Chi ha progettato il proprio prodotto connesso pensando che i dati generati restassero un patrimonio esclusivo dell’azienda produttrice, deve ricredersi.
Dal 12 settembre 2026, il quadro normativo europeo sulla circolazione dei dati ha attraversato una soglia che il settore industriale attendeva, con una certa apprensione, da tempo, è entrato a regime l’obbligo di “access by design” previsto dal Regolamento (UE) 2023/2854, meglio noto come Data Act. Da questo momento, tutti i dispositivi connessi e gli oggetti intelligenti immessi sul mercato europeo devono essere progettati in modo da consentire a chi li utilizza di accedere facilmente, in modo sicuro e gratuito, ai dati grezzi e pre-processati che essi stessi contribuiscono a generare.
Si tratta di un cambiamento di paradigma che investe un perimetro applicativo estremamente ampio. Valido dai grandi macchinari industriali alle linee di automazione, dai dispositivi medici agli autoveicoli connessi, dalle attrezzature agricole agli elettrodomestici di consumo. Per anni, i dati generati dall’uso di un prodotto sono rimasti sostanzialmente nella disponibilità esclusiva del fabbricante o del fornitore del servizio digitale ad esso collegato, da oggi questa impostazione cambia radicalmente.
I quattro pilastri del nuovo regime
Il Data Act distribuisce responsabilità specifiche lungo l’intera filiera digitale, articolandosi in quattro aree principali.
In primo luogo, l’accesso per gli utenti, fabbricanti e fornitori di servizi devono progettare i dispositivi affinché i dati siano accessibili per impostazione predefinita, in modo facile, sicuro e gratuito.
In secondo luogo, la condivisione con terze parti, il titolare dei dati (data holder) deve trasmettere le medesime informazioni, su richiesta dell’utente, a soggetti terzi indicati da quest’ultimo; si pensi ad esempio a un’officina di manutenzione indipendente o a una compagnia assicurativa.
In terzo luogo, l’accesso eccezionale a favore delle autorità pubbliche, limitato a situazioni tassative di emergenza o a specifici compiti di interesse pubblico.
Infine, la portabilità e il cloud switching, i fornitori di servizi cloud devono eliminare gli ostacoli tecnici e contrattuali che oggi rendono difficoltoso il passaggio a un altro provider, azzerando progressivamente i relativi costi di migrazione.
Il coordinamento, non scontato, con il GDPR
Un punto che merita particolare attenzione da parte di chi si occupa di protezione dei dati personali è che il Data Act non sostituisce in alcun modo la disciplina esistente in materia quando le informazioni generate da un dispositivo connesso riguardano una persona fisica identificata o identificabile, restano pienamente applicabili le disposizioni del GDPR, con il relativo ruolo di vigilanza affidato al Garante per la protezione dei dati personali. Questo significa che l’obbligo di condivisione dei dati con terze parti previsto dal Data Act non può essere adempiuto meccanicamente, ma deve necessariamente coordinarsi con la disciplina sulla base giuridica del trattamento, con l’informativa da rendere all’interessato e con i restanti adempimenti ordinari, a partire dalla valutazione se la richiesta di condivisione, quando comporti dati di terzi (si pensi ai dati di un veicolo condiviso tra più conducenti), richieda una base giuridica autonoma.
A questo quadro si aggiunge la direttiva NIS2, che impone requisiti di sicurezza informatica e di gestione degli incidenti ai soggetti operanti in settori essenziali e importanti, un livello di tutela che si affianca, e in parte si sovrappone, alle misure di sicurezza che il Data Act stesso richiede per garantire un accesso ai dati affidabile e protetto fin dall’origine.
La tutela del know-how industriale: un equilibrio a tre livelli
L’apertura tecnica imposta dal regolamento solleva, comprensibilmente, preoccupazioni legate alla protezione dei segreti commerciali e della proprietà intellettuale. Il legislatore europeo ha cercato di bilanciare questa esigenza attraverso un regime di tutela strutturato su tre livelli sequenziali.
Il primo livello: è quello ordinario, nel quale il titolare dei dati individua preventivamente le informazioni protette da segreto commerciale e concorda con l’utente misure tecniche e contrattuali proporzionate, quali accordi di riservatezza e protocolli di accesso rigorosi.
Il secondo livello: consente, in assenza di un accordo sulle misure di sicurezza o in caso di violazione dei patti concordati, di bloccare o sospendere la condivisione, con obbligo di notifica per iscritto all’utente e all’autorità competente.
Il terzo livello: di natura eccezionale, permette al titolare di rifiutare caso per caso la trasmissione di dati specifici, qualora dimostri, sulla base di elementi oggettivi, il rischio concreto di un danno economico grave e irreparabile.
Va comunque sottolineato che la legge esclude dagli obblighi di condivisione automatica le cosiddette “informazioni derivate”, ossia quelle risultanti da elaborazioni complesse o da algoritmi proprietari avanzati: l’obbligo di accesso riguarda i dati grezzi raccolti dai sensori e le informazioni pre-processate, non il valore aggiunto dell’elaborazione algoritmica del fabbricante.
Cosa cambia, in concreto, per le imprese
Per le imprese manifatturiere e per i fornitori di servizi digitali del Nord Est, un tessuto produttivo particolarmente esposto per la diffusione di macchinari connessi e soluzioni di Industria 4.0/5.0, l’entrata a regime dell’obbligo comporta la necessità di un lavoro di compliance su più fronti, la mappatura completa dei flussi di dati generati dai propri prodotti connessi, distinguendo dati grezzi, dati pre-processati e informazioni derivate; la verifica della necessità di una valutazione d’impatto sulla protezione dei dati laddove i flussi coinvolgano persone fisiche; la predisposizione di clausole contrattuali B2B che disciplinino la condivisione dei dati con soggetti terzi indicati dall’utente; la definizione di procedure interne per la gestione delle richieste di accesso, comprensive di tempistiche e responsabilità; infine, la formazione del personale tecnico e commerciale, chiamato a confrontarsi quotidianamente con richieste che fino a ieri non avevano una cornice normativa così stringente.
Conclusioni
Il Data Act rappresenta, insieme al GDPR, al Data Governance Act e alla direttiva NIS2, un ulteriore tassello della strategia europea per una gestione dei dati che sia al contempo aperta e sicura.
La sfida per le imprese non è soltanto adeguarsi formalmente a un nuovo obbligo, ma ripensare l’architettura stessa dei propri prodotti connessi affinché l’accesso ai dati diventi, appunto, un requisito di design e non un adempimento successivo e posticcio.
