keyboard_tab Digital Governance Act 2022/0868 IT

1.   Un'entità che soddisfi i requisiti di cui all'articolo 18 può presentare una domanda di registrazione nel registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute nello Stato membro in cui è stabilita.

2.   Un'entità che soddisfa i requisiti di cui all'articolo 18 e ha stabilimenti in più di uno Stato membro può presentare una domanda di registrazione nel registro pubblico nazionale delle organizzazioni di altruismo dei dati riconosciute nello Stato membro in cui ha lo stabilimento_principale.

3.   Un'entità che soddisfa i requisiti di cui all'articolo 18 ma che non è stabilita nell'Unione designa un rappresentante_legale in uno degli Stati membri in cui offre i servizi di intermediazione dei dati.

Al fine di garantire la conformità al presente regolamento, il rappresentante_legale riceve dall'entità il mandato di essere interpellato oltre all'entità stessa o al suo posto dalle autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati o dagli interessati o dai titolari dei dati per quanto riguarda tutte le questioni relative a tale entità. Il rappresentante_legale collabora con le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati e, su richiesta, dimostra loro in modo esauriente le misure adottate e le disposizioni messe in atto dall'entità per garantire la conformità al presente regolamento.

L'entità è considerata soggetta alla giurisdizione dello Stato membro in cui è situato il rappresentante_legale. Tale entità può presentare una domanda di registrazione nel registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute in tale Stato membro. La designazione di un rappresentante_legale a cura dell'entità fa salve eventuali azioni legali che potrebbero essere promosse contro l'entità.

4.   La domanda di registrazione di cui ai paragrafi 1, 2 e 3 contiene le informazioni seguenti:

a)	il nome dell'entità;

b)	lo status giuridico, la forma giuridica e, qualora essa sia registrata in un registro pubblico nazionale, il numero di registrazione dell'entità;

c)	lo statuto dell'entità, se opportuno;

d)	le fonti di reddito dell'entità;

e)	l'indirizzo dell'eventuale stabilimento_principale dell'entità nell'Unione e, se opportuno, di eventuali sedi secondarie in un altro Stato membro o quello del rappresentante_legale;

f)	un sito web pubblico in cui sono reperibili informazioni complete e aggiornate sull'entità e sulle sue attività, comprese almeno le informazioni di cui alle lettere a), b), d), e) e h);

g)	le persone di contatto dell'entità e i relativi recapiti;

h)	gli obiettivi di interesse generale che l'entità intende promuovere raccogliendo i dati;

i)	la natura dei dati che l'entità intende controllare o trattare e, nel caso di dati personali, l'indicazione delle categorie di dati personali;

j)	qualsiasi altro documento che dimostri il soddisfacimento dei requisiti di cui all'articolo 18.

5.   Qualora l'entità abbia presentato tutte le informazioni necessarie a norma del paragrafo 4 e una volta che l'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati abbia valutato la domanda di registrazione e concluso che l'entità soddisfa i requisiti di cui all'articolo 18, l'autorità competente registra l'entità nel registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute entro 12 settimane dalla data di ricevimento della domanda di registrazione. La registrazione è valida in tutti gli Stati membri.

L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati notifica ogni registrazione alla Commissione. La Commissione inserisce tale registrazione nel registro pubblico dell'Unione delle organizzazioni per l'altruismo dei dati riconosciute.

6.   Le informazioni di cui al paragrafo 4, lettere a), b), f), g) e h), sono pubblicate nel registro pubblico nazionale pertinente delle organizzazioni per l'altruismo dei dati riconosciute.

7.   Un'organizzazione per l'altruismo dei dati riconosciuta notifica alla pertinente autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati le eventuali modifiche delle informazioni fornite a norma del paragrafo 4 entro 14 giorni dalla data della modifica.

L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati notifica senza ritardo alla Commissione, per via elettronica, ciascuna di tali notifiche. Sulla base di tale notifica la Commissione aggiorna senza ritardo il registro pubblico dell'Unione delle organizzazioni per l'altruismo dei dati riconosciute.

