essere trasferite durante il processo di passaggio, compresi almeno tutti i dati esportabili;

un’indicazione specifica dettagliata delle categorie di dati specifiche al funzionamento interno dei servizi di trattamento dei dati del fornitore che devono essere esentate dai dati esportabili di cui alla lettera e) del presente paragrafo qualora esista un di rischio di violazione dei segreti commerciali del fornitore; a condizione che tali esenzioni non ostacolino o ritardino il processo di passaggio di cui all’articolo 23;

g)	un periodo minimo di almeno 30 giorni di calendario per il recupero dei dati, a decorrere dalla fine del periodo transitorio concordato tra il cliente e il fornitore di servizi di trattamento dei dati, conformemente alla lettera a) del presente paragrafo e al paragrafo 4;

una clausola che garantisce la completa cancellazione di tutti i dati e a risorse_digitali esportabili generati direttamente dal cliente, o che lo riguardano direttamente, dopo la scadenza del periodo di cui alla lettera g) o dopo la scadenza di un periodo alternativo concordato che sia successiva alla data di scadenza del periodo di conservazione di cui alla lettera g), a condizione che il processo di passaggio sia stato completato con successo;

i)	le tariffe di passaggio che possono essere imposte dai fornitori di servizi di trattamento dei dati a norma dell’articolo 29.

3. Il contratto, di cui al paragrafo 1, include le clausole in virtù delle quali il cliente può notificare al fornitore di servizi di trattamento dei dati la sua decisione di eseguire una o più delle azioni seguenti al termine del periodo di preavviso massimo, di cui al paragrafo 2, lettera d):

a)	passare a un diverso fornitore di servizi di trattamento dei dati, nel qual caso il cliente fornisce le informazioni necessarie su tale fornitore;

b)	passare a un’ infrastruttura_TIC_locale;

c)	cancellare i suoi dati esportabili e le sue risorse_digitali.

4. Se è tecnicamente impossibile attuare il periodo transitorio massimo obbligatorio di cui al paragrafo 2, lettera a), il fornitore di servizi di trattamento dei dati informa in merito il cliente entro 14 giorni lavorativi dalla presentazione della richiesta di passaggio, motiva debitamente l’impossibilità tecnica e indica un periodo transitorio alternativo, che non supera i sette mesi. In conformità del paragrafo 1, la continuità del servizio è garantita per tutto il periodo transitorio alternativo.

5. Fatto salvo il paragrafo 4, il contratto di cui al paragrafo 1, include clausole che conferiscono al cliente il diritto di prorogare il periodo transitorio una volta, per un periodo che il cliente considera più appropriato per i propri fini.

Articolo 33

Requisiti essenziali in materia di interoperabilità dei dati, dei meccanismi e servizi di condivisione dei dati nonché degli spazi comuni europei di dati

1. Per facilitare l’ interoperabilità dei dati , dei meccanismi e servizi di condivisione dei dati nonché degli spazi comuni europei di dati, che costituiscono quadri interoperabili per scopi specifici, settoriali o intersettoriali di norme e prassi comuni per condividere o trattare congiuntamente i dati, anche per lo sviluppo di nuovi prodotti e servizi, della ricerca scientifica o di iniziative della società civile, i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti rispettano i requisiti essenziali seguenti:

il contenuto degli insiemi di dati, le restrizioni all’uso, le licenze, la metodologia di raccolta dei dati e la qualità e l’incertezza dei dati sono descritti, se del caso in un formato leggibile da dispositivo automatico, in modo sufficiente a consentire al destinatario di trovare i dati, accedervi e utilizzarli;

b)	le strutture e i formati dei dati, i vocabolari, gli schemi di classificazione, le tassonomie e gli elenchi dei codici, se disponibili, sono descritti in modo accessibile al pubblico e coerente;

