Innovation Law Insights

Artificial Intelligence

Normativa sull’AI in Europa: il nuovo disegno di legge sull'AI introduce in Italia peculiarità locali rispetto all’AI Act europeo

Mentre l'Unione Europea (UE) si avvicina alla promulgazione dell’AI Act, segnalandone l'imminente applicazione, gli Stati membri dell'UE, come l'Italia, stanno attivamente sviluppando le proprie normative sull'IA, anch'esse destinate ad essere applicate.

Questa situazione ricorda le conseguenze del GDPR, in cui i Paesi hanno implementato misure aggiuntive a livello locale, nonostante l'intento di armonizzazione della legislazione europea. La conformità alla normativa europea, quindi, è spesso solo il passo iniziale. Le aziende, comprese quelle al di fuori dell'UE che offrono i loro servizi nell'Unione Europea, devono essere preparate a navigare nei singoli (e spesso contrastanti) paesaggi normativi di ciascuno Stato membro. In molti casi, come nel caso della legge italiana, è probabile che questi approcci normativi locali diventino vincolanti prima di molte delle disposizioni dell’AI Act.

La proposta di legge italiana sull'AI, approvata alla fine di aprile dal governo italiano, propone una strategia nazionale completa che affronta gli impatti sociali, normativi, economici e sulla privacy dell'AI. Pur essendo ancora soggetta all'iter parlamentare e non ancora promulgata, la bozza anticipa alcuni dei principi dell’AI Act e introduce molte sfumature nazionali specifiche. In particolare, richiede che i sistemi di AI rispettino, tra gli altri, i principi di trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parità di genere e sostenibilità. Oltre al rispetto di questi principi, la proposta di legge sull'AI stabilisce che lo sviluppo di sistemi e modelli di intelligenza artificiale deve avvenire utilizzando dati e processi che devono essere monitorati per correttezza, affidabilità, sicurezza, qualità, adeguatezza e trasparenza. Il soddisfacimento di tutti questi requisiti deve essere documentato e le aziende devono quindi implementare politiche appropriate e garantire la documentazione delle attività svolte durante lo sviluppo, l'implementazione e l'utilizzo dei sistemi di AI.

Di seguito, DLA Piper esamina i diversi elementi chiave del disegno di legge italiano sull'AI e confronta molti dei suoi termini con l’AI Act.

Applicabilità

Una componente chiave dell’AI Act e del disegno di legge italiano sull'AI è la loro esplicita determinazione dell'ambito di applicazione e dell'applicabilità. In entrambe le norme dell'UE e dell'AI, un'eccezione di applicabilità è prevista per l'AI utilizzata nel contesto della sicurezza nazionale e delle attività di difesa. Queste esclusioni includono elementi vitali della società, tra cui i regimi nazionali di sicurezza informatica, le forze di polizia e le forze armate. A differenza dell'approccio dell'UE, le norme italiane sono molto più restrittive e richiederebbero quindi alle aziende locali e straniere che offrono i loro servizi in Italia di garantire che, nonostante il loro approccio per assicurare la conformità all’AI Act, siano anche conformi alle leggi e alle restrizioni a livello locale.

Priorità alla conservazione locale

La proposta di legge italiana sull'AI prevede che lo Stato e le autorità pubbliche diano priorità, attraverso la loro piattaforma di e-procurement, ai fornitori che utilizzano data center locali per archiviare ed elaborare servizi e strumenti di AI generativa che coinvolgono dati critici. Sebbene i "dati critici" non siano ancora stati definiti nella proposta di legge italiana sull'AI, è probabile che includano informazioni strategicamente vitali per la sicurezza nazionale e la stabilità economica. Si prevede che questa definizione sia ampia, con dettagli specifici che saranno chiariti nelle successive revisioni del testo.

Dare priorità all'archiviazione locale indica la consapevolezza del potenziale di danno quando l'AI viene sfruttata con dati sensibili per l'infrastruttura nazionale - un fatto non del tutto considerato nelle disposizioni dell’AI Act. L'approccio dell'Italia non è isolato, poiché molti governi, tra cui gli Stati Uniti con il loro recente ordine esecutivo che limita alcuni trasferimenti di informazioni statunitensi verso località offshore, stanno iniziando a cercare di limitare l'offshoring di alcuni tipi e quantità di dati.

AI nella sanità

Sono state introdotte norme specifiche anche per i sistemi di AI utilizzati nel settore sanitario, riconoscendo il loro potenziale nel contribuire al miglioramento del sistema sanitario e alla prevenzione e al trattamento delle malattie. La proposta di legge italiana sull'AI riconosce che questo obiettivo deve essere raggiunto attraverso lo sviluppo e la gestione dell'AI che tenga conto dei diritti, delle libertà e degli interessi dell'interessato, anche in termini di protezione dei dati personali. Ad esempio, in linea con le normative europee, il disegno di legge italiano sull'AI prevede che:

• i sistemi di AI e i relativi dati utilizzati nel settore sanitario devono essere affidabili e periodicamente verificati e aggiornati; e
• il paziente coinvolto ha il diritto di essere informato sull'uso delle tecnologie di intelligenza artificiale, sui benefici diagnostici e terapeutici derivanti dall'utilizzo delle nuove tecnologie e sulle informazioni relative alla logica decisionale utilizzata.