1.   Un'organizzazione per l'altruismo dei dati riconosciuta tiene registri completi e accurati per quanto riguarda:

a)	tutte le persone fisiche o giuridiche cui è stata data la possibilità di trattare i dati detenuti da tale organizzazione per l'altruismo dei dati riconosciuta, e i loro recapiti;

b)	la data o la durata del trattamento dei dati personali o dell'utilizzo di dati non personali;

c)	le finalità del trattamento, quali dichiarate dalla persona fisica o giuridica cui è stata data la possibilità di effettuarlo;

d)	le eventuali tariffe pagate dalle persone fisiche o giuridiche che trattano i dati.

2.   Un'organizzazione per l'altruismo dei dati riconosciuta elabora e trasmette alla pertinente autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati una relazione annuale di attività che contiene almeno gli elementi seguenti:

a)	informazioni sulle attività dell'organizzazione per l'altruismo dei dati riconosciuta;

b)	una descrizione delle modalità con cui, nel corso dell'esercizio finanziario in questione, sono stati promossi gli obiettivi di interesse generale per le quali sono stati raccolti i dati;

c)

un elenco di tutte le persone fisiche e giuridiche che sono state autorizzate a trattare i dati detenuti dall'entità, corredato di una descrizione sintetica degli obiettivi di interesse generale perseguiti da tale trattamento dei dati e di una descrizione dei mezzi tecnici impiegati a tal fine, compresa una descrizione delle tecniche utilizzate per tutelare la vita privata e la protezione dei dati;

d)	una sintesi dei risultati dei trattamenti dei dati autorizzati dall'organizzazione per l'altruismo dei dati riconosciuta, se opportuno;

e)	informazioni sulle fonti di entrate dell'organizzazione per l'altruismo dei dati riconosciuta, in particolare tutte le entrate derivanti dall' autorizzazione all' accesso ai dati, e sulle spese.

1.   Un'organizzazione per l'altruismo dei dati riconosciuta informa in maniera chiara e facilmente comprensibile gli interessati o i titolari dei dati, prima di qualsiasi trattamento dei loro dati, in merito:

a)	agli obiettivi di interesse generale e, se opportuno, alla finalità determinata, esplicita e legittima per cui i dati devono essere trattati, e per i quali acconsentono al trattamento dei loro dati da parte di un utente dei dati;

b)	all'ubicazione e agli obiettivi di interesse generale per cui acconsentono a eventuali trattamenti effettuati in un paese terzo, nel caso in cui il trattamento sia effettuato dall‘organizzazione per l'altruismo dei dati riconosciuta.

2.   L'organizzazione per l'altruismo dei dati riconosciuta non utilizza i dati per altri obiettivi diversi da quelli di interesse generale per i quali gli interessati o i titolari dei dati acconsentono al trattamento. L'organizzazione per l'altruismo dei dati riconosciuta non ricorre a pratiche commerciali ingannevoli per sollecitare la fornitura di dati.

3.   L'organizzazione per l'altruismo dei dati riconosciuta fornisce strumenti per ottenere il consenso degli interessati o le autorizzazioni al trattamento dei dati messi a disposizione dai titolari dei dati. L'organizzazione per l'altruismo dei dati riconosciuta fornisce altresì strumenti per l'agevole revoca di tale consenso o autorizzazione.

4.   L'organizzazione per l'altruismo dei dati riconosciuta adotta misure intese a garantire un livello adeguato di sicurezza per la conservazione e il trattamento di dati non personali che ha raccolto sulla base dell'altruismo dei dati.

5.   L'organizzazione per l'altruismo dei dati riconosciuta informa senza ritardo i titolari dei dati in caso di trasferimento, accesso o utilizzo non autorizzati dei dati non personali che ha condiviso.

6.   Qualora l'organizzazione per l'altruismo dei dati riconosciuta agevoli il trattamento dei dati da parte di terzi, anche fornendo strumenti per ottenere il consenso degli interessati o le autorizzazioni a trattare i dati messi a disposizione dai titolari dei dati, essa specifica, se del caso, la giurisdizione del paese terzo in cui i dati sono destinati a essere utilizzati.