i mezzi tecnici per accedere ai dati, quali le interfacce di programmazione delle applicazioni (API), e le relative condizioni d’uso e di qualità del servizio sono descritti in modo sufficiente a consentire l’accesso automatico ai dati e la relativa trasmissione automatica tra le parti, anche in modo continuo, in download in blocco o in tempo reale, in un formato leggibile da dispositivo automatico, qualora tecnicamente fattibile e non di ostacolo al buon funzionamento del prodotto_connesso;

d)	se del caso, sono forniti i mezzi per consentire l’ interoperabilità degli strumenti concepiti per automatizzare l’esecuzione degli accordi di condivisione dei dati, ad esempio i contratti intelligenti.

Tali requisiti possono avere carattere generico o riguardare settori specifici, tenendo pienamente conto dell’interrelazione con i requisiti derivanti dal diritto dell’Unione o nazionale.

2. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 45 per integrare il presente regolamento specificando ulteriormente i requisiti essenziali di cui al paragrafo 1 del presente articolo, in relazione ai requisiti che, per loro natura, non sono in grado di produrre l’effetto atteso a meno che non siano ulteriormente specificati in atti giuridici vincolanti dell’Unione e al fine di riflettere adeguatamente gli sviluppi tecnologici e di mercato.

La Commissione, quando adotta atti delegati, tiene conto dei pareri dell’EDIB conformemente all’articolo 42, lettera c), punto iii).

3. Si presume che i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti agli spazi di dati che soddisfano le norme armonizzate o parti di esse, i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea, siano conformi ai requisiti essenziali di cui al paragrafo 1 nella misura in cui tali requisiti sono contemplati da tali norme armonizzate o parti di esse.

4. Conformemente all’articolo 10 del regolamento (UE) n. 1025/2012, la Commissione chiede a una o più organizzazioni europee di normazione di elaborare norme armonizzate che soddisfino i requisiti essenziali di cui al paragrafo 1 del presente articolo.

5. La Commissione può adottare, mediante atti di esecuzione, specifiche_comuni che contemplino uno o tutti i requisiti essenziali di cui al paragrafo 1 laddove siano state soddisfatte le condizioni seguenti:

la Commissione ha chiesto, a norma dell’articolo 10, paragrafo 1, del regolamento (UE) n. 1025/2012, a una o più organizzazioni europee di normazione di elaborare una norma_armonizzata che soddisfi i requisiti essenziali di cui al paragrafo 1 del presente articolo e:

i)	la richiesta non è stata accettata;

ii)	le norme armonizzate che rispondono a tale richiesta non sono ultimati entro una determinata scadenza a norma dell’articolo 10, paragrafo 1, del regolamento (UE) n. 1025/2012; oppure

iii)	le norme armonizzate non sono conformi alla richiesta; e

nessun riferimento a norme armonizzate che contemplino i requisiti essenziali pertinenti di cui al paragrafo 1 del presente articolo è pubblicato nella Gazzetta ufficiale dell’Unione europea conformemente al regolamento (UE) n. 1025/2012 e non si prevede la pubblicazione di tale riferimento entro un termine ragionevole.

Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 46, paragrafo 2.

6. Prima di preparare un progetto di atto di esecuzione di cui al paragrafo 5 del presente articolo, la Commissione comunica al comitato di cui all’articolo 22 del regolamento (UE) n. 1025/2012 che ritiene soddisfatte le condizioni di cui al paragrafo 5 del presente articolo.

7. Nel preparare il progetto di atto di esecuzione di cui al paragrafo 5, la Commissione tiene conto dei pareri del EDIB e di altri organismi o gruppi di esperti pertinenti e consulta debitamente tutti i pertinenti portatori di interessi.

8. Si presume che i partecipanti agli spazi di dati che offrono dati o servizi di dati ad altri partecipanti agli spazi di dati che soddisfano le specifiche_comuni stabilite da atti di esecuzione di cui al paragrafo 5 o parti di essi siano conformi ai requisiti essenziali di cui al paragrafo 1 nella misura in cui tali requisiti sono contemplati da tali specifiche_comuni o parti di esse.

