I beni intelligenti nel mercato Europeo dei beni di consumo tra New Deal for Consumers e European Strategy for Data
Laura Bugatti*
I beni intelligenti nel mercato Europeo dei beni di consumo tra New Deal for Consumers e European Strategy for Data **
English title: The European Market of Consumer Smart Goods: between the ‘New Deal for Consumers’ and the ‘European Strategy for Data
DOI: 10.26350/18277942_000082
Sommario: 1. I beni intelligenti: Internet of Things e Internet of Bodies. 2. La vendita di beni con elementi digitali e la fornitura di contenuti e servizi digitali nei rapporti B2C alla luce delle direttive gemelle 770/2019/EU e 771/2019/EU; 3. Il valore dei dati non personali nella Strategia Europea dei Dati; 4. Il diritto alla portabilità dei dati non personali generati dagli oggetti connessi nei rapporti B2C (e oltre); 4.1. L’accesso ai dati dei beni connessi: la proposta del Data Act; 4.2. Profili di parziale sovrapposizione tra l’art. 16, c. 4, dir. 770/2019 e il Data Act; 5. Rilievi conclusivi.
- I beni intelligenti: Internet of Things e Internet of Bodies
- ‘La faccia stropicciata a contrasto con la camicia appena stirata e la luce del frigorifero che rivela il vuoto cosmico del suo contenuto. Un chiaro segnale che per la cena l’app del food-delivery verrà adeguatamente consultata per l’ennesimo ordine. Nemmeno il tempo di gettare lo sguardo fuori della finestra che il manico dell’ombrello si illumina a segnalare il meteo avverso e la vibrazione proveniente dallo smartphone ricorda che l’autovettura con guida autonoma è parcheggiata fuori casa, pronta per affrontare le strade trafficate del centro. L’impresa, in realtà, non è poi così ardua grazie ai dati del traffico visualizzati in tempo reale sul navigatore: lo spazio temporale che divide l’abitazione dall’ufficio si attesta, ancora una volta, nella media dei consueti dieci minuti. Rimane ancora il tempo per un caffè, mentre le dita scivolano abilmente sul tablet, connesso alla rete del locale, alla ricerca del miglior frigorifero intelligente sul mercato, fra siti di comparazione e annunci di venditori e rivenditori. Da domani quel gioiello dovrà essere in cucina! Le scale affrontate di corsa, mentre il fitness-tracker registra i passi accorciando la distanza dal traguardo giornaliero. E lì, fuori dalla porta dell’ufficio, il segretario che cerca disperatamente il mazzo di chiavi, inghiottito dalla sua valigetta, come da miglior tradizione. Un sogghigno, la mano portata alla nuova serratura e un sonoro ‘clock’ che testimonia il buon funzionamento del nuovissimo chip impiantato sottocute per aprire la serratura. “‘Alexa’ metti della buona musica!” e le note della playlist preferita si diffondono, segnando l’inizio di una nuova giornata lavorativa.’ -
Lo scenario che sino ad una decina di anni fa poteva apparire difficilmente realistico e per certi aspetti solo futuribile, oggi rappresenta la realtà per la maggior parte degli individui. Il nostro presente è, infatti, connotato da un esponenziale sviluppo dell’Internet of Things (IoT)[1] e da un sempre maggior ricorso all’Internet of Bodies (IoB). Tramite la crescente estensione della rete internet al mondo degli oggetti (smart devices) e ai luoghi (i.e. smart home e smart city), sempre più beni intelligenti popolano il reale: prodotti che incorporano componenti elettroniche, sensori, software, sistemi di connessione, allo scopo di connettere e scambiare dati con altri dispositivi e sistemi in internet. Dalla tecnologia applicata alle cose, a quella applicata al corpo umano il passo è stato breve[2]: dalla prima generazione di dispositivi esterni al corpo (‘body external’), quali, a titolo esemplificativo, i wearable per misurare l’attività fitness, si è passati a dispositivi interni al corpo umano (‘body internal’), come chips impiantati sottocute che permettono di aprire una porta o effettuare un pagamento, pacemaker connessi a sistemi Wi-Fi, o, ancora, pancreas artificiali che rilasciano insulina in modo automatizzato attraverso algoritmi sulla base di una misurazione integrata continua della glicemia; sino ad approdare ai dispositivi c.d. di ‘terza generazione’, “fusi” nel corpo umano (‘body melted’) con operatività bidirezionale (lettura e scrittura) che consentono di estendere porzioni della mente umana (è questo, ad esempio, il caso delle interfacce neurali)[3]. L’IoB, inoltre, trascende sempre più l’ambito dei devices medici, in quel moto di conquista anche del mercato dei beni di consumo[4].
La realtà giuridica degli oggetti intelligenti è difficile da catturare, e ciò non solo in considerazione dell’incessante sviluppo tecnologico, che restituisce al mercato prodotti sempre più innovativi e vari, che talvolta arrivano ad includere anche soluzioni basate sull’intelligenza artificiale[5]; bensì anche in ragione della complessità insita nei prodotti stessi[6].
Diverse sono le componenti e le funzionalità assicurate dagli oggetti intelligenti e, di conseguenza, gli attori che vengono portati in scena e il rispettivo ambito di responsabilità: il produttore genera dispositivi in cui la parte materiale del bene (incluso l’hardware) si combina con l’elemento digitale interconnesso o incorporato; quest’ultimo può essere messo nella disposizione dell’utente attraverso lo stesso contratto di vendita del bene materiale ovvero acquistato in un secondo momento in maniera distinta. Non è scontato che sia il venditore a fornire l’elemento digitale: la realtà ci consegna, infatti, un quadro ben diverso, dove generalmente è un terzo a gestire la parte ‘smart’ del prodotto (ad esempio il produttore o lo sviluppatore). Ciò può dar vita ad ulteriori rapporti obbligatori: l’uso del software incorporato nel bene o l’utilizzo di altri servizi digitali, nella maggior parte dei casi, vengono concessi dal fornitore sulla base di specifici accordi, postulando, ad esempio, la necessaria sottoscrizione di un accordo di licenza con l’utente finale (End User License Agreement – EULA), volto a regolamentare i termini di utilizzo del programma[7]. Inoltre, nel suo nuovo ruolo di titolare dei dati (data controller nella terminologia inglese), il produttore sarà tenuto a procurarsi il consenso dell’acquirente ai sensi del Regolamento europeo in materia di protezione dei dati personali (GDPR)[8] per il trattamento dei dati personali dell’utente raccolti e generati dal bene connesso per specifiche finalità.
A prescindere dall’efficacia nel tempo del contatto, sia esso ad esecuzione istantanea o di durata (nel caso in cui all’atto singolo della vendita si associ la fornitura costante del servizio o contenuto digitale, nell’arco temporale contrattualmente stabilito), la fase post contrattuale diviene sempre più rilevante nella vendita di beni intelligenti. Il riferimento non è solamente all’installazione del bene, bensì all’ontologica necessità di aggiornamento, che impone interventi costanti per garantire la funzionalità dei prodotti intelligenti nel medio periodo.
Alla complessità dettata dai rapporti multilaterali in gioco - in un intreccio di obblighi, diritti e responsabilità delle parti coinvolte di non sempre facile interpretazione - si associa la necessità di apprestare una particolare attenzione all’elevato numero di dati raccolti e generati dagli smart devices. Ciò non solo in un’ottica di protezione dei dati personali dell’utente, a cui l’UE ci ha progressivamente abituati[9], bensì anche con riguardo alla necessità, sempre più avvertita, di regolamentare l’accesso, il riutilizzo e la portabilità dei dati non personali che trovano nell’impiego del bene intelligente la loro fonte genetica, anche al fine di creare valore da tali dati. Alla base si pone, infatti, la consapevolezza che, dinanzi ad una realtà connotata da una sempre più rapida crescita dei dati generati, proprio questi ultimi saranno in grado di ridefinire “il nostro modo di produrre, consumare e vivere”, divenendo “la linfa vitale dello sviluppo economico”[10].
L’Unione Europea, nel fermento legislativo dettato dall’urgenza di adattare l’impianto normativo ad un contesto dai tratti fisionomici profondamenti riscritti dalla rivoluzione tecnologica e dall’affermazione di un’economia data-driven, è di recente intervenuta ponendo significativa attenzione all’espansione dell’uso degli oggetti connessi. In tale contesto, il presente saggio intende dare conto di due importanti linee di intervento che l’UE ha deciso di intraprendere per la regolamentazione degli oggetti intelligenti: i) la prima, che si innesta nel diritto europeo dei contratti comportandone significative modifiche, risulta volta ad incidere sulla disciplina della vendita e sulle regole della fornitura di contenuti digitali e servizi digitali nei rapporti tra professionisti e consumatori (B2C): il riferimento è, in particolare, all’adozione nel 2019 delle direttive gemelle 770 e 771 (§2); ii) la seconda si inserisce, per contro, nell’ambizioso obiettivo di creare uno spazio europeo dei dati, ideato nell’ambito della ‘Strategia Europea per i Dati’, e si concretizza nella proposta tesa a regolamentare, attraverso il Data Act, il flusso dei dati generati dai dispositivi smart (§3). Premessi brevi cenni su tale nuovo impianto regolatorio, presente e prospettico, il lavoro si concentra sui profili di intersezione delle due discipline, con particolare riferimento ai temi dell’accesso ai dati non personali e della loro circolazione e portabilità (§4).
2. La vendita di beni con elementi digitali e la fornitura di contenuti e servizi digitali nei rapporti B2C alla luce delle direttive gemelle 770/2019/EU e 771/2019/EU
Nel maggio del 2019 l’Unione Europea ha dato il via ad una significativa riforma della disciplina della vendita dei beni nei rapporti negoziali B2C, tramite l’adozione di due direttive cc.dd. ‘gemelle’: la dir. 2019/770/UE riguardante determinati aspetti dei contrattidi fornitura di contenuto digitale e di servizi digitali e la dir. 2019/771/UE,che abroga e sostituisce la previgente dir. 1999/44/CE, disciplinando determinati aspetti deicontratti di vendita di beni materiali[11]. Pur differenziandosi quanto ad ambito di applicazione, che risulta comunque complementare, le due direttive condividono le medesime finalità. Comune ad entrambi gli interventi normativi vi è l’esigenza di migliorare il funzionamento del mercato interno[12] contribuendo alla creazione di un mercato unico digitale, senza rinunciare alla ricerca costante del giusto punto di equilibrio “tra il conseguimento di un elevato livello di protezione dei consumatori e la promozione della competitività delle imprese”[13]. La crescita economica e una diffusa integrazione dei mercati, si ancorano all’obiettivo di sfruttare al meglio le potenzialità del commercio elettronico[14], riducendo la frammentarietà e l’incertezza giuridica che caratterizzano i rapporti negoziali transfrontalieri[15].
Per il raggiungimento di tal fine, entrambe le direttive introducono norme comuni sulla conformità dei beni o dei contenuti/servizi digitali; sui rimedi in caso di difetto di conformità al contratto o di mancata fornitura e sulle relative modalità di esercizio; sulla modifica del contenuto/servizio digitale (dir. 770/2019) e sul regime delle garanzie commerciali (dir. 771/2019)[16].
Ponendosi su una linea di sviluppo ideale che dalla Convenzione di Vienna sulla vendita internazionale di merci (CISG)[17] conduce alla dir. 1999/44/CE[18], il nuovo impianto normativo: (a) conferma la centralità della nozione di conformità del bene, seppur esplicitamente tratteggiata in requisiti oggettivi e soggettivi; (b) continua a percorrere la strada verso una crescente oggettivazione della responsabilità debitoria, attraverso la standardizzazione degli obblighi negoziali e la tipizzazione della condotta del venditore/operatore economico, nonché ad imporre una dilatazione dei contenuti dell’obbligazione del professionista, che risulta sempre più estesa al post-vendita con l’affermazione di obblighi di installazione e l’introduzione di quelli di aggiornamento; (c) predilige, ancora una volta, in caso di assenza di conformità dei beni, i rimedi conservativi del contratto, confermando la gerarchizzazione dei rimedi esperibili dal consumatore: riduzione del prezzo e risoluzione del contratto rimangono subordinate alle azioni di esatto adempimento (riparazione e sostituzione dei beni non conformi)[19].
Come anticipato, il principale elemento di rottura con il passato deriva dalla penetrazione della realtà digitale nel commercio dei beni di consumo: la nuova disciplina[20] è, dunque, profondamente influenzata dalla crescente presenza nel mercato di consumo di beni che incorporano contenuti digitali o servizi digitali, o sono interconnessi ad essi[21], nonché dalla moltiplicazione di rapporti negoziali aventi ad oggetto la mera fornitura di contenuti digitali o servizi digitali.
Con la dir. 770/2019 sono state, dunque, introdotte ex novo regole specifiche volte ad armonizzare nel contesto europeo[22] la disciplina della fornitura di contenuti e servizi digitali, immortalando l’attuale slittamento da un’economia dei beni verso un’economia di servizi[23]. In particolare, nella nozione di ‘contenuto digitale’ rientrano i dati prodotti e forniti in formato digitale[24] (quali le applicazioni, i file video, audio o musicali, giochi digitali, e-book); con ‘servizio digitale’ il riferimento è, invece, ai programmi informatici che consentono “la creazione, la trasformazione o l’archiviazione dei dati in formato digitale, nonché l’accesso a questi ultimi”, nonché ai servizi che consentono la condivisione di dati un formato digitale o qualsiasi altra interazione con tali dati[25], come nel caso di giochi offerti nell’ambiente di cloud computing e nei social media[26].
La dir. 771/2019, per contro, ha espressamente esteso l’ambito di applicazione oggettivo della disciplina della vendita ai cc.dd. ‘beni con elementi digitali’, intendendosi con tale sintagma i beni che incorporano o sono interconnessi con contenuti o servizi digitali[27]. A restringere il perimetro dell’applicabilità della disciplina si pongono due condizioni dettate dalla normativa: (a) l’elemento digitale deve risultare essenziale per assicurare la funzionalità del bene[28]; e (b) il contenuto o servizio digitale deve essere fornito, dal venditore o da un terzo, con il bene ai sensi del medesimo contratto di vendita[29]. Ciò può derivare da un’espressa menzione nell’accordo della volontà di includere nella vendita anche la componente digitale del bene, oppure essere dedotto in via presuntiva in quanto la fornitura dell’elemento digitale risulta abituale per beni dello stesso tipo e rientra nelle ragionevoli aspettative del consumatore, tenuto conto della natura del bene e di eventuali dichiarazioni pubbliche fatte dal venditore o da altri soggetti ancorati alla medesima catena di transazioni commerciali, ivi compreso il produttore[30].
Se, dunque, un consumatore acquista un ombrello intelligente, così da non rischiare più di essere colto alla sprovvista da un temporale, la disciplina della vendita risulterà applicabile non solo al bene materiale (ombrello), bensì anche al ricevitore radio connesso alla rete WI-FI, incorporato nel bene, che permette di registrare le previsioni meteo diffuse in tempo reale da un sito a ciò dedicato e, di conseguenza, generare input che consentono al manico dell’ombrello di illuminarsi con intermittenza diversa a seconda della gravità del rischio pioggia previsto per le ore successive[31]. In questo caso, infatti, (a) l’assenza dell’elemento digitale incorporato nel bene impedirebbe all’ombrello lo svolgimento delle proprie funzioni (ovvero fornire all’utilizzatore indicazioni luminose connesse ai dati meteo); inoltre, (b) anche in assenza di una esplicita inclusione del servizio digitale nel contratto, la ragionevole aspettativa di un consumatore che acquista un ombrello intelligente sarà quella di vedere ricompresa nel medesimo accordo negoziale anche la fornitura dell’elemento digitale. Il ricorso alle regole di cui alla dir. 771/2019 non desta, quindi, particolari dubbi. Analogamente, la disciplina della vendita risulta pacificamente applicabile alla costante fornitura di dati relativi al traffico registrato in tempo reale, qualora essa sia stata prevista nel contratto di acquisto del sistema di navigazione, trattandosi di un servizio digitale interconnesso al bene materiale; ovvero alla fornitura settimanale di programmi di allenamento personalizzati, connessa all’acquisto di un fitness-tracker[32], anche laddove l’accesso a tale servizio, fornito da un soggetto terzo, richieda al consumatore di scaricare un’apposita applicazione sullo smartphone. Per espressa previsione normativa a nulla rileva, infatti, la circostanza che il contenuto o servizio digitale (a) venga fornito da un terzo, (b) richieda l’accettazione di uno specifico accordo di licenza ovvero (c) risulti preinstallato nel bene o debba essere scaricato successivamente dal compratore.
Come anticipato, l’aspettativa del consumatore sul fatto che l’acquisto includa o meno la parte digitale del bene può dipendere da dichiarazioni pubbliche fatte dal venditore: qualora non previsto diversamente nei termini del contratto, un consumatore che acquista una smart-TV si aspetterà ragionevolmente di ricevere il bene con la possibilità di connessione alle principali applicazioni di streaming grazie ad interfacce ad hoc (e.g. Netflix App, applicazione Amazon Video, etc.), ma non anche ai relativi servizi di streaming, per accedere ai quali dovranno essere conclusi separati abbonamenti; tuttavia, se il venditore ha pubblicizzato la vendita della smart-TV con inclusa la possibilità di accedere ai servizi streaming di Netflix, allora la fornitura di tale servizio digitale dovrà ritenersi inclusa nel contratto di vendita con conseguente richiamo della disciplina di cui alla dir. 771/2019 in caso di difetto di conformità riguardante il servizio di streaming offerto da Netflix[33].
Per espressa previsione normativa, se il bene materiale funge da mero vettore del contenuto digitale (e.g. DVD, CD, chiavi USB, schede di memoria), la vendita cede il passo all’applicazione della disciplina sulla fornitura di beni e contenuti digitali[34]. Sebbene non sia mancata la voce di chi riteneva che la scelta di estendere la disciplina della vendita anche al supporto materiale fosse la soluzione più comprensibile per il consumatore medio, anche alla luce del trattamento riservato dalla dir. 771/2019 ai beni con elementi digitali, tale opzione avrebbe comportato l’attribuzione di un’importanza preponderante (non in linea con il dato reale) al bene materiale rispetto al contenuto digitale, tanto da attrarlo sotto la disciplina della vendita; oltre a legittimare una diversità di trattamento per situazioni simili in violazione del principio della neutralità della mezzo tecnologico usato per la distribuzione[35] (ad esempio, l’acquisto di un film risulterebbe sottoposto ad un regime giuridico diverso a seconda che lo stesso sia fornito mediante DVD ovvero trasmesso in streaming)[36].
Sebbene le due direttive, nel rapporto di complementarietà che gli è proprio, tentano di delineare con precisione i rispettivi ambiti oggettivi di applicazione, l’intrinseca sfuggevolezza dell’innovazione tecnologica che impone definizioni di ampio respiro idonee ad accogliere prodotti sempre più innovativi lascia margine a dubbi interpretativi[37].
Ad esempio, il chip impiantato sottocute che permette di aprire il portone è da qualificarsi come bene con elemento digitale la cui conformità deve essere valutata alla luce della dir. 771/2019? Oppure il contenuto digitale è escluso dalla valenza di tali regole rappresentando il chip un mero supporto materiale del contenuto digitale?
Poniamo un altro esempio: una chiave USB con caricate le presentazioni e i materiali inerenti ad un convegno viene consegnata ai partecipanti in quanto inclusa nella quota di iscrizione: in questa ipotesi, pare ragionevole considerare tale bene come esclusivo vettore del contenuto digitale; gli organizzatori avrebbero potuto distribuire i medesimi files anche attraverso altri canali, ad esempio per mezzo della condivisione di una cartella cloud. Se, tuttavia, in tale chiave USB vengono incluse solo talune presentazioni, che occupano una memoria ben inferiore a quella disponibile sul dispositivo, e la stessa viene fornita ai partecipanti principalmente come ‘gadget’, avendo impresso per visibilità il logo del progetto di ricerca a cui ècollegato l’evento, non sarebbe del tutto inconferente fare ricadere la chiave USB nella definizione di ‘bene con elemento digitale’ di cui alla dir. 771/2019, non potendo più riconoscere al bene, stante le peculiari circostanze del caso, la connotazione di mero vettore del contenuto digitale.
Il legislatore, evidentemente conscio di tali zone di chiaro-scuro, al fine di evitare incertezze, ha invero introdotto una presunzione: laddove sussistono dubbi circa la circostanza che la fornitura del contenuto o del servizio digitale facciano parte del contratto di vendita, trovano applicazione le norme sulla vendita[38]. In via più generale, l’espressione della volontà negoziale sembra destinata ad acquisire un ruolo sempre più determinante al fine di stabilire, caso per caso, il regime giuridico applicabile all’acquisto/fornitura di un bene intelligente.
Tale sfuggevolezza nella delimitazione del campo oggettivo dei due interventi legislativi lascia, tuttavia, una certa insoddisfazione nell’interprete, soprattutto in considerazione del fatto che, seppur gemelle, le direttive differiscono per alcuni aspetti nelle scelte normative operate. Tra i margini distintivi emerge anche la diversa considerazione riservata dalle due direttive ai ‘dati’ dei consumatori, generati o forniti attraverso l’utilizzo di beni con elementi digitali ovvero durante la fornitura del contenuto o servizio digitale. Su tale punto si ritornerà nel § 4 del presente saggio.
3. Il valore dei dati non personali nella Strategia europea dei Dati
I beni intelligenti, che si affiancano e sempre più sostituiscono i beni di consumo tradizionali, ridefiniscono non solo la tipologia dei prodotti in commercio, postulando nuove norme per la loro vendita e fornitura, bensì riscrivono anche il ruolo stesso delle parti coinvolte: da un lato i consumatori, che da acquirenti di beni fisici si trasformano, progressivamente, in data providers, generando, attraverso l’uso dei beni, dati personali e non; dall’altro lato i produttori dei devices, che si trovano, nella maggior parte dei casi, a poter esercitare un controllo diretto sui dati generati dall’utilizzo dei beni intelligenti prodotti[39].
L’espansione dell’economia digitale comporta, dunque, la necessità di ripensare l’intreccio tra la disciplina relativa alla protezione dei dati personali, da cui da sempre si dipana la tutela dei soggetti interessati, e quella che regola la circolazione dei dati, soprattutto di natura non personale, di più recente emersione e che sta rappresentando il motore trainante di varie iniziative europee dell’ultimo periodo.
Nel nostro presente, infatti, “l’accesso ai dati è divenuto un asset prezioso e strategico”[40]. Diversi sono i soggetti che possono trarre utilità dai dati generati dagli oggetti interconnessi; in primo luogo, è nell’interesse degli utilizzatori stessi avere accesso ai dati, per poter esercitare un controllo sugli stessi e, se necessario, per poterli condividere con terze parti. L’esigenza di assicurare il corretto funzionamento dei beni intelligenti nel tempo si intreccia, infatti, indissolubilmente con l’espansione dei servizi post-vendita, tra cui riparazioni, fornitura di aggiornamenti e servizi aggiuntivi, generando nuove necessità. Al meccanico consultato per un guasto al motore di una tradizionale un’autovettura basterà aprire il cofano del veicolo per poter verificare ove il difetto si annida; per contro, nel caso di un’autovettura intelligente la riparazione non potrà avere luogo se non accedendo alla componente digitale del bene e ai dati dalla stessa generati. La possibilità di condividere dati con servizi di riparazione distinti dal fabbricante potrebbe determinare la possibilità per l’utente di avvalersi di servizi post-vendita e di riparazione degli oggetti connessi a prezzi più contenuti.
La condivisione dei dati non personali può rivestire anche un ruolo importante con riferimento all’operatività delle imprese e al miglioramento dei processi produttivi: è l’Unione Europea stessa a fornirci delle fattispecie esemplificative, che spaziano dalla possibilità per un agricoltore di accedere ai dati raccolti dalle sue varie attrezzature di diversi fabbricanti (es. sistemi di irrigazione automatica e trattori) così da esternalizzare l’analisi di tali dati e ricevere consulenze personalizzate, sino al diritto del barista di accedere ai dati generati dalla macchina del caffè che possiede, per trarne informazioni rilevanti (ad esempio quantità e temperatura dell’acqua, intensità del caffè) al fine di migliorare il proprio prodotto[41].
Non va, inoltre, sottaciuta l’importanza che l’accesso a determinati dati riveste per lo Stato e le sue articolazioni pubbliche, al fine di apprestare soluzioni innovative e avanguardiste a problemi collettivi. La Pandemia da Covid-19 ne ha dato ampia prova: grazie alla condivisione di dati, anche sanitari, è stato possibile implementare strategie di contenimento più efficaci per circoscrivere l’allarmante diffusione del virus.
Più in generale, in un’economia digitale (o data-driven), i dati rappresentano il mezzo per garantire lo sviluppo di servizi nuovi ed innovativi, che traggono dai dati la linfa stessa per la loro espansione. Come sottolineato dalla Commissione Europea: “il volume crescente di dati industriali non personali e di dati pubblici in Europa, unito ai cambiamenti tecnologici riguardanti le modalità di conservazione ed elaborazione dei dati, costituirà una potenziale fonte di crescita e innovazione”, comportante benefici enormi per i cittadini (tra cui il “miglioramento della medicina personalizzata”, “nuove soluzioni di mobilità”, un “contributo al Green Deal europeo)[42].
Alla luce di tali premesse, l’importanza strategica di regolamentare la gestione dei dati, già da qualche anno, sta guidando diverse iniziative europee. In primo luogo, la protezione dei dati personali è stata rafforzata grazie all’adozione del GDPR, che ha cercato di allineare la tutela alle nuove sfide generate dalla digitalizzazione. Tale urgenza regolatoria con riguardo ai dati personali è risultata dettata dai valori fondamentali in gioco e dalla necessità di contemperarli con la volontà di garantire una quanto più libera circolazione dei dati all’interno del mercato unico. Successivamente, anche alla luce dell’adozione nel 2015 della ‘Digital Single Market Strategy’[43], l’attenzione si è spostata sulla necessità di regolamentare anche il flusso dei dati non personali. Il richiamo è, in particolare, alla dir. 2019/1024/UE[44], anche detta “direttiva sui dati aperti”, che ha rifuso la dir. 2003/98/CE[45] con l’obiettivo di stabilire un quadro giuridico per il riutilizzo delle informazioni del settore pubblico (dati pubblici e finanziati con fondi pubblici) ai fini commerciali e non. Ma anche al regolamento 2018/1807/UE[46], il quale mira a garantire che i dati elettronici non personali possano essere trattati liberamente nel contesto europeo, vietando, fatta eccezione per motivi di pubblica sicurezza, i c.d. ‘obblighi di localizzazione’[47], ovvero quelle misure legali o amministrative volte a limitare il trattamento dei dati a un territorio specifico dell’UE. I fornitori di servizi cloud sono, pertanto, incoraggiati ad assicurare agli utenti professionali la portabilità dei dati, anche non personali, in modo da superare eventuali situazioni di lock-in[48]. Tale obiettivo risulta perseguito attraverso un approccio basato sull’autoregolamentazione, che pone al centro del sistema l’adozione di codici di condotta (i.e. ‘Switching Cloud Providers and Porting Data (SWIPO)’). Nel mosaico europeo della regolamentazione dei dati non personali sono, inoltre, rinvenibili interventi settoriali in cui sono legislativamente imposti obblighi di messa a disposizione dei dati in specifiche ipotesi (il riferimento è, ad esempio, ai servizi di pagamento[49], al settore dell’energia elettrica[50], ai sistemi di trasporto intelligenti[51] e così via).
Nonostante tale fermento legislativo[52], il quadro giuridico europeo si è rivelato insufficiente per assicurare all’Europa una posizione di preminenza nell’Economia globale dei dati; alla luce della crescente diffusione di nuove tecnologie, in primis dell’IoT, e all’incremento esponenziale dei dati, la Commissione, nell’ambito della Strategia Europea in materia di Dati o ‘European Strategy of Data’ (2020), ha continuato a perseguire l’ambizioso obiettivo di creare un mercato unico dei dati, adottando misure volte a facilitare e stimolare la condivisione dei dati per promuovere la crescita e creare valore[53]. Partendo da criticità simili a quelle che avevano condotto all’adozione del reg. 2018/1807, l’Unione Europea ha abbandonando l’approccio autoregolamentare adottato nel 2018, che si era rivelato a tratti insoddisfacente, apprestando nuove regole e adattando il diritto contrattuale al fine di migliorare le condizioni per il riutilizzo dei dati.
In particolare, due sono gli interventi legislativi elaborati all’interno di tale strategia al fine di aumentare il controllo degli utenti sui propri dati e garantire un flusso degli stessi all’interno dell’Unione: 1) il Data Governance Act, emanato 1l 25 novembre 2020 e recentemente entrato in vigore, che ha introdotto un sistema di governance idoneo a favorire la condivisione dei dati, creando fiducia tra gli individui e le imprese per quanto attiene all’accesso, controllo e condivisione di dati[54]; e 2) il Data Act, attualmente ancora in fase di proposta, che, per garantire un equo accesso ai dati e un loro riutilizzo, propone misure che incidono direttamente, attraverso l’affermazione di obblighi ed il riconoscimento di diritti, sul comportamento delle parti a diverso titolo coinvolte.
Nello specifico, il Data Act si struttura come un intervento orizzontale, volto a garantire equità nell’ambiente digitale, a migliorare l’accesso ai dati generati da dispositivi connessi, ad abbattere i costi dei servizi post-vendita e riparazione dei beni connessi, rendendo il contesto più competitivo, nonché a creare nuove opportunità e servizi innovativi basati sui dati. Per il raggiungimento di tali obiettivi, il Data Act include (a) misure per aumentare la certezza giuridica in capo a consumatori e imprese che contribuiscono a generale dati sulla possibilità e le condizioni di accesso a tali dati, prevedendo al contempo incentivi per i produttori affinché questi ultimi continuino ad investire nella produzione di dati di alta qualità; b) disposizioni per prevenire gli abusi dettati dalla presenza di asimmetrie di potere nei rapporti contrattuali, soprattutto con riferimento alle clausole vessatorie, prevedendo clausole contrattuali standard da utilizzare nella negoziazione e conclusione di contratti di condivisione dei dati più equi; (c) norme volte a facilitare l’uso dei dati provenienti dal settore privato da parte degli enti pubblici, per far fronte a specifiche necessità di interesse collettivo; (d) nuove regole in tema di portabilità dei dati così da garantire una più agevole possibilità di trasferimento da un ‘data processing service providers’ all’altro, arginando i problemi di lock-in nel mercato cloud; ciò permetterà la definizione di un quadro giuridico idoneo ad assicurare un’efficiente interoperabilità dei dati.
4. Il diritto all’accesso e alla portabilità dei dati non personali generati dagli oggetti connessi nei rapporti B2C (e oltre)
La dir. 77o/2019, oltre a preoccuparsi del possibile intreccio tra le norme della fornitura di contenuti e servizi digitali con la disciplina della protezione dei dati personali esplicitamente prevedendo la non derogabilità di quest’ultima[55], contempla il diritto del consumatore di accedere non solo ai dati personali (art. 16, c. 2, con espresso richiamo al GDPR), bensì anche ai dati non personali raccolti o generati durante la fornitura del contenuto o servizio digitale (art. 16, c. 4).
Tale facoltà è, tuttavia, estremamente circoscritta, seppur gli Stati Membri, mediante le proprie normative nazionali, potrebbero prevedere talune estensioni a tale diritto di accesso[56].
In primo luogo, il diritto di accedere ai dati non personali, forniti o creati dal consumatore durante l’utilizzo del contenuto digitale o del servizio digitale fornito dall’operatore economico, risulta riconosciuto al consumatore nell’esclusiva ipotesi in cui intervenga la risoluzione del contratto, come conseguenza rimediale (1) alla mancata fornitura del contenuto o servizio digitale, (2) all’esistenza di un grave difetto di conformità di quest’ultimo o (3) all’intervenuta modifica del contenuto o servizio digitale nelle ipotesi delineate nell’art. 19, c. 2, dir. 770/2019.
L’obiettivo è quello di garantire al consumatore un’efficace protezione in caso di risoluzione del contratto, arginando il verificarsi di situazioni di lock-in: in caso contrario, il consumatore, non potendo accedere ad un contenuto diverso rispetto ai proprio dati personali, si troverebbe scoraggiato nell’avvalersi dei rimedi per difetto di conformità, e potrebbe, addirittura, decidere di rinunciare ad esercitare il proprio diritto alla risoluzione[57]. In tal caso, oltre alla libertà di scelta del consumatore, anche la concorrenza tra operatori economici risulterebbe frustrata a causa della ridotta possibilità di passare da un professionista ed un altro[58].
Si tratta, a ben vedere, di un’ipotesi estremamente residuale, la cui marginalità è ulteriormente aggravata alla luce della gerarchia dei rimedi imposta dalla direttiva, che qualifica la risoluzione del contratto come una tutela di secondo livello, esperibile laddove non sia percorribile il diritto al ripristino della conformità del contenuto digitale o del servizio digitale[59], e subordinata alla non lieve entità del difetto di conformità[60]. Inoltre, l’accesso ai dati nella prima delle tre ipotesi richiamate (i.e. risoluzione del contratto per mancata fornitura del contenuto o servizio digitale) appare solo ipotetica, laddove la mancata possibilità di accedere al contenuto o servizio digitale precluderebbe di fatto al consumatore la possibilità di creare o generare dati[61]. Anche la terza ipotesi ha una portata circoscritta, nel senso che il diritto di recedere al contratto in caso di intervenuta modifica del contenuto o servizio digitale necessita il verificarsi di tre condizioni concomitanti: la modifica deve essere tale da incidere negativamente sull’utilizzo del contenuto digitale o del servizio digitale o sull’accesso allo stesso da parte del consumatore; le conseguenze negative non devono essere trascurabili e, infine, il consumatore deve recede dal contratto entro il termine di 30 giorni dalla data di ricevimento dell’informazione o, se successivo, dal momento in cui il contenuto digitale o il servizio digitale è stato modificato dall’operatore economico.
Stante la richiamata portata applicativa del diritto di accesso ai dati non personali riconosciuto dalla dir. 770/2019, se la risoluzione del contratto dipendesse da altre circostanze – come dalla presenza di una forza maggiore, dalla volontà discrezionale del consumatore, dalla nullità del contratto, e così via -, il consumatore non potrebbe richiedere all’operatore economico la messa a disposizione dei propri dati non personali, creati o forniti durante la vigenza del contratto, ai sensi dell’art. 16, c. 4.
Parimenti il consumatore non potrebbe pretendere di accedere a tali dati nel caso in cui decidesse di utilizzarli in due servizi paralleli[62]; non sussisterebbe, ad esempio, nessun obbligo in capo a Spotify di fornire al consumatore la propria playlist musicale generata attraverso l’utilizzo del servizio, richiesta da quest’ultimo all’operatore economico al fine di poterla utilizzare anche in SoundCloud, con il quale ha concluso successivamente un ulteriore contratto per la fornitura di musica in streaming.
In secondo luogo, l’art. 16 dir. 770/2019 identifica tre situazioni peculiari in cui l’operatore economico non è tenuto a fornire i dati al consumatore, ovvero nel caso in cui il contenuto digitale (a) sia privo di utilità al di fuori del contesto del contenuto digitale o del servizio digitale fornito dall’operatore (si pensi alle credenziali generate per consentire l’accesso ad un servizio); (b) si riferisca solamente all’attività del consumatore nell’utilizzo del contenuto digitale o del servizio digitale fornito dall’operatore (come nel caso di informazioni quantitative riguardanti il numero di volte che una determinata canzone è stata ascoltata, quanti post sono stati generati dall’utente di una piattaforma social nell’arco di una settimana, a che punto del film la visione è stata interrotta e dovrà riprendere in caso di accesso successivo al servizio di video-streaming)[63]; (c) sia stato aggregato dall’operatore economico ad altri dati e non possa essere disaggregato o comunque non senza uno sforzo sproporzionato[64] (per esempio i dati aggregati dall’operatore che fornisce un servizio di video- streaming al fine di individuare i trend di interesse con riferimento ad una particolare area geografica[65]). Tali eccezioni appaiono giustificate alla luce del bilanciamento tra lo scarso interesse del consumatore alla portabilità di tali dati, stante la loro limitata utilità, e il costo che verrebbe imposto all’operatore economico per garantirne la disponibilità[66].
Infine, come già anticipato, il diritto di accesso di cui all’art. 16, c. 4, è limitato ai cc.dd. ‘dati non personali’ forniti o creati dal consumatore che utilizza il contenuto o servizio digitale. La nozione di dato non personale si ricava in negativo dalla definizione di dati personali offerta dal GDPR: sono ‘non personali’ quei dati che non riguardano una persona fisica identificata o identificabile.
Sebbene la logica di includere solo i dati non personali nell’ambito di applicazione dell’art. 16, c. 4, dir. 771/2019 si spiega alla luce del rapporto di complementarità rispetto al GDPR[67], che per contro disciplina il diritto di portabilità dei dati personali, tale distinzione può, tuttavia, generare difficoltà all’atto della sua applicazione pratica[68]. In primo luogo, il riferimento è ai c.d. ‘dati misti’, ovvero i dataset composti contemporaneamente da dati personali e dati non personali, particolarmente diffusi nel mondo degli oggetti connessi: laddove le due categorie di dati risultino indissolubilmente legate, il diritto all’accesso ai dati non personali dovrebbe retrocedere dinnanzi all’applicazione, all’intero dataset, delle norme del GDPR, stante il prevalere della tutela dei diritti fondamentali sulla garanzia della circolazione[69].
In secondo luogo, a fronte di tecniche di anonimizzazione dei dati sempre più sofisticate, che consentono di godere di un elevato numero di dati non personali, è altrettanto frequente la possibilità di risalire da dati apparentemente non personali all’identificazione delle persone, attraverso la de-anonimizzazione. In particolare, l’attuale iperconnettività, le tecniche di big data analytics e le molteplici soluzioni algoritmiche di intelligenza artificiale consentono la combinazione e l’intreccio di una grande mole di dati grezzi, non strutturati ed anonimizzati, che può dar vita a seconde e terze generazioni dati dai quali possono essere tratte informazioni e previsioni connesse a persone fisiche identificabili[70].
Quindi, soddisfatti tutti i requisiti previsti dalla dir. 770/2019, il consumatore potrà richiedere all’operatore economico la messa a disposizione dei dati non personali, che sono stati forniti (es. upload di una fotografia) o creati (es. post generato all’interno di una piattaforma social)[71] dal consumatore stesso durante l’utilizzo del contenuto o servizio digitale fornito dall’operatore. In assenza di previsioni ad hoc tale richiesta non sembra soggetta a requisiti particolari di forma[72]. Il destinatario di tale richiesta rimane sempre l’‘operatore economico’, indipendentemente dal fatto che egli fornisca direttamente il contenuto/servizio digitale ovvero rivesta il ruolo di intermediario tra il consumatore e una terza parte (e.g. sviluppatore), che materialmente eroga tale contenuto o servizio[73]. Tale scelta legislativa non desta particolare stupore, risultando perfettamente in linea con l’approccio semplificatorio adottato dalla dir. 770/2019 (e analogamente dalla direttiva gemella 771/2019) che, pur nella consapevolezza della frequente presenza di rapporti multilaterali nelle transazioni ‘digitali’ (v. supra, § 1), regola l’esclusivo rapporto contrattuale tra consumatore e operatore economico (venditore), rendendo quest’ultimo il diretto referente del consumatore[74] (si pensi, a titolo esemplificativo, alla responsabilità riconosciuta in capo all’operatore economico/venditore a seguito di un difetto di conformità anche se conseguente ad un’azione o un’omissione imputabile ad una persona nell’ambito dei passaggi precedenti della catena di transazioni commerciali – salvo il riconosciuto diritto di regresso in capo al venditore/operatore economico nei confronti di tale soggetto[75]). Tuttavia, permangono alcuni dubbi sul piano applicativo della norma: laddove l’operatore economico sia un mero intermediario, non sarà semplice per quest’ultimo, in molti casi, obbligare il data holder, soprattutto se piccola e media impresa, a mettere a disposizioni i dati non personali del consumatore una volta risolto il contratto di fornitura, con conseguente possibile frustrazione degli interessi del consumatore.
Il venditore è, pertanto, il soggetto obbligato a fornire tali dati (a) gratuitamente; (b) senza impedimenti; (c) entro un lasso di tempo ragionevole[76] e (d) in un formato di uso comune e leggibile da dispositivo automatico.
Il requisito di cui alla lettera (d) è indice del fatto che, come già anticipato, l’art. 16, c. 4, dir. 771/2019 conferisce al consumatore qualcosa di più di un mero diritto di accesso ai propri dati, sconfinando nella previsione di una portabilità di tali dati[77], così da integrare in maniera complementare quanto previsto dall’art. 20 del GDPR, seppure con alcune differenze[78]. Una volta ricevuti i dati in un formato di uso comune (es. JPEG per immagini, world o pdf per i documenti, etc; per contro, il formato accessibile solo utilizzando il contenuto digitale o attraverso il servizio digitale offerto dall’operatore economico che mette a disposizione i dati non costituirebbe formato di uso comune[79]) e machine-readable (ossia accessibile attraverso un macchina[80]) sarà possibile per altri operatori economici offrire le necessarie interfacce che aiutino il consumatore a trasferire i dati[81]. In assenza di previsioni specifiche, la dottrina ha già avuto modo di dedurre che il consumatore è nella posizione di decidere dove debbano essere trasposti i dati messi a disposizione dall’operatore economico (es. in un device o sul cloud)[82].
La dir. 770/2019 non riconosce a livello contrattuale, nessun diritto di accesso e portabilità dei dati non personali al di fuori dei rapporti B2C. Il meccanismo di condivisione dei dati non personali previsto all’art. 16, c. 4, infatti, a differenza di quanto statuito nel regolamento sulla protezione dei dati personali (art. 20, c. 2, GDPR) non consente all’operatore economico una condivisione diretta dei dati con soggetti diversi dal consumatore. Sarà quest’ultimo che, messo nella disponibilità dei dati, potrà deciderne l’utilizzo, sino a prevederne eventualmente la condivisione con altri operatori economici. La previsione di cui all’art. 16, c. 4, dir. 770/2019 rappresenta, pertanto, un “less efficient ‘empowerment’ compulsory B2B data sharing mechanism” rispetto alla previsione di cui all’art. 20, c. 2, GDPR[83].
Un’ulteriore limitazione, questa volta confinata al profilo oggettivo, attiene all’impossibilità per il consumatore di accedere ai dati generati attraverso l’uso di beni con elementi digitali, laddove l’elemento digitale connesso o incorporato nel bene ed essenziale per garantirne la funzionalità, sia stato fornito attraverso il medesimo contratto di vendita. Come già dedotto (v. retro, §2), nonostante tali beni rientrino a pieno titolo nel campo di applicazione oggettivo della disciplina della vendita, non risulta rinvenibile nella dir. 771/2019 alcun riferimento ai dati generati da tali dispositivi intelligenti, né, a maggior ragione, un’analoga previsione dell’art. 16, c.4, dir. 770/2019[84]. Tale scelta risulta difficilmente spiegabile, se si considera che proprio attraverso l’utilizzo dei beni con elementi digitali il consumatore fornisce o genera un elevato numero di dati il cui potenziale di riutilizzo dovrebbe essere sfruttato al pari di quello degli altri dati non personali. Tuttavia, la prospettata adozione di un Data Act potrebbe contribuire a colmare tale vuoto legislativo.
4.1. L’accesso ai dati dei beni connessi: la proposta del Data Act
Tra gli obiettivi della proposta del Data Act emerge con forza preponderante il riconoscimento in capo all’utente di un prodotto o di un servizio correlato di poter accedere ai dati generati dall’uso di tale bene/servizio, così da esercitare un controllo, di fatto e di diritto, su tali dati[85] (capo II Data Act). La necessità di catturare la complessità dell’IoT dentro cornici definitorie, conduce ad una nozione di ‘prodotto’ che include qualsiasi “bene materiale e mobile, anche quando incorporato in un bene immobile, che ottiene, genera o raccoglie dati relativi al suo utilizzo o al suo ambiente e che è in grado di comunicare dati tramite un servizio di comunicazione elettronica accessibile al pubblico e la cui funzione primaria non è la conservazione e il trattamento dei dati”[86]. Da qui l’esclusione di quei beni che sono progettati con lo scopo primario di registrare o trasmettere contenuti o per visualizzarli e riprodurli. Tra le ipotesi esemplificative il Data Act menziona i pc, server, tablet, smartphone, telecamere, webcam, sistemi di registrazione sonora e scanner di testo. Il discrimine per l’esclusione di tali prodotti risiede nel fatto che essi implicano un alto contributo dell’uomo per la produzione dei contenuti digitali (mappe digitali, testi, file audio o video e così via), a differenza di quanto accade per i dati generati da altri oggetti intelligenti, che risultano prodotti in maniera automatica attraverso il loro uso[87]. Tuttavia, si rileva come tale scelta pregiudichi l’accesso ai dati per gli utenti con riferimento ad un’ampia gamma di prodotti che hanno un’enorme diffusione nel mercato del consumo, creando un vulnus significativo nella tutela predisposta dal Data Act[88].
Ai prodotti si affiancano, inoltre, i ‘servizi correlati’, anch’essi contemplati espressamente nella proposta, ove per "servizio correlato" si intende “un servizio digitale, anche software, incorporato in un prodotto o interconnesso con esso in modo tale che la sua assenza impedirebbe al prodotto di svolgere una delle sue funzioni”[89].
La portata oggettiva del Data Act è particolarmente estesa non solo in riferimento alla tipologia di beni/servizi, bensì anche in ragione della natura del rapporto obbligatorio che può condurre l’utente nella disponibilità del bene intelligente. A differenza di quanto previsto nella dir. 771/2019, ove l’ambito di applicazione è limitato alla ‘vendita’, e cioè ai contratti onerosi traslativi del diritto di proprietà, il Data Act contempla diverse fattispecie, tra cui acquisto, affitto e noleggio[90]. Tale estensione è sicuramente da ritenersi maggiormente in linea con l’attuale contesto economico, laddove l’affermazione di un modello di sharing economy[91], sta modificando le abitudini di consumo portando sempre più utenti a prediligere il godimento di un bene a fronte del definitivo acquisto della proprietà dello stesso[92].
L’utente, ovvero la persona fisica o giuridica che possiede, affitta o noleggia un prodotto o riceve il servizio, ha, dunque, diritto ad accedere ai relativi dati, direttamente a partire dal prodotto ovvero, ove ciò non sia possibile, richiedendoli al ‘titolare dei dati’. Quest’ultimo non è solo colui che risulta obbligato a mettere a disposizione i dati alla luce del diritto dell’Unione o delle legislazioni statali derivate, bensì anche colui che, in caso di dati non personali e “attraverso la progettazione tecnica del prodotto e dei servizi correlati”, possiede la capacità di garantirne l’accesso. Il richiamo sembra essere, dunque, indirettamente al produttore degli oggetti smart.
L’obbligo di rendere accessibili i dati passa, pertanto, in prima battuta, dal dovere del produttore di progettare e fabbricare i prodotti in modo tale che i dati generati dall’uso degli stessi siano, “per impostazione predefinita, accessibili all’utente in modo facile, sicuro e, ove pertinente e opportuno, diretto” (art. 3 Data Act)[93]. Tale accessibilità by design ai dati sembra connettersi a tratti con i criteri di conformità di cui alla dir. 771/2019, che impongono al venditore di fornire un bene idoneo agli scopi per i quali si impiegano di norma beni dello stesso tipo, tenuto conto anche diritto dell’Unione e nazionale (conformità oggettiva-art. 7) e, dall’altro consente alle parti di prevedere contrattualmente il possesso da parte del bene dei requisiti di funzionalità, compatibilità ed interoperabilità (conformità soggettivi – art. 6).