Tuttavia, a differenza dell’AI Act, il disegno di legge italiano sull'AI prevede che il trattamento dei dati, compreso il trattamento dei dati personali, effettuato da enti pubblici e privati senza scopo di lucro per la ricerca e la sperimentazione scientifica nello sviluppo di sistemi di AI per scopi sanitari, come necessario per la creazione e l'utilizzo di banche dati e modelli di base, sia di rilevante interesse pubblico che, tra l'altro, ha un notevole impatto sulla base giuridica applicabile ai sensi del GDPR. Di conseguenza, si prevede l'applicazione di ulteriori controlli e misure in aggiunta ai regimi esistenti a livello europeo.

Questa norma è particolarmente rilevante per le aziende estere che sono coinvolte nella sponsorizzazione della ricerca in Italia. La norma stabilisce che il trattamento dei dati per le sperimentazioni cliniche e la ricerca scientifica nel settore sanitario deve essere sottoposto all'approvazione dei comitati etici competenti e deve essere comunicato al Garante per la protezione dei dati personali. Questo processo può essere complesso per le aziende che operano dall'estero e può comportare maggiori e inaspettati costi finanziari e di tempo.

L'AI sul posto di lavoro e le professioni intellettuali

La proposta di legge italiana sull'AI affronta uno dei temi più sensibili per l'opinione pubblica italiana in questo momento: l'uso dell'AI sul posto di lavoro.

Come l’AI Act, la proposta di legge italiana sull'AI vieta esplicitamente qualsiasi applicazione dell'AI che comporti una discriminazione dei lavoratori basata su sesso, età, origine etnica o orientamento sessuale. Il disegno di legge italiano sull'AI, tuttavia, va oltre questi divieti e istituisce un apposito osservatorio guidato dal Ministro del Lavoro e delle Politiche Sociali per definire una strategia per l'utilizzo dell'AI sul posto di lavoro e monitorarne l'impatto sul mercato del lavoro. Il disegno di legge italiano sull'AI limita inoltre l'AI nel contesto dei servizi professionali al supporto delle attività professionali e obbliga i professionisti a informare i loro clienti sui sistemi di AI che utilizzano in modo chiaro e completo.

Sebbene la proposta di legge italiana sull'AI segua da vicino molti dei fondamenti dell’AI Act, tra cui la trasparenza, la restrizione sull'uso dell'AI nel mondo del lavoro è un altro esempio di sfumature locali che superano di gran lunga l'approccio europeo più visibile alle aziende all'estero, e che deve essere adeguatamente considerato in qualsiasi approccio internazionale all'uso dell'AI.

Autorità locali per l'AI e fondi per l'innovazione

Per garantire l'attuazione dell’AI Act e della legislazione nazionale sull'intelligenza artificiale, l'Italia istituirà due autorità nazionali per l'AI:

1. AgID (Agenzia per l'Italia Digitale) che avrà il compito di promuovere l'innovazione e lo sviluppo dell'AI. Questa agenzia definirà anche le procedure e condurrà la valutazione, l'accreditamento e il monitoraggio degli enti responsabili della verifica della conformità dei sistemi di AI.
2. ACN (Agenzia Nazionale di Cybersecurity) che sarà responsabile della supervisione della cybersecurity, comprese le attività di ispezione, per salvaguardare la cybersecurity nazionale.

Questa aggiunta al regime italiano proposto è un punto di scontro normativo, in quanto il Garante per la protezione dei dati personali ha precedentemente indicato che sarebbe più qualificato delle autorità proposte per agire come autorità nazionale per l'AI. C'è una chiara comprensione della rilevanza dell'AI per l'economia globale e, di conseguenza, del potere che le autorità incaricate di applicare la normativa in materia dovrebbero avere.

Per incoraggiare la creazione e la crescita di startup e piccole-medie imprese che si concentrano su tecnologie emergenti e soluzioni innovative ad alto potenziale di innovazione e scalabilità, il governo prevede anche significativi investimenti di venture capital gestiti dallo Stato fino a un miliardo di euro in aziende che operano nel campo dell'intelligenza artificiale e in altre tecnologie innovative, nonché in quelle, anche se situate all'estero, che sviluppano soluzioni di AI con l'obiettivo di creare un campione nazionale di AI.

Esenzioni alla legge sul diritto d'autore per l'uso dell'AI

In linea con l’AI Act, gli autori (o i titolari dei diritti economici, se diversi dagli autori) devono utilizzare elementi o segni identificativi, anche in filigrana, su contenuti video o indicazioni audio all'interno di contenuti audio se questi sono stati generati, modificati o alterati da sistemi di AI. Questo requisito mira a rivelare quando dati, fatti e informazioni presentati come reali sono generati dall'AI.

