Digital Markets Act, gli obblighi in materia di trattamento di dati personali

Il Digital Markets Act (DMA) si propone di affrontare i rischi derivanti dalla posizione dominante assunta dalle più grandi imprese di servizi digitali. Nei considerando del regolamento, il legislatore europeo evidenzia che i fornitori di servizi di piattaforma di base hanno caratteristiche tali da poter compromettere la contendibilità del mercato. Inoltre, tali imprese possono acquistare la posizione cosiddetta di gatekeeper (controllore dell'accesso), che può determinare squilibri gravi in termini di potere contrattuale, con conseguenti pratiche sleali e condizioni inique tanto per gli utenti commerciali quanto per gli utenti finali.

Una impresa è designata come gatekeeper quando
• ha un impatto significativo sul mercato interno
• fornisce un servizio di piattaforma di base che costituisce un punto di accesso importante e
• detiene una posizione consolidata e duratura o è prevedibile che l'acquisisca. Il DMA introduce delle presunzioni, per cui i predetti requisiti si ritengono rispettivamente soddisfatti al raggiungimento delle seguenti soglie:
(i) l'impresa fornisce lo stesso servizio di piattaforma di base in almeno tre Stati membri e realizza un fatturato di almeno 7,5 miliardi di euro in ciascuno degli ultimi tre esercizi finanziari, o ha una capitalizzazione di mercato di almeno 75 miliardi di euro;
(ii) l'impresa fornisce un servizio di piattaforma di base che, nell'ultimo esercizio finanziario, annovera nell'Unione europea almeno 45 milioni di utenti finali attivi su base mensile e almeno 10.000 utenti commerciali attivi su base annua;
(iii) l'impresa ha raggiunto le soglie di cui al punto precedente in ciascuno degli ultimi tre esercizi finanziari.

L'enorme quantità di dati personali a cui hanno accesso i gatekeeper comporta per tali imprese rilevanti vantaggi, che sono considerati gravi fattori di rischio per il mercato interno. Per contenere tali rischi il DMA ha introdotto nuove norme in ambito privacy.
In base alle nuove norme i gatekeeper:
• per la fornitura di servizi pubblicitari online, non possono trattare i dati degli utenti finali che utilizzano servizi di terzi, che si avvalgono dei servizi del medesimo gatekeeper;
• non possono combinare dati personali provenienti dal servizio di piattaforma di base con dati personali provenienti da altri servizi del medesimo gatekeeper o di terzi;
• non possono utilizzare in modo incrociato dati provenienti dal servizio di piattaforma di base in altri servizi forniti separatamente dal medesimo gatekeeper;
• non possono far accedere con registrazione gli utenti finali ad altri servizi dello stesso gatekeeper per combinare i dati.

Tali divieti vengono meno se l'utente finale presta il proprio consenso libero, specifico, informato e inequivocabile, al fine di consentire al gatekeeper di svolgere i suddetti trattamenti.

Il DMA inoltre consente ai gatekeeper di svolgere tali trattamenti avvalendosi delle basi giuridiche di cui all'articolo 6, paragrafo 1, lettere c), d) ed e), del regolamento (UE) 2016/679, per cui i trattamenti sono legittimi se necessari per adempiere un obbligo legale, o per la salvaguardia di un interesse vitale, o per l'esecuzione di un compito di interesse pubblico.

Non è invece consentito porre a fondamento di tali trattamenti l'esecuzione di un contratto o il perseguimento del legittimo interesse del titolare del trattamento.

In caso di inosservanza dei suddetti divieti la Commissione può irrogare ammende pari sino al 10 % del fatturato totale annuo realizzato a livello mondiale. Tale sanzione può arrivare sino al 20 % del fatturato se la stessa infrazione è stata già commessa negli otto anni precedenti.

Oltre a porre limiti ai trattamenti effettuati dai gatekeeper , il DMA favorisce l'accesso da parte dei terzi ai dati. I gatekeeper avranno infatti l'obbligo di fornire gratuitamente agli utenti commerciali un accesso ai dati personali, quando tali dati sono connessi ai prodotti o servizi offerti dallo stesso utente commerciale.

Per "servizio di comunicazione interpersonale indipendente dal numero" si intende un servizio di comunicazione interpersonale che non si connette a risorse di numerazione assegnate pubblicamente - ossia uno o più numeri che figurano in un piano di numerazione nazionale o internazionale - o che non consente la comunicazione con uno o più numeri che figurano in un piano di numerazione nazionale o internazionale.

I gatekeeper che forniscono servizi di comunicazione interpersonale indipendente dal numero avranno l'obbligo di rendere le funzionalità di base di tali servizi interoperabili con i medesimi servizi degli altri fornitori.

In tal caso i gatekeeper dovranno raccogliere e scambiare con i fornitori di tali servizi, che presentano una richiesta di interoperabilità, solo i dati personali degli utenti finali strettamente necessari per fornire l'effettiva interoperabilità.

In tale frangente i gatekeeper avranno la facoltà di adottare misure volte a garantire che i fornitori terzi che chiedono l'interoperabilità non presentino rischi per l'integrità, la sicurezza e la privacy dei loro servizi.

Il DMA costituisce un ulteriore tassello di fondamentale importanza per la cosiddetta strategia europea dei dati.

La Commissione mira a creare un contesto politico attraente, con l'intenzione di portare, entro il 2030, la quota dell'UE dell'economia dei dati (dati conservati, elaborati e utilizzati proficuamente in Europa) ad un livello corrispondente almeno al suo peso economico.

L'obiettivo è creare uno spazio unico europeo di dati che offra alle imprese dell'UE la possibilità di sfruttare le dimensioni del mercato unico.

_____
*A cura dell'Avv. Giovanni Ciano, Partner 24 ORE Avvocati