9. Qualora una norma_armonizzata sia adottata da un’organizzazione europea di normazione e proposta alla Commissione ai fini della pubblicazione del suo riferimento nella Gazzetta ufficiale dell’Unione europea, la Commissione valuta la norma_armonizzata conformemente al regolamento (UE) n. 1025/2012. Qualora il riferimento di una norma_armonizzata sia pubblicato nella Gazzetta ufficiale dell’Unione europea, la Commissione abroga gli atti di esecuzione di cui al paragrafo 5 del presente articolo o parti di essi, che riguardano gli stessi requisiti essenziali contemplati da tali norme armonizzate.

10. Qualora uno Stato membro ritenga che una specifica comune non soddisfi completamene i requisiti essenziali di cui al paragrafo 1, esso ne informa la Commissione presentando una spiegazione dettagliata. La Commissione valuta tale spiegazione dettagliata e, se del caso, può modificare l’atto di esecuzione che stabilisce la specifica comune in questione.

11. La Commissione può adottare orientamenti, tenendo conto della proposta dell’EDIB conformemente all’articolo 30, lettera h), del regolamento (UE) 2022/868, che stabiliscono quadri interoperabili di norme e prassi comuni per il funzionamento degli spazi comuni europei di dati.

Articolo 37

Autorità competenti e coordinatori dei dati

1. Ciascuno Stato membro designa una o più autorità competenti incaricate dell’applicazione e dell’esecuzione del presente regolamento (autorità competenti). Gli Stati membri possono istituire una o più nuove autorità o fare affidamento sulle autorità esistenti.

2. Qualora uno Stato membro designi più di un’autorità competente, tra di esse designa un coordinatore dei dati per facilitare la cooperazione tra le autorità competenti e per assistere le entità che rientrano nell’ambito di applicazione del presente regolamento su tutte le questioni relative alla sua applicazione ed esecuzione. Le autorità competenti, nell’esercizio dei compiti e dei poteri ad esse assegnati a norma del paragrafo 5, cooperano tra loro.

3. Le autorità di controllo incaricate di sorvegliare l’applicazione del regolamento (UE) 2016/679 sono incaricate di sorvegliare l’applicazione del presente regolamento per quanto riguarda la protezione dei dati personali. I capi VI e VII del regolamento (UE) 2016/679 si applicano mutatis mutandis.

Il Garante europeo della protezione dei dati è incaricato di monitorare l’applicazione del presente regolamento nella misura in cui riguarda la Commissione, la Banca centrale europea o gli organismi_dell’Unione. Ove pertinente, l’articolo 62 del regolamento (UE) 2018/1725 si applica mutatis mutandis.

I compiti e i poteri delle autorità di controllo di cui al presente paragrafo sono esercitati in relazione al trattamento dei dati personali.

4. Fatto salvo il paragrafo 1 del presente articolo:

a)	per questioni specifiche concernenti l’accesso ai dati settoriali e il loro utilizzo relative all’attuazione del presente regolamento è rispettata la competenza delle autorità settoriali;

b)	l’autorità competente incaricata dell’applicazione e dell’esecuzione degli articoli da 23 a 31 e degli articoli 34 e 35 ha esperienza nel campo dei dati e dei servizi di comunicazioni elettroniche.

