La recente attuazione del Data Governance Act (DGA) in Italia segna un passo cruciale verso la creazione di un mercato europeo dei dati sicuro, trasparente e competitivo.
Il DGA, infatti, quale regolamento quadro introdotto dall’Unione Europea, si propone di incentivare l’uso responsabile e collaborativo dei dati, bilanciando le esigenze di innovazione con i diritti fondamentali di protezione dei dati personali e il rispetto della privacy: in un contesto in cui i dati rappresentano il motore dell’economia digitale, il nuovo impianto normativo punta a costruire infrastrutture e meccanismi che facilitino l’accesso e il riutilizzo di dati pubblici e privati, promuovendo al contempo la fiducia degli utenti attraverso standard di sicurezza elevati.
DGA: sfide normative e tecniche
Tuttavia, l’applicazione del DGA si intreccia inevitabilmente con le preesistenti normative europee, prima fra tutte il GDPR, sollevando interrogativi sull’effettiva armonizzazione tra i diversi strumenti giuridici.
La necessità di distinguere con precisione tra dati (personali e non personali), così come di garantire la conformità a entrambe le normative, rappresenta una delle principali sfide per i soggetti coinvolti, in particolare per le PMI e le start-up che spesso mancano delle risorse tecniche e finanziarie per affrontare un contesto regolatorio complesso.
Accanto a queste difficoltà di natura normativa, emerge anche il problema dell’interoperabilità tecnica: la standardizzazione di formati e strumenti per lo scambio dei dati costituisce un prerequisito essenziale per il successo dell’intero ecosistema, ma richiede investimenti significativi in infrastrutture tecnologiche e un’efficace collaborazione tra attori pubblici e privati.
Opportunità per imprese e ricerca
Nonostante tali criticità, il DGA apre scenari ricchi di opportunità, soprattutto per le imprese emergenti e per il settore della ricerca: infatti, disponibilità di dataset riutilizzabili, abilitata dai nuovi spazi europei per i dati, può senza dubbio stimolare la creazione di soluzioni innovative, accelerando lo sviluppo di tecnologie avanzate come l’intelligenza artificiale e l’Internet of Things.
Parallelamente, le istituzioni di ricerca, grazie a un accesso più agevole a informazioni strategiche, potranno rafforzare la cooperazione scientifica a livello europeo e produrre risultati con impatti significativi sul progresso sociale ed economico.
Pertanto, in un panorama in cui i dati diventano una risorsa chiave per il futuro, il Data Governance Act rappresenta non solo una sfida normativa e tecnologica, ma anche un’opportunità per ripensare il rapporto tra innovazione e regolamentazione e la sua attuazione in Italia. Si tratta di un’occasione decisiva per valutare la capacità del Paese di inserirsi con successo nell’ecosistema europeo dei dati, valorizzando le proprie peculiarità economiche e scientifiche, di pari passo al rafforzamento del ruolo delle istituzioni pubbliche e private nell’economia digitale globale.
DGA: ruolo delle istituzioni e autorità
Entrando nel merito delle fattispecie positivizzate sul piano legislativo, è opportuno specificare che il decreto attuativo italiano del Data Governance Act (DGA) solleva una serie di questioni tecniche e operative legate all’integrazione con il Regolamento Generale sulla Protezione dei Dati (GDPR): la necessaria protezione dei diritti individuale deve avvenire senza ostacolare il processo di innovazione che il DGA intende stimolare, particolarmente nel contesto italiano.
Infatti, tale decreto attuativo si occupa principalmente del riutilizzo dei dati non personali, anche se, nella realtà, spesso i dataset contengono dati misti, ricomprendendo così una macroarea di dati (sia personali che non personali) sussumibili nell’alveo della normativa euro-unitaria di riferimento, con conseguente pretesa conformità al GDPR.
A titolo esemplificativo, se un dato contiene informazioni che, pur non essendo immediatamente riconducibili a un individuo, possano comunque essere utilizzate per identificare un soggetto attraverso l’analisi incrociata con altri dataset, si entra nel campo del dato personale e l’Italia, nel recepire il DGA, dovrà quindi attuare procedure effettive per l’anonimizzazione o pseudonimizzazione prima del relativo riutilizzo, per evitare che siano compromessi i principi di protezione della privacy.
Il decreto, inoltre, sottolinea anche il ruolo delle pubbliche amministrazioni come fornitori di dati riutilizzabili, ad esempio, nel contesto del Piano Nazionale di Ripresa e Resilienza (PNRR).