1.   La Commissione adotta atti delegati conformemente all'articolo 32 al fine di integrare il presente regolamento istituendo un codice che stabilisca:

a)

adeguati requisiti in materia di informazione per garantire che gli interessati e i titolari dei dati ricevano, prima di dare il consenso o l' autorizzazione all'altruismo dei dati, informazioni sufficientemente dettagliate, chiare e trasparenti sull'utilizzo dei dati, sugli strumenti per concedere e revocare la concessione del consenso o dell' autorizzazione, e sulle misure adottate per evitare l'utilizzo improprio dei dati condivisi con l'organizzazione per l'altruismo dei dati;

b)	adeguati requisiti tecnici e di sicurezza per garantire l'opportuno livello di sicurezza per la conservazione e il trattamento dei dati, nonché per gli strumenti per la concessione o la revoca del consenso o dell' autorizzazione;

c)

tabelle di marcia per la comunicazione con un approccio multidisciplinare per sensibilizzare i pertinenti portatori di interessi, in particolare i titolari dei dati e gli interessati che potrebbero condividere i loro dati, per quanto riguarda l'altruismo dei dati, la designazione in qualità di organizzazione per l'altruismo dei dati riconosciuta nell'Unione e il codice stesso;

d)	raccomandazioni sulle norme di interoperabilità pertinenti.

2.   Il codice di cui al paragrafo 1 è elaborato in stretta collaborazione con le organizzazioni per l'altruismo dei dati e i pertinenti portatori di interessi.

1.   Le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati monitorano e controllano la conformità alle prescrizioni stabilite nel presente capo da parte organizzazioni per l'altruismo dei dati riconosciute. L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati può inoltre monitorare e controllare la conformità di tali organizzazioni per l'altruismo dei dati riconosciute su richiesta di persone fisiche o giuridiche.

2.   Le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati hanno il potere di richiedere alle organizzazioni per l'altruismo dei dati riconosciute le informazioni necessarie a verificare il rispetto delle prescrizioni del presente capo. Le richieste di informazioni sono motivate e proporzionate rispetto all'assolvimento del compito.

3.   L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati che accerti l'inosservanza da parte di un’organizzazione per l'altruismo dei dati riconosciuta di una o più prescrizioni di cui al presente capo, notifica all'organizzazioni per l'altruismo dei dati riconosciuta quanto accertato e le offre l'opportunità di esprimere osservazioni entro 30 giorni dal ricevimento della notifica.

4.   L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati ha il potere di imporre la cessazione della violazione di cui al paragrafo 3 immediatamente oppure entro un termine ragionevole e adotta misure adeguate e proporzionate volte ad assicurare l'osservanza.

5.   Qualora un’organizzazione per l'altruismo dei dati riconosciuta non rispetti una o più prescrizioni di cui al presente capo anche dopo aver ricevuto la notifica dell'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati conformemente al paragrafo 3, tale organizzazione per l'altruismo dei dati riconosciuta:

a)	perde il diritto di utilizzare il titolo di «organizzazione per l'altruismo dei dati riconosciuta nell'Unione» in qualsiasi comunicazione scritta e orale;

b)	è rimossa dal pertinente registro pubblico nazionale delle organizzazioni per l'altruismo dei dati riconosciute e dal registro pubblico dell'Unione delle organizzazioni per l'altruismo dei dati riconosciute.

L'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati rende pubblica ogni decisione di revoca del diritto di utilizzare il titolo di «organizzazione per l'altruismo dei dati riconosciuta nell'Unione» a norma del primo comma, lettera a).

6.   Se un'organizzazione per l'altruismo dei dati riconosciuta ha lo stabilimento_principale o il rappresentante_legale in uno Stato membro ma è attiva in altri Stati membri, l'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati dello Stato membro in cui si trova lo stabilimento_principale o il rappresentante_legale e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati di tali altri Stati membri collaborano e si prestano reciprocamente assistenza. Tali assistenza e collaborazione possono comprendere scambi di informazioni tra le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati interessate ai fini dei compiti stabiliti nel presente regolamento e richieste motivate di adottare le misure di cui al presente articolo.

Se un'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati di uno Stato membro chiede assistenza all'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati di un altro Stato membro, essa presenta una richiesta motivata. A seguito di tale richiesta, l'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati fornisce una risposta senza ritardo ed entro un termine proporzionato all'urgenza della richiesta.

Tutte le informazioni scambiate nel quadro dell'assistenza richiesta e prestata a norma del presente paragrafo sono utilizzate solo in relazione alla questione per cui sono state richieste.

1.   Le autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati sono giuridicamente distinte e funzionalmente indipendenti da qualsiasi fornitore di servizi di intermediazione dei dati o organizzazione per l'altruismo dei dati riconosciuta. Le funzioni delle autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati possono essere svolte dalla stessa autorità. Gli Stati membri possono istituire una o più autorità nuove per tali finalità o avvalersi di quelle esistenti.

