Capo III — Obblighi per i titolari dei dati tenuti a metterli a disposizione a norma del diritto dell'Unione

Articolo 8 — Condizioni alle quali i titolari dei dati mettono i dati a disposizione dei destinatari dei dati¶

Il titolare dei dati che, nel quadro di relazioni tra imprese, è tenuto a mettere i dati a disposizione di un destinatario dei dati a norma dell’articolo 5 o a norma di normative dell’Unione o nazionali applicabili adottate in conformità del diritto dell’Unione, concorda con il destinatario dei dati le modalità della messa a disposizione dei dati e lo fa a condizioni eque, ragionevoli e non discriminatori e in modo trasparente conformemente al presente capo e del capo IV.
Una clausola contrattuale concernente l’accesso ai dati e l’utilizzo degli stessi o la responsabilità e i mezzi di ricorso per la violazione o la cessazione degli obblighi relativi ai dati non è vincolante se costituisce una clausola contrattuale abusiva ai sensi dell’articolo 13 o se, a danno dell’utente, esclude l’applicazione dei diritti dell’utente di cui al capo II, deroga agli stessi o ne modifica l’effetto.
Al momento della messa a disposizione dei dati e in relazione alle modalità di tale messa a disposizione, il titolare dei dati non opera discriminazioni tra categorie comparabili di destinatari dei dati, comprese le imprese associate o collegate del titolare dei dati. Qualora un destinatario dei dati ritenga discriminatorie le condizioni alle quali i dati sono stati messi a sua disposizione, il titolare dei dati fornisce senza indebito ritardo al destinatario dei dati, su richiesta motivata di quest’ultimo, informazioni che dimostrino che non vi è stata discriminazione.
Il titolare dei dati non mette i dati a disposizione di un destinatario dei dati, anche su base esclusiva, salvo se invitato a farlo dall’utente a norma del capo II.
I titolari dei dati e i destinatari dei dati non sono tenuti a fornire informazioni al di là di quanto necessario per verificare la conformità alle clausole contrattuali concordate per la messa a disposizione dei dati o ai loro obblighi a norma del presente regolamento o di altre normative applicabili dell’Unione o nazionali adottate in conformità del diritto dell’Unione.
Salvo disposizione contraria del diritto dell’Unione, compreso l’articolo 4, paragrafo 6, e l’articolo 5, paragrafo9, del presente regolamento, o della legislazione nazionale adottata in conformità del diritto dell’Unione, l’obbligo di mettere i dati a disposizione di un destinatario dei dati non impone la divulgazione dei segreti commerciali.

Articolo 9 — Compenso per la messa a disposizione dei dati¶

Il compenso concordato tra il titolare dei dati e il destinatario dei dati per la messa a disposizione dei dati nelle relazioni tra imprese è non discriminatorio e ragionevole e può includere un margine.
Nel concordare il compenso, il titolare dei dati e il destinatario dei dati tengono conto in particolare:

a) dei costi sostenuti per mettere a disposizione i dati, compresi in particolare i costi necessari per la formattazione dei dati, la diffusione per via elettronica e l’archiviazione;

b) degli investimenti nella raccolta e nella produzione di dati, se applicabile, tenendo conto del fatto che altre parti abbiano contribuito o meno a ottenere, generare o raccogliere i dati in questione.
Il compenso di cui al paragrafo 1 può dipendere altresì dal volume, dal formato e dalla natura dei dati.
Se il destinatario dei dati è una PMI o un’organizzazione di ricerca senza fini di lucro e qualora tale destinatario dei dati non abbia imprese associate o collegate che non si qualificano come PMI, il compenso concordato non supera i costi di cui al paragrafo 2, lettera a).
La Commissione adotta orientamenti sul calcolo del compenso ragionevole, tenendo conto del parere del comitato europeo per l’innovazione in materia di dati (EDIB) di cui all’articolo 42.
Il presente articolo non osta a che altre normative dell’Unione o nazionali adottate in conformità del diritto dell’Unione escludano il compenso per la messa a disposizione dei dati o prevedano un compenso inferiore.
Il titolare dei dati fornisce al destinatario dei dati informazioni che definiscono la base per il calcolo del compenso in modo sufficientemente dettagliato da consentire al destinatario dei dati di valutare se sono soddisfatti i requisiti di cui ai paragrafi da 1 a 4.

