Pubblicato in Gazzetta Ufficiale n. 238 del 10 ottobre 2024 il Decreto Legislativo 7 ottobre 2024, n. 144, recante l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2022/868, del 30 maggio 2022, relativo alla governance europea dei dati (c.d. Data governance act).
Si ricorda che il Data governance act mira a regolamentare il riutilizzo dei dati pubblici/detenuti e protetti, promuovendo la condivisione dei dati attraverso la regolamentazione di nuovi intermediari di dati e incoraggiando la condivisione dei dati a fini altruistici.
Il decreto designa l’autorità competente per l’intermediazione dei dati e detta la disciplina sanzionatoria per le violazione del Regolamento (UE) 2022/868.
L’Agenzia per l’Italia Digitale
Il decreto, in applicazione degli artt. 7, 13, 23 e 34 del Data Governance Act, designa l’Agenzia per l’Italia digitale (AgID), quale autorità competente per i servizi di intermediazione dei dati e per la registrazione di organizzazioni per l’altruismo dei dati, nonché gli organismi competenti per specifici settori che assistono gli enti pubblici che concedono o rifiutano l’accesso alle categorie di dati individuate dall’art. 3 del Regolamento.
L’AgID, inoltre:
- opererà in stretta e leale cooperazione con l’Agenzia per la cybersicurezza nazionale (ACN), l’Autorità garante della concorrenza e del mercato (AGCOM) e il Garante per la protezione dei dati personali e, a tal fine potrà stipulare con tali autorità specifici accordi di collaborazione non onerosi
- sentite l’Agenzia per la cybersicurezza nazionale, l’Autorità garante della concorrenza e del mercato e il Garante per la protezione dei dati personali, stabilirà con proprio provvedimento, ai sensi dell’art. 16 del Regolamento, le disposizioni tecniche e organizzative per facilitare l’altruismo dei dati nonché le informazioni necessarie che devono essere fornite agli interessati in merito al riutilizzo dei loro dati nell’interesse generale
- provvederà, in applicazione e secondo le modalità di cui all’art. 14 del Regolamento, al monitoraggio e al controllo della conformità dei fornitori dei servizi di intermediazione dei dati ai requisiti di cui al capo III del Regolamento
- provvederà, ex art. 24 del Regolamento, al monitoraggio e controllo della conformità alle prescrizioni di cui al capo IV del Regolamento da parte delle organizzazioni riconosciute per l’altruismo dei dati
- è designata, ai sensi dell’art. 7 del Regolamento, quale organismo competente per assistere gli enti pubblici che concedono o rifiutano l’accesso al riutilizzo delle categorie di dati di cui all’art. 3, paragrafo 1, del Regolamento e per concedere l’accesso per il riutilizzo delle categorie di dati ai sensi dell’art. 7, paragrafo 2, del Regolamento
- è designata quale sportello unico e provvede all’implementazione delle relative funzioni estendendo il punto d’accesso unico garantito dal catalogo nazionale dei dati aperti di cui all’art. 9, c. 2, D. Lgs. 36/2006.
Le sanzioni per le violazioni al Data Governance Act
Sono individuate specifiche violazioni, per cui l’AgID potrà adottare specifiche sanzioni amministrative, ovvero:
- violazione degli obblighi in materia di trasferimento di dati non personali a Paesi terzi a norma dell’art. 5, par.14, e dell’art. 31 del Regolamento
- violazione dell’obbligo di notifica per i fornitori di servizi di intermediazione dei dati a norma dell’art. 11 del Regolamento
- violazione delle condizioni per la fornitura di servizi di intermediazione dei dati a norma dell’art. 12 del Regolamento,
- violazione delle condizioni per la registrazione come organizzazione per l’altruismo dei dati riconosciuta a norma degli artt. 18, 20, 21 e 22 del Regolamento, da parte dei fornitori di servizi di intermediazione dei dati e delle organizzazioni per l’altruismo dei dati
Le sanzioni amministrative pecuniarie variano da un minimo di 10.000 euro fino a un massimo di 100.000 euro, ovvero, per le imprese, fino al 6% del fatturato mondiale annuo dell’esercizio precedente.
Le sanzioni dovranno essere effettive, proporzionate e dissuasive e verranno comminate valutando:
- la natura, la gravità, l’entità e la durata della violazione
- qualsiasi azione intrapresa dal fornitore di servizi di intermediazione dei dati o da un’organizzazione per l’altruismo dei dati riconosciuta al fine di attenuare il danno derivante dalla violazione o porvi rimedio
- qualsiasi precedente violazione da parte del fornitore di servizi di intermediazione dei dati o dell’organizzazione per l’altruismo dei dati riconosciuta
- i vantaggi finanziari ottenuti o le perdite evitate dal fornitore di servizi di intermediazione dei dati o da un’organizzazione per l’altruismo dei dati riconosciuta in ragione della violazione, nella misura in cui tali profitti o perdite possano essere determinati in modo attendibile
- eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso.