Adeguamento Data Governance Act in G.U., per una governance dei dati

Sulla G.U. del 10 ottobre è pubblicato il d.lgs. 7 ottobre 2024, n. 144 che reca “Norme di adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio, del 30 maggio 2022, relativo alla governance europea dei dati e che modifica il regolamento (UE) 2018/1724” (Data Governance Act). Al Data Governance Act e alle sue disposizioni abbiamo dedicato l’articolo “Strategia europea per i dati: Data Governance Act dal 24 settembre”. L’entrata in vigore del provvedimento è fissata al 25 ottobre 2024. Per approfondimenti sul trattamento dei dati personali, consigliamo il corso di formazione AI ACT e GDPR: come garantire la conformità per imprese e organizzazioni

1. La modifica e il recepimento del Data Governance Act

Il decreto legislativo n, 144 adegua la normativa interna al regolamento (UE) n. 2022/868 relativo alla governance europea dei dati, che novella il regolamento (UE) 2018/1724 (regolamento sulla governance dei dati o Data Governance Act – DGA). Il regolamento DGA intende migliorare le condizioni per la condivisione dei dati nel mercato interno, creando un quadro armonizzato per gli scambi di dati e stabilendo requisiti di base per la governance dei dati, prestando attenzione a facilitare la cooperazione tra gli Stati membri. Il regolamento disciplina:

• le condizioni per il riutilizzo di alcune categorie di dati detenuti da enti pubblici;
• il controllo dei soggetti che forniscono servizi di intermediazione dei dati;
• la registrazione dei soggetti che raccolgono e trattano i dati messi a disposizione a fini altruistici.

Le disposizioni sono immediatamente applicabili e non necessitano di recepimento da parte degli ordinamenti interni, a eccezione della designazione da parte degli Stati membri di uno o più organismi competenti per l’applicazione di alcune disposizioni della direttiva e dell’individuazione di sanzioni per la violazione di taluni obblighi recati dal regolamento. Per approfondimenti sul trattamento dei dati personali, consigliamo l’e-book I rischi nel trattamento dei dati

2. Individuazione delle autorità

Oggetto del decreto pubblicato il 10 ottobre risulta appunto il recepimento di tali due aspetti del regolamento e, in applicazione degli articoli 7, 13 e 23 del Regolamento (UE) 2022/868, individua l’autorità nazionale competente per i servizi di intermediazione dei dati e per la registrazione di organizzazioni per l’altruismo dei dati, nonché gli organismi competenti per specifici settori che assistono gli enti pubblici che concedono o rifiutano l’accesso alle categorie di dati individuate dall’articolo 3 del regolamento medesimo. (art. 1, comma 1). Sono salve le disposizioni specifiche in materia di protezione dei dati personali nonché le competenze del Garante per la protezione dei dati personali, dell’Agenzia per la cybersicurezza nazionale e dell’Autorità garante della concorrenza e del mercato previste a legislazione vigente (art. 1, comma 2). Potrebbe interessarti anche la guida Digital Services Act e Digital Markets Act 2024: nuove regole UE

3. Designazione dell’AGID

L’articolo 2 designa l’Agenzia per l’Italia digitale (AGID) sia quale autorità competente allo svolgimento delle attività relative alla procedura di notifica per i servizi di intermediazione dei dati, sia quale autorità competente alla registrazione di organizzazioni per l’altruismo dei dati (comma 1). Viene attribuito all’AGID un potere di monitoraggio e controllo degli adempimenti prescritti dal regolamento e in particolare di quelli relativi ai requisiti applicabili ai servizi di intermediazione dei dati, di cui al Capo II del regolamento (comma 4) e all’altruismo dei dati, di cui al Capo IV del regolamento (comma 5). Per altruismo dei dati si intende la condivisione volontaria di dati sulla base del consenso accordato dagli interessati, senza la richiesta o la ricezione di un compenso che vada oltre la compensazione dei costi sostenuti per la messa a disposizione per obiettivi di interesse generale.

4. Altre competenze AGID

L’articolo 3, comma 1 designa AGID quale organismo competente per assistere gli enti pubblici che concedono o rifiutano l’accesso al riutilizzo delle categorie di dati protetti di cui all’articolo 3, paragrafo 1 del regolamento, e concedere l’accesso per il riutilizzo delle categorie dei dati protetti di cui sopra. L’AGID è anche individuata, dal comma 2 dell’articolo 3, quale sportello unico competente a fornire informazioni sulle condizioni e le tariffe del riutilizzo, in attuazione delle previsioni di cui all’art. 8 del regolamento. Inoltre, l’Agenzia provvede all’implementazione del punto d’accesso unico garantito dal catalogo nazionale dei dati aperti.

5. Sanzioni

L’articolo 4 reca una disciplina sanzionatoria per le nuove ipotesi di violazioni degli obblighi in materia di trasferimento dei dati ai sensi dell’articolo 34 del regolamento. Si sanzionano le violazioni degli obblighi in materia di trasferimento di dati non personali a Paesi terzi a norma dell’articolo 5, paragrafo 14, e dell’articolo 31 del regolamento, notifica per i fornitori di servizi di intermediazione dei dati a norma dell’articolo 11 del regolamento, notifica delle condizioni per la fornitura di servizi di intermediazione dei dati a norma dell’articolo 12 del regolamento, notifica delle condizioni per la registrazione come organizzazione per l’altruismo dei dati riconosciuta a norma degli articoli 18, 20, 21 e 22 del regolamento da parte dei fornitori di servizi di intermediazione dei dati e delle organizzazioni per l’altruismo dei dati. Resta ferma la procedura di irrogazione delle sanzioni di cui all’articolo 18-bis del CAD.

Formazione per giuristi

AI ACT e GDPR: come garantire la conformità per imprese e organizzazioni
Il percorso formativo è rivolto ai giuristi, alle imprese e a tutti i professionisti coinvolti nei processi con l’obiettivo di approfondire i profili pratici per garantire la conformità all’AI ACT e GDPR alle aziende e organizzazioni che sviluppano o utilizzano sistemi di intelligenza artificiale.
La prima sessione mira a fornire una panoramica generale dell’AI e introdurre i partecipanti ai profili normativi ed etici connessi all’AI ACT. 
La seconda sessione si concentra sui profili pratici degli adeguamenti richiesti: gli obblighi di documentazione e trasparenza, il ruolo del DPO e dei responsabili della conformità, la valutazione d’impatto dei sistemi AI (AI Impact Assessment) e la protezione dei dati personali. Durante questa sessione, i partecipanti prenderanno parte a un workshop pratico che prevede la simulazione di una valutazione di conformità.
La terza sessione è dedicata alla sicurezza informatica dei sistemi AI e ai modelli di responsabilità legale in caso di danni da essi causati.
>>>Per info ed iscrizioni<<<

Vuoi ricevere aggiornamenti costanti?

Con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!