Clausole modello UE per il Data Act: ambito e limiti

La Commissione Europea ha pubblicato un pacchetto di clausole contrattuali tipo non vincolanti (MCT) e clausole contrattuali standard (SCC) progettato per semplificare la contrattualizzazione sotto il Data Act (Regolamento (UE) 2023/2854). Questo documento non crea nuove obblighi legali, ma offre un quadro di riferimento affinché le parti, in particolare le PMI, possano redigere contratti che rispettino le disposizioni di accesso e utilizzo dei dati generati da prodotti connessi.

L'obiettivo principale è ridurre la frammentazione contrattuale e minimizzare l'attrito nelle negoziazioni tra aziende. Le clausole sono redatte principalmente per le relazioni B2B, sebbene il testo ufficiale indichi che possano anche essere adattate alle relazioni tra aziende e consumatori se vengono incorporate le norme pertinenti di tutela del consumatore. Il loro utilizzo è volontario e modificabile, il che significa che non sostituiscono la necessità di una revisione legale specifica per ogni caso.

Il pacchetto include quattro insiemi di clausole che coprono le relazioni obbligatorie di scambio di dati stabilite nel Data Act. Il primo insieme regola la relazione tra il detentore dei dati e l'utente, definendo i diritti di accesso e utilizzo dei dati generati da un prodotto connesso. Il secondo affronta la relazione tra l'utente e un destinatario di dati di terze parti, quando l'utente istruisce il detentore a condividere i dati.

Gli altri due insiemi si concentrano sulle interazioni tra il detentore dei dati e i destinatari di terze parti, coprendo sia i casi in cui il detentore è legalmente obbligato a fornire i dati sia le condizioni di compensazione per tale scambio. Queste clausole sono conformi al capitolo IV del Data Act, che stabilisce che le clausole imposte unilateralmente non sono vincolanti se considerate abusive, offrendo così una base di equilibrio contrattuale.

È fondamentale distinguere queste clausole del Data Act dalle Clausole Contrattuali Standard (SCC) del GDPR già utilizzate da provider come Microsoft, IBM e AWS per i trasferimenti internazionali di dati personali. Mentre le SCC del GDPR si concentrano sulla protezione dei dati personali al di fuori dello Spazio Economico Europeo, le nuove MCT del Data Act si concentrano sull'accesso ai dati generati da prodotti connessi, inclusi i dati non personali.

I grandi provider cloud offrono già meccanismi di conformità per la sovranità dei dati e la residenza dei dati, ma le nuove clausole modello introducono un approccio specifico alla portabilità dei dati di prodotto. Questo non invalida le politiche di privacy esistenti, ma aggiunge uno strato contrattuale specifico per lo scambio di dati operativi dei dispositivi connessi, un'area che le politiche cloud standard spesso non dettagliano con la stessa granularità.

Per le aziende che gestiscono infrastrutture cloud nell'UE, l'implicazione principale è la necessità di rivedere i propri contratti di servizio per incorporare queste clausole se desiderano allineare le proprie operazioni al Data Act. Questo è particolarmente rilevante per le PMI, che possono utilizzare questi modelli come punto di partenza per evitare negoziazioni complesse. L'adozione di queste clausole può accelerare i processi di contrattualizzazione e offrire maggiore certezza giuridica.

Tuttavia, le aziende non devono assumere che l'inclusione di queste clausole garantisca la piena conformità. Devono verificare che i propri provider cloud supportino tecnicamente i meccanismi di accesso ed esportazione dei dati richiesti. La decisione pratica è valutare se il provider offre API di esportazione dei dati compatibili con i requisiti del Data Act, poiché le clausole contrattuali non possono imporre capacità tecniche che il provider non possiede.

Le clausole modello non affrontano aspetti di prestazioni, sicurezza tecnica o disponibilità dei servizi cloud. Si concentrano esclusivamente sui diritti di accesso, utilizzo e condivisione dei dati. Pertanto, le aziende devono continuare a fare affidamento sugli accordi di livello di servizio (SLA) e sulle politiche di sicurezza specifiche di ciascun provider per garantire l'integrità e la disponibilità delle proprie infrastrutture.

Inoltre, essendo non vincolanti, queste clausole non hanno forza di legge di per sé. Il loro valore risiede nella standardizzazione e nella riduzione dei costi di transazione. Le organizzazioni devono essere consapevoli che qualsiasi modifica a queste clausole potrebbe invalidare il loro allineamento con il Data Act, pertanto si raccomanda di mantenerle intatte o di apportare modifiche minime supervisionate da esperti legali.