Data Governance Act: come riutilizzare i dati protetti del settore pubblico

Il Regolamento (UE) 868/2022 relativo alla governance europea dei dati – Data Governance Act, o DGA – è l’ultimo miglio del lungo cammino della normativa europea verso il riutilizzo dei dati del settore pubblico.

Il valore economico e sociale del riutilizzo dei dati pubblici

L’Unione Europea ritiene che i dati generati o raccolti da enti pubblici o altre entità a carico dei bilanci pubblici debbano apportare benefici alla società. Essendo stati prodotti con denaro pubblico ed avendo l’attitudine a diventare linfa vitale dello sviluppo economico nonché base di molti nuovi prodotti e servizi, questi dati dovrebbero poter essere utilizzati a beneficio della società.

Il loro riutilizzo può determinare guadagni in termini di produttività ed efficienza delle risorse in tutti i settori economici, prodotti e servizi più personalizzati, un miglioramento del processo di elaborazione delle politiche e un potenziamento dei servizi pubblici. L’UE ritiene la disponibilità di dati del settore pubblico altresì essenziale per l’allenamento dei sistemi di intelligenza artificiale, con prodotti e servizi in rapida evoluzione e, di conseguenza, decisioni migliori.

Dati aperti: accessibilità e quadro normativo europeo

I dati detenuti dal settore pubblico (o comunque a sua disposizione) vengono suddivisi dal legislatore europeo in due categorie oggetto di normative distinte: i dati “aperti” – il cui riutilizzo è disciplinato dalla Direttiva (UE) 1024/2019 e da altre fonti che vedremo – e i dati “protetti” – il cui riutilizzo è disciplinato dal DGA.

I dati “aperti” sono informazioni del settore pubblico facilmente e ampiamente accessibili e riutilizzabili, idealmente senza restrizioni. Tra questi figurano informazioni geografiche, statistiche, dati meteorologici, dati provenienti da progetti di ricerca finanziati con fondi pubblici.

Queste informazioni sono presenti all’interno di materiale detenuto da ministeri, agenzie statali, comuni e organizzazioni per lo più finanziate da autorità pubbliche o sotto il controllo di autorità pubbliche. È stata la Direttiva (UE) 1024/2019 a definire il quadro giuridico per i dati aperti, imperniandolo sui principi chiave di trasparenza e concorrenza leale. La risorsa più ampia per accedere ai dati aperti è il portale ufficiale dei dati europei, che include oltre 1,8 milioni di set di dati provenienti da istituzioni e agenzie dell’UE, nonché dagli Stati membri. Chiunque può identificare i set di dati disponibili usando la funzione di ricerca rapida e scaricare i risultati in vari formati.

Il portale include anche una vasta gamma di materiale formativo su come riutilizzare i dati aperti, nonché articoli e report di ricerca, compresi casi d’uso di editori e riutilizzatori di dati aperti da tutto il mondo.

Set di dati di alto valore e ruolo dell’Italia

Inoltre, la Direttiva (UE) 1024/2019 introduce il concetto di set di dati di alto valore. Questo ultimi sono dati che, una volta riutilizzati, generano importanti benefici per la società e l’economia. Per garantire che i dati pubblici con il più alto potenziale socioeconomico siano resi disponibili per il riutilizzo con minime restrizioni legali e tecniche e gratuitamente, l’UE ha varato il Regolamento di esecuzione (UE) 138/2023 che stabilisce un elenco di set di dati specifici di alto valore entro i limiti delle sei categorie definite nella Direttiva (UE) 1024/2019 (geospaziali, osservazione della terra e dell’ambiente, meteorologici, statistici, aziende e proprietà delle imprese, e mobilità) e le modalità per la loro pubblicazione e riutilizzo.

Sul sito della Commissione UE, questa guida descrive i passaggi pratici per ottenere dati aperti e set di dati di alto valore. Nel nostro Paese, AgID ha pubblicato una Guida operativa sulle serie di dati di elevato valore.

È il caso di segnalare che secondo il Report sulla maturità dei dati aperti pubblicato nel febbraio 2025 l’Italia è tra gli Stati UE più avanti in tema di open data, sia per le politiche (visto che il Governo collabora bene con le Regioni per facilitare le iniziative legate ai dati aperti delle Regioni) sia per l’impatto, giacché il Governo si è attrezzato, con un’apposita piattaforma, a monitorare l’influenza dei dati aperti in vari settori.

Dati protetti: definizione, limiti e potenziale

I dati “protetti” sono dati detenuti dalle autorità pubbliche negli Stati membri ma che non possono essere resi disponibili ai sensi della citata Direttiva (UE) 1024/2019 e del Regolamento di esecuzione (UE) 138/2023.

