REGOLAMENTO (UE) 2018/1807 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 14 novembre 2018 relativo a un quadro applicabile alla libera circolazione dei dati non personali nell'Unione europea (Testo rilevante ai fini del SEE)

(1)

L'economia si sta velocemente digitalizzando. Le tecnologie dell'informazione e della comunicazione non costituiscono più un settore a sé stante, bensì sono la base stessa di tutti i sistemi economici e delle società innovativi e moderni. I dati elettronici sono al centro di tali sistemi e, quando sono analizzati o utilizzati in associazione a servizi e prodotti, possono generare un ingente valore. Allo stesso tempo, il rapido sviluppo dell'economia dei dati e di tecnologie emergenti come l'intelligenza artificiale, i prodotti e i servizi relativi all'Internet degli oggetti, i sistemi autonomi e la tecnologia 5G sollevano nuove questioni giuridiche relative all'accesso ai dati e al loro riutilizzo, alla responsabilità, all'etica e alla solidarietà. Si dovrebbe considerare l'opportunità di lavorare in materia di responsabilità, segnatamente attraverso l'impiego di codici di autoregolamentazione e altre migliori prassi, tenendo conto delle raccomandazioni, delle decisioni e delle azioni adottate senza interazione umana lungo l'intera catena del valore del trattamento dei dati. Tali lavori potrebbero anche contemplare meccanismi appropriati per determinare la responsabilità, per trasferire la responsabilità tra servizi che cooperano, per l'assicurazione e per l'audit.

(2)

Le catene del valore dei dati sono il risultato di diverse attività relative ai dati: la creazione e la raccolta; l'aggregazione e l'organizzazione; il trattamento; l'analisi, la commercializzazione e la distribuzione; l'utilizzo e il riutilizzo. Il funzionamento efficace ed efficiente del trattamento di dati costituisce un elemento fondamentale di qualsiasi catena del valore dei dati. Eppure, tale trattamento di dati efficace ed efficiente e l'evoluzione dell'economia dei dati nell'Unione sono compromessi principalmente da due tipi di ostacoli relativi alla mobilità dei dati e al mercato interno: gli obblighi in materia di localizzazione dei dati posti in essere dalle autorità degli Stati membri e pratiche di «vendor lock-in» nel settore privato.

(3)

La libertà di stabilimento e la libertà di fornire servizi in virtù del trattato sul funzionamento dell'Unione europea (TFUE) si applicano ai servizi di trattamento di dati. Tuttavia, la prestazione di tali servizi è ostacolata – ove non impedita – da alcune disposizioni nazionali, regionali o locali che impongono obblighi di localizzazione dei dati in un determinato territorio.

(4)

Tali ostacoli alla libera circolazione dei servizi di trattamento di dati e al diritto di stabilimento dei fornitori di servizi di trattamento di dati discendono da disposizioni contenute nelle legislazioni degli Stati membri che impongono obblighi di localizzazione dei dati a fini di trattamento di dati in una determinata area geografica o territorio. Altre norme o pratiche amministrative hanno un effetto equivalente quando introducono requisiti specifici che rendono più difficile trattare dati al di fuori di un determinato territorio o area geografica all'interno dell'Unione, ad esempio l'obbligo di utilizzare dispositivi tecnologici che siano certificati o omologati in un determinato Stato membro. L'incertezza giuridica circa la portata degli obblighi – giustificati o ingiustificati – di localizzazione dei dati limita ulteriormente le scelte disponibili agli operatori del mercato e del settore pubblico per quanto riguarda la localizzazione dei dati trattati. Il presente regolamento non limita in alcun modo la libertà delle imprese di stipulare contratti che stabiliscano dove devono essere localizzati i dati. Il presente regolamento è inteso unicamente a salvaguardare tale libertà garantendo che il luogo stabilito possa trovarsi ovunque nell'Unione.

(5)

Allo stesso tempo, la mobilità dei dati all'interno dell'Unione è anche ostacolata da restrizioni relative al settore privato, quali aspetti giuridici, contrattuali e tecnici che ostacolano o impediscono agli utenti di servizi di trattamento di dati di trasferire i propri dati da un fornitore di servizi a un altro o di ritrasferirli verso i propri sistemi informatici, non da ultimo al termine del loro contratto con il fornitore di servizi.

