A partire dal prossimo 12 settembre diventano applicabili le regole del Data Act.
Questo corpus di norme, che tecnicamente si chiama Regolamento (UE) 2023/2854, è già entrato in vigore a gennaio dell’anno scorso, ma è chiaro che la normativa ha dato a tutti gli attori coinvolti spazio e tempo per adeguarsi a quello che c’è da cambiare, per non incorrere in sanzioni.
Ma che cosa occorre effettivamente sapere della nuova normativa europea sul trattamento dei dati e l’interoperabilità? Abbiamo deciso di provare a chiarire i punti più importanti da cui partire per evitare di trovarti impreparato. Perché, in realtà, settembre si può dire che sia dietro l’angolo.
Cosa prevede il Data Act in arrivo?
Come accennavamo, tecnicamente il Data Act è già tra noi. Il Regolamento (UE) 2023/2854 è già in vigore dall’11 gennaio 2024. Come regolamento, fa parte del grande sforzo europeo di creare un’infrastruttura per il trattamento dei dati e il loro eventuale utilizzo da parte delle aziende o degli enti.
Nel Data Act, si delineano le regole che riguardano i servizi dei dati generati, per esempio attraverso quei famosi oggetti che rientrano nella classificazione Internet of Things (IoT).
Ferme restando le norme che riguardano la protezione dei dati personali degli utenti, con il Data Act viene stabilito il modo in cui questi dati possono, e anzi devono, essere condivisibili al di fuori dell’entità che li ha prodotti.
Che cosa significa nella pratica?
Significa che, se per esempio all’interno di un’azienda vengono utilizzati dei prodotti connessi che generano dei dati, anche semplicemente dei dati di utilizzo, questi devono poter essere condivisibili da parte di chi gestisce il prodotto anche con persone che non siano strettamente collegate all’azienda che ha fornito inizialmente il prodotto stesso.
Potrebbe, per esempio, esserci la necessità di fare assistenza e, senza poter accedere ai dati, l’assistenza non è possibile. Quello che va ricordato è che non siamo di fronte a una normativa che permette la compravendita di dati personali, ma a un miglior servizio di passaggio di dati per facilitare la vita dell’utente finale.
È chiaro perciò che c’è bisogno di una normativa che consenta di gestire questi passaggi di dati e che in qualche modo sospinga i fornitori dei servizi che generano i dati a condividerli.
Tutto questo ha grosse ricadute anche sulla cybersicurezza, ed è questo il punto focale su cui vogliamo concentrarci. Del Data Act si è infatti discusso abbastanza, ma forse non sono ancora state messe a fuoco, soprattutto dai diretti interessati, le implicazioni relative alla sicurezza. Seguendo anche le indicazioni ufficiali sul sito dell’Unione Europea, cerchiamo di guardare al nuovo regolamento in arrivo.
Tutto quello che devi sapere anche sulla sicurezza
Per comprendere la portata di questo nuovo regolamento, seguiamo i capitoli presenti sul sito ufficiale, a partire da quello che si intende per condivisione dei dati sia tra imprese, sia tra imprese e consumatori, con particolare riferimento allo scenario dell’IoT.
Nelle situazioni in cui un prodotto o un servizio generi alcuni dati nel momento dell’utilizzo, questi dati devono diventare disponibili sia per gli utenti, sia per altre società che non siano quelle che producono l’oggetto che a sua volta aiuta a generare i dati.
È chiaro che non tutti i dati sono trasferibili.
L’esempio interessante che viene fatto sul sito ufficiale riguarda, per esempio, il caso in cui, attraverso il servizio di streaming presente all’interno di un’auto connessa, si guardi un film: il titolo del film non viene ritenuto un dato che può essere raccolto o trasferito, mentre invece i dati tecnici relativi alle impostazioni di luminosità dello schermo sì.
Già questo ci permette di comprendere come siano effettivamente proprio i dati che potremmo definire un po’ più tecnici quelli che potranno e dovranno essere condivisibili. Stesso discorso se si acquista un elettrodomestico connesso che genera quindi dei dati: questi dati possono essere condivisi.
Ovviamente, vale sempre la norma per la protezione dei dati personali. Nella condivisione tra le imprese, quello che viene stabilito è che nel caso di passaggio da una società a un’altra, chi tecnicamente produce il prodotto che genera i dati può chiedere di essere compensato anche a livello economico.