Il governo italiano, attraverso la proposta di legge sull'AI, ha anche cercato di modificare la legge italiana sul diritto d'autore aggiungendo un riferimento specifico alla necessità di un contributo umano nella creazione di opere protette dal diritto d'autore. Il contributo umano deve essere, come minimo, creativo, rilevante e dimostrabile. Se non si riesce a stabilire sufficientemente queste qualità, l'opera non potrà essere protetta dalla legge italiana sul diritto d'autore. Questo approccio è in linea con il punto di vista dei tribunali dell'Unione Europea e degli Stati Uniti, dove i tribunali tracciano la linea di demarcazione tra ciò che è tutelato e ciò che non lo è. Le aziende dovranno quindi documentare attentamente le loro creazioni per stabilire se il contributo umano è sufficiente a garantire la protezione del diritto d'autore.

La proposta di legge italiana sull'AI fa anche riferimento all'eccezione per l'estrazione di testi e dati prevista dalla Direttiva UE sul diritto d'autore 2019/790, nel caso in cui materiali protetti dal diritto d'autore vengano utilizzati per addestrare i sistemi di AI. L’AI Act contiene un mero riferimento incrociato alla disposizione pertinente della Direttiva UE sul diritto d'autore, senza alcuna discussione o informazione significativa da utilizzare per le organizzazioni. La proposta di legge italiana sull'AI va oltre e discute più specificamente le modalità di attuazione del meccanismo di opt-out da parte dei titolari dei diritti d'autore e gli obblighi di divulgazione a cui sono soggetti i sistemi di AI che riproducono o estraggono opere protette.

Al momento esiste una certa confusione nel mercato riguardo al concetto di riproduzione o estrazione da parte dei sistemi di AI durante la loro fase di formazione, e un livello più preciso di chiarimento aiuterebbe i titolari dei diritti d'autore a capire meglio come esercitare i loro diritti di opt-out e i fornitori e gli implementatori di sistemi di AI a capire quale sia il limite dei loro diritti. In questa fase non è chiaro se questo aspetto sarà affrontato dalle linee guida e dagli sviluppi dell'Ufficio AI a livello europeo, o se le autorità di regolamentazione locali, come quelle italiane, dovranno colmare le lacune.

Cosa possono aspettarsi le aziende straniere che forniscono e utilizzano soluzioni di Ai in Italia?

L'ambiente normativo stratificato dell'UE, composto da regolamenti, direttive e leggi locali degli Stati membri, rappresenta una sfida complessa per le organizzazioni internazionali che operano sul mercato. Questa struttura normativa sfaccettata, che comprende sia la legislazione a livello europeo che le leggi specifiche di ogni Paese, richiede una comprensione sfumata e una strategia da parte degli sviluppatori di AI e delle organizzazioni che cercano di sfruttare strumenti e sistemi alimentati dall'AI.

Sebbene l’AI Act stabilisca le basi per la regolamentazione dell'AI in Europa, i dettagli e i requisiti aggiuntivi che le organizzazioni dovranno affrontare potrebbero (e spesso lo fanno) variare in modo significativo da uno Stato membro all'altro. Sia per le aziende situate nell'UE che per quelle non appartenenti al SEE che offrono i loro servizi nell'UE, ciò significa che il semplice allineamento alle normative dell'UE potrebbe non essere sufficiente a garantire la conformità delle attività commerciali più ampie a tutte le normative applicabili. Un impegno continuo con gli sviluppi legali locali e una strategia di conformità adattiva sono quindi una metodologia preferibile.

La natura in evoluzione del panorama legislativo dell'UE e dell'Italia indica inoltre che il contesto normativo rimane incerto. Gli stakeholder devono quindi rimanere proattivi nel monitorare i requisiti attuali e i potenziali cambiamenti futuri che potrebbero influenzare le loro operazioni.

Sebbene l’AI Act costituisca un punto di riferimento fondamentale, la comprensione e l'adattamento alle leggi specifiche di ciascun Paese, come le normative sull'AI proposte dall'Italia, sono fondamentali per una conformità completa. Le aziende devono riconoscere che i loro obblighi normativi nell'UE saranno tanto dinamici e sfumati quanto la tecnologia che desiderano implementare.

Le aziende non possono aspettare per conformarsi alle normative applicabili all'AI, compresa la proposta di legge italiana sull'AI che dovrebbe entrare in vigore prima che molte delle disposizioni dell’AI Act diventino vincolanti. Da un lato, le aziende che si occupano di AI sentono l'urgenza di adottare soluzioni di AI; dall'altro, temono che i loro dipendenti stiano già utilizzando soluzioni di intelligenza artificiale che non sono state approvate dall'azienda, mettendo potenzialmente l'azienda a rischio di controversie legali. Inoltre, molte aziende stanno cercando di massimizzare i dati disponibili per addestrare i loro sistemi di intelligenza artificiale, il che le porta in un'area di contenzioso normativo in cui i dati sono protetti da copyright.