(6)

La combinazione di tali ostacoli ha determinato una mancanza di concorrenza tra i fornitori di servizi cloud nell'Unione, diversi problemi di «vendor lock-in» e gravi carenze in termini di mobilità dei dati. Analogamente, le politiche di localizzazione dei dati hanno compromesso la capacità delle aziende di ricerca e sviluppo di agevolare la collaborazione tra imprese, università e altre organizzazioni di ricerca allo scopo di sostenere l'innovazione.

(7)

Un unico insieme di regole per tutti i partecipanti al mercato costituisce un elemento essenziale per il corretto funzionamento del mercato interno, affinché siano garantite la certezza del diritto e la parità di condizioni all'interno dell'Unione. Al fine di rimuovere gli ostacoli agli scambi ed evitare distorsioni della concorrenza derivanti da divergenti normative nazionali, nonché per prevenire il probabile insorgere di ulteriori ostacoli e distorsioni significative, è necessario adottare norme uniformi applicabili in tutti gli Stati membri.

(8)

Il quadro giuridico relativo alla protezione delle persone fisiche con riguardo al trattamento di dati personali, al rispetto della vita privata e alla protezione dei dati personali nelle comunicazioni elettroniche, e segnatamente il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (3), nonché le direttive (UE) 2016/680 (4) e 2002/58/CE (5) del Parlamento europeo e del Consiglio, non sono pregiudicati dal presente regolamento.

(9)

L'espansione dell'Internet degli oggetti, l'intelligenza artificiale e l'apprendimento automatico rappresentano fonti importanti di dati non personali, ad esempio a seguito del loro utilizzo in processi automatizzati di produzione industriale. Fra gli esempi specifici di dati non personali figurano gli insiemi di dati aggregati e anonimizzati usati per l'analisi dei megadati, i dati sull'agricoltura di precisione che possono contribuire a monitorare e ottimizzare l'uso di pesticidi e acqua, o i dati sulle esigenze di manutenzione delle macchine industriali. Se i progressi tecnologici consentono di trasformare dati anonimizzati in dati personali, tali dati sono trattati come dati personali e si applica di conseguenza il regolamento (UE) 2016/679.

(10)

A norma del regolamento (UE) 2016/679, gli Stati membri non possono limitare o vietare la libera circolazione dei dati personali all'interno dell'Unione per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento di dati personali. Il presente regolamento sancisce il medesimo principio di libera circolazione all'interno dell'Unione per i dati non personali, tranne nei casi in cui una limitazione o un divieto sono giustificati per motivi di sicurezza pubblica. Il regolamento (UE) 2016/679 e il presente regolamento forniscono un insieme coerente di norme che disciplinano la libera circolazione di diversi tipi di dati. Inoltre, il presente regolamento non impone l'obbligo di archiviare separatamente i diversi tipi di dati.

(11)

Per istituire un quadro applicabile alla libera circolazione dei dati non personali nell'Unione e creare il fondamento per lo sviluppo dell'economia dei dati e il rafforzamento della competitività dell'industria dell'Unione, è necessario stabilire regole giuridiche chiare, complete e prevedibili per il trattamento di dati diversi dai dati personali nel mercato interno. Un approccio basato sui principi che preveda la cooperazione tra gli Stati membri e l'autoregolamentazione dovrebbe garantire un quadro normativo sufficientemente flessibile da poter tener conto dell'evoluzione delle esigenze degli utenti, dei fornitori di servizi e delle autorità nazionali nell'Unione. Onde evitare il rischio di sovrapposizioni con i meccanismi esistenti e, di conseguenza, oneri maggiori sia per gli Stati membri che per le imprese, è opportuno non introdurre norme tecniche dettagliate.

(12)

Il presente regolamento non dovrebbe pregiudicare il trattamento di dati, nella misura in cui questo è effettuato nell'ambito di un'attività che non è disciplinata dal diritto dell'Unione. In particolare, è opportuno rammentare che a norma dell'articolo 4 del trattato sull'Unione europea (TUE), la sicurezza nazionale resta di esclusiva competenza di ciascuno Stato membro.