Sebbene il venditore rimanga il soggetto responsabile nei confronti del consumatore in caso di un difetto di conformità del prodotto (art. 10 771/2019), anche quando egli agisca come mero intermediario in quanto l’elemento digitale è fornito direttamente al consumatore dal produttore (art. 10, comma 2), e il produttore il soggetto vincolato all’obbligo di immettere sul mercato prodotti progettati e fabbricati in modo che i dati generati dagli stessi risultino accessibili per l’utente, il possibile punto di contatto tra le due normative imporrebbe un coordinamento tra le stesse, attraverso l’esplicito riconoscimento del fatto che l’applicabilità della dir. 771/2019 non risulta pregiudicata dall’adozione del Data Act[94].
Il Data Act esenta, tuttavia, dall’obbligo di garantire all’utente l’accesso ai dati le medie e piccole imprese (PMI): tale previsione si giustifica alla luce della necessità di evitare di addossare costi eccessivi alle realtà minori, che, altrimenti si troverebbero a dover investire gran parte del proprio capitale per creare prodotti idonei by default alla condivisione dei dati. Ciò non toglie che imprese con velleità di espansione saranno comunque incentivate a realizzare prodotti i cui dati siano direttamente accessibili, in quanto, nel medio periodo, alla loro crescita conseguirà l’imposizione di tale obbligo.
La proposta non solo agevola l’accesso ai dati dell’IoT direttamente da parte dei consumatori (e imprese) che utilizzano i prodotti interconnessi, creando un maggior controllo sugli stessi da parte dell’utente, bensì favorisce la portabilità dei dati dell’utente verso terzi, al fine di stimolare lo sviluppo di un’offerta competitiva di servizi post-vendita, oltre a consentire ad un maggior numero di operatori del mercato di partecipare al processo di innovazione[95] (capo II Data Act[96]). Il titolare di dati, infatti, su richiesta dell’utilizzatore del bene (o di una parte che agisce per suo conto) è obbligato a trasferire i dati derivati dall’uso del prodotto e del servizio correlato a terzi, senza indebito ritardo e a titolo gratuito per l'utente, con la stessa qualità di cui dispone il titolare dei dati e, ove applicabile, in modo continuo e in tempo reale[97]. Sussiste, tuttavia, una limitazione soggettiva: i terzi non devono rivestire la qualifica di “gatekeeper”, così come delineata dal Digital Market Act[98]. Tale restrizione risulta dettata dall’obiettivo di riequilibrare i rapporti di potere sul mercato, precludendo a tali soggetti di accedere direttamente ad una vasta mole di dati che gli garantirebbe la possibilità di rafforzare la propria posizione di dominanza sul mercato. La misura proposta è particolare, differenziandosi dalle modalità di intervento europee tradizionalmente adottate dall’UE al fine di porre un limite alla crescita del potere di mercato delle imprese (tra cui: controllo delle concentrazioni, divieto di abuso di posizione dominante e, in casi specifici, regolazione ex ante delle condotte dell’impresa); in questo caso, infatti, si tratta di una norma che incide direttamente sulla libertà economica di azione dei gatekeepers in senso limitativo, imponendo una restrizione alla possibilità di crescita interna di tali soggetti. La limitazione dell’azione dei gatekeepers si traduce, peraltro, in una speculare compromissione dell’interesse dell’utente, che potrebbe voler prediligere servizi post-vendita offerti da gatekeepers in ragione dei loro costi maggiormente contenuti o della migliore qualità del servizio offerta, ma non potrebbe ricorrervi stante l’impossibilità, a monte, del trasferimento dei dati verso tali soggetti.
A fronte della definizione di dati come “qualsiasi rappresentazione digitale di atti, fatti o informazioni e qualsiasi raccolta di tali atti, fatti o informazioni, anche sotto forma di registrazione sonora, visiva o audiovisiva”[99], la proposta, nella sua formulazione attuale, consente l’accesso e il trasferimento esclusivamente dei dati che sono generati dall’uso del prodotto/servizio connesso. Al centro dell’analisi si pone, pertanto, il comportamento dell’utilizzatore che consente di generare dati. Tale dato normativo, letto anche alla luce dei relativi considerando, sembrerebbe includere esclusivamente “dati che rappresentano la digitalizzazione delle azioni e degli eventi degli utenti”, senza possibilità di estensione alle informazioni derivate o desunte[100]. Tale interpretazione restrittiva, seppur giustificata dall’ancoraggio del riconoscimento del controllo sul dato proprio in quanto l’utente contribuisce alla sua generazione[101] e sulla necessità di arginare possibili interferenze con la tutela della proprietà intellettuale[102], desta, tuttavia, qualche perplessità, essendo potenzialmente idonea a tradire gli obiettivi alla base della previsione normativa stessa: il terzo riparatore/manutentore potrebbe non essere in grado di svolgere il servizio, come richiesto dall’utente, senza fare affidamento anche a dati derivati o desunti.
Il Data Act prevede, altresì, un quadro normativo orizzontale per la particolare ipotesi del passaggio tra servizi di trattamento dei dati diversi (Capo VI). Con riferimento agli oggetti connessi e ai servizi digitali correlati, il dipanarsi del rapporto obbligatorio nel tempo può tradursi nella volontà dell’utente di non rimanere vincolato allo stesso fornitore di servizi di trattamento dei dati, bensì di passare ad un servizio simile offerto da un’altra impresa. Da qui l’esigenza di abbattere i costi di transizione e arginare gli effetti del lock-in, attraverso il riconoscimento della portabilità dei dati generati dal dispositivo, cosicché l’utente possa disporne e trasferirli anche a diversi fornitori di servizi di trattamento dei dati nel mercato cloud ed edge. In particolare, l’art. 24 del Data Act impone degli obblighi contrattuali minimi per i fornitori di trattamento dati: in generale, gli obblighi di questi ultimi e diritti dei clienti (C o B) in riferimento al passaggio tra fornitori, devono essere definiti chiaramente in un contratto scritto. Tale accordo contrattuale deve necessariamente includere le clausole che autorizzano il cliente, su sua stessa richiesta, a passare ad un altro fornitore o a trasferire i dati le applicazioni e le risorse digitali generate dal cliente in un sistema locale; in un periodo transitorio di massimo 30 giorni, il fornitore del servizio di trattamento dei dati deve assistere e, se tecnicamente fattibile, completare il passaggio e garantire la piena continuità della fornitura. Rientra tra le previsioni contrattuali obbligatorie anche l’indicazione specifica delle categorie di dati e delle applicazioni esportabili, che includono quantomeno i dati importati dal cliente all’inizio del rapporto di servizio e i dati e metadati creati dal cliente e dall’uso del bene; nonché la previsione di un arco temporale di minimo 30 giorni per il recupero dei dati a decorrere dalla fine del periodo transitorio. Se assicurare il periodo transitorio obbligatorio è tecnicamente impossibile, il fornitore, entro sette giorni lavorativi dalla richiesta di passaggio, deve darne notizia al cliente, indicando il periodo transitorio alternativo (che non può eccedere i 6 mesi), durante il quale deve garantire comunque la continuità del servizio a tariffe ridotte.
4.2. Profili di parziale sovrapposizione tra l’art. 16, c. 4, dir. 770/2019 e il Data Act
Tra i diritti affermati nel Data Act e l’art. 16, c. 4, della dir. 770/2019 sussistono evidenti punti di convergenza. Non tanto il nuovo riconoscimento generalizzato di un diritto degli ‘utenti’ di prodotti connessi di accedere e autorizzare i trasferimenti dei dati generati dall’IoT, mettendoli a disposizione di terzi, per esempio affinché questi ultimi possano provvedere ad erogare servizi post-vendita o alla riparazione degli oggetti connessi (capo II Data Act), quanto piuttosto la previsione della portabilità dei dati per favorire lo switch tra fornitori di servizi di trattamento dei dati cloud diversi (capo VI) sembra necessitare di maggior coordinamento con la dir. 770/2019. Allo stato, infatti, il Data Act si limita a menzionare la possibile collisione tra la prospettata disciplina e la dir. 770/2019, allorché impone regole per favorire lo switching fra fornitori (art. 24): la possibile intersezione tra le normative è liquidata sulla scorta della salvezza dei diritti connessi alla risoluzione del contratto, inclusi quelli riconosciuti dalla dir. 770/2019 (oltre che dal GDPR)[103].
La previsione di cui all’art. 24 Data Act, pur prevedendo un diritto in capo (anche) al consumatore di cambiare fornitore del servizio di trattamento dei dati e condividendo l’obiettivo di arginare il problema del ‘vendor lock-in’, non risulta, tuttavia, completamente sovrapponibile alla previsione di cui all’art. 16, c. 4, dir. 770/2019: quest’ultima, infatti, implica al fine della legittima richiesta della portabilità dei dati una mancata o difettosa erogazione del servizio e si giustifica in ragione della più limitata necessità di garantire l’effettività del rimedio della risoluzione del contratto. In un’opera certosina di bilanciamento tra gli interessi dei soggetti coinvolti l’operatività della previsione normativa è ulteriormente ristretta mediante l’esclusione espressa di determinati dati (si tratta dei casi in cui il contenuto digitale: (a) è privo di utilità; (b) è riferito solamente all’attività del consumatore nell’utilizzo del contenuto digitale o del servizio digitale fornito dall’operatore; (c) risulta aggregato dall’operatore economico ad altri dati e è possibile disaggregato o comunque non senza uno sforzo sproporzionato). A ciò si aggiunge il fatto che il referente diretto del consumatore nella direttiva sulla fornitura di contenuti e servizi digitali è sempre l’operatore economico, anche allorché egli rivesta un ruolo di intermediario, con conseguente possibile maggior difficoltà nella messa a disposizione dei dati, mentre, per contro, nel Data Act il soggetto obbligato è direttamente il fornitore del servizio di trattamento dei dati. Inoltre, se il destinatario dell’accesso ai dati nella dir. 770/2019 rimane sempre e solo il consumatore, nel Data Act vi è un passaggio più diretto dei dati anche nei confronti delle terze parti. Infine, la dir. 770/2019 si limita a prevedere un diritto alla “messa a disposizione” dei dati, mentre il Data Act ambisce a stabilire un alto grado di interoperabilità e impone meccanismi più tecnologici di governance.
In uno scenario in cui entrambe le discipline risultano astrattamente applicabili (es. risoluzione del contratto per difetto di conformità, richiesta da parte del consumatore di passaggio ad un nuovo fornitore del servizio di trattamento dei dati, necessità di condivisione con quest’ultimo dei dati generati da un bene intelligente), la possibilità di ricorrere alle regole di cui al Data Act[104] anziché a quelle maggiormente limitative dettate dalla dir. 770/2019, potrebbe ritenersi preferibile, anche alla luce dell’enunciato obiettivo della disciplina consumeristica di approntare una maggior tutela al consumatore.
- Rilievi conclusivi
Se si esce dal perimetro della protezione dei dati personali, la crescente importanza che i dati hanno assunto all’interno dell’attuale scenario economico e sociale non risulta allo stato attuale adeguatamente controbilanciata dal riconoscimento di un quadro giuridico volto a facilitare l’accesso, il controllo e il riutilizzo dei dati non personali. Tuttavia, la crescita esponenziale e la pervasività dell’IoT e dell’IoB, e la conseguente ingente mole di dati generati, hanno rappresentato il volano per l’Unione Europea per iniziare ad elaborare una strategia per regolamentare il mercato dei dati.
Le direttive gemelle, 770/2019 e 771/2019, pur catturando, in una certa misura, il mondo degli oggetti connessi, mantengono come focus specifico la responsabilità del venditore/operatore economico per difetti di conformità e relativi rimedi a disposizione del consumatore e trascurano, per contro quasi completamente l’aspetto dei dati generati dai beni con elementi digitali. L’unica previsione in tema si rinviene nella direttiva sulla fornitura di contenuti digitali e servizi digitali, ove l’accesso ai dati non personali garantito al consumatore all’art. 16, c. 4, si legge alla luce della specifica necessità di garantire l’efficacia del rimedio risolutorio. Per contro, vi è un completo silenzio della dir. 771/2019 su tale aspetto, nonostante l’estensione dell’ambito di applicazione della direttiva sulla vendita ai beni con elementi digitali.