DLA Piper continua a monitorare l'attività normativa internazionale sul tema dell'intelligenza artificiale ed è pronta ad assistere le aziende in questo momento critico nella gestione degli sviluppi normativi.

Per ulteriori informazioni sull'AI e sugli standard legali e normativi emergenti, visitate la pagina di DLA Piper dedicata all'AI.

Per ottenere approfondimenti e prospettive che vi aiuteranno a definire la vostra strategia sull'AI, consultate la nostra serie AI Chatroom appena pubblicata.

Per le ultime informazioni sullo sviluppo e la posizione dell’AI Act e per sapere come prepararsi alla conformità, si suggerisce l'ultimo webinar di DLA Piper sulla preparazione all’AI Act.

Su un argomento simile può essere di interesse l’articolo “Strategia italiana per l’IA 2024-2026: i punti principali”.

Autori: Giulio Coraggio, Danny Tobey, Tommaso Ricci, Coran Darling e Matteo Antonelli

Data Protection & Cybersecurity

Il Parlamento europeo approva il Regolamento per lo Spazio Europeo dei Dati Sanitari

Il 24 aprile 2024, il Parlamento europeo ha approvato il Regolamento sullo Spazio Europeo dei Dati Sanitari (European Health Data Space), segnando un passo fondamentale verso la creazione di una solida Unione Sanitaria Europea.

Tale passo è stato possibile grazie all’accordo, raggiunto lo scorso 14 marzo fra il Parlamento ed il Consiglio dell’Unione europea, in relazione alla proposta di Regolamento presentata dalla Commissione il 3 maggio 2022.

Il testo del Regolamento dovrà ora essere formalmente approvato dal Consiglio ed entrerà in vigore 20 giorni dopo la pubblicazione sulla Gazzetta ufficiale dell’Unione europea, attesa entro l’autunno.

Il Regolamento rappresenta uno dei pilastri dell’ambiziosa “Strategia Europea per i Dati” della Commissione, che già include una serie di atti normativi, e ha l’obiettivo di creare un “mercato unico dei dati”, che garantisca la competitività globale dell’Europa e la sovranità sui dati, anche attraverso la creazione di spazi comuni per la condivisione delle informazioni.

In tale contesto, il Regolamento sullo Spazio Europeo dei Dati Sanitari rappresenta una risorsa essenziale per il settore sanitario, la cui adozione consentirà di migliorare l’accesso ed il controllo delle persone sui propri dati sanitari, permettendone al contempo il riutilizzo per scopi di pubblico interesse (c.d. uso secondario). Il progetto prevede la creazione di un ambiente specifico per i dati sanitari che contribuirà a promuovere un mercato unico per i prodotti e servizi sanitari digitali, a beneficio dei pazienti e dell’intera collettività.

Le novità più significative introdotte a seguito dell’accordo fra Parlamento e Consiglio

L’art. 1, paragrafo 1, della bozza indica che il Regolamento istituisce lo Spazio Europeo dei Dati Sanitari individuando regole, standard e infrastrutture comuni nonché un quadro per la governance dei dati sanitari, con l’obiettivo di facilitare l’accesso ai dati sanitari elettronici ai fini del loro utilizzo primario e secondario.

Il Regolamento avrà un impatto su un settore già altamente regolato. Per questo, la proposta specifica che il Regolamento non pregiudica l’applicazione delle normative europee e nazionali che, a vario titolo, regolano il settore, inclusi il GDPR, la Direttiva e-Privacy, il Regolamento (UE) 2018/1725, l’AI Act – la cui definitiva approvazione dovrebbe essere imminente – ed i Regolamenti sui dispositivi medici e sui dispositivi medico-diagnostici in vitro.

Disposizioni sugli “EHR systems”

Il Regolamento prevede l’obbligo di conformità degli “electronic health record systems” (o EHR systems) alle specifiche previste per il formato europeo di scambio dei dati sanitari elettronici, in modo da garantire la sicurezza dei dati e renderne possibile la condivisione al di là dei confini degli Stati membri.

Per “electronic health record system” s’intende qualunque dispositivo o software utilizzato per l’elaborazione di “electronic health record”, queste ultime definite come un qualunque insieme di dati sanitari elettronici raccolti nel sistema sanitario, relativi a una persona fisica e utilizzati per scopi sanitari.

Una delle novità rilevanti introdotte dall’accordo fra Parlamento e Consiglio concerne l’obbligo di adottare due componenti software (i.e. l’European interoperability component for EHR system e l’European logging component for EHR systems) nei sistemi EHR, per garantire la possibile condivisione dei dati al di là dei confini dei singoli Stati membri.