(13)

La libera circolazione dei dati nell'Unione svolgerà un ruolo importante nel raggiungere una crescita e un'innovazione basate sui dati. Come le imprese e i consumatori, anche le autorità pubbliche e gli organismi di diritto pubblico degli Stati membri traggono beneficio da una maggiore libertà di scelta per quanto riguarda i fornitori di servizi basati sui dati, da prezzi più competitivi e da una maggiore efficienza nella prestazione di servizi ai cittadini. Considerata la grande quantità di dati che le autorità e gli organismi di diritto pubblico gestiscono, è estremamente importante che essi diano l'esempio avvalendosi di servizi di trattamento dei dati e si astengano dall'applicare restrizioni alla localizzazione dei dati quando utilizzano i servizi di trattamento dei dati. Pertanto, le autorità e gli organismi di diritto pubblico dovrebbero essere contemplati dal presente regolamento. A tale riguardo, il principio della libera circolazione dei dati non personali di cui al presente regolamento dovrebbe applicarsi inoltre alle prassi amministrative generali e coerenti e ad altri requisiti di localizzazione dei dati nel settore degli appalti pubblici, fatta salva la direttiva 2014/24/UE del Parlamento europeo e del Consiglio (6).

(14)

Come la direttiva 2014/24/UE, il presente regolamento fa salve le disposizioni legislative, regolamentari e amministrative relative all'organizzazione interna degli Stati membri che assegnano tra autorità pubbliche e organismi di diritto pubblico poteri e responsabilità in materia di trattamento dei dati senza remunerazione contrattuale di soggetti privati nonché le disposizioni legislative, regolamentari e amministrative degli Stati membri che regolano l'esercizio di tali poteri e responsabilità. Mentre le autorità pubbliche e gli organismi di diritto pubblico sono incoraggiate a considerare i vantaggi economici e di altro tipo dell'esternalizzazione a fornitori esterni di servizi, essi potrebbero avere ragioni legittime per scegliere l'autofornitura di servizi o l'internalizzazione. Di conseguenza, il presente regolamento non obbliga in alcun modo gli Stati membri a subappaltare o esternalizzare la fornitura di servizi che essi intendono fornire direttamente o organizzare con mezzi diversi dagli appalti pubblici.

(15)

Il presente regolamento dovrebbe applicarsi alle persone fisiche o giuridiche che forniscono servizi di trattamento di dati a utenti residenti o stabiliti nell'Unione, comprese quelle che forniscono servizi di trattamento di dati nell'Unione senza esservi stabilite. Il presente regolamento non dovrebbe pertanto applicarsi ai servizi di trattamento di dati svolti al di fuori dell'Unione e ai requisiti di localizzazione relativi a tali dati.

(16)

Il presente regolamento non stabilisce norme relative alla determinazione della legge applicabile in materia commerciale e lascia pertanto impregiudicato il regolamento (CE) n. 593/2008 del Parlamento europeo e del Consiglio (7). In particolare, nella misura in cui la legge applicabile a un contratto non è stata scelta a norma di tale regolamento, il contratto di prestazione di servizi è disciplinato, in linea di principio, dalla legge del paese in cui il prestatore di servizi ha la residenza abituale.

(17)

Il presente regolamento dovrebbe intendere i trattamenti di dati nell'accezione più ampia possibile, indipendentemente dal tipo di sistema della tecnologia dell'informazione utilizzato e sia che tali operazioni siano effettuate nei locali dell'utente o siano esternalizzate ad un fornitore di servizi. Esso dovrebbe contemplare il trattamento di dati a diversi livelli di intensità, dall'archiviazione (Infrastructure-as-a-Service - IaaS) al trattamento di dati su piattaforme (Platform-as-a-Service - PaaS) o in applicazioni (Software-as-a-Service - SaaS).