Secondo l’art. 3 del DGA, i dati protetti sono dati detenuti da enti pubblici che sono protetti per motivi di riservatezza commerciale, compresi i segreti commerciali, professionali o d’impresa; di riservatezza statistica; di protezione dei diritti di proprietà intellettuale di terzi; o di protezione dei dati personali.

Tendenzialmente, si tratta di dati (personali o non personali) contenuti in documenti: a) su cui terzi detengono diritti di proprietà intellettuale, oppure b) il cui accesso è escluso o limitato da un regime nazionale di accesso o per motivi di protezione delle informazioni sensibili relative alle infrastrutture critiche, oppure c) la cui fornitura è un’attività che esula dall’ambito dei servizio pubblico degli enti pubblici in questione o che esulano dalla prestazione di servizi di interesse generale da parte di un’impresa pubblica, oppure d) tenuti riservati dalle imprese pubbliche in quanto relativi ad attività direttamente esposte alla concorrenza.

Anche questa seconda tipologia di dati è stata oggetto nell’UE di un importante lavoro di classificazione, sfociato nella pubblicazione del Registro europeo dei dati protetti detenuti dal settore pubblico (ERPD).

Condizioni e limiti per il riutilizzo dei dati protetti

L’Unione Europea è consapevole che è possibile estrarre una vasta conoscenza anche da quei dati che – per motivi di segreto commerciale o perché figurano in opere o in altro materiale su cui terzi detengono diritti di proprietà intellettuale o ancora per motivi di protezione dei dati, di vita privata e di integrità dell’individuo – non possono essere aperti; tuttavia, non vuole comprometterne la natura protetta. Il DGA mira, appunto, a facilitare il riutilizzo di dati protetti, in un quadro di precisi limiti e garanzie. Tutto ciò, in un clima di fiducia, dove le imprese possano sentirsi al sicuro per il loro segreto commerciale e la loro proprietà intellettuale e gli interessati possano sentirsi al sicuro per la protezione dei loro dati personali e della loro vita privata.

L’art. 3.2 del DGA stabilisce che le regole sul riutilizzo dei dati protetti detenuti da enti pubblici non vale per: a) i dati detenuti da imprese pubbliche, b) i dati detenuti dalle emittenti di servizio pubblico e dalle società da esse controllate e da altri organismi o relative società controllate per l’adempimento di un compito di radiodiffusione di servizio pubblico, c) i dati detenuti da enti culturali e di istruzione, d) i dati detenuti da enti pubblici e protetti per motivi di pubblica sicurezza, difesa o sicurezza nazionale; e) dati la cui fornitura è un’attività che esula dall’ambito dei compiti di servizio pubblico degli enti pubblici in questione.

L’obiettivo del DGA è stabilire le condizioni per il riutilizzo dei dati protetti da applicarsi agli enti pubblici che, in ogni Stato membro dell’UE, secondo la normativa nazionale, sono designati come competenti per consentire o negare l’accesso per il riutilizzo. Queste condizioni dovrebbero essere non discriminatorie, trasparenti, proporzionate e oggettivamente giustificate e non dovrebbero limitare la concorrenza, con un’attenzione specifica alla promozione dell’accesso a tali dati da parte delle PMI e delle start-up.

A tutela del principio di imparzialità dell’amministrazione, l’art. 4 del DGA vieta accordi o altre pratiche relativi al riutilizzo che concedono diritti esclusivi o che hanno per oggetto o per effetto di concedere tali diritti esclusivi o di limitare la disponibilità di dati per il riutilizzo da parte di entità diverse dalle parti di tali accordi. Un diritto esclusivo di riutilizzo dei dati può essere concesso – mediante atto amministrativo o accordo contrattuale – solo nella misura necessaria alla fornitura di un servizio o di un prodotto di interesse generale che non sarebbe altrimenti possibile. La durata del diritto esclusivo di riutilizzo dei dati non supera i 12 mesi.

Sicurezza, anonimizzazione e regole per i riutilizzatori

Gli Stati membri devono garantire che gli enti pubblici siano dotati delle necessarie risorse per far sì che gli enti pubblici che hanno facoltà di concedere o negare l’accesso per il riutilizzo di dati protetti rendano pubbliche le condizioni (non discriminatorie, trasparenti, proporzionate e oggettivamente giustificate in relazione alle categorie di dati protetti e alle finalità del riutilizzo e alla natura dei dati protetti per i quali viene permesso il riutilizzo) per consentire tale riutilizzo nonché la procedura di richiesta del riutilizzo.

