Riassunto esame Informatica giuridica, Prof. Durante Massimo, libro consigliato La politica dei dati, Durante massimo

DATI, SOVRANITÀ, NUOVI MODELLI DI GOVERNANCE

Nelle comunicazioni europee sulle strategie per il digitale è diventato uso comune il termine "sovranità digitale". Il termine, tuttavia, ha accezioni diverse in USA e in Europa:

• USA: il termine ha la funzione di rafforzare gli attori della data economy e la libertà di espressione;
• Unione europea: mira a raggiungere la piena sovranità digitale, ovvero "autonomia digitale", per proteggere sia la società basata su valori e diritto europei, sia il mercato unico dei servizi digitali, supportandone la competitività con attori come USA e Cina.

Analisi sul tema della sovranità dei dati nei provvedimenti del legislatore europeo: a seguire.

Sovranità dei dati nel data package europeo

I provvedimenti del data package sono raggruppati in questo unico elemento che norma la nostra società digitale.

Una prima osservazione è quella di stampo linguistico: mentre

• Regolamento (UE) 2016/679 (General Data Protection Regulation);
• Regolamento (UE) 2018/1807 sulla libera circolazione di dati non personali;
• Regolamento (UE) 2019/881 (Cybersecurity Act);
• Direttiva (UE) 2019/1024 (Direttiva Open Data);
• Proposta di Data Governance Act del 25 novembre 2020;
• Proposta di Artificial Intelligence Act 21/4/2021;
• Proposta di Regolamento E-Privacy del 2017, Proposta di Digital Services Act e Proposta di Digital Market Act entrambe del 15/12/2020;
• Proposta di un Data Act europeo del 23/02/2022.

Sovranità e territorio

previsto (se non previsto come) dalle fonti europee. Sempre per la libera circolazione si è espresso il Regolamento EU 2018/1807 che sancisce la libera circolazione all'interno dell'UE per i dati non personali. Insieme al GDPR, dunque, forniscono un insieme coerente di norme che disciplinano la libera circolazione di diversi tipi di dati. Anche per i dati non personali il principio di libera circolazione è soggetto a limitazioni ovvero obblighi di localizzazione: l'art. 4 del Regolamento afferma che la localizzazione di dati è vietata a meno che non vi siano giustificati motivi di sicurezza pubblica. (?) La fiducia nei trattamenti transfrontalieri di dati richiede una tutela della loro libera circolazione e della loro de-localizzazione: entrambi sono oggetto della Proposta di Data Governance Act pubblicata dalla commissione europea nel 2020. La proposta è quella di istituire spazi comuni europei specifici per dominio, per la costituzione di un quadro

1. Dicembre 2020: NIS 2, revisione della direttiva NIS, ovvero la direttiva sulla sicurezza delle reti e dei sistemi informatici;
2. Giugno 2021: pienamente operativo il Cyber Security Act;
3. ENISA (Agenzia dell'UE per la sicurezza delle reti e dell'informazione) si occupa di sicurezza informatica e fornisce supporto agli stati membri, alle istituzioni e alle imprese in settori chiave. Il Cyber Security Act ne rafforza il ruolo. L'agenzia è il perno di un sistema di cooperazione che include diversi organismi europei e nazionali, tra cui: ISACs e CSIRTs;
   1. Information Sharing and Analysis Centres sono presenti sia a livello europeo che nazionale, questi centri promuovono la collaborazione interna alla comunità della sicurezza informatica; viene anche fornito supporto legale ai diversi centri grazie a un consorzio di responsabilizzazione degli ISACs;
   2. Computer Security Incident Response Team sono gruppi di risposta agli incidenti

disicurezza informatica il cui funzionamento è garantito dagli stati membri come attuazione della direttiva NIS: fondamentale garantire l'effettività degli strumenti e delle risposte agli incidenti e ai rischi per la sicurezza informatica. Questi gruppi cooperano tra di loro sia a livello europeo sia con il settore privato.

4. Raccomandazione 2017/1584 relativa alla risposta coordinata agli incidenti e alle crisi di cibersicurezza su vasta scala: la commissione ha voluto rafforzare la gestione della cibersicurezza per crisi coinvolgenti almeno due stati membri, fornendo un piano di risposta coordinata in caso di incidenti o crisi.

5. Parallelamente all'entrata in funzione del CSA nel giugno 2021 la commissione ha lanciato la proposta di creare una Joint Cyber Unit a livello europeo.

N.B.: i primi 3 strumenti sono di gestione ordinaria.

Extraterritorialità del diritto europeo

L'unione europea è sempre più orientata a stabilire

L'extraterritorialità delle normative sui dati al di fuori dei confini. È riuscita ad estendere unilateralmente e progressivamente l'applicazione delle proprie regole con effetti giuridici extraterritoriali.

Due sono gli esempi della vocazione extraterritoriale del diritto europeo sui dati:

1. L'art. 3 del GDPR stabilisce i requisiti della propria applicazione territoriale includendo per elementi di extraterritorialità. Pur non utilizzando il termine specifico "extraterritoriale", il GDPR include titolari/responsabili del trattamento non inclusi nell'UE ma che trattano dati relativi all'offerta di beni e servizi che vengono offerti a soggetti europei o che monitorano il comportamento delle persone che si trovano nell'UE. Non viene quindi imposto nulla direttamente a soggetti extra UE bensì l'imposizione è indiretta in quanto viene applicata a soggetti terzi che trattino nelle casistiche elencate sopra.

(monitoraggio o offerta di b/s).

2- Artificial Intelligence Act: norme applicabili sia agli utenti di sistemi di AI che sono situati in Europa sia ai fornitori di sistemi di AI che, extra UE, introducano o mettano in servizio sistemi di AI nel mercato interno.

Problemi attuali

• Minacce straordinarie: l'intenzionalità degli attacchi informatici (=malevoli) va gestita oggi parallelamente ai rischi per eventi di tipo ordinario.
• Il Brussels Effect deve coesistere con una serie di regole bilaterali e multilaterali nell'ambito delle negoziazioni e del mercato, definite a livello sia pubblico che privato. È quindi tanto complesso quanto necessario bilanciare le regole per continuare a dare importanza all'extraterritorialità del GDPR ma allo stesso tempo garantire a queste regole una coesistenza con accordi commerciali extraUE ecc.

Effetto Brussels: extraterritorialità dei regimi dei dati in un paese, che hanno effetto al di fuori. Termine coniato nel 2012.

Allargamento sistematico dell'efficacia delle regole europee al difuori dei confini europei. Limite: espansività del diritto europeo dipende dal fatto che un'impresa scelga un settore di intervento in cui ci sono standard secondo il livello europeo. Un altro limite è la possibilità di offrire una tutela giurisdizionale. AIA 2021 prevede l'applicazione non solo a utenti di sistemi di IA in Europa ma anche a fornitori di IA stabiliti in UE o altri Paesi che immettano servizi in Europa. Dipende da quali sono e come operano i servizi proposti in Europa. L'applicazione di questa norma dipende dal fatto che i servizi sono offerti in Europa a prescindere dal tipo di servizio.

IL DIRITTO ANTIDISCRIMINATORIO ALLA PROVA DEGLI ALGORITMI

Introduzione

Gli effetti discriminatori delle decisioni automatizzate sono ormai questioni all'ordine del giorno; essi vengono controbilanciati dalle proposte regolative, che ottengono un prezioso contributo dai critical