2.   Le autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati svolgono i loro compiti in maniera imparziale, trasparente, coerente, affidabile e tempestiva. Nell'esercizio dei loro compiti, esse salvaguardano la concorrenza leale e la non discriminazione.

3.   L'alta dirigenza e il personale addetto allo svolgimento dei compiti pertinenti delle autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati non possono essere il progettista, il fabbricante, il fornitore, l'installatore, l'acquirente, il proprietario, l'utente o il responsabile della manutenzione dei servizi che essi valutano, né il rappresentante autorizzato di uno di questi soggetti, né rappresentarli. Ciò non preclude l'uso dei servizi valutati che sono necessari per il funzionamento dell'autorità competente per i servizi di intermediazione dei dati e l'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati o l'uso di tali servizi per scopi personali.

4.   L'alta dirigenza e il personale delle autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati non intraprendono alcuna attività che possa entrare in conflitto con la loro indipendenza di giudizio o la loro integrità in relazione alle attività di valutazione loro affidate.

5.   Le autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati hanno a loro disposizione le risorse finanziarie e umane adeguate per svolgere i compiti loro affi dati, comprese le risorse e le conoscenze tecniche necessarie.

6.   Su richiesta motivata e senza ritardo, le autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati di uno Stato membro forniscono alla Commissione e alle autorità competenti per i servizi di intermediazione dei dati e le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati degli altri Stati membri le informazioni necessarie a svolgere i loro compiti a norma del presente regolamento. Qualora un'autorità competente per i servizi di intermediazione dei dati o un'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati ritenga che le informazioni richieste siano riservate conformemente alle norme dell'Unione e nazionali in materia di riservatezza commerciale e segreto professionale, la Commissione e le altre autorità competenti per i servizi di intermediazione dei dati o le autorità competenti per la registrazione delle organizzazioni per l'altruismo dei dati interessate garantiscono tale riservatezza.

1.   In relazione a qualunque aspetto che rientri nell'ambito di applicazione del presente regolamento le persone fisiche e giuridiche hanno il diritto di presentare un reclamo individuale o, se del caso, collettivo alla pertinente autorità nazionale per i servizi di intermediazione dei dati competente nei confronti di un fornitore di servizi di intermediazione dei dati o all'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati nei confronti di un'organizzazioni per l'altruismo dei dati riconosciuta.

2.   L'autorità competente per i servizi di intermediazione dei dati o l'autorità competente per la registrazione delle organizzazioni per l'altruismo dei dati a cui à stato presentato il reclamo informa il reclamante:

a)	dello stato del procedimento e della decisione adottata; nonché

b)	dei ricorsi giurisdizionali di cui all'articolo 28.

1.   L' ente_pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, il fornitore di servizi di intermediazione dei dati, o l'organizzazione per l'altruismo dei dati riconosciuta, adotta tutte le ragionevoli misure tecniche, giuridiche e organizzative, compresi accordi contrattuali, per impedire il trasferimento internazionale di dati non personali detenuti nell'Unione o l' accesso a questi ultimi da parte delle autorità pubbliche qualora tale trasferimento o accesso confliggesse con il diritto dell'Unione o il diritto nazionale dello Stato membro pertinente, fatto salvo il paragrafo 2 o 3.

2.   Le decisioni o le sentenze di un'autorità giurisdizionale di un paese terzo e le decisioni di un'autorità amministrativa di un paese terzo che dispongano che un ente_pubblico, una persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, un fornitore di servizi di intermediazione dei dati o un'organizzazione per l'altruismo dei dati riconosciuta trasferiscano dati non personali detenuti nell'Unione o vi diano accesso nell'ambito di applicazione del presente regolamento sono rinconosciute o assumono qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l'Unione, ad esempio un trattato di mutua assistenza giudiziaria, o su un accordo di questo tipo concluso tra il paese terzo richiedente e uno Stato membro.