5. Gli Stati membri provvedono affinché i compiti e poteri delle autorità competenti siano chiaramente definiti e comprendano:

a)	la promozione dell’ alfabetizzazione_in_materia_di_ dati e la sensibilizzazione degli utenti e delle entità che rientrano nell’ambito di applicazione del presente regolamento in merito ai diritti e agli obblighi a norma del presente regolamento;

il trattamento dei reclami derivanti da presunte violazioni del presente regolamento, anche in relazione a segreti commerciali, lo svolgimento di indagini, nella misura appropriata, sull’oggetto dei reclami e la periodica trasmissione di informazioni ai reclamanti, conformemente al diritto nazionale se del caso, in merito allo stato e all’esito delle indagini entro un termine ragionevole, in particolare ove siano necessari ulteriori indagini o il coordinamento con un’altra autorità competente;

c)	lo svolgimento di indagini su questioni relative all’applicazione del presente regolamento, anche sulla base di informazioni ricevute da un’altra autorità competente o da un’altra autorità pubblica;

d)	l’inflizione di sanzioni pecuniarie effettive, proporzionate e dissuasive che possono includere sanzioni periodiche e sanzioni con effetto retroattivo, o l’avvio di procedimenti giudiziari per l’inflizione di ammende;

e)	il monitoraggio degli sviluppi tecnologici e dei pertinenti sviluppi commerciali rilevanti per la messa a disposizione e l’utilizzo dei dati;

la cooperazione con le autorità competenti di altri Stati membri e, ove opportuno, con la Commissione o l’EDIB per garantire l’applicazione coerente ed efficiente del presente regolamento, compreso lo scambio di tutte le informazioni pertinenti per via elettronica, senza indebito ritardo, anche per quanto riguarda il paragrafo 10 del presente articolo;

la cooperazione con le autorità competenti pertinenti incaricate dell’attuazione di altri atti giuridici dell’Unione o nazionali, comprese le autorità competenti nel campo dei dati e dei servizi di comunicazioni elettroniche, l’autorità di controllo incaricata di sorvegliare l’applicazione del regolamento (UE) 2016/679 o le autorità settoriali, per garantire che il presente regolamento sia applicato coerentemente con il diritto dell’Unione e nazionale;

h)	la cooperazione con le autorità competenti pertinenti per garantire che gli articoli da 23 a 31 e gli articoli 34 e 35 siano applicati coerentemente con altro diritto dell’Unione e misure di autoregolamentazione applicabili ai fornitori di servizi di trattamento dei dati;

i)	la garanzia che le tariffe per il passaggio siano abolite conformemente all’articolo 29;

j)	l’esame delle richieste di dati presentate a norma del capo V.

Laddove designato, il coordinatore dei dati facilita la cooperazione di cui alle lettere f), g) e h), del primo comma e assiste le autorità competenti su loro richiesta.

6. Il coordinatore dei dati, laddove tale autorità competenti sia stata designata:

a)	funge da punto di contatto unico per tutte le questioni relative all’applicazione del presente regolamento;

b)	garantisce che le richieste di messa a disposizione dei dati presentate da enti pubblici in caso di eccezionale necessità a norma del capo V siano pubblicamente disponibili online e promuove accordi di condivisione dei dati volontari tra enti pubblici e titolari dei dati;

c)	informa la Commissione, su base annua, dei rifiuti notificati a norma dell’articolo 4, paragrafi 2 e 8, e dell’articolo 5, paragrafo 11.

7. Gli Stati membri notificano alla Commissione i nomi delle autorità competenti designate e i compiti e poteri e, ove opportuno, il nome del coordinatore dei dati. La Commissione tiene un registro pubblico di tali autorità.

8. Nello svolgimento dei loro compiti e nell’esercizio dei loro poteri conformemente al presente regolamento, le autorità competenti rimangono imparziali, non subiscono alcuna influenza esterna, diretta o indiretta, e non sollecitano né accettano istruzioni, per singoli casi, da altre autorità pubbliche o da privati.

9. Gli Stati membri provvedono affinché le autorità competenti dispongano delle risorse umane e tecniche sufficienti e delle opportune competenze per svolgere efficacemente i propri compiti conformemente al presente regolamento.