E’ stata inoltre introdotta la previsione di un ambiente digitale europeo di testing (European digital testing environment), che la Commissione dovrà sviluppare per la valutazione dei componenti degli “EHR systems”. Inoltre, gli Stati membri sono tenuti ad istituire un ambiente digitale di testing, in conformità con le specifiche previste dalla Commissione con successivi atti esecutivi.

Prima di immettere sul mercato gli “EHR systems”, i produttori saranno tenuti ad utilizzare gli ambienti di testing per valutare i propri sistemi ed i risultati dei test dovranno essere inclusi all’interno della documentazione tecnica che accompagna i sistemi stessi.

Un’ulteriore novità consiste nella possibilità, per i produttori di applicazioni per il wellness, di stabilire l’interoperabilità di tali applicazioni con gli “EHR systems” per l’uso primario dei dati, informando debitamente gli utenti. La condivisione o la trasmissione dei dati tramite tali applicazioni sarà subordinata al consenso dell’utente, che potrà scegliere quali categorie di dati sanitari disponibili sull’applicazione desidera inserire negli “EHR systems”.

L’uso primario dei dati sanitari elettronici

L’art. 5 del Regolamento individua le categorie di dati sanitari elettronici (priority categories of personal electronic health data for primary use) che dovranno essere resi accessibili e condivisi per finalità di cura ed assistenza del paziente, lasciando agli Stati membri la possibilità di aggiungere ulteriori categorie di informazioni.

La Commissione europea avrà il compito di chiarire, con appositi atti di esecuzione, il formato di scambio delle suddette informazioni, che dovrà in ogni caso essere di uso comune, leggibile da dispositivo automatico e consentire la trasmissione di dati sanitari elettronici tra diversi dispositivi, applicazioni e operatori sanitari, supportando sia la trasmissione di dati sanitari strutturati che non strutturati.

Nel nuovo testo sono previsti diversi articoli che disciplinano in modo più dettagliato le modalità di esercizio di una serie di diritti da parte dei pazienti e dei loro rappresentanti, fra cui il diritto di accesso ai dati sanitari elettronici, il diritto di integrare tali dati direttamente tramite il proprio “electronic health record”, il diritto di rettifica dei dati sanitari e quello alla portabilità degli stessi. In tale contesto, la novità più significativa è rappresentata dalla possibilità che gli Stati membri prevedano il c.d. “diritto di opt-out”, vale a dire il diritto dei pazienti ad inibire l’accesso ai propri dati sanitari sia da parte degli operatori sanitari, per l’uso primario, che da parte degli altri soggetti legittimati ad utilizzare i dati per l’uso secondario, sebbene in tal caso il diritto di opt-out sia soggetto ad una serie di condizioni rigorose.

Un’ulteriore importante novità, inserita nell’ultima bozza di Regolamento, è rappresentata dal divieto, per gli operatori sanitari, di addebitare dei costi:

• ai pazienti, per aver chiesto l’accesso ai propri dati sanitari o per averli condivisi; e
• ad altri soggetti, per aver reso loro disponibili i dati sanitari elettronici.

L’uso secondario dei dati

Il Regolamento individua una serie di finalità per le quali è consentito l’uso secondario ed altre per cui deve considerarsi radicalmente vietato. Rientrano ad esempio fra le prime, le finalità di pubblico interesse nel campo della salute pubblica e del lavoro, di ricerca scientifica e di policy making.

L’art. 33 della bozza di Regolamento individua poi le categorie minime di dati che devono essere resi disponibili per l’uso secondario (minimum categories of electronic data for secondary use), con un elenco ben più corposo rispetto a quello riportato all’art. 5 per l’utilizzo primario dei dati sanitari. Anche in tal caso, gli Stati Membri potranno anche prevedere ulteriori categorie di informazioni da rendere accessibili.

In caso di riutilizzo dei dati sanitari, resta comunque salva la necessità di tutelare i dati personali nonché i diritti di proprietà intellettuale ed i segreti commerciali. Gli Stati membri potranno inoltre adottare misure più severe per disciplinare l’accesso a determinati tipi di dati sensibili (ad esempio, quelli genetici), per scopi di ricerca scientifica, prevedendo ulteriori limitazioni rispetto a quelle stabilite dal Regolamento.

Fra le novità introdotte con l’ultima bozza, rientra anche l’esenzione rispetto agli obblighi disposti in relazione all’uso secondario dei dati sanitari elettronici per singoli ricercatori e persone fisiche e persone giuridiche che si qualificano come microimprese.

Conclusioni

L’istituzione dello Spazio Europeo dei Dati Sanitari avrà un impatto significativo sull’intero settore sanitario, potendo generare enormi benefici per gli attori pubblici e privati di tale settore nonché per l’intera collettività.

È dunque importante che gli operatori familiarizzino da subito con i contenuti del Regolamento, per prepararsi alla sua entrata in vigore e valutare come sfruttare al meglio le opportunità offerte dal Regolamento stesso.