(18)

Gli obblighi di localizzazione dei dati costituiscono un chiaro ostacolo alla libera prestazione di servizi di trattamento di dati in tutta l'Unione e al mercato interno. In quanto tali, dovrebbero essere vietati tranne quando siano giustificati da motivi di pubblica sicurezza, ai sensi del diritto dell'Unione, in particolare ai sensi dell'articolo 52 TFUE, e soddisfino il principio di proporzionalità sancito dall'articolo 5 TUE. Al fine di dare concreta attuazione al principio della libera circolazione transfrontaliera dei dati non personali, assicurare la rapida rimozione degli obblighi di localizzazione dei dati esistenti e consentire, per motivi operativi, il trattamento di dati in più località distribuite nel territorio dell'Unione, e atteso che il presente regolamento prevede misure per garantire la disponibilità dei dati ai fini del controllo di regolamentazione, è opportuno che gli Stati membri possano invocare unicamente la sicurezza pubblica come giustificazione per gli obblighi di localizzazione dei dati.

(19)

La nozione di «pubblica sicurezza» ai sensi dell'articolo 52 TFUE, nell'interpretazione datane dalla Corte di giustizia, riguarda la sicurezza sia interna che esterna di uno Stato membro, come pure le questioni di incolumità pubblica, in particolare al fine di agevolare le indagini, l'accertamento e il perseguimento di reati. Presuppone l'esistenza di una minaccia reale e sufficientemente grave a uno degli interessi fondamentali della società, quale il pregiudizio al funzionamento delle istituzioni e dei servizi pubblici essenziali nonché all'incolumità della popolazione, come il rischio di perturbazioni gravi dei rapporti internazionali o della coesistenza pacifica dei popoli, o ancora il pregiudizio agli interessi militari. Conformemente al principio di proporzionalità, gli obblighi di localizzazione dei dati giustificati da motivi imperativi di pubblica sicurezza dovrebbero essere adatti al raggiungimento dell'obiettivo perseguito e limitarsi a quanto è necessario per conseguire tale obiettivo.

(20)

Per garantire l'efficace applicazione del principio della libera circolazione transfrontaliera di dati non personali ed evitare l'insorgere di nuovi ostacoli al corretto funzionamento del mercato interno, è opportuno che gli Stati membri comunichino immediatamente alla Commissione qualsiasi progetto di atto che introduca un nuovo obbligo di localizzazione dei dati o ne modifichi uno esistente. Tali progetti di atto dovrebbero essere presentati e valutati conformemente alla direttiva (UE) 2015/1535 del Parlamento europeo e del Consiglio (8).

(21)

Inoltre, onde eliminare le potenziali barriere esistenti è opportuno che gli Stati membri procedano, nel corso di un periodo transitorio di 24 mesi a decorrere dalla data di applicazione del presente regolamento, al riesame delle vigenti disposizioni legislative, regolamentari e amministrative di carattere generale che stabiliscono gli obblighi di localizzazione dei dati e che comunichino alla Commissione tutti gli obblighi di localizzazione dei dati che ritengono conformi al presente regolamento, corredandoli della giustificazione. Ciò dovrebbe consentire alla Commissione di esaminare la conformità di tutti i rimanenti obblighi di localizzazione dei dati. È opportuno attribuire alla Commissione la facoltà, ove opportuno, di presentare osservazioni allo Stato membro in questione. Tali osservazioni potrebbero contemplare la raccomandazione di modificare o abrogare l'obbligo di localizzazione dei dati.

(22)

L'obbligo di comunicare alla Commissione gli obblighi vigenti di localizzazione dei dati e i relativi progetti di atti, stabilito dal presente regolamento, dovrebbe applicarsi agli obblighi regolamentari di localizzazione dei dati e ai progetti di atti di natura generale, ma non alle decisioni rivolte a una persona fisica o giuridica specifica.

(23)

Al fine di garantire la trasparenza degli obblighi di localizzazione dei dati negli Stati membri stabiliti in disposizioni legislative, regolamentari o amministrative di natura generale per le persone fisiche e giuridiche, quali fornitori di servizi e utenti di servizi di trattamento di dati, gli Stati membri dovrebbero pubblicare le informazioni relative a tali obblighi in un portale unico nazionale on line d'informazione, che sarà aggiornato periodicamente. In alternativa gli Stati membri dovrebbero fornire tali informazioni aggiornate in merito a tali obblighi presso un portale informazioni centralizzato istituito da un altro atto dell'Unione. Per informare adeguatamente le persone fisiche e giuridiche sugli obblighi di localizzazione dei dati in tutta l'Unione, è opportuno che gli Stati membri comunichino alla Commissione l'indirizzo di detti portali unici d'informazione. La Commissione dovrebbe pubblicare tali informazioni sul suo sito web insieme a un elenco consolidato, aggiornato periodicamente, di tutti gli obblighi di localizzazione dei dati in vigore negli Stati membri, comprendente informazioni sintetiche su detti obblighi.