Per proteggere i dati personali, gli enti pubblici devono rendere possibile l’accesso per il riutilizzo dei dati protetti solo dopo averli anonimizzati. I riutilizzatori hanno il divieto di reidentificare gli interessati cui si riferiscono i dati e devono adottare misure tecniche e operative per impedire la reidentificazione e notificare all’ente pubblico qualsiasi violazione dei dati che comporti la reidentificazione degli interessati.

Tariffe, modalità di accesso e categorie di riutilizzatori

Per proteggere il segreto commerciale e la proprietà intellettuale devono modificare, aggregare o trattare i dati protetti mediante qualsiasi altro metodo di controllo della divulgazione.

Inoltre, gli enti pubblici devono far sì che l’accesso ai dati protetti e il loro riutilizzo avvengano:

a) se da remoto, all’interno di un ambiente di trattamento sicuro, fornito o controllato dall’ente pubblico;

b) se all’interno dei locali fisici in cui si trova l’ambiente di trattamento sicuro, rispettando rigorose norme di sicurezza.

A differenza del riutilizzo dei dati aperti (gratuito), quello dei dati protetti è a titolo oneroso. Ai sensi dell’art. 6 del DGA, gli enti pubblici che consentono il riutilizzo dei dati protetti possono imporre tariffe trasparenti, non discriminatorie, proporzionate e oggettivamente giustificate e tali da non limitare la concorrenza.

Criteri e metodologia di calcolo delle tariffe sono stabiliti dagli Stati membri e pubblicati. Ogni ente pubblico deve pubblicare una descrizione delle principali categorie di costi e delle regole per ripartirli. In ogni caso, gli enti pubblici possono anche mettere a disposizione i dati protetti a una tariffa ridotta o nulla, in particolare per le PMI e le start-up, la società civile e gli istituti di istruzione. A tal fine, possono stilare un elenco di categorie di riutilizzatori a cui i dati protetti sono forniti per il riutilizzo a una tariffa ridotta o a titolo gratuito.

Con lo stesso approccio seguito per gli altri due pilastri del DGA (intermediari dei dati e altruismo dei dati) anche per il riutilizzo dei dati protetti del settore pubblico il Regolamento (UE) 868/2022 favorisce la nascita di appositi corpi intermedi.

L’art. 7 del DGA prevede che gli Stati membri designino, istituiscano o agevolino l’istituzione di organismi competenti per sostenere le attività degli enti pubblici che hanno facoltà di consentire il riutilizzo di determinate categorie di dati protetti, mediante la concessione dell’accesso ai dati. In Italia, il decreto legislativo 144/2024 ha conferito questo ruolo a AgID. Sarà dunque AgID a fornire assistenza agli enti pubblici che concedono o rifiutano l’accesso ai dati protetti.

Dovrà farlo mediante tecniche all’avanguardia, compreso su come strutturare e conservare al meglio i dati al fine di renderli facilmente accessibili, in particolare attraverso interfacce di programmazione delle applicazioni, nonché su come rendere i dati interoperabili, trasferibili e consultabili, tenendo conto delle migliori prassi per il trattamento dei dati, nonché di eventuali norme vigenti, e mediante ambienti di trattamento dei dati sicuri, che consentano modalità di analisi dei dati tali da preservare la riservatezza delle informazioni.

Il ruolo di Agid nella gestione del riutilizzo dei dati protetti

AgID ha ricevuto dal decreto legislativo 144/2024 anche un’altra funzione, cioè quella di sportello unico che, ai sensi dell’art. 8 del DGA, renda disponibili e facilmente accessibili le condizioni per il riutilizzo dei dati protetti e le relative tariffe. AgID provvederà all’implementazione delle relative funzioni estendendo il punto d’accesso unico garantito dal catalogo nazionale dei dati aperti.

Sul piano tecnico, punto di riferimento su entrambi i fronti sopra analizzati (dati aperti e dati protetti) sono le Linee Guida recanti regole tecniche per l’apertura dei dati e il riutilizzo dell’informazione del settore pubblico.

A fronte di un quadro normativo coerente e di un lavoro già robusto di AgID sul fronte tecnico (formati, ecc.), sembra mancare – almeno al momento – una spinta della macchina amministrativa pubblica verso questo tipo di iniziative attraverso la messa a punto di soluzioni legali e contrattuali standard che permettano di conciliare riutilizzo e protezione dei dati sui vari fronti (GDPR, segreto commerciale, proprietà intellettuale). L’auspicio è che questa spinta arrivi, e che il settore privato sappia avvantaggiarsene.