Tuttavia, il nuovo assetto porta con sé anche una serie di rischi notevoli, in particolare per la privacy degli individui, per la tutela dei pazienti e per quella dei segreti commerciali. Auspichiamo che le istituzioni europee e gli Stati membri affrontino adeguatamente le criticità connesse all’istituzione dello Spazio Europeo dei Dati Sanitari, attraverso un’approfondita valutazione dei rischi e l’adozione di appropriate misure di protezione dei dati sanitari condivisi.

A nostro avviso, il successo dell’iniziativa europea dipenderà in buona parte dalla capacità degli attori coinvolti di rendere il funzionamento dello Spazio Europeo dei Dati Sanitari sicuro ed affidabile. Ci sembra opportuno citare in chiusura le parole usate dal Comitato Europeo per la Protezione dei Dati e del Garante Europeo della Protezione dei Dati nel parere congiunto 03/2022 emesso in merito alla proposta di Regolamento: “lo Spazio Europeo dei Dati Sanitari dovrebbe fungere da esempio di trasparenza, responsabilizzazione effettiva e giusto equilibrio tra gli interessi dei singoli interessati e l’interesse comune della società nel suo insieme”.

Su un argomento simile può essere d’interesse l’articolo “Fascicolo Sanitario Elettronico 2.0 in Gazzetta Ufficiale – Quali profili privacy?”.

Autrici: Cristina Criscuoli e Roxana Smeria

Gaming and Gambling

Diverse disposizioni sul divieto di pubblicità del gioco d'azzardo in Spagna sono state invalidate dalla Corte Suprema

Diverse disposizioni del divieto di pubblicità del gioco d'azzardo in Spagna sono state invalidate da una decisione della Corte Suprema che potrebbe avere un effetto a catena in altre giurisdizioni europee che hanno adottato restrizioni simili.

La Corte Suprema spagnola ha emesso una sentenza che dichiara nulli alcuni articoli del Regio Decreto spagnolo 958/2020 sulle comunicazioni commerciali delle attività di gioco d'azzardo online (RD 958/2020).

In particolare, sono stati dichiarati nulli i seguenti articoli:

• Articoli 13.1 (divieto di promozioni per acquisire nuovi clienti) e 13.3 (requisiti/criteri per le promozioni). La causa sostiene che l'articolo 13, paragrafo 1, vieta in modo assoluto e incondizionato la possibilità di indirizzare promozioni per attirare nuovi clienti. Inoltre, ritiene che l'articolo 13, paragrafo 3, limiti la possibilità di effettuare comunicazioni commerciali relative alle promozioni. La sentenza della Corte ritiene che non vi sia alcuna copertura giuridica per stabilire questa limitazione che colpisce l'essenza della pubblicità commerciale, volta a offrire e promuovere il prodotto o il servizio per attirare nuovi clienti. Pertanto, conclude che l'articolo 13, paragrafi 1 e 3, deve essere annullato.
• Articolo 15 (apparizione di persone di rilevanza pubblica o di notorietà nelle comunicazioni commerciali). Anche questo articolo viene contestato per la mancanza di una copertura giuridica sufficiente a limitare la comparsa di persone o personaggi di rilevanza pubblica o di notorietà nelle comunicazioni commerciali. In questo senso, la Corte Suprema ritiene che questo divieto manchi di copertura legale. Pertanto, l'articolo 15 del RD 958/2020 viene annullato.
• Articolo 23.1 (divieto di diffondere comunicazioni commerciali da parte degli operatori del gioco d'azzardo nei servizi della società dell'informazione). La Corte Suprema ritiene che questa limitazione non abbia copertura legale e non sia sufficiente per invocare la tutela dei minori. Inoltre, indica che limita la possibilità di indirizzare comunicazioni commerciali a coloro che già utilizzano le pagine web o le applicazioni destinate al gioco d'azzardo. Pertanto, conclude che dovrebbe essere annullato.
• Articolo 25.3 (requisiti per offrire comunicazioni commerciali attraverso la piattaforma di condivisione video). La Corte Suprema ritiene che questa limitazione manchi di copertura legale, data la sua portata generale. Pertanto, conclude che deve essere annullata.
• Articolo 26, paragrafi 2 e 3 (restrizioni all'offerta di comunicazioni commerciali attraverso i social media). Secondo la sentenza della Corte, questa limitazione, come le precedenti, manca di copertura legale nella normativa in vigore al momento dell'emanazione del regolamento e deve, pertanto, essere annullata.

Anche gli articoli 12, da 18 a 22 e 24 del RD 958/2020 sono stati esaminati dalla Corte Suprema. Tuttavia, la loro nullità non è stata presa in considerazione.

