Data Strategy & Governance: il punto di vista delle istituzioni europee

A cura di:
Irene Di Deo – Ricercatrice dell’Osservatorio Big Data & Business Analytics

L’attenzione degli organi dell’Unione Europea al tema dei dati è crescente e non si limita alla volontà – anch’essa fondamentale – di investire su infrastrutture abilitanti per raccogliere, gestire e valorizzare i Big Data.
L’obiettivo di fondo è supportare aziende e pubbliche amministrazioni nell’arricchire il patrimonio informativo a disposizione e cogliere le opportunità delle metodologie di analisi più innovative, evitando i rischi connessi ad utilizzi scorretti, anti-competitivi e discriminatori dei dati. Ragionando sui principali documenti ad oggi in discussione negli organi dell’Unione Europea, possiamo identificare due linee d’indirizzo: la creazione di un mercato unico dei dati e una regolamentazione volta a ridurre i rischi di un utilizzo scorretto degli stessi dati in applicazioni di analytics che richiedano l’impiego di intelligenza artificiale.
In questo articolo, ci concentreremo sul primo punto, approfondendo prima di tutto le linee guida generali, delineate dall’European Data Strategy e poi le due proposte di regolamento ad oggi (agosto 2022 NdR) sul tavolo: il Data Governance Act e il Data Act.

L’European Data Strategy
Nel febbraio 2020, la Commissione Europea ha presentato la Strategia Europea in materia di dati (European Data Strategy – Una strategia europea per i dati, 19 febbraio 2020 – Comunicazione della Commissione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni), un documento in qualche modo fondativo di quella che vuole essere una terza via dell’Unione Europea sullo sviluppo di applicazioni data-driven. Tutto ciò per favorire la creazione di un mercato dei dati, volto sia a creare vantaggio competitivo per tutti gli attori dell’economia europea sia a restituire ai cittadini dell’Unione la sovranità sui dati stessi.
Citando il documento, “l’obiettivo è creare uno spazio unico europeo di dati – un autentico mercato unico di dati, aperto ai dati provenienti da tutto il mondo – nel quale sia i dati personali sia quelli non personali, compresi i dati commerciali sensibili, siano sicuri e le imprese abbiano facilmente accesso a una quantità pressoché infinita di dati industriali di elevata qualità, che stimolino la crescita e creino valore, riducendo nel contempo al minimo la nostra impronta ambientale.”

La Commissione Europea indica quattro pilastri su cui basare le azioni legate ai dati e al loro utilizzo da qui al 2025:

1. Quadro di governance intersettoriale per l’accesso ai dati e il loro utilizzo: la Commissione dichiara di astenersi da una normativa ex-ante eccessivamente dettagliata, ma dichiara di voler strutturare un quadro legislativo abilitante, al fine di facilitare l’utilizzo dei dati a fini di ricerca e definire i confini di utilizzo intersettoriale dei dati per sviluppare idee di business innovative. Un ulteriore obiettivo è favorire “l’altruismo dei dati”, ossia far sì che le persone che lo desiderino possano fornire il loro consenso all’utilizzo dei propri dati.
2. Investimenti nei dati e rafforzamento delle infrastrutture: la Commissione si propone di finanziare infrastrutture, strumenti per la condivisione dei dati, architetture e meccanismi di governance per la condivisione dei dati e lo sviluppo condiviso di intelligenza artificiale. Nel periodo 2021-2027 la Commissione investirà in un progetto ad alto impatto su spazi europei di dati e infrastrutture cloud federate. A questo si aggiunge la firma di un protocollo d’intesa con gli Stati membri sulla federazione del cloud, l’avvio di un mercato europeo dei servizi cloud e la creazione di un codice UE di (auto)regolamentazione del cloud.
3. Maggior controllo sui dati e investimenti in competenze: su questo punto, la Commissione si propone di rafforzare il diritto alla portabilità dei dati (di cui all’articolo 20 del GDPR – General Data Protection Regulation) e finanziare programmi di sviluppo di competenze digitali e analitiche, con particolare accento sulla partecipazione delle donne.
4. Spazi comuni europei di dati in settori strategici e ambiti di interesse pubblico: la Commissione identifica i seguenti spazi comuni di dati come strategici: dati industriali, Green Deal (utilizzo dei dati per contrastare il cambiamento climatico e supportare gli obiettivi di biodiversità, inquinamento zero, economia circolare e garanzia della conformità), mobilità, dati sanitari, dati finanziari, dati sull’energia, dati sull’agricoltura, dati per la pubblica amministrazione, dati sulle competenze.

Da questa strategia di alto livello, è iniziato il lavoro per mettere a terra gli obiettivi.

Il Data Governance Act (DGA)
Il Regolamento Europeo in materia di Data Governance è il primo Regolamento che prende forma e viene approvato dal Parlamento (in data 7/04/2022) nel contesto dell’European Data Strategy. Il 16 maggio è stato approvato dal Consiglio Europeo in via definitiva, pubblicato nella Gazzetta Ufficiale dell’Unione il 3/06/2022, entrerà in vigore nel giugno 2023 e sarà applicabile alle aziende 15 mesi più tardi.
Un passo molto importante, che – rinnovando la Direttiva UE 2019/1024 – si propone di realizzare un quadro normativo adeguato alle necessità odierne di accesso e condivisione dei dati, facilitando la condivisione dei dati e accrescendo la fiducia in tutti gli attori coinvolti, evitando allo stesso tempo derive discriminatori e pratiche non concorrenziali o lesive dei diritti del singolo individuo.

Pur senza entrare in tutti i dettagli giuridici, e in estrema sintesi, sottolineo tre punti chiave:

1. Riutilizzo dei dati del settore pubblico per altre finalità. Il regolamento dispone che i dati detenuti da enti pubblici protetti da riservatezza commerciale, riservatezza statistica, protezione di diritti di proprietà intellettuale di terzi o protezione di dati personali possano essere riutilizzati dagli enti stessi, a patto che il riutilizzo venga realizzato in modo non discriminatorio, proporzionato e giustificato in relazione alla categoria di dati, alle finalità e alla natura dei dati stessi. L’ente pubblico può imporre obblighi specifici per il riutilizzo dei dati ed eventualmente delle limitazioni. Può inoltre prevedere delle tariffe, opportunatamente giustificate, proporzionali e non discriminatorie;
2. Un nuovo attore certificato: il fornitore di servizi di condivisione dei dati. La fornitura di servizi di condivisione dei dati sarà soggetta a una procedura di notifica. I fornitori di questo tipo di servizi – realizzati tramite piattaforme, attività di intermediazione o servizi di cooperative di dati – dovranno quindi notificare la loro attività all’autorità competente del proprio Stato membro. Inoltre, i fornitori dovranno rispettare una serie di condizioni nell’operare, relative anche in questo caso alla messa in atto di pratiche non discriminatorie, di equità e trasparenza sia per i titolari dei dati sia per gli utenti, anche per ciò che riguarda i prezzi;
3. Altruismo dei dati. Così come delineato nel primo pilastro dell’European Data Strategy, nascono le organizzazioni per l’altruismo dei dati, anch’esse registrate dall’Unione Europea. Queste ultime saranno entità senza scopo di lucro, che gestiranno la possibilità del singolo individuo di esprimere il proprio consenso alla condivisione dei dati. Questo consenso verrà gestito tramite un modulo europeo, che utilizzerà un approccio modulare e dunque altamente personalizzabile rispetto alla funzione di specifici settori e singole finalità.

Infine, viene istituito un Comitato europeo per l’innovazione in materia di dati che avrà l’obiettivo di assistere la Commissione Europea nello sviluppo di prassi coerenti all’interno dell’Unione in materia di applicazione delle prescrizioni applicabili ai fornitori di servizi di condivisione dei dati, priorità da attribuire alle norme intersettoriali per utilizzo e condivisione dei dati e rafforzamento dell’interoperabilità dei dati.

Il Data Act
La seconda iniziativa legislativa derivante dall’European Data Strategy è invece il Data Act, proposto dalla Commissione il 23/02/2022 e oggetto di ulteriori consultazioni fino all’11 maggio. Mentre il Data Governance Act si propone di creare un contesto di governance che favorisca la condivisione dei dati, il Data Act ha un obiettivo ancor più ambizioso: favorire un accesso equo ai dati e al loro riutilizzo, tramite diritti e obblighi sulla condotta delle imprese e dei consumatori. Il focus, diversamente da quanto fatto finora, è sui dati non personali. L’ambito di intervento – di fatto molto ampio – può essere riassunto così: messa a disposizione di dati generati dall’uso di un prodotto o di un servizio correlato all’utente di tale prodotto o servizio.
La principale innovazione, insita nella norma, è la consapevolezza che i dati sono un potente strumento di vantaggio competitivo e, guardando ai rischi, possono portare persino alla creazione di monopoli in singoli mercati. Il Data Act si propone di scardinare questi pericoli, imponendo obblighi di condivisione e di trasparenza e abbattendo gli switching costs legati al trasferimento dati (ad esempio nel caso dei servizi Cloud).
Questa norma, inoltre, si propone di garantire maggiormente le piccole e medie imprese, oggi svantaggiate nella filiera di accesso al dato, riducendo invece il potere contrattuale e le opportunità delle grandi piattaforme (su cui già si sta lavorando con il Digital Services Act, che riguarda le piattaforme online che raggiungono più del 10% della popolazione dell’UE).

Il potenziale innovativo, ma anche la complessità del Data Act, è ancora da valutare nel suo insieme e sicuramente potrà richiedere un approfondimento ad hoc che troverete presto su questo sito web.