(24)

Gli obblighi di localizzazione dei dati derivano spesso dalla mancanza di fiducia nelle operazioni transfrontaliere di trattamento di dati, dovuta alla presunta indisponibilità dei dati alle autorità competenti degli Stati membri per l'esercizio delle loro funzioni, quali l'ispezione e l'audit nell'ambito di un controllo regolamentare o di vigilanza. Tale mancanza di fiducia non può essere superata soltanto con la nullità delle clausole contrattuali che vietano l'accesso legittimo ai dati da parte delle autorità competenti per l'esercizio delle loro funzioni ufficiali. Pertanto, il presente regolamento dovrebbe precisare chiaramente che esso non pregiudica la facoltà delle autorità competenti di chiedere od ottenere l'accesso ai dati conformemente al diritto dell'Unione o nazionale, e che tale accesso non può essere rifiutato alle autorità competenti per il fatto che i dati sono trattati in un altro Stato membro. Le autorità competenti potrebbero imporre requisiti funzionali a sostegno dell'accesso ai dati, come ad esempio l'obbligo di conservare le descrizioni del sistema nello Stato membro interessato.

(25)

Le persone fisiche o giuridiche che sono tenute a fornire dati alle autorità competenti possono conformarsi a tali obblighi fornendo e garantendo alle autorità competenti l'accesso elettronico effettivo e tempestivo ai dati, indipendentemente dallo Stato membro nel cui territorio i dati sono trattati. Tale accesso può essere garantito da clausole e condizioni contrattuali stipulate tra la persona fisica o giuridica soggetta all'obbligo di garantire l'accesso e il fornitore di servizi.

(26)

Quando una persona fisica o giuridica è soggetta a un obbligo di fornire i dati e non vi ottempera, l'autorità competente dovrebbe poter chiedere assistenza alle autorità competenti di altri Stati membri. In tali casi, è opportuno che le autorità competenti utilizzino gli specifici strumenti di cooperazione previsti dal diritto dell'Unione o a norma di accordi internazionali, ad esempio, a seconda della materia trattata, rispettivamente nel settore della cooperazione di polizia, penale o civile o amministrativa: la decisione quadro 2006/960/GAI del Consiglio (9), la direttiva 2014/41/UE del Parlamento europeo e del Consiglio (10), la Convenzione sulla criminalità informatica del Consiglio d'Europa (11), il regolamento (CE) n. 1206/2001 del Consiglio (12), la direttiva 2006/112/CE del Consiglio (13) e il regolamento (UE) n. 904/2010 del Consiglio (14). In mancanza di tali meccanismi specifici di cooperazione, le autorità competenti dovrebbero cooperare tra loro in modo da fornire l'accesso ai dati richiesti per il tramite dei punti di contatto unici designati.

(27)

Se una richiesta di assistenza comporta che l'autorità richiesta ottenga l'accesso a tutti i locali di una persona fisica o giuridica, compresi tutti gli strumenti e dispositivi di trattamento di dati, tale accesso deve essere conforme al diritto dell'Unione o alle norme procedurali nazionali, compreso l'eventuale obbligo di ottenere una previa autorizzazione giudiziaria.