La Sentenza della Corte non è soggetta a impugnazione, il che significa che produce effetti dopo la sua pubblicazione, avvenuta il 10 aprile 2024. È essenziale tenere presente che le altre disposizioni del RD 958/2020 sono pienamente applicabili e, pertanto, questa sentenza della Corte non implica un'invalidazione totale del divieto di pubblicità del gioco d'azzardo in Spagna. Tuttavia, la decisione ha un impatto significativo sul mercato spagnolo e potenzialmente su altre giurisdizioni come l'Italia, che ha adottato restrizioni simili.

Vedremo se altri tribunali europei prenderanno in considerazione le argomentazioni della Corte Suprema spagnola. Questa decisione potrebbe cambiare le carte in tavola, annullando la tendenza dei legislatori a imporre pesanti restrizioni sulla pubblicità del gioco d'azzardo.

Su un argomento simile può essere di interesse l’articolo “Sanzione di AgCom da 1,3 milioni di euro per un noto social network per la violazione del divieto di pubblicità del gioco d’azzardo”.

Autori: Paula Gonzalez, Elisa Lorenzo and Andrea Fernandez di DLA Piper Spain

Intellectual Property

Accesso dei terzi agli atti e documenti del procedimento innanzi all'UPC: la prima decisione della Corte d'Appello

Il 10 aprile scorso la Corte d’Appello si è pronunciata in merito alla possibilità per i terzi di accedere agli atti e documenti del procedimento, disciplinata dall’articolo 45 dell’UPCA e dalla Rule 262(1)b delle Rules of Procedure.

Il procedimento muove dall’impugnazione di una decisione resa dalla divisione locale Nordico-Baltica nel mese di ottobre 2023, di cui avevamo parlato qui. Mediante tale pronuncia, la Corte aveva accolto la richiesta di un terzo di accedere agli atti del giudizio, fondata sull’interesse a comprendere come erano state formulate le domande attoree – considerata anche la pendenza di due procedimenti paralleli – e il più generale interesse collettivo a che il dibattito circa il funzionamento del neo-introdotto sistema giudiziario venga arricchito dalla conoscenza degli atti del giudizio.

All’orientamento espresso nella pronuncia nordico-baltica se ne contrapponeva uno più restrittivo, tracciato dalla divisione centrale di Monaco (ne avevamo parlato qui). In particolare, da un lato la divisione centrale di Monaco aveva ritenuto necessario che la richiesta di accedere agli atti e documenti del procedimento si fondasse su un motivo legittimo, concreto e verificabile, attesa anche la distinzione tra la pubblicità dei procedimenti – sancita dall’Art. 45 UPCA – e la pubblicità degli atti delle parti; dall’altro, la divisione locale Nordico-Baltica aveva interpretato il principio di pubblicità dei procedimenti in maniera più estensiva, ritenendo che, in linea di principio, gli atti e i documenti del procedimento dovessero essere rese accessibili al terzo, fuorché nei casi in cui risultasse opportuno mantenerli confidenziali nell’interesse di una parte o in ragione di più generali motivi di giustizia od ordine pubblico.

La Corte di Lussemburgo, chiamata a pronunciarsi sul tema, ha sposato l’orientamento più permissivo.

In particolare, la Corte ha anzitutto chiarito che la nozione di pubblicità del procedimento include anche gli atti dello stesso e che, in linea di principio, questi devono essere pubblicamente accessibili, salvo che i contrapposti interessi coinvolti – in primis quello alla confidenzialità – debbano prevalere all’esito di un attento bilanciamento.

Al fine di consentire ai giudici di valutare la sussistenza dei presupposti per concedere l’accesso agli atti, è comunque necessario che la richiesta del terzo sia sorretta da un’adeguata motivazione e indichi in particolare le finalità della consultazione dei documenti (Rule 262). A questo proposito, la Corte ha comunque osservato che, in linea di massima, può rilevare anche l’interesse generale della collettività a vagliare l’operato della Corte, specie in seguito alla conclusione del procedimento. In pendenza del procedimento, può invece assumere particolare rilievo, tra gli altri, l’interesse diretto di un terzo alla validità di un brevetto o alla interferenza con esso di un prodotto simile a quello da esso commercializzato. In tali circostanze, a parere della Corte, dovrebbe in linea di massima prevalere l’interesse a ottenere accesso agli atti del giudizio, che potrà comunque essere sottoposto ad idonee misure a tutela della confidenzialità, eventualmente estese agli atti e prove oggetto della consultazione nella loro interezza.

In applicazione dei principi espressi, e in assenza di una richiesta dell’appellante di mantenere confidenziali specifiche informazioni contenute negli atti in questione, la Corte ha dunque confermato la decisione della divisione di primo grado.

Su un argomento simile può essere di interesse l’articolo “Procedimenti davanti all'UPC: un aggiornamento a marzo 2024”.

Autori: Massimiliano Tiberio e Camila Francesca Crisci

Technology, Media and Telecommunications

L’AGCom ha avviato la seconda consultazione pubblica per l’aggiornamento del calcolo dei costi del servizio di roaming internazionale

Con la comunicazione del 19 aprile scorso l’AGCom ha reso noto di aver avviato, per conto della Commissione europea, la seconda consultazione pubblica avente ad oggetto la proposta di aggiornamento del modello di costo per la definizione dei costi all’ingrosso di roaming.