Articolo 10 — Risoluzione delle controversie¶

Gli utenti, i titolari dei dati e i destinatari dei dati hanno accesso a un organismo di risoluzione delle controversie, certificati in conformità al paragrafo 5 del presente articolo, per comporre le controversie ai sensi dell’articolo 4, paragrafi 3 e 9, e dell’articolo 5, paragrafo 12, nonché le controversie relative all’adempimento, da parte del titolare dei dati, dell’obbligo di mettere i dati a disposizione del destinatario dei dati, nonché a condizioni eque, ragionevoli e non discriminatori e a modalità trasparenti di messa a disposizione dei dati a norma del presente capo e del capo IV.
Gli organismi di risoluzione delle controversie rendono noti alle parti interessate le tariffe, o i meccanismi utilizzati per determinare tali tariffe, prima che le parti interessate richiedano una decisione.
In caso di controversie deferite a un organismo di risoluzione delle controversie di cui all’articolo 4, paragrafo 3, qualora l’organismo di risoluzione delle controverse risolva la controversia a favore dell’utente o del destinatario dei dati, il titolare dei dati sostiene tutti i costi stabiliti dall’organismo di risoluzione delle controversie e rimborsa all’utente o al destinatario dei dati tutte le altre spese ragionevoli da questi sostenute relativamente alla risoluzione della controversia. Qualora l’organismo di risoluzione delle controverse risolva la controversia a favore del titolare dei dati, l’utente o il destinatario dei dati non è tenuto a rimborsare costi o altre spese che il titolare dei dati ha sostenuto o deve sostenere relativamente alla risoluzione della controversia, a meno che l’organismo di risoluzione delle controversie ritenga che l’utente o il destinatario dei dati abbia agito manifestamente in malafede.
I clienti e i fornitori di servizi di trattamento dei dati hanno accesso a un organismo di risoluzione delle controversie, certificati in conformità del paragrafo 6 del presente articolo, per comporre le controversie relative a violazioni dei diritti dei clienti e degli obblighi dei fornitori di servizi di trattamento dei dati, in conformità degli articoli da 23 a 31.
Su richiesta dell’organismo di risoluzione delle controversie lo Stato membro in cui questi è stabilito certifica che l’organismo ha dimostrato di soddisfare tutte le condizioni seguenti:

a) è imparziale e indipendente e adotterà le proprie decisioni conformemente a norme procedurali chiare, non discriminatorie ed eque;

b) dispone delle competenze necessarie, in particolare in relazione a condizioni eque, ragionevoli e non discriminatori, compreso il compenso, e alla messa a disposizione dei dati in modo trasparente, che consentono all’organismo di determinare efficacemente tali condizioni;

c) è facilmente accessibile attraverso le tecnologie di comunicazione elettronica;

d) è in grado di adottare le proprie decisioni in modo rapido, efficiente ed efficace sotto il profilo dei costi in almeno una delle lingue ufficiali dell’Unione.
Gli Stati membri notificano alla Commissione gli organismi di risoluzione delle controversie certificati in conformità del paragrafo 5. La Commissione pubblica un elenco di tali organismi su un sito web dedicato e lo mantiene aggiornato.
Un organismo di risoluzione delle controversie rifiuta di dare seguito a una richiesta di risoluzione di una controversia già presentata dinanzi a un altro organismo di risoluzione delle controversie o dinanzi a un organo giurisdizionale di uno Stato membro.
Un organismo di risoluzione delle controversie concede alle parti la possibilità, entro un termine ragionevole, di esprimere il loro punto di vista sulle questioni che le parti hanno sottoposto a tale organismo. In tale contesto, ciascuna delle parti in causa trasmette alle parti le comunicazioni relative alla controversia presentate dall’altra parte e le eventuali dichiarazioni di esperti. Alle parti è data la possibilità di presentare osservazioni in merito a tali comunicazioni e dichiarazioni.
Un organismo di risoluzione delle controversie adotta la sua decisione su una questione sottopostagli entro 90 giorni dal ricevimento di una richiesta ai sensi dei paragrafi 1 e 4. Tale decisione è adottata per iscritto o su un supporto durevole ed è suffragata da una motivazione.
Gli organismi di risoluzione delle controversie redigono e rendono pubbliche le relazioni annuali di attività. Tali relazioni annuali contengono in particolare le informazioni generali seguenti:

a) un’aggregazione dei risultati delle controversie;

b) il tempo medio necessario per la risoluzione delle controversie;

c) i motivi più comuni alla base delle controversie.
Al fine di agevolare lo scambio di informazioni e migliori prassi, un organismo pubblico di risoluzione delle controversie può decidere di includere raccomandazioni nella relazione di cui al paragrafo 10 su come evitare o risolvere problemi.
La decisione dell’organismo di risoluzione delle controversie è vincolante per le parti solo se le parti hanno esplicitamente acconsentito al suo carattere vincolante prima dell’avvio del procedimento di risoluzione delle controversie.
Il presente articolo non pregiudica il diritto delle parti a un ricorso effettivo dinanzi a un organo giurisdizionale di uno Stato membro.