10. Le entità che rientrano nell’ambito di applicazione del presente regolamento sono soggette alla competenza dello Stato membro nel quale sono stabilite. Laddove l’entità sia stabilita in più di uno Stato membro, è considerata soggetta alla competenza dello Stato membro in cui ha lo stabilimento principale, ossia dove ha la sua amministrazione centrale o la sua sede sociale da cui esercita le principali funzioni finanziarie e il controllo operativo.

11. Qualsiasi entità rientrante nell’ambito di applicazione del presente regolamento che renda disponibili prodotti connessi o offra servizi correlati nell’Unione e che non sia stabilita nell’Unione designa un rappresentante legale in uno degli Stati membri.

12. Al fine di garantire la conformità al presente regolamento, il rappresentante legale riceve da un’entità rientrante nell’ambito di applicazione del presente regolamento che rende disponibili prodotti connessi o offre servizi correlati nell’Unione il mandato di essere interpellato oltre all’entità stessa o al suo posto dalle autorità competenti per quanto riguarda tutte le questioni relative a tale entità. Il rappresentante legale collabora con le autorità competenti e, su richiesta, dimostra loro in modo esauriente le misure adottate e le disposizioni messe in atto dall’entità rientrante nell’ambito di applicazione del presente regolamento che rende disponibili prodotti connessi o offre servizi correlati nell’Unione per garantire la conformità al presente regolamento.

13. Un’entità rientrante nell’ambito di applicazione del presente regolamento che rende disponibili prodotti connessi o offre servizi correlati nell’Unione è considerata soggetta alla giurisdizione dello Stato membro in cui è situato il suo rappresentante legale. La designazione di un rappresentante legale a cura di tale entità fa salve la responsabilità e le eventuali azioni legali che potrebbero essere promosse contro di essa. Fino a quando l’entità non avrà designato un rappresentante legale a norma del presente articolo, essa sarà soggetta alla competenza di tutti gli Stati membri, se del caso, al fine di garantire l’applicazione ed esecuzione del presente regolamento. Qualsiasi autorità competente può esercitare la propria competenza, anche infliggendo sanzioni effettive, proporzionate e dissuasive, a condizione che l’entità non sia soggetta a procedimenti esecutivi a norma del presente regolamento in relazione agli stessi fatti da parte di un’altra autorità competente.

14. Le autorità competenti hanno il potere di chiedere agli utenti, ai titolari dei dati o ai destinatari dei dati, ovvero ai loro rappresentanti legali, soggetti alla competenza del loro Stato membro tutte le informazioni necessarie a verificare la conformità al presente regolamento. Le richieste di informazioni sono motivate e proporzionate rispetto all’assolvimento del compito di base.

15. Se un’autorità competente di uno Stato membro chiede misure di assistenza o di esecuzione a un’autorità competente di un altro Stato membro, essa presenta una richiesta motivata. Al ricevimento di tale richiesta, l’autorità competente fornisce una risposta in cui si precisano le azioni che sono state adottate o che si prevede di adottare, senza indebito ritardo.

16. Le autorità competenti rispettano il principio di riservatezza e del segreto professionale e commerciale e tutelano i dati personali ai sensi del diritto dell’Unione o nazionale. Tutte le informazioni scambiate nel quadro di una richiesta di assistenza e fornite a norma del presente articolo sono utilizzate solo in relazione alla questione per cui sono state richieste.

Articolo 40

Sanzioni

1. Gli Stati membri stabiliscono le norme relative alle sanzioni da applicare in caso di violazione del presente regolamento e adottano tutte le misure necessarie per assicurarne l’applicazione. Le sanzioni previste devono essere effettive, proporzionate e dissuasive.

2. Gli Stati membri notificano tali norme e misure alla Commissione entro il 12 settembre 2025 e provvedono poi a dare immediata notifica delle eventuali modifiche successive. La Commissione tiene e aggiorna regolarmente un registro pubblico facilmente accessibile di tali misure.