Interessante è il capo 4, che è quello che riguarda le eventuali norme abusive o di tipo “take it or leave it“. Per questo genere di clausole, che possono essere considerate abusive, non c’è validità, mentre per quelle che possono essere presumibilmente abusive, occorre che chi cerca di farle applicare dimostri che in realtà non lo sono.
Un altro capitolo interessante è il capo 5, che riguarda il passaggio di dati tra le imprese e la pubblica amministrazione. Una situazione che per esempio potrebbe verificarsi in caso di calamità o di emergenza pubblica. In questo caso, la normativa dà alla pubblica amministrazione facoltà di chiedere non solo i dati non personali, ma anche i dati personali che, se possibile, dovrebbero comunque essere trasformati in dati anonimi. Se non c’è emergenza, non è possibile da parte degli enti pubblici chiedere dati personali.
Per gli utenti può essere invece interessante quello che c’è nel capitolo 6, che riguarda il modo in cui è possibile passare da un servizio di trattamento dei dati a un altro. Si stabilisce, infatti, che i clienti dei vari servizi di trattamento dei dati dovrebbero poter passare da un fornitore all’altro senza troppi problemi e portare con sé i dati personali in un formato che può essere esportato e quindi riutilizzato.
Nel capo 7 si parla invece delle eventuali ingerenze da parte di governi di Paesi terzi. In questo caso, i dati di un fornitore di servizi devono essere trasmessi all’esterno dell’Unione Europea solo se vengono garantite le sicurezze dei dati come se si trattasse di un passaggio all’interno dell’Unione Europea.
Questo capitolo è anche quello in cui viene ribadito forse più chiaramente un concetto di cybersicurezza che dobbiamo ricordare sempre: nel momento in cui si diventa gestori di dati personali, occorre mettere in atto tutte le misure ragionevoli per proteggerli, e le misure adottate per la protezione dei dati dovrebbero essere rese note al pubblico attraverso il sito web.
Per quello che riguarda il passaggio di dati al di fuori dell’Unione Europea, viene chiarito poi che, se possibile, i clienti andrebbero informati prima di rendere disponibili i loro dati.
Gli ultimi due capitoli riguardano l’interoperabilità e quello che i vari stati membri sono stati chiamati a fare per gestire l’attuazione della normativa.
Quello che interessa a noi è quindi il capitolo 8 sull’interoperabilità. L’interoperabilità è importante perché all’interno di quelli che vengono definiti “spazi comuni europei dei dati” possono essere fatti circolare proprio i dati degli utenti e quelli prodotti dalle aziende.
La Commissione si impegna in questo capitolo a cercare di rimuovere tutti i vari ostacoli possibili all’interoperabilità, cercando anche di produrre norme armonizzate.
Come valutare la sicurezza e come preparare la tua azienda
Se il Data Act parla di dati, è chiaro che la sicurezza di questi dati deve essere al centro di qualunque discorso per le aziende che si occupano di oggetti e prodotti che a loro volta vengono utilizzati dagli utenti producendo dati.
Quindi, nel caso in cui ti trovi a offrire un prodotto o un servizio che potenzialmente può essere influenzato dalle nuove norme del Data Act che entrano in vigore il prossimo 12 settembre, la prima cosa da fare è controllare la sicurezza di tutta l’infrastruttura in cui questi dati vengono fatti passare e in cui vengono conservati.
Il controllo della sicurezza, che in questo caso è per lo più cybersicurezza, è un dovere importante anche a prescindere dal Data Act, ma in questo contesto diventa veramente fondamentale.
Come pure è fondamentale essere sicuri di avere una struttura che consenta quella famosa interoperabilità e quello scambio che sono alla base del regolamento europeo. Il tutto a partire dalla costruzione di un contratto in cui sono stabiliti gli obblighi e i diritti di ciascuna delle parti coinvolte.
A tal proposito, vale la pena ricordare che, in vista dell’introduzione ufficiale del nuovo regolamento, anche l’Unione Europea ha messo a disposizione una serie di clausole contrattuali standard che puoi utilizzare o da cui puoi prendere spunto per scrivere quello di cui hai bisogno.
In particolare, come si legge ancora nel testo della spiegazione ufficiale sul sito dell’Unione Europea, le condizioni contrattuali riguardano non solo un’equa condivisione dei dati, ma anche ragionevoli indennizzi e la protezione dei segreti commerciali.