Le sfide per le pubbliche amministrazioni
Poiché il decreto integra il DGA con obiettivi strategici nazionali, come la digitalizzazione dei servizi pubblici e l’interoperabilità delle piattaforme, l’esigenza inderogabile di rispettare le disposizioni prescritte dal GDPR rappresenta una sfida significativa, soprattutto per le amministrazioni locali che potrebbero non sempre disporre di risorse adeguate per gestire una simile complessità normativa.
Il ruolo di controllo del Garante privacy
Un altro aspetto rilevante è rappresentato dal ruolo dell’Autorità Garante per la Protezione dei Dati Personali (GPDP) che viene rafforzata nel decreto come organo di controllo e supervisione, al fine di garantire che il riuso dei dati avvenga nel rispetto del GDPR: l’Autorità è, infatti, chiamata a collaborare con le istituzioni nazionali ed europee per monitorare l’applicazione pratica del decreto, intervenendo nei casi in cui emergano conflitti tra il trattamento dei dati personali e il riutilizzo previsto dal DGA. Pertanto, in tale contesto, si produrranno soluzioni tecniche e organizzative per assicurare il rispetto di tutti diritti degli interessati con le modalità di raccolta e gestione dei consensi secondo i parametri indicati dall’art. 7 GDPR.
Nel dettaglio delle integrazioni tecniche e normative, è opportuno innanzitutto specificare che, alla luce di quanto stabilito dal GDPR (che attribuisce agli individui una serie di diritti sui propri dati personali – inclusi il diritto di accesso, rettifica, cancellazione e portabilità), emerge una sfida significativa quando si tratta di riutilizzare dati personali per finalità diverse da quelle per cui sono stati raccolti ab initio – come nel caso di ricerca scientifica, innovazione o sviluppo tecnologico.
Diventa perciò indispensabile che le istituzioni pubbliche e private implementino processi che garantiscano la tutela effettiva dei diritti degli utenti in modo omnicomprensivo. Per esempio, quando i dati sono trasferiti a data intermediaries (intermediari dei dati), bisogna assicurarsi che i diritti di accesso e cancellazione possano essere esercitati, anche se i dati sono riutilizzati per scopi diversi da quelli originari.
La figura degli intermediari dei dati
Ed è proprio il decreto attuativo del DGA a istituire la figura degli intermediari dei dati che facilitano il riutilizzo degli stessi tra le parti, garantendo trasparenza e sicurezza nel rispetto di standard elevati al fine di garantire che non siano violati i diritti degli interessati: ad esempio, occorre informare in modo adeguato i cittadini, dando loro la possibilità di esercitare i propri diritti nell’ambito di un processo conoscibile di tracciabilità dei consensi, qualora necessario.
L’integrazione, quindi, dei requisiti di sicurezza del GDPR e del DGA risulta fondamentale per evitare conflitti normativi e garantire la protezione dei dati in un contesto di sharing.
L‘obbligo di accountability
Un altro aspetto essenziale dell’integrazione tra il DGA e il GDPR in Italia è l’obbligo di accountability.
Infatti, nel GDPR l’accountability impone ai titolari del trattamento e ai responsabili di adottare misure tecniche e organizzative concrete per garantire il rispetto dei principi fondamentali, in Italia, questo obbligo si configura come necessità di dimostrare l’avvenuta implementazione di strumenti e procedure adeguati per proteggere i diritti dei cittadini. L’accountability, pertanto, è un obbligo continuo, che richiede verifiche costanti, aggiornamenti procedurali mediante una tracciabilità rigorosa di tutte le operazioni effettuate.
Alla luce di tale panorama regolatorio, l’entrata in vigore del decreto italiano attuativo del DGA amplia tale regime di responsabilità, introducendo nuove figure – appunto gli intermediari dei dati – che devono garantire trasparenza e sicurezza anche rispetto alle transazioni che coinvolgono dati non personali.
Chiaramente, il DGA è una normativa intersettoriale che tocca profili e ambiti già ampiamente regolati da diverse altre normative specifiche, tra le quali, appunto, il Regolamento UE 2016/679 in materia di protezione dei dati personali; il Regolamento UE 2018/1807 sui dati non-personali, la normativa sugli Open Data della Pubblica Amministrazione (come il recente Regolamento di esecuzione 2023/138 e la Direttiva 2019/1024), nonché la normativa per la tutela giuridica delle banche dati (i.e. la Direttiva 96/9/CE).