3. Per l’inflizione delle sanzioni da applicare in caso di violazioni del presente regolamento, gli Stati membri tengono conto delle raccomandazioni dell’EDIB e dei criteri non esaustivi seguenti:

a)	la natura, la gravità, l’entità e la durata della violazione;

b)	eventuali azioni intraprese dall’autore della violazione per attenuare il danno causato dalla violazione o porvi rimedio;

c)	eventuali violazioni commesse in precedenza dall’autore della violazione;

d)	i vantaggi finanziari ottenuti o le perdite evitate dall’autore della violazione in ragione della violazione, nella misura in cui tali vantaggi o perdite possano essere determinati in modo attendibile;

e)	eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso;

f)	il fatturato annuo nell’Unione nell’esercizio precedente dell’autore della violazione.

4. Per l’inosservanza degli obblighi di cui ai capi II, III e V del presente regolamento, le autorità di controllo responsabili del controllo dell’applicazione del regolamento (UE) 2016/679 possono, nei limiti delle proprie competenze, infliggere sanzioni amministrative pecuniarie in conformità dell’articolo 83 del regolamento (UE) 2016/679 a concorrenza dell’importo di cui al paragrafo 5 del medesimo articolo.

5. Per l’inosservanza degli obblighi di cui al capo V del presente regolamento, il Garante europeo della protezione dei dati può, nei limiti delle proprie competenze, infliggere sanzioni amministrative pecuniarie conformemente all’articolo 66 del regolamento (UE) 2018/1725 a concorrenza dell’importo di cui al paragrafo 3 del medesimo articolo.

Articolo 41

Clausole contrattuali tipo e clausole contrattuali standard

La Commissione, prima del 12 settembre 2025, elabora e raccomanda clausole contrattuali tipo non vincolanti relative all’accesso ai dati e al relativo utilizzo, comprese clausole su un compenso ragionevole e sulla protezione dei segreti commerciali, nonché clausole contrattuali standard non vincolanti per i contratti di cloud computing per assistere le parti nella stesura e nella negoziazione di contratti equi, ragionevoli e non discriminatori dal punto di vista dei diritti e degli obblighi contrattuali.

Articolo 42

Ruolo dell’EDIB

L’EDIB, istituito dalla Commissione come gruppo di esperti a norma dell’articolo 29 del regolamento (UE) 2022/868 e in cui sono rappresentate le autorità competenti, sostiene l’applicazione coerente del presente regolamento:

a)	consigliando e assistendo la Commissione nello sviluppo di una prassi coerente delle autorità competenti nell’esecuzione dei capi II, III, V e VII;

facilitando la cooperazione tra le autorità competenti attraverso lo sviluppo di capacità e lo scambio di informazioni, in particolare stabilendo metodi per lo scambio efficiente di informazioni relative all’esecuzione dei diritti e degli obblighi di cui ai capi II, III e V in casi transfrontalieri, compreso il coordinamento in merito alla fissazione di sanzioni;

consigliando e assistendo la Commissione per quanto riguarda:

i)	l’eventuale richiesta di elaborazione delle norme armonizzate di cui all’articolo 33, paragrafo 4, all’articolo 35, paragrafo 4, e all’articolo 36, paragrafo 5;

ii)	la predisposizione dei progetti di atti di esecuzione di cui all’articolo 33, paragrafo 5, all’articolo 35, paragrafi 5 e 8, e all’articolo 36, paragrafo 6;

iii)	la predisposizione degli atti delegati di cui all’articolo 29, paragrafo 7, e all’articolo 33, paragrafo 2; e

iv)	l’adozione degli orientamenti che stabiliscono quadri interoperabili di norme e prassi comuni per il funzionamento degli spazi comuni europei di dati di cui all’articolo 33, paragrafo 11.

CAPO X

DIRITTO « SUI GENERIS » A NORMA DELLA DIRETTIVA 96/9/CE

whereas

keyboard_tab Data Act 2023/2854 IT

Data Act 2023/2854 IT