(28)

Il presente regolamento non dovrebbe consentire agli utilizzatori di tentare di eludere l'applicazione del diritto nazionale. È pertanto opportuno adottare disposizioni affinché gli Stati membri impongano sanzioni effettive, proporzionate e dissuasive agli utenti che impediscono alle autorità competenti di accedere ai propri dati, necessari alle autorità competenti per l'esercizio delle loro funzioni ufficiali a norma del diritto dell'Unione e nazionale. In casi urgenti, qualora un utente abusi del proprio diritto, gli Stati membri dovrebbero poter imporre misure provvisorie rigorosamente proporzionate. Eventuali misure provvisorie che richiedano la rilocalizzazione dei dati per un periodo superiore a 180 giorni dopo la rilocalizzazione si discosterebbero dal principio della libera circolazione dei dati per un periodo significativo e dovrebbero pertanto essere comunicate alla Commissione ai fini dell'esame della loro compatibilità con il diritto dell'Unione.

(29)

La portabilità dei dati senza impedimenti è uno degli elementi fondamentali che agevolano la scelta degli utenti e stimolano la concorrenza effettiva nei mercati dei servizi di trattamento di dati. Inoltre le difficoltà reali o percepite relative alla portabilità transfrontaliera dei dati compromettono la fiducia degli utenti professionali nelle offerte transfrontaliere, e di conseguenza, la loro fiducia nel mercato interno. Mentre i consumatori singoli traggono vantaggi dal vigente diritto dell'Unione, essa non facilita gli utenti che intendono cambiare fornitore di servizi nell'ambito della loro attività imprenditoriale o professionale. Anche l'adozione di requisiti tecnici coerenti in tutta l'Unione, per quanto riguarda l'armonizzazione tecnica, il riconoscimento reciproco o l'armonizzazione volontaria, contribuisce allo sviluppo di un mercato interno competitivo per i servizi di trattamento dati.

(30)

Perché possano trarre pienamente vantaggio dall'ambiente concorrenziale, è opportuno che gli utenti professionali siano in grado di compiere scelte informate e di confrontare facilmente i singoli elementi dei servizi di trattamento di dati offerti nel mercato interno, anche sotto il profilo delle clausole e condizioni contrattuali di portabilità dei dati al termine del contratto. Per mantenere il passo con la potenziale innovazione del mercato e tener conto dell'esperienza e delle competenze dei fornitori di servizi e degli utenti professionali di servizi di trattamento di dati, le informazioni dettagliate e i requisiti operativi per la portabilità dei dati dovrebbero essere definiti dagli operatori del mercato mediante autoregolamentazione, incoraggiati, agevolati e controllati dalla Commissione, in forma di codici di condotta dell'Unione che potrebbero contemplare clausole e condizioni contrattuali tipo.

(31)

Per essere efficaci e facilitare il cambio tra fornitori di servizi e la portabilità dei dati, tali codici di condotta dovrebbero essere esaustivi e riguardare almeno gli aspetti fondamentali che sono importanti durante il processo di portabilità dei dati, quali le procedure per e il luogo in cui è effettuato il backup dei dati, i formati e i supporti dei dati disponibili, la configurazione informatica e la larghezza minima di banda della rete richieste, il tempo necessario per avviare la procedura di trasferimento dei dati e il periodo in cui i dati saranno disponibili per il trasferimento, nonché le garanzie di accesso ai dati in caso di fallimento del fornitore di servizi. I codici di condotta dovrebbero altresì chiarire che le pratiche di «vendor lock-in» non sono pratiche commerciali accettabili, prevedere tecnologie che incrementino la fiducia ed essere periodicamente aggiornati per restare al passo con gli sviluppi tecnologici. La Commissione dovrebbe garantire che tutte le parti interessate, incluse le associazioni di piccole e medie imprese (PMI) e le start-up, gli utenti e i fornitori di servizi cloud siano consultate durante tutte le fasi del processo. La Commissione dovrebbe valutare l'elaborazione e l'efficacia dell'attuazione di tali codici di condotta.

(32)

Quando un'autorità competente di uno Stato membro chiede l'assistenza di un altro Stato membro per avere accesso ai dati sulla base del presente regolamento, dovrebbe presentare al punto di contatto unico di quest'ultimo, per il tramite del punto di contatto unico designato, una richiesta debitamente giustificata, che dovrebbe contenere una illustrazione scritta dei motivi e delle basi giuridiche per accedere ai dati. Il punto di contatto unico designato dallo Stato membro a cui è richiesta l'assistenza dovrebbe facilitare la trasmissione della richiesta all'autorità competente nello Stato membro richiesto. Onde garantire una cooperazione efficace, l'autorità richiesta dovrebbe fornire tempestivamente l'assistenza richiesta o fornire informazioni sulle difficoltà incontrate nel soddisfare tale richiesta di assistenza o sui motivi del rifiuto di tale richiesta.