Articolo 11 — Misure tecniche di protezione relative all’uso non autorizzato o alla divulgazione dei dati¶

Un titolare dei dati può applicare adeguate misure tecniche di protezione, compresi i contratti intelligenti e la cifratura, per impedire l’accesso non autorizzato ai dati, metadati compresi, e garantire il rispetto degli articoli 4, 5, 6, 8 e 9, nonché delle clausole contrattuali concordate per la messa a disposizione dei dati. Tali misure tecniche di protezione non creano discriminazioni tra i destinatari dei dati né ostacolano il diritto dell’utente di ottenere una copia, reperire, utilizzare o accedere ai dati o fornire dati a terzi a norma dell’articolo 5 o qualsiasi diritto di terzi a norma del diritto dell’Unione o della legislazione nazionale adottata ai sensi del diritto dell’Unione. Gli utenti, i terzi e altri destinatari dei dati non modificano né rimuovono dette misure tecniche di protezione, salvo accordo con il titolare dei dati.
Nelle circostanze di cui al paragrafo 3, il terzo o il destinatario dei dati adempie, senza indebito ritardo, alle richieste del titolare dei dati e, se del caso e qualora non si tratti della stessa persona, del detentore del segreto commerciale, oppure dell’utente di:

a) cancellare i dati messi a disposizione dal titolare dei dati e le loro eventuali copie;

b) porre fine alla produzione, all’offerta o all’immissione sul mercato o all’uso di beni, dati derivati o servizi prodotti sulla base delle conoscenze ottenute mediante tali dati, o all’importazione, all’esportazione o allo stoccaggio di merci costituenti violazione a tali fini, e a distruggere le merci costituenti violazione, qualora sussista un grave rischio che l’uso illecito di tali dati causi un danno significativo al titolare dei dati, al detentore del segreto commerciale o all’utente oppure qualora una tale misura non sarebbe sproporzionata rispetto agli interessi del titolare dei dati, del detentore del segreto commerciale o dell’utente;

c) informare l’utente dell’uso o della divulgazione non autorizzati dei dati e delle misure adottate per porre fine all’uso o alla divulgazione non autorizzati dei dati;

d) compensare la parte lesa dall’uso improprio o dalla divulgazione di tali dati utilizzati o cui si ha avuto accesso in modo illecito.
Il paragrafo 2 si applica qualora un terzo o un destinatario dei dati :

a) al fine di ottenere dati, abbia fornito a un titolare dei dati informazioni false, ha impiegato mezzi ingannevoli o coercitivi o ha abusato di lacune nell’infrastruttura tecnica del titolare dei dati destinata a proteggere i dati;

b) abbia utilizzato i dati messi a disposizione per scopi non autorizzati, compreso lo sviluppo di un prodotto connesso concorrente ai sensi dell’articolo 6, paragrafo 2, lettera e);

c) abbia comunicato illecitamente i dati a terzi;

d) non abbia mantenuto le misure tecniche e organizzative concordate a norma dell’articolo 5, paragrafo 9; o

e) abbia modificato o rimosso le misure tecniche di protezioni applicate dal titolare dei dati, in conformità del paragrafo 1 del presente articolo, senza l’accordo del titolare dei dati.
Il paragrafo 2 si applica altresì qualora un utente modifichi o rimuova le misure tecniche di protezione applicate dal titolare dei dati oppure non mantenga le misure tecniche e organizzative adottate dall’utente in accordo con il titolare dei dati o, qualora non si tratti della stessa persona, con il detentore del segreto commerciale al fine di preservare i segreti commerciali, nonché riguardo a qualsiasi terzo che riceva i dati dall’utente mediante una procedura d’infrazione del presente regolamento.
Qualora il destinatario dei dati violi l’articolo 6, paragrafo 2, lettere a) e b), gli utenti hanno gli stessi diritti dei titolari dei dati a norma del presente articolo.

Articolo 12 — Ambito di applicazione degli obblighi per i titolari dei dati ai sensi del diritto dell’Unione a mettere a disposizione i dati¶

Il presente capo si applica nei casi in cui, nei rapporti tra imprese, il titolare dei dati è tenuto, ai sensi dell’articolo 5 o del diritto dell’Unione o della legislazione nazionale applicabile adottata in conformità del diritto dell’Unione, a mettere i dati a disposizione di un destinatario dei dati.
Una clausola contrattuale di un accordo di condivisione dei dati che, a danno di una parte o, ove applicabile, a danno dell’utente, escluda l’applicazione del presente capo, deroghi allo stesso o ne modifichi gli effetti non è vincolante per tale parte.