3.   In mancanza di un accordo internazionale di cui al paragrafo 2 del presente articolo, qualora un ente_pubblico, una persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, un fornitore di servizi di intermediazione dei dati o un'organizzazione per l'altruismo dei dati riconosciuta siano destinatari di una decisione o di una sentenza di un'autorità giurisdizionale di un paese terzo o di una decisione di un'autorità amministrativa di un paese terzo che ordini il trasferimento di dati non personali detenuti nell'Unione o che vi sia dato accesso nell'ambito di applicazione del presente regolamento, e il rispetto di tale decisione rischi di mettere il destinatario in conflitto con il diritto dell'Unione o con il diritto nazionale dello Stato membro pertinente, il trasferimento di tali dati o l' accesso agli stessi da parte di tale autorità di un paese terzo ha luogo solo se:

a)	il sistema del paese terzo richiede che siano indicati i motivi e la proporzionalità della decisione o della sentenza, e richiede che tale decisione o sentenza abbia carattere specifico, ad esempio stabilendo un nesso sufficiente con determinate persone sospettate o determinate violazioni;

b)	l'obiezione motivata del destinatario è oggetto di esame da parte di un’autorità giurisdizionale competente del paese terzo; e

c)

l'autorità giurisdizionale competente del paese terzo che emette la decisione o la sentenza o esamina la decisione di un'autorità amministrativa ha il potere, in virtù del diritto di tale paese terzo, di tenere debitamente conto dei pertinenti interessi giuridici del fornitore dei dati tutelati a norma del diritto dell'Unione o dal diritto nazionale del pertinente Stato membro.

4.   Se le condizioni di cui ai paragrafi 2 o 3 sono soddisfatte, l' ente_pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, il fornitore di servizi di intermediazione dei dati o l'organizzazione per l'altruismo dei dati riconosciuta fornisce la quantità minima di dati ammissibile in risposta a una richiesta, sulla base di un'interpretazione ragionevole della richiesta.

5.   L' ente_pubblico, la persona fisica o giuridica cui è stato concesso il diritto di riutilizzo dei dati a norma del capo II, il fornitore di servizi di intermediazione dei dati e l'organizzazione per l'altruismo dei dati riconosciuta informano il titolare dei dati dell'esistenza di una richiesta di accesso ai suoi dati da parte di un'autorità amministrativa di un paese terzo prima di soddisfare tale richiesta, tranne nei casi in cui la richiesta abbia fini di contrasto e per il tempo necessario a preservare l'efficacia dell'attività di contrasto.

1.   Gli Stati membri stabiliscono le norme relative alle sanzioni da applicare in caso di violazione degli obblighi in materia di trasferimento di dati non personali a paesi terzi a norma dell'articolo 5, paragrafo 14, e dell'articolo 31, dell'obbligo di notifica per i fornitori di servizi di intermediazione dei dati a norma dell'articolo 11, delle condizioni per la fornitura di servizi di intermediazione dei dati a norma dell'articolo 12, e delle condizioni per la registrazione come organizzazione per l'altruismo dei dati riconosciuta a norma degli articoli 18, 20, 21 e 22 e adottano tutte le misure necessarie per assicurarne l'applicazione. Le sanzioni previste devono essere effettive, proporzionate e dissuasive. Nelle loro norme in materia di sanzioni, gli Stati membri tengono conto delle raccomandazioni del comitato europeo per l'innovazione in materia di dati. Entro il 24 settembre 2023, gli Stati membri notificano tali norme e misure alla Commissione e notificano ad essa senza ritardo eventuali successive modifiche ad esse pertinenti.

2.   Gli Stati membri tengono conto dei seguenti criteri non esaustivi e indicativi per l'imposizione di sanzioni ai fornitori di servizi di intermediazione dei dati e alle organizzazioni per l'altruismo dei dati riconosciute in caso di violazione del presente regolamento, se opportuno:

a)	la natura, la gravità, l'entità e la durata della violazione;

b)	qualsiasi azione intrapresa dal fornitore di servizi di intermediazione dei dati o da un'organizzazione per l'altruismo dei dati riconosciuta al fine di attenuare il danno derivante dalla violazione o porvi rimedio;

c)	qualsiasi precedente violazione da parte del fornitore di servizi di intermediazione dei dati o dell'organizzazione per l'altruismo dei dati riconosciuta;

d)	i vantaggi finanziari ottenuti o le perdite evitate dal fornitore di servizi di intermediazione dei dati o da un'organizzazione per l'altruismo dei dati riconosciuta in ragione della violazione, nella misura in cui tali profitti o perdite possano essere determinati in modo attendibile;

e)	eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso.