Avv. Manuela Soccol e Dott. Davide Beatrice
Abstract
Alla luce della recente approvazione del testo del Data Governance Act, avvenuta il 6 aprile 2022, se ne tracciano dapprima brevemente i punti nodali, per poi soffermarsi sul tema dell’Altruismo dei dati. Questo concetto e le sue estrinsecazioni rappresentano uno snodo fondamentale di questo regolamento. La domanda principale che bisogna porsi però è: le sue previsioni sul tema impatteranno davvero la realtà o resteranno lettera morta?
Il Data Governance Act
Il Data Governance Act[1] è un regolamento che va ad innestarsi in un ambizioso progetto europeo di armonizzazione e regolamentazione dei dati personali e del loro utilizzo. La società odierna poggia ormai le sue basi sul concetto di dati che, come definiti dall’art. 2 del DGA, includono “ogni rappresentazione digitale di atti, fatti o informazioni e ogni raccolta di tali atti, fatti o informazioni, incluse le registrazioni sonore, visive o audiovisive”[2]. Risulta consequenzialmente opportuno procedere ad una pianificazione quanto più condivisa ed organica sul tema, seguendo l’approccio che l’Unione ha sempre avuto riguardo tale materia: regolamentare non per inibire, ma bensì per incentivare un uso consapevole dei dati.
Dopo un discreto periodo di gestazione, il suo testo è stato approvato dal Parlamento Europeo il 6 aprile 2022[3] e si fonda su tre pilastri fondamentali. Il primo di essi è il riutilizzo dei dati nel settore pubblico, strumento chiave al fine di consentire una digitalizzazione efficiente e proficua degli apparati statali che, sempre di più, si affidano a sistemi basati su algoritmi e intelligenze artificiali, i quali richiedono, ai fini del loro fisiologico processo di learning, una grande mole di dati da processare.
Il secondo pilastro si basa, invece, sulla diffusione dei dati attraverso intermediari. La scelta di questo tipo di sistema di condivisione poggia il suo sostrato sulla possibilità di poter garantire maggiori standard sia qualitativi, in riferimento alla bontà dei database stessi, sia di sicurezza ed accountability nel processo di raccolta, gestione e concessione di questi ultimi, nonché di trasparenza per quanto concerne il diritto di accesso e i costi ad esso connessi.
L’ultimo pilastro, fulcro di questo articolo, si pone un obiettivo di grande levatura sociale e morale ed è menzionato sotto il concetto di “Altruismo dei dati”. Esso viene definito dall’art. 2 co. 16 del DGA come “la volontaria diffusione di dati, sulla base del consenso dell’interessato nel trattare i dati personali che lo riguardano o l’autorizzazione del Titolare all’utilizzo dei suoi dati non personali senza ricercare o ricevere un compenso che vada oltre alla compensazione dei costi in cui incorre al fine di rendere tali dati disponibili per obiettivi di interesse generale come previsto dal diritto nazionale, ove applicabile, come ad esempio: sanità, contrasto al cambiamento climatico, miglioramento della mobilità, facilitazione dello sviluppo, produzione e diffusione di statistiche ufficiali, miglioramento della fornitura di servizi pubblici, dell’elaborazione di politiche pubbliche o della ricerca scientifica nell’interesse generale”[4].
Come risulta evidente già dalla definizione normativa del concetto, sono innumerevoli gli spunti, le prospettive e le criticità che avvolgono questo tema.
L’Altruismo dei dati nel DGA
All’altruismo dei dati è dedicato il capo IV del DGA, il quale ricomprende gli artt. dal 16 al 25. In esso viene enucleato un sistema particolareggiato e dinamico, il cui scopo dovrebbe essere quello di consentire un’attuazione concreta ed effettiva di questa fruizione altruistica dei dati.
Esso prevede innanzitutto un’importante libertà attuativa per i diversi stati nazionali, i quali potranno implementare strategie e politiche volte alla fruizione di queste banche dati e alla consapevolezza da parte dei soggetti a cui i dati afferiscono. Viene successivamente implementato un duplice registro, uno nazionale ed uno comunitario, al fine di tenere traccia e monitorare le finalità delle organizzazioni che intendono far parte di questo circolo virtuoso.
L’art. 18 indica i requisiti necessari al fine di poter essere qualificati come organizzazione altruistica di dati ed essi sono: svolgere attività di altruismo dei dati; essere una persona giuridica ai sensi del diritto nazionale con scopi di interesse generale previsti dal diritto nazionale; operare senza scopo di lucro essendo giuridicamente indipendente da qualsiasi entità che operi a fini di lucro; svolgere le sue attività di altruismo dei dati attraverso una struttura funzionalmente separata dalle altre sue attività; rispettare il regolamento di cui all’articolo 22, paragrafo 1, entro 18 mesi dalla data di entrata in vigore degli atti delegati di suddetto paragrafo.
Viene poi predisposta la procedura necessaria alla registrazione, gli obblighi di trasparenza a cui ogni organizzazione altruistica dei dati deve soggiacere e gli obblighi specifici legati ai Titolari e agli interessati di tali dati. È inoltre definita la struttura del regolamento indicato nell’art. 18, il metodo di nomina, le funzioni e i poteri di monitoraggio della compliance affidati all’autorità competente. Il capo si chiude con le indicazioni per la predisposizione di un form europeo per l’acquisizione del consenso al trattamento dei dati per fini altruistici.
Criticità e speranze sull’Altruismo dei dati
Alla luce delle risultanze normative, sono molte le perplessità e i dubbi che legittimamente possono essere mossi. Innanzitutto, va evidenziato come, soprattutto per questioni di tempistiche correlate alla sua recente approvazione, si è ancora in attesa della nomina dell’autorità a cui spetteranno le funzioni indicate nel DGA. A tale aspetto va sicuramente sommato quello che concerne l’ampiezza e l’indeterminatezza di alcuni dettati normativi, i quali potrebbero finire per ingenerare manifeste situazioni di abuso e manipolazione, capaci di produrre effetti diametralmente opposti a quanto auspicato.
Tale dubbio trova riscontro anche nel parere congiunto 03/2021 dell’European Data Protection Board congiuntamente all’European Data Protection Supervisor. Le due autorità hanno espresso chiaramente, nel capitolo dedicato all’altruismo dei dati e più precisamente nel paragrafo 159, come “il concetto di “altruismo dei dati” sia ancora non chiaramente e sufficientemente definito”. Ciò è stato sottolineato e specificato nel paragrafo 172 nel quale si enfatizzava come “l’EDPB e l’EDPS considerano come questa mancanza di chiarezza nella definizione possa portare ad un’incertezza giuridica, oltre che ad abbassare il livello di protezione dei dati personali nell’UE”. Un esempio di ciò è rinvenibile nel paragrafo 179, nel quale, l’EDPB e l’EDPS, sottolineano come nell’art. 16 del DGA sarebbe “necessario introdurre un riferimento diretto ai requisiti per la protezione dei dati, specialmente ai requisiti tecnici e organizzativi che consentono l’applicazione delle norme in materia di protezione dei dati e l’esercizio dei diritti degli interessati”.
Non si può che essere concordi sulla necessità di definire in modo puntuale i requisiti tecnici necessari ai fini della protezione e tutela dei dati, in quanto essi rappresentano l’unico baluardo tangibile capace di permettere una valutazione empirica e fattuale dell’impatto che l’altruismo dei dati può avere in tema privacy. Bisogna, d’altro canto, evidenziare come risulta opportuno che la definizione di altruismo dei dati resti un minimo suscettibile di oscillazioni e variazioni, in quanto è impossibile prevedere quali scopi altruistici potrebbero emergere grazie all’implementazione di tale sistema.
Oltre tale speranza però risulta lapalissiano come siano presenti alcune aree grigie, capaci di poter creare fenomeni distorsivi oltre che veri e propri vuoti applicativi nella fase di concreta messa in pratica del DGA. Non bisogna mai dimenticare quanto i dati oggi siano fondamentali e quanto essi, seppur non quantificabili economicamente, svolgano primariamente un ruolo trainante in ambito commerciale.
È quindi necessario optare per un approccio che sia il più possibile votato ad una regolamentazione quanto più chiara e definita possibile, atta a ridurre al minimo ineliminabile tale incertezza.
D’altro canto, merita sicuramente un grande plauso una scelta di politica legislativa così visionaria e socialmente rilevante. Se infatti, come ci si auspica, l’altruismo dei dati riuscisse ad avere esplicazioni pragmatiche di una certa portata, esso finirebbe per produrre risultati davvero significativi per il progresso sociale, nonché per la creazione di un framework europeo, almeno per quanto concerne i dati, davvero di natura condivisa e comune.
[1] D’ora in poi DGA.
[2] Definizione di dati presente nell’art. 2 p. 1del DGA: “means any digital representation of acts, facts or information and any compilation of such acts, facts or information, including in the form of sound, visual or audiovisual recording”
[3] European Parliament legislative resolution of 6 April 2022 on the proposal for a regulation of the European Parliament and of the Council on European data governance.
[4] Altruismo dei dati come definito dall’art. 2 p. 16 del DGA: “means the voluntary sharing of data on the basis of the consent of data subjects to process personal data pertaining to them, or permissions of data holders to allow the use of their non-personal data without seeking or receiving a reward that goes beyond compensation related to the costs that they incur where they make their data available for objectives of general interest as provided for in national law, where applicable, such as healthcare, combating climate change, improving mobility, facilitating the development, production”.