L’adozione del Data Act[105] contribuirebbe, pertanto, a colmare tale vuoto normativo. La proposta si lascia apprezzare sia per la portata orizzontale, idonea a ricondurre ad armonia i necessitati interventi settoriali, sia per l’approccio normativo adottato, che si auspica possa superare le debolezze dello strumento regolatorio prescelto nel reg. 2018/1807/UE, ovvero l’autoregolamentazione (con la previsione dell’adozione di codici di condotta), che, per contro, ha dato prova di aver superato le criticità esistenti nel mercato interno digitale per condurre all’affermazione del tanto ambito spazio europeo dei dati.
Tuttavia, il ricorso agli strumenti di diritto privato, specialmente di matrice contrattuale, impone un’opera di coordinamento con il caleidoscopio di discipline alluvionali che negli ultimi anni hanno caratterizzato la produzione legislativa europea, in quello sforzo costante di catturare e normare la nuova realtà digitale[106]. La sovrapposizione, ma non completa osmosi, tra l’art. 16, c. 4, della dir. 770/2019 e il regime di portabilità dei dati per favorire lo switch tra fornitori di servizi di trattamento dei dati di cui al Data Act, di cui si è tentato di dar conto nelle pagine che precedono, sono emblematici di tale necessità.
Abstract:In the attempt to adapt the European legislative framework to the digital revolution and the data-driven economy, the European Institutions have addressed the development of the Internet of Things in the global market. In this context, the present paper intends taking into consideration two recent EU initiatives: i) the first one dealing with the regulation of the sale and supply of digital content and services in B2C relations: the reference is, in particular, to the adoption in 2019 of the twin directives 770 and 771 (§2); ii) the second one, connected to the ambitious objective of creating a European data space, conceived in the framework of the 'European Data Strategy’, consists on the the Data Act proposal aimed at regulating the flow of data generated by the Internet of Things (§3). After briefly outlining this new regulatory framework, the paper focuses on the intersection profiles of the two legal disciplines, with particular reference to the issues of access to non-personal data and their flow and portability (§4)
Keywords: Internet of Things, Sale of Good, Supply of Digital Content and Digital Service, Datat Act, Data access, data sharing
* Università degli Studi di Brescia (laura.bugatti@unibs.it)
** Il contributo è stato sottoposto a double blind peer review.
[1] K. Ashton, That ‘Internet of Things’ Thing, in RFID Journal (2009) disponibile al seguente link:https://www.rfidjournal.com/articles/view?4986.
[2] A. M. Matwyshyn, The Internet of Bodies, in Wm & Mary L Rev, 61, 1 (2019), p. 77 ss.; C. Amato, Internet Of Bodies: Digital Content Directive, And Beyond, in Jipitec, 12, 2 (2021), p. 196 ss.
[3] Per una approfondita ricostruzione relativa allo sviluppo dell’IoB si rinvia su tutti a C. Amato, Internet Of Bodies: Digital Content Directive, And Beyond, cit.
[4] M. Lee, B. Boudreaux, R. Chaturvedi, S. Romanosky, e B. Downing, The Internet of Bodies: Opportunities, Risks, and Governance, Santa Monica 2020.
[5] M. Ebers, Liability For Artificial Intelligence And EU Consumer Law, in JIPITEC, 3 (2021), p. 204; G. Comandè, Multilayered (Accountable) Liability for Artificial Intelligence, in S. Lohsse, R. Schulze e D. Staudenmayer, Liability for Artificial Intelligence and the Internet of Things, Nomos/Hart 2019, p. 165 ss.
[6] I. F. Chacón, Some Considerations on the Material Scope of the New Digital Content Directive: Too Much to Work Out for a Common European Framework, in Eur. Rev. Priv. Law, 3 (2021), p. 517 e spec. p. 528 ss.
[7] S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, in GRUR International, 71, 6 (2022), p. 495; L. Oprysk e K. Sein, Limitations in End-User Licensing Agreements: Is There a Lack of Conformity Under the New Digital Content Directive?, in IIC (2020), p. 594, e spec. pp. 597 e 599.
[8] Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), inOJ L 119, 4.5.2016, pp. 1–88.
[9] Da ultimo v. GDPR.
[10] Comunicazione della Commissione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni, Una strategia europea per i dati, COM(2020) 66 final.
[11] Le due Direttive fanno parte di un più ampio pacchetto di provvedimenti, teso a modernizzare le principali regole in materia di protezione dei consumatori, anche alla luce della strategia del Digital Single Market di cui alla comunicazione COM(2015)192FIN.
[12] Cons. 2 dir. 770/2019 e cons. 4 dir. 771/2019.
[13] Cons. 2 dir. 770/2019 e cons. 2 dir. 771/2019.
[14] Cons. 4 dir. 771/2019; cons. 1 dir. 770/2019.
[15] Si v. spec. cons. 3, 4 e 5 dir. 770/2019; cons. 6-10 dir. 771/2019.
[16] Art. 1 dir. 770/2019 e art. 1 dir. 771/2019.
[17] United Nations Convention on Contracts for the International Sale of Goods (Vienna, 1980) (CISG).
[18] C. Amato, Responsabilità da inadempimento dell’obbligazione, in E. Navarretta (a cura di), Codice della responsabilità civile, Milano 2021, p. 93.
[19] C. Amato, Responsabilità da inadempimento dell’obbligazione, cit.; Id., Dal diritto europeo dei contratti 1.0 agli smart contracts, in R. Cerchia (a cura di), Percorsi di diritto comparato, Milano 2021, p. 33 ss.
[20] Per favorire l’uniformità e la chiarezza normativa, ciò ha imposto, da un lato, la necessaria rivisitazione di previsioni esistenti (come nel caso dell’estensione dei requisiti di conformità alla funzionalità, compatibilità, interoperabilità, sicurezza e durabilità dei beni -Artt. 7 e 8 dir. 770/2019 e artt. 6 e 7 dir. 771/2019); dall’altro, l’adozione di regole inedite (basti pensare all’obbligazione debitoria che si dilata sino a comprendere la fornitura degli aggiornamenti- artt. 7 e 8 dir. 770/2019-, alla disciplina delle modifiche dei contenuti o servizi digitali- si v. in proposito cons. 74- 77 e art. 19 dir. 770/2019-, ovvero alla previsione della possibile estensione del difetto di conformità all’errata integrazione dei contenuti o servizi digitali- Art. 9 dir. 770/2019).
[21] Cons. 5 dir. 771/2019.
[22] L’approccio di entrambe le direttive è quello dell’armonizzazione c.d. massima: agli Stati Membri è dunque fatto divieto di mantenere o adottare disposizioni nazionali divergenti, siano esse più o meno severe, che comportino un livello di tutela per il consumatore difforme da quello previsto dalla Direttiva: art. 4 dir. 771/2019 e art. 4 dir. 770/2019.
[23] C. AMATO, Dal diritto europeo dei contratti 1.0 agli smart contracts, cit., a p. 50.
[24] Art. 2, 1), dir. 770/2019.
[25] Art. 2, 2), dir. 770/2019.
[26] Cnf. Cons. 19 dir. 770/2019 e art. 2.
[27] K. Sein e G. Spindler, The new Directive on Contracts for the Supply of Digital Content and Digital Services – Scope of Application and Trader’s obligation to Supply – Part 1, in ERCL, 15, 3 (2019), p. 257, a p. 271; P. Kalamees, Goods with Digital Elements And The Seller’s Updating Obligation, in JIPITEC, 2 (2021), pp. 132 e 133; J. M. Carvalho, Introducción a las nuevas Directivas sobre contratos de compraventa de bienes y contenidos o servicios digitales, in E. Arroyo Amayuelas e S. Cámara Lapuente (eds), El Derecho privado en el nuevo paradigma digital, Colegio Notarial de Cataluña Marcial Pons 2020., a p. 36; J. Senechal, Digital Content Directive (2019/770), Article 2, in R. Schulze e D. Staudenmayer (eds), EU Digital Law, CH Beck 2020, p. 48; K. Sein, “Goods with digital elements” and the Interplay with Directive 2019/771 on the Sale of Goods, in SSRN Electronic Journal, 2020: SSRN: https://ssrn.com/abstract=3600137 o http://dx.doi.org/10.2139/ssrn.3600137; A. De Franceschi, La vendita di beni con elementi digitali, Edizioni scientifiche italiane 2019; G. De Cristofaro, Verso la riforma della disciplina delle vendite mobiliari B-to-C: l’attuazione della direttiva ue 2019/771, in Riv. Dir. Civ., LXVII, 2 (2021), p. 205.
[28] Art. 2, c. 5, lett. B) e art. 3, c. 3, dir. 771/2019.
[29] Art. 3, c. 3, dir. 771/2019 e rec. 15.
[30] Cons. 15 dir. 771/2019.
[31] Questo è il caso, ad esempio, di “Ambient Umbrella”, creata dalla compagnia “Ambiente Devices”; per maggiori informazioni si v. https://www.reuters.com/article/technologyNews/idUSN3041189020070730?feedType=RSS
[32] Cons. 14 dir. 771/2019.
[33] K. Sein e G. Spindler, The new Directive on Contracts for the Supply of Digital Content and Digital Services – Scope of Application and Trader’s obligation to Supply – Part 1, cit., a p. 272; J. M. Carvalho, Introducción a las nuevas Directivas sobre contratos de compraventa de bienes y contenidos o servicios digitales, in E. Arroyo Amayuelas e S. Cámara Lapuente (a cura di), El Derecho privado en el nuevo paradigma digital, cit.
[34] Cons. 13 e art. 3, c. 4, ,lett. a) dir. 771/2019 e cons. 20 e art. 3, c. 3, dir. 770/2019.
[35]Cons. 19 dir. 770/2019: “ (…) Dal momento che esistono numerosi modi per fornire il contenuto digitale o i servizi digitali, come la trasmissione su un supporto materiale, lo scaricamento effettuato dal consumatore sui propri dispositivi, la trasmissione in streaming, l’autorizzazione all’accesso a capacità di archiviazione di contenuto digitale o l’accesso all’uso dei social media, la presente direttiva dovrebbe applicarsi indipendentemente dal supporto utilizzato per la trasmissione del contenuto digitale o del servizio digitale o per darvi accesso (…)”.
[36] R. Schulze e D. Staudenmayer (eds), EU Digital Law: Article by Article Commentary, Nomos/C.H. Beck/Hart Publishing 2020, pp. 74 e 75.
[37] Sul punto si v. anche C. Amato, Internet Of Bodies: Digital Content Directive, And Beyond, cit., p. 196 ss.
[38] Art. 3, c. 3 e cons. 15 dir. 771/2019; art. 3, c. 4 e cons. 21 dir. 770/2019.
[39] J. Drexl, Connected devices – An unfair competition law approach to data access rights of users, cit., spec. p. 477.
[40] In questi termini T. Fia, La tutela dei dati non personali: accesso, proprietà e regolamentazione, in Nuovo Notiziario giuridico, 1 (2019), p. 60, a p. 63.
[41] Commissione Europea, Data Act - factsheet, 23 febbraio 2022.
[42] Comunicazione della Commissione al Parlamento Europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle Regioni, Una strategia europea per i dati, COM/2020/66 final. In dottrina v. L. Taylor, H. Mukiri-Smith, L. Savolainen, A. Martin, (Re)making data markets: an exploration of the regulatory challenges, in Law Innovation and Technology, (2022), in corso di pubblicazione; T. Petročnik, (Re)making data markets: an exploration of the regulatory challenges, ivi, (2022), in corso di pubblicazione.
[43] Comunicazione Della Commissione Al Parlamento Europeo, Al Consiglio, Al Comitato Economico E Sociale Europeo E Al Comitato Delle Regioni, Strategia per il mercato unico digitale in Europa, 6.05.2015, SWD(2015) 100 final.
[44] Direttiva (UE) 2019/1024 del Parlamento europeo e del Consiglio, del 20 giugno 2019, relativa all'apertura dei dati e al riutilizzo dell'informazione del settore pubblico, in Gazzetta ufficiale L 172, 26.6.2019, pp. 56–83. Cfr. R. Caso, Open Data, ricerca scientifica e privatizzazione della conoscenza, Trento LawTech Research paper 2022, con particolare riferimento alle interazioni tra politiche di apertura dei dati nel settore pubblico e politiche sulla scienza aperta.
[45] Direttiva 2003/98/CE del Parlamento europeo e del Consiglio, del 17 novembre 2003, relativa al riutilizzo dell'informazione del settore pubblico, in Gazzetta ufficiale n. L 345, 31.12.2003, pp. 90-96.
[46] Regolamento 2018/1807/UE del Parlamento europeo e del Consiglio, del 14 novembre 2018, relativo a un quadro applicabile alla libera circolazione dei dati non personali nell’Unione europea, in Gazzetta ufficiale n. L 303, 28.11.2018, p. 59. Per un commento si rinvia a A. Cavo, Il regolamento europeo sulla circolazione dei dati non personali tra benefici e criticità, in Diritto e internet, 2 (2020); S. Torregiani, La circolazione dei dati secondo l’ordinamento giuridico europeo. Il rischio dell’ipertrofia normativa, in Rivista italiana informatica e diritto, 1 (2021), p. 47 ss.; B. a Espinosa Apráez, Reconsidering the Public-Private Data Dichotomy in the European Union’s Data Sharing Policies, in EJLT, 12, 1 (2021).
[47] S. Torregiani, La circolazione dei dati secondo l’ordinamento giuridico europeo. Il rischio dell’ipertrofia normativa, cit.
[48] Intendendo con tale espressione l’impossibilità o la difficoltà per un cliente di cambiare fornitore, stante il controllo che il primo fornitore esercita sui dati in suo possesso. In particolare: le pratiche di "vendor lock-in” “(..) si verificano quando gli utenti non possono cambiare il fornitore di servizi, perché i loro dati sono "bloccati" nel sistema del fornitore, ad esempio a causa di uno specifico formato dei dati o di accordi contrattuali, e non possono essere trasferiti al di fuori del suo sistema informatico. La portabilità dei dati senza impedimenti è uno degli elementi fondamentali che consente agli utenti di scegliere liberamente tra i fornitori di servizi di trattamento di dati e garantisce quindi la concorrenza effettiva nei mercati”: così Comunicazione della Commissione al Parlamento Europeo e al Consiglio, Linee guida sul regolamento relativo a un quadro applicabile alla libera circolazione dei dati non personali nell'Unione europea, 6.6.2019 COM(2019) 250 final/2, a p. 18.
[49] Direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio del 25 novembre 2015 relativa ai servizi di pagamento nel mercato interno, che modifica le direttive 2002/65/CE, 2009/110/CE e 2013/36/UE e il regolamento (UE) n. 1093/2010, e abroga la direttiva 2007/64/CE, in GU L 337, 23.12.2015, pp. 35–112 (c.d. Direttiva PSD2)
[50] Regolamento (UE) 2019/943 del Parlamento europeo e del Consiglio, del 5 giugno 2019, sul mercato interno dell'energia elettrica, in GU L 158 del 14.6.2019, pp. 54–124; Direttiva (UE) 2019/944 del Parlamento europeo e del Consiglio, del 5 giugno 2019, relativa a norme comuni per il mercato interno dell'energia elettrica e che modifica la direttiva 2012/27/UE in GU L 158 del 14.6.2019, pp. 125–199.
[51] Direttiva 2010/40/UE del Parlamento europeo e del Consiglio, del 7 luglio 2010, sul quadro generale per la diffusione dei sistemi di trasporto intelligenti nel settore del trasporto stradale e nelle interfacce con altri modi di trasporto, in GU L 207 del 6.8.2010, pp. 1–13.
[52] Si v., altresì il Digital Market Act, con il quale la Commissione ha inteso delineare un quadro giuridico armonizzato per le grandi piattaforme identificate come ‘gatekeepers’, che contempla, altresì, norme relative all’utilizzo dei dati: Proposta di Regolamento del Parlamento Europeo e del Consiglio relativo a mercati equi e contendibili nel settore digitale (legge sui mercati digitali), 15.12.2020, COM (2020) 842 final.
Per un commento sulle criticità individuate dall’Unione Europea sulla base delle quali è stata elaborata la Strategia Europea per i dati, si v. E. Bruzzone e K. Debackere, As Open As Possible, As Closed As Needed: Challenges Of The EU Strategy For Data, in les Nouvelles, (2021), p. 41 e spec. a p. 43; A. Moretti, Il valore dei dati nell’European data Strategy: sviluppo della persona, dinamiche di mercato e benessere sociale, in E. Cremona, V. Pagnanelli, F. Laviola (a cura di), Il valore economico dei dati personali tra diritto pubblico e diritto privato, Torino 2022, p. 93 e spec. p. 95 ss. Cfr. Commission Staff Working Document Executive Summary of the Impact Assessment Report Accompanying the document Proposal for a Regulation of the European Parliament and of the Council on harmonised rules on fair access to and use of data (Data Act) {COM(2022) 68 final} - {SEC(2022) 81 final} - {SWD(2022) 34 final}, 23.2.2022, SWD(2022) 35 final: “The overall problem is the insufficient availability of data for use within the European economy. This is mainly due to the lack of clarity on data rights, imbalances in negotiating power, limited access to fair and trustworthy cloud services, and a lack of cross-sector data interoperability in the EU. The problem affects a range of economic sectors and leads to the underutilisation of data at EU level, with negative consequences for consumer choice, innovation and public service delivery”.
[53] Comunicazione della Commissione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni, Una strategia europea per i dati, COM (2020) 66 final. Cfr. European Data Protection Supervisor, Opinion 3/2020, Opinion on the Strategy of Data, 16 giugno 2020, p. 4. In dottrina si rinvia a L. Lionello, La creazione del mercato europeo dei dati: sfide e prospettive, in Diritto del commercio internazionale, 3 (2021), p. 675 ss. Per una ricostruzione delle precedenti iniziative europee connesse all’affermazione di un’economia basata sui dati si rinvia a M. L. Montagnani, La libera circolazione dei dati al bivio: tra tutela dei dati personali e promozione dell’intelligenza artificiale europea, in Mercato Concorrenza Regole, (2019), p. 293.
[54] Regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio del 30 maggio 2022 relativo alla governance europea dei dati e che modifica il regolamento (UE) 2018/1724 (Regolamento sulla governance dei dati), inGU L 152 del 3.6.2022, pp. 1–44. Per un commento si v. F. Coloprisco, Data Governance Act. Condivisione e “altruismo” dei dati, in AISDUE, 3 (2021), p. 58 ss.
[55] Cons. 37 – 40, 48, 69, art. 3, c. 8 e art. 16, c. 2, dir. 770/2019.
[56] Cfr. Art. 3(10) dir. 770/2019: “La presente direttiva non pregiudica la facoltà degli Stati membri di disciplinare gli aspetti del diritto generale dei contratti, quali le norme sulla formazione, la validità, la nullità o l’efficacia dei contratti, comprese le conseguenze della risoluzione di un contratto, nella misura in cui gli aspetti in questione non sono disciplinati dalla presente direttiva, o il diritto al risarcimento”.
[57] Cons. 70 dir. 770/2019. In dottrina v. S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit.; T. Tombal, Imposing Data Sharing Among Private Actors, University of Namur 2021, spec. par. 152; A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, in JIPITEC 90 (2018), par. 50; R. Janal, Data Portability – A Tale of Two Concepts, in JIPITEC (2017), p. 59, par. 5; A. Metzger,A. Metzger, Access to and Porting of Data under Contract Law: Consumer Protection Rules and Market-Based Principles, in J. Drexl (ed.), Data access, Consumer Protection and Public Welfare, Nomos 2020, p. 293.
[58] A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, cit., par. 50.
[59] Art. 14 dir. 770/2019.
[60] Art. 14, c. 6, dir. 770/2019. Fuori da queste ipotesi residuali, il riferimento è alla Direttiva sui diritti dei consumatori, che introduce un regime armonizzato del diritto alla portabilità dei dati: Direttiva 2011/83/UE del Parlamento europeo e del Consiglio, del 25 ottobre 2011 , sui diritti dei consumatori, recante modifica della direttiva 93/13/CEE del Consiglio e della direttiva 1999/44/CE del Parlamento europeo e del Consiglio e che abroga la direttiva 85/577/CEE del Consiglio e la direttiva 97/7/CE del Parlamento europeo e del Consiglio, in GU L 304 del 22.11.2011, pp. 64–88, come modificata dalla Direttiva (Ue) 2019/2161 del Parlamento Europeo e del Consiglio del 27 novembre 2019 che modifica la direttiva 93/13/CEE del Consiglio e le direttive 98/6/CE, 2005/29/CE e 2011/83/UE del Parlamento europeo e del Consiglio per una migliore applicazione e una modernizzazione delle norme dell’Unione relative alla protezione dei consumatori, in Gazz. Uff., L 328/7, 18.12.2019, art. 4(10). Sul punto, si rimanda, su tutti, a S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit.
[61] S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 499.
[62] A. Metzger, Access to and Porting of Data under Contract Law, cit., p. 293.
[63] C. Twigg-Flesner, Digital Content Directive (2019/770), sub art. 16, in R. Schulze e D. Staudenmayer (eds), EU Digital Law: Article by Article Commentary, cit., spec. p. 289; T. Tombal, Imposing Data Sharing Among Private Actors, cit., spec. par. 153.
[64] Al fine di impedire che detta eccezione si tramuti in un escamotage a cui l’operatore economico può ricorrere per sottrarsi in maniera sistematica all’obbligo di fornire dati non personali al consumatore, tale previsione dovrebbe essere bilanciata con l’obbligo per l’operatore di fornire servizi e contenuti digitali configurati, tenuto conto dello stato dell’arte raggiunto nello sviluppo tecnologico, in un modo tale da garantire la possibilità di estrarre separatamente i dati di ciascun consumatore. Sul punto, negli stessi termini, si v. A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, cit., al par. 54.: “With regard to the proportionality requirement, the provisions should explicitly oblige the supplier to configure its service in a way that allows UGC to be extracted separately for each consumer. Service providers should apply state-of-the-art technology to protect the consumers' interest in its UGC. If suppliers do not set up their services in such a way as to facilitate the retrieval of consumers' UGC to the maximum effect possible according to state-of-the-art technology, they should not be heard with the argument of disproportionality”.
[65] T. Tombal, Imposing Data Sharing Among Private Actors, cit., spec. par. 153.
[66] Rec. 71 dir. 771/2019. I. Graef, T. Tombal e A. Streel, Limits and Enablers of Data Sharing. An Analytical Framework for EU Competition, Data Protection and Consumer Law, in SSRN Electronic Journal, 2019; T. Tombal, Imposing Data Sharing Among Private Actors, cit., spec. par. 153.
[67] Le norme riguardanti il diritto di accesso e portabilità dei dati personali di cui al GDPR e quelle disciplinanti il diritto di accesso e portabilità dei dati non personali incluse nella dir. 770/2019 rappresentano un “mutually exclusive and collectively exhaustive set of rights”: così S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 500); C. Twigg-Flesner, Digital Content Directive (2019/770), sub art. 16, in R. Schulze e D. Staudenmayer (eds), EU Digital Law: Article by Article Commentary, cit., spec. p. 290.
[68] V. Inge Graef, R. Gellert e M. Husovec, Towards a Holistic Regulatory Approach for the European Data Economy: Why the Illusive Notion of Non-Personal Data Is Counterproductive to Data Innovation, in European Law Review, 44 (2019), p. 605 ; I. Graef, Paving the Way Forward for Data Governance: A Story of Checks and Balances, in Technology and Regulation, in Tech. and Reg., 2 (2020) p. 24; J. Drexl, Legal Challenges of the Changing Role of Personal and Non-Personal Data in the Data Economy, in A. De Franceschi e R. Schulze (eds), Digital Revolution - New Challenges for Law: Data Protection, Artificial Intelligence, Smart Products, Blockchain Technology and Virtual Currencies, Beck CH 2020, p. 19.
[69] Il problema dei ‘dati misti’ risulta regolamentato in modo analogo anche nel reg. 2018/1807; per un approfondimento si rimanda alla Communication from the Commission to the European Parliament and the Council, Guidance on the Regulation on a framework for the free flow of non-personal data in the European Union, 29.5.2019, COM (2019) 250 final, p. 7 ss.
[70] In questi termini si rinvia a N. Cherciu e T. Chirvase, Non-personal data processing – why should we take it personally?, in Eur. Journal of Privacy law and Technology, 2 (2022), che sottolineano come tramite il processo ora descritto “(…) anonymized data that is linked with additional anonymized data can become personal data”. Si v., altresì, L. Taylor H. Mukiri-Smith, T. , L. Savolainen e A. Martin, (Re)making data markets: an exploration of the regulatory challenges, in Law Innovation and Technology (in corso di pubblicazione) 2022; I. Graef, R. Gellert e M. Husovec, Towards a Holistic Regulatory Approach for the European Data Economy: Why the Illusive Notion of Non-Personal Data Is Counterproductive to Data Innovation, in SSRN Electronic Journal, 2018, p. 5 ss.; L. Ammannati, La circolazione dei dati: dal consumo alla produzione, in L. Ammannati, A. Canepa, G.L. Greco e U. Minneci (a cura di), Algoritmi, Big Data, piattaforme digitali, Torino 2021, p. 139 e spec. p. 142 ss.; M. L. Montagnani, La libera circolazione dei dati al bivio: tra tutela dei dati personali e promozione dell’intelligenza artificiale europea, cit.;Article 29 Data Protection Working Party, Opinion 03/2013 on purpose limitation (WP 203, 2013) 31; T. Petročnik, (Re)making data markets: an exploration of the regulatory challenges, cit.
[71] Sottolinea l’arlternatività dei due criteri S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 501.
[72] S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 502, che sottolinea altresì come la mancata previsione di un termine entro cui inoltrare tale richiesta dovrebbe tradursi nella possibilità per il consumatore di esercitare il proprio diritto di accesso in un periodo ragionevole, da definirsi caso per caso o sulla scorta di specifiche previsioni nazionali. Si v., inoltre, C. Twigg-Flesner, Digital Content Directive (2019/770), sub art. 16, in R. Schulze e D. Staudenmayer (eds), EU Digital Law: Article by Article Commentary, cit., spec. p. 291
[73] S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit.; A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, cit., par. 46; S. Geiregat e R. Steennot, Proposal for a Directive on Digital Content:Scope of Application and Liability for a Lack of Conformity, inI. Claeys e E. Terryn (Eds.), Digital content & distance sales : new developments at EU level, Cambridge; Antwerp; Portland: Intersentia2017, p. 95 e spec. pp. 110 e 111; J. Senechal, Digital Content Directive (2019/770), Article 2, in R. Schulze e D. Staudenmayer (eds), EU Digital Law, cit., par. 22; Staudenmayer, Digital Content Directive (2019/770), Article 3, cit., par. 12-13; ELI, Statement of the European Law Institute on the European Commission’s Proposed Directive on the Supply of Digital Content to Consumers, cit., pp. 16-17; J. Senechal, The Diversity of the Services provided by Online Platforms and the Specificity of the Counter-performance of these Services – A double Challenge for European and National Contract Law, in EuCML, (2016), p. 39, a pp. 40-41.
[74]Cnf. A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, cit., par. 55, che sostengono che in casi in cui l’operatore economico non sia la parte che raccoglie e tratta i dati prodotti o generati dal consumatore, quest’ultimo dovrebbe vedersi riconosciuto un “additional direct right against this third party to retrieve its content”.
[75] Art. 20 dir. 770/2019 e art. 18 dir. 771/2019.
[76] Cfr. T. Tombal, Imposing Data Sharing Among Private Actors, cit., spec. par. 154 e I. Graef, T. Tombal Thomas e A. Streel, Limits and Enablers of Data Sharing. An Analytical Framework for EU Competition, Data Protection and Consumer Law, cit., secondo i quali in assenza di una specifica indicazione temporale, il carattere di ragionevolezza del tempo impiegato alla messa a disposizione dei dati dovrebbe essere determinato prendendo in considerazione il termine di un mese previsto nel GDPR, così da allineare le previsioni delle due discipline.
[77] S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 498; l’A. enfatizza come: “(…) the portability right in the GDPR is defined as a natural person’s twofold right ‘to receive the personal data concerning him or her, which he or she has provided to a controller, in a structured, commonly used and machine readable format, [as well as] to transmit those data to another controller without hindrance from the controller’. The wording of the data portability provision in the GDPR is similar to that in the Digital Content Directive and the more recently adopted Omnibus Directive”.
[78] A titolo esemplificativo si consideri il fatto che ai sensi dell’art. 20 GDPR l'interessato ha il diritto di ricevere i dati personali non solo in un formato di uso comune e leggibile da dispositivo automatico, bensì anche in un “formato strutturato”; di ottenere l’accesso in qualsiasi momento e non solo in caso di risoluzione del contratto; l’interessato, inoltre, riceve i dati dal ‘controller’ (e non necessariamente alla controparte contrattuale) e può richiedere che i che i dati vengano trasmessi direttamente da “un titolare del trattamento all'altro, se tecnicamente fattibile” (art. 20, c. 2). Sul punto si rinvia a A. Metzger, Access to and Porting of Data under Contract Law: Consumer Protection Rules and Market-Based Principles, cit. che sottolinea come: “(..) one may regret the inconsistencies and unintentional differences between the legal regimes for access and porting of non-personal content under the 16(4) DCDS and personal data under Article 15, 20 GDPR. However, the underlying pattern to leave rules of the GDPR untouched by the DCSD serves the goal of coherence in this regard. Moreover, it is plausible to grant more far-reaching access rights with regard to personal data: Article 16(4) DCSD is primarily concerned with consumer rights (with a pro-competitive side-effect), by contrast Articles 15, 20 GDPR protect fundamental rights (also with a pro-competitive side-effect)”. Si v. inoltre A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, cit., par. 52.
[79] C. Twigg-Flesner, Digital Content Directive (2019/770), sub art. 16, in R. Schulze e D. Staudenmayer (eds), EU Digital Law: Article by Article Commentary, cit., spec. pp. 292 e 293.
[80] “Presumably, it would suffice that the content could be read using a machine which has appropriate software for accessing the particular file format, but not that the consumer has to have this already installed in his digital environment.”: così C. Twigg-Flesner, Digital Content Directive (2019/770), sub art. 16, in R. Schulze e D. Staudenmayer (eds), EU Digital Law: Article by Article Commentary, cit., a p. 293.
[81] Sul punto si rinvia su tutti a A. Metzger, Access to and Porting of Data under Contract Law: Consumer Protection Rules and Market-Based Principles, cit.
[82] S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 502.
[83] T. Tombal, Imposing Data Sharing Among Private Actors, cit., par. 157.
[84] Sul punto si rinvia alle critiche avanzate dalla dottrina: J. Vereecken e J. Werbrouck, Goods with Embedded Software: Consumer Protection 2.0 in Times of Digital Content?, in Indiana Int’l & Comp Law Review, 30 (2019) p. 53, spec. a p. 81 e Id., Goods with Embedded Software: Consumer Protection 2.0 in Times of Digital Content?, in D. Wei, J. P Nehf e C. Lima Marque (eds), Innovation and the Transformation of Consumer Law, Springer 2020, p. 64, a p. 94; A. Metzger, Z. Efroni, L. Mischau e J. Metzger, Data-Related Aspects of the Digital Content Directive, cit.; A. Metzger, Access to and Porting of Data under Contract Law: Consumer Protection Rules and Market-Based Principles, cit., p. 316; S. Geiregat, Copyright Meets Consumer Data Portability Rights: Inevitable Friction between IP and the Remedies in the Digital Content Directive, cit., p. 498; cfr. ELI, Statement of the European Law Institute on the European Commission’s Proposed Directive on the Supply of Digital Content to Consumers, European Law Institute 2016, p. 10 ss.
[85] Cons. 6 Data Act.
[86] Art. 2, n. 2, Data Act.
[87] V., in particolare, cons. 15 Data Act.
[88] Sul punto si rinvia anche a Max Planck Institute for Innovation and Competition, Position Statement of the Max Planck Institute for Innovation and Competition of 25 May 2022 on the Commission’s Proposal of 23 February 2022 for a Regulation on harmonised rules on fair access to and use of data (Data Act), cit , spec. pp. 23 e 24, e ivi la conclusion secondo cui l’esclusione di tali beni “(..) would result in a considerable weakening of the intended protection as regards a most important category of devices that especially consumers use every day. There is no reason why a user of a smart watch can rely on Article 5 to get the watch repaired by a third-party service provider while such right would not be recognised with respect to a camera or a smartphone” e, pertando, suggeriscono l’eliminazione di tale esclusione nella definizione di prodotti.
[89] Art. 2, n. 3, Data Act.
[90] Tanto è vero che l’utente è definito come "una persona fisica o giuridica che possiede, affitta o noleggia un prodotto o riceve un servizio” (art. 2, n. 5, Data Act).
[91] G. Smorto, Regulating (and Self-regulating) the Sharing Economy in Europe: An Overview, in M. Bruglieri (a cura di), Multidisciplinary Design of Sharing Services, Springer 2018, p. 111 ss.; Id., Economia della condivisione e antropologia dello scambio, in Dir. Pubbl. comp. Eur., 1 (2017), p. 119 ss.
[92] E. Van Gool e A. Michel, The New Consumer Sales Directive 2019/771 and Sustainable Consumption: a Critical Analysis, Winner(s) Ius Commune Prize, 2021.
[93]In questi termini si rinvia anche a Max Planck Institute for Innovation and Competition, Position Statement of the Max Planck Institute for Innovation and Competition of 25 May 2022 on the Commission’s Proposal of 23 February 2022 for a Regulation on harmonised rules on fair access to and use of data (Data Act), cit. p. 30 ss.
[94] In questi stessi termini si rinvia a Max Planck Institute for Innovation and Competition, Position Statement of the Max Planck Institute for Innovation and Competition of 25 May 2022 on the Commission’s Proposal of 23 February 2022 for a Regulation on harmonised rules on fair access to and use of data (Data Act), cit., p. 30 ss.
[95] COM (2022) 68 final, spec. pp. 14 e 15.
[96] Cfr. inoltre il titolo III del Data Act che fissa le condizioni alle quali i titolari dei dati devono mettere a disposizione i dati e il relativo compenso.
[97] Art. 5 Data Act.
[98]COM (2020) 842 final, cit.
[99] Art. 2, n. 1, Data Act.
[100] Si v. in special modo il cons. 14 Data Act; solleva tale rilievo critico anche Max Planck Institute for Innovation and Competition, Position Statement of the Max Planck Institute for Innovation and Competition of 25 May 2022 on the Commission’s Proposal of 23 February 2022 for a Regulation on harmonised rules on fair access to and use of data (Data Act), cit., spec. p. 10 ss., che suggeriscono l’adozione di un “functional purpose-bound approach” in sostituzione del “conduct-based approach” prescelto nell’attuale formulazione del Data Act. Da qui la proposta di revisione della definizione di Dati di cui all’art. 2 nei seguenti termini:
“data generated by the use of a product or related service’ means
- data that represent the direct digitalisation of user actions or events,
- in the case of a user of a product or related service requesting the making available of data for the purpose of enabling an added value use or third-party added value service, data that result from the use of a product or related service, not excluding derived or inferred data, to the extent that access and use are required for enabling the specific added value use of the user or the provision of a specific added value service to the user.”
[101] Memorandum esplicativo p. 2; cons. 6 Data Act.
[102] Cons. 17 Data Act.
[103] Cons. 74 e art. 24 Data Act.
[104] Max Planck Institute for Innovation and Competition, Position Statement of the Max Planck Institute for Innovation and Competition of 25 May 2022 on the Commission’s Proposal of 23 February 2022 for a Regulation on harmonised rules on fair access to and use of data (Data Act), cit.
[105] In senso critico circa la possibilità per il Data Act di raggiungere gli obiettivi previsti si v. W. Kerber, Governance of IoT Data: Why the EU Data Act will not fulfill its objectives, 2022, in SSRN Electronic Journal: https://ssrn.com/abstract=4080436 or http://dx.doi.org/10.2139/ssrn.4080436
[106]C. Codagnone, G. Livat. e R. De Las Heras Ballell, Identification and assessment of existing and draft EU legislation in the digital field, European Union 2022.
Bugatti Laura
Download:
7 Bugatti.pdf