(33)

Rafforzare la fiducia nella sicurezza del trattamento transfrontaliero dei dati dovrebbe ridurre la tendenza degli operatori del mercato e del settore pubblico a servirsi della localizzazione dei dati come sostituto della sicurezza dei dati. Dovrebbe inoltre migliorare la certezza del diritto per le imprese circa il rispetto degli obblighi di sicurezza applicabili in caso di esternalizzazione delle loro attività di trattamento di dati a fornitori di servizi, inclusi i fornitori in altri Stati membri.

(34)

I requisiti di sicurezza connessi al trattamento di dati che sono applicati in modo giustificato e proporzionato sulla base del diritto dell'Unione o del diritto nazionale nel rispetto del diritto dell'Unione nello Stato membro di residenza o di stabilimento delle persone fisiche o giuridiche i cui dati sono interessati dovrebbero continuare ad applicarsi al trattamento di dati in un altro Stato membro. Tali persone fisiche o giuridiche dovrebbero poter soddisfare tali requisiti direttamente o attraverso clausole contrattuali stabilite nei contratti con i fornitori di servizi.

(35)

I requisiti di sicurezza stabiliti a livello nazionale dovrebbero essere necessari e proporzionati ai rischi che corre la sicurezza del trattamento di dati nell'ambito di applicazione del diritto nazionale in cui tali requisiti sono stabiliti.

(36)

La direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio (15) prevede misure giuridiche per rafforzare il livello generale della sicurezza informatica dell'Unione. I servizi di trattamento di dati costituiscono uno dei servizi digitali contemplati da tale direttiva. In base a tale direttiva, gli Stati membri sono tenuti a provvedere affinché i fornitori di servizi digitali identifichino e adottino misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza della rete e dei sistemi informativi che utilizzano. Tali misure sono intese a garantire un livello di sicurezza adeguato al rischio esistente e dovrebbero tenere conto della sicurezza dei sistemi e degli impianti, del trattamento degli incidenti, della gestione della continuità operativa, del monitoraggio, degli audit e test e della conformità con le norme internazionali. Questi elementi devono essere ulteriormente specificati dalla Commissione mediante atti di esecuzione in base a tale direttiva.

(37)

È opportuno che la Commissione presenti una relazione sull'attuazione delle disposizioni del presente regolamento, in particolare per valutare la necessità di modificarle in funzione dell'evoluzione delle tecnologie o del mercato. Tale relazione dovrebbe in particolare valutare il presente regolamento, in particolare per quanto riguarda la sua applicazione agli insiemi di dati composti sia da dati personali che da dati non personali, nonché l'attuazione dell'eccezione relativa ai motivi di pubblica sicurezza. Prima che il presente regolamento inizi ad applicarsi, la Commissione dovrebbe inoltre pubblicare orientamenti informativi su come gestire gli insiemi di dati composti sia da dati personali che da dati non personali, affinché le società, tra cui le PMI, comprendano meglio l'interazione tra il presente regolamento e il regolamento (UE) 2016/679 e garantiscano il rispetto di entrambi.

(38)

Il presente regolamento rispetta i diritti fondamentali e osserva i principi riconosciuti, in particolare, dalla Carta dei diritti fondamentali dell'Unione europea e dovrebbe essere interpretato e applicato conformemente a tali diritti e principi, principalmente il diritto alla protezione dei dati di carattere personale, la libertà d'espressione e di informazione e la libertà d'impresa.

(39)

Poiché l'obiettivo del presente regolamento, segnatamente garantire la libera circolazione dei dati diversi dai dati personali nell'Unione, non può essere conseguito in misura sufficiente dagli Stati membri ma, a motivo della sua portata e dei suoi effetti, può essere conseguito meglio a livello di Unione, quest'ultima può intervenire in base al principio di sussidiarietà sancito dall'articolo 5 TUE. Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo,