Regolamento delegato (UE) 2018/573 della Commissione del 15 dicembre 2017 relativo agli elementi principali dei contratti di archiviazione dei dati conclusi nell'ambito di un sistema di tracciabilità per i prodotti del tabacco (Testo rilevante ai fini del SEE)
Testo vigente
LA COMMISSIONE EUROPEA,
vista la direttiva 2014/40/UE del Parlamento europeo e del Consiglio, del 3 aprile 2014, sul ravvicinamento delle disposizioni legislative, regolamentari e amministrative degli Stati membri relative alla lavorazione, alla presentazione e alla vendita dei prodotti del tabacco e dei prodotti correlati e che abroga la direttiva 2001/37/CE1, in particolare l'articolo 15, paragrafo 12,
L'articolo 15, paragrafo 8, della direttiva 2014/40/UE impone a ogni fabbricante e importatore, nell'ambito del sistema di tracciabilità per i prodotti del tabacco ulteriormente specificato nel regolamento di esecuzione (UE) 2018/574 della Commissione2, di concludere un contratto con un fornitore terzo indipendente allo scopo di ospitare le informazioni relative ai propri prodotti del tabacco. L'articolo 15, paragrafo 12, della direttiva 2014/40/UE conferisce alla Commissione il potere di definire gli elementi principali di tali contratti.
Per assicurare l'efficace funzionamento del sistema di tracciabilità per i prodotti del tabacco in generale e l'interoperabilità del sistema di repertori in particolare, è opportuno definire gli elementi principali dei contratti di archiviazione dei dati al fine di includere specifiche relative all'operabilità, alla disponibilità e all'esecuzione dei servizi che devono essere prestati dai fornitori di servizi di archiviazione dei dati. Il funzionamento efficace e continuo del sistema di tracciabilità e del sistema di archiviazione dei dati che ne è parte rende necessaria la definizione, da parte dei fornitori, di prescrizioni chiare in materia di portabilità dei dati per i casi in cui un fabbricante o un importatore decida di cambiare fornitore. Per tale motivo i contratti dovrebbero comprendere disposizioni che impongano l'uso di tecnologie prontamente disponibili sul mercato e comunemente utilizzate nel settore per garantire un trasferimento dei dati efficace e ininterrotto tra i fornitori precedenti e i nuovi fornitori.
Al fine di assicurare il necessario livello di flessibilità, dovrebbe essere possibile chiedere al fornitore di servizi di archiviazione dei dati di prestare, dietro pagamento di un compenso, servizi tecnici accessori collegati alla gestione del repertorio primario quali l'espansione della funzionalità operativa delle interfacce utente, purché i servizi aggiuntivi contribuiscano al corretto funzionamento del sistema di repertori e non violino le prescrizioni del regolamento di esecuzione (UE) 2018/574. Il contratto dovrebbe pertanto prevedere tale opzione.
Per salvaguardare il funzionamento indipendente del sistema di tracciabilità in ogni momento, la Commissione dovrebbe poter revocare l'autorizzazione concessa a un fornitore di servizi di archiviazione dei dati con il quale è già stato concluso un contratto qualora la valutazione o il riesame della capacità tecnica o dell'indipendenza del fornitore dia un esito negativo per quanto concerne l'idoneità dello stesso.
Al fine di assicurare l'organizzazione efficace del funzionamento quotidiano del sistema, i fornitori di repertori primari dovrebbero cooperare fra loro e con le autorità competenti degli Stati membri e la Commissione,
HA ADOTTATO IL PRESENTE REGOLAMENTO:
Art. 1 Oggetto
Il presente regolamento definisce gli elementi principali dei contratti di archiviazione dei dati di cui all'articolo 15, paragrafo 8, della direttiva 2014/40/UE.
Art. 2 Definizioni
Ai fini del presente regolamento, in aggiunta alle definizioni di cui alla direttiva 2014/40/UE e al regolamento di esecuzione (UE) 2018/574 si applicano le seguenti definizioni:
1) «contratto»: un accordo contrattuale tra un fabbricante o un importatore di prodotti del tabacco e un fornitore di sistemi di archiviazione dei dati in conformità all'articolo 15, paragrafo 8, della direttiva 2014/40/UE e al regolamento di esecuzione (UE) 2018/574;
2) «fornitore»: qualunque persona giuridica con la quale un fabbricante o un importatore di prodotti del tabacco abbia concluso un contratto ai fini dell'istituzione e della gestione del proprio repertorio primario e dei servizi correlati;
3) «portabilità dei dati»: la capacità di spostare i dati da un repertorio a un altro tramite l'uso di tecnologie prontamente disponibili sul mercato e comunemente utilizzate nel settore.
Art. 3 Responsabilità principali derivanti dal contratto
1. Il contratto specifica i servizi principali che devono essere prestati dal fornitore, che comprendono:
1) l'istituzione e la gestione di un repertorio primario in conformità all'articolo 26 del regolamento di esecuzione (UE) 2018/574;
2) nel caso in cui il gestore del repertorio primario sia designato come fornitore del repertorio secondario, l'istituzione e la gestione del repertorio secondario e del router, in conformità agli articoli 27, 28 e 29 del regolamento di esecuzione (UE) 2018/574;
3) la prestazione, su richiesta, di altri servizi tecnici accessori collegati alla gestione del repertorio primario che contribuiscano al corretto funzionamento del sistema di repertori.
2. Nel definire i servizi principali di cui al paragrafo 1, punti 1) e 2), il contratto contiene specifiche relative all'operabilità, alla disponibilità e all'esecuzione dei servizi che soddisfano le prescrizioni minime precisate nel presente regolamento e definite al capo V del regolamento di esecuzione (UE) 2018/574.
Art. 4 Competenze tecniche
Il contratto impone ai fornitori di rilasciare al fabbricante o all'importatore una dichiarazione scritta nella quale attestano di possedere, o di avere a disposizione, le competenze tecniche e operative necessarie per prestare i servizi di cui all'articolo 3 e per soddisfare le prescrizioni di cui al capo V del regolamento di esecuzione (UE) 2018/574.
Art. 5 Disponibilità del repertorio primario
1. Il contratto specifica una disponibilità e un tempo di attività mensile garantiti del 99,5 % per il repertorio primario.
2. Il contratto impone al fornitore di prevedere adeguati meccanismi di back-up per evitare la perdita di dati archiviati, ricevuti o trasferiti nel momento in cui il repertorio primario diventi non disponibile.
Art. 6 Diritti di accesso
Il contratto specifica le condizioni alle quali l'accesso fisico e virtuale al repertorio primario, a livello di server e banca dati, può essere concesso agli amministratori nazionali degli Stati membri, alla Commissione e ai revisori esterni designati, in conformità all'articolo 25 del regolamento di esecuzione (UE) 2018/574.
Art. 7 Subappalto
1. Qualora il contratto specifichi che il fornitore può subappaltare alcuni obblighi previsti dal contratto stesso, esso contiene una disposizione in cui è precisato che il subappalto non incide sulla responsabilità primaria del fornitore per l'esecuzione del contratto.
2. Il contratto impone inoltre al fornitore:
a) di assicurare che il subappaltatore proposto disponga delle necessarie competenze tecniche e soddisfi le prescrizioni di indipendenza di cui all'articolo 35 del regolamento di esecuzione (UE) 2018/574;
b) di presentare alla Commissione una copia della dichiarazione di cui all'articolo 8 del presente regolamento, firmata dai pertinenti subappaltatori.
Art. 8 Indipendenza giuridica e finanziaria
Il contratto impone ai fornitori e, se del caso, ai loro subappaltatori di rilasciare al fabbricante o all'importatore, unitamente al contratto di archiviazione dei dati, una dichiarazione scritta nella quale attestano di soddisfare le prescrizioni di indipendenza giuridica e finanziaria di cui all'articolo 35 del regolamento di esecuzione (UE) 2018/574.
Art. 9 Protezione dei dati e riservatezza
1. Il contratto specifica che il fornitore adotta tutte le misure adeguate necessarie per assicurare la riservatezza, l'integrità e la disponibilità di tutti i dati archiviati nell'esecuzione del contratto. Tali misure comprendono controlli di sicurezza amministrativi, tecnici e fisici.
2. Il contratto prevede che il trattamento dei dati personali nell'ambito del contratto stesso sia effettuato in conformità alla direttiva 95/46/CE del Parlamento europeo e del Consiglio3.
Art. 10 Gestione della sicurezza delle informazioni
Il contratto impone ai fornitori di dichiarare che il repertorio primario e, se del caso, il repertorio secondario sono gestiti in conformità alle norme riconosciute a livello internazionale in materia di gestione della sicurezza delle informazioni. I fornitori certificati ISO/IEC 27001:2013 sono considerati conformi a tali norme.
Art. 11 Costi
Il contratto prevede che i costi addebitati dai fornitori ai fabbricanti o agli importatori in conformità all'articolo 30 del regolamento di esecuzione (UE) 2018/574 siano equi, ragionevoli e proporzionati:
a) ai servizi prestati e
b) al numero di identificativi univoci richiesti dal fabbricante o dall'importatore in questione nell'arco di un determinato periodo di tempo.