Perciò, se da una parte, il DGA lascia impregiudicate tali normative così come ogni altra disciplina settoriale dell’Unione che regolamenta l’accesso ai dati e il loro riutilizzo, dall’altro, la coesistenza con altre discipline europee e nazionali, potrebbe dare adito a sovrapposizioni o discrepanze applicative tra normative, generando confusione per gli operatori chiamati ad applicarle, con conseguente incertezza giuridica.
DGA: il dato come risorsa economica e sociale
In ogni caso, se il GDPR ha fissato standard rigorosi per la protezione dei dati personali, salvaguardando il diritto fondamentale alla privacy, il Data Governance Act rappresenta un passo complementare e strategico verso la valorizzazione del dato come risorsa economica e sociale. In questo contesto, l’impatto sulle start-up e sulle istituzioni di ricerca è particolarmente rilevante, poiché si tratta di realtà che si trovano al crocevia tra innovazione tecnologica, sostenibilità economica e produzione di conoscenza. Infatti, il mercato dei dati, fino ad ora dominato da pochi grandi attori, ha spesso escluso le start-up e i centri di ricerca meno strutturati, creando un ecosistema in cui la concentrazione del potere informativo ha limitato la concorrenza e l’innovazione. Il DGA mira a riequilibrare una situazione del genere attraverso strumenti e strutture che non solo incentivano la condivisione dei dati, ma lo fanno in modo controllato e sicuro, dando vita a scenari inediti configurabili nella concreta prassi.
Immaginiamo una giovane impresa nel settore dell’intelligenza artificiale: per addestrare i suoi algoritmi, necessita di grandi volumi di dati di qualità, ma le difficoltà riscontrabili nell’accedere a dataset significativi potrebbero rallentarne lo sviluppo. Il DGA interviene per sbloccare questa situazione, promuovendo piattaforme di scambio dati gestite da intermediari neutrali che garantiscono trasparenza e fiducia, consentendo anche a una nuova start-up di accedere ai dati necessari senza dover affrontare trattative estenuanti o costi proibitivi, con conseguente accelerazione dei processi di innovazione mediante dinamiche maggiormente competitive realizzabili nel mercato globale.
Le opportunità per le istituzioni di ricerca
Anche per le istituzioni di ricerca le opportunità sono enormi. Il DGA, infatti, offre una soluzione concreta a un problema spesso sottovalutato: la frammentazione dei dati. Ospedali, università e centri di ricerca producono ogni giorno una quantità immensa di informazioni, ma la mancanza di standard comuni e la scarsa interoperabilità tra sistemi ne limitano l’utilizzo. Il regolamento introduce invece l’idea di spazi comuni di dati, come quelli dedicati al settore della salute o dell’energia, dove i ricercatori possono accedere a informazioni aggregate, anonimizzate e pronte per essere utilizzate in progetti che spaziano dalla medicina personalizzata alla lotta al cambiamento climatico.
Data altruism e cooperazione
Per incentivare la condivisione, sarà necessario garantire che i dati siano trattati con il massimo rispetto della privacy e della sicurezza, soprattutto, quando si parla di “data altruism”, un concetto innovativo che si basa sulla condivisione volontaria di dati per scopi socialmente rilevanti: cittadini e organizzazioni potranno contribuire al bene comune, donando dati che potrebbero essere utilizzati per scopi collettivi di interesse generale, come la ricerca medica o il miglioramento delle infrastrutture pubbliche.
Accedere ai dati, tuttavia, è solo il primo passo: sarà fondamentale investire in competenze e infrastrutture per sfruttare appieno queste risorse. Per tale ragione, il ruolo delle politiche pubbliche e dei finanziamenti europei sarà cruciale per colmare il divario tecnologico e per assicurare che anche le realtà più piccole possano beneficiare delle nuove opportunità offerte dall’innovazione tecnologica.
Prospettive future
In conclusione, il Data Governance Act non si limita a ridefinire le regole del gioco, ma riscrive le dinamiche stesse del mercato dei dati. Per le start-up può rappresentare la chiave per competere ad armi pari con i colossi della tecnologia; per le istituzioni di ricerca un motore per accelerare le scoperte e il trasferimento tecnologico.
La sfida sarà trovare il giusto equilibrio tra l’apertura dei dati e la tutela dei diritti, costruendo un ecosistema sicuro e sostenibile basato su fiducia, collaborazione e innovazione condivisa.
Resta però sulla sfondo una domanda cruciale: riusciremo, come società, a sfruttare un simile potenziale per creare un’economia dei dati inclusiva e sostenibile, o il rischio è di costruire nuove barriere, lasciando indietro chi non ha accesso alle competenze e alle risorse necessarie?