La consultazione pubblica in commento, preceduta da una prima avviata a gennaio 2024, si pone nel contesto del processo per la revisione dei costi del servizio di roaming internazionale all’ingrosso intrapreso dalla Commissione a giugno 2023. Tale processo di aggiornamento si è reso necessario alla luce della nuova regolamentazione sul roaming recata dal Regolamento UE 2022/612, che impone alla Commissione di effettuare riesami e presentare relazioni al Parlamento europeo e al Consiglio – entro il 30 giugno, rispettivamente, del 2025 e 2029 – accompagnandole se del caso con una proposta legislativa di modifica del Reg. 2022/612 laddove reso necessario dagli sviluppi del mercato.

La Commissione, ritenendo necessario consentire alle parti interessate di presentare osservazioni sugli orientamenti della Commissione relativi ai temi oggetto di consultazione, ha quindi demandato alle autorità nazionali di regolamentazione il compito di raccogliere i contributi dei soggetti nazionali interessati. Gli esiti della prima consultazione pubblica avviata dall’AGCom a gennaio 2024 hanno portato la Commissione a predisporre una nuova versione del modello di costo che, attualmente, forma oggetto della seconda consultazione in commento.

Tra gli obiettivi della consultazione vi sono quelli di (i) fornire piena trasparenza per quanto riguarda la metodologia, gli input e i risultati del modello di costo sviluppato per calcolare i costi di fornitura del servizio di roaming internazionale, (ii) raccogliere i contributi di soggetti interessati su metodologia, input e risultati del secondo modello aggiornato di costo, e (iii) massimizzare l’accuratezza e la rappresentatività dei risultati per ciascuno dei Paesi coinvolti nello studio dei costi.

I documenti sottoposti a consultazione pubblica sono stati predisposti dalla Commissione e riguardano, tra l’altro, le caratteristiche e il funzionamento del nuovo modello per il calcolo dei costi, gli algoritmi utilizzati, la metodologia adottata ai fini dell’aggiornamento e altri aspetti di carattere tecnico.

I soggetti interessati a partecipare alla consultazione pubblica dovranno trasmettere i loro contributi entro il 20 maggio 2024.

Su un simile argomento può essere interessante l’articolo “Consultazione pubblica del BEREC sulle comunicazioni machine-to-machine e sul roaming permanente”.

Autrici: Flaminia Perna e Matilde Losa

La rubrica Innovation Law Insights è stata redatta dai professionisti dello studio legale DLA Piper con il coordinamento di Arianna Angilletta, Edoardo Bardelli, Carolina Battistella, Carlotta Busani, Giorgia Carneri, Silvia Cerrato, Maria Rita Cormaci, Camila Crisci, Cristina Criscuoli, Tamara D’Angeli, Chiara D’Onofrio, Federico Maria Di Vizio, Enila Elezi, Nadia Feola, Claudia Galatioto, Laura Gastaldi, Vincenzo Giuffré, Marco Guarna, Nicola Landolfi, Giacomo Lusardi, Valentina Mazza, Lara Mastrangelo, Maria Chiara Meneghetti, Dalila Mentuccia, Deborah Paracchini, Tommaso Ricci, Miriam Romeo, Rebecca Rossi, Roxana Smeria, Massimiliano Tiberio, Alessandra Tozzi, Giulia Zappaterra

Gli articoli in materia di Telecommunications sono a cura di Massimo D’Andrea, Flaminia Perna e Matilde Losa.

Per maggiori informazioni sugli argomenti trattati, è possibile contattare i soci responsabili delle questioni Giulio Coraggio, Marco de Morpurgo, Gualtiero Dragotti, Alessandro Ferrari, Roberto Valenti, Elena Varese, Alessandro Boso Caretta, Ginevra Righini.

Scoprite Prisca AI Compliance, il tool di legal tech sviluppato da DLA Piper per valutare la maturità dei sistemi di intelligenza artificiale rispetto alle principali normative e standard tecnici qui.

È possibile sapere di più su “Transfer”, il tool di legal tech realizzato da DLA Piper per supportare le aziende nella valutazione dei trasferimenti dei dati fuori dello SEE (TIA) qui e consultare una pubblicazione di DLA Piper che illustra la normativa sul Gambling qui, nonché un report che analizza le principali questioni legali derivanti dal metaverso qui, e una guida comparativa delle norme in materia di loot boxes qui.

DLA Piper Studio Legale Tributario Associato tratta i dati personali in conformità con l'informativa sul trattamento dei dati personali disponibile qui.

Qualora non si volesse più ricevere gli Innovation Law Insights o ci si volesse iscrivere alla stessa, è possibile inviare un'email a Silvia Molignani.