Data Act Reg. (UE) 2023/2854

Il Data Act si applica a chiunque produca, detenga o tratti dati generati da prodotti connessi, e a chiunque venda servizi di trattamento dei dati come il cloud. I ruoli che contano sono cinque:

• Fabbricanti di prodotti connessi e fornitori di servizi correlati — macchinari, veicoli, dispositivi domestici o industriali che raccolgono dati sul proprio uso o sul proprio ambiente, e i servizi digitali collegati senza i quali il prodotto non svolgerebbe una sua funzione, o che ne ampliano o aggiornano le funzioni.
• Titolari dei dati — chi ha il diritto o l’obbligo di usare e mettere a disposizione quei dati, spesso il fabbricante stesso.
• Utenti — chi possiede, noleggia o usa il prodotto, consumatore o impresa.
• Destinatari dei dati — i terzi a cui l’utente chiede di trasmettere i dati, per esempio un manutentore indipendente.
• Fornitori di servizi di trattamento dei dati — servizi che danno accesso su richiesta a risorse informatiche condivise e scalabili, cioè il cloud nelle sue varie forme, con gli obblighi sul cambio di fornitore.

Gli obblighi di condivisione dei dati non si applicano ai prodotti di microimprese e piccole imprese non collegate a imprese più grandi (art. 7). Le regole sul cambio di fornitore cloud valgono invece per tutti i fornitori, salvo i servizi costruiti su misura per un singolo cliente e le versioni di prova (art. 31).

Il Data Act fa quattro cose diverse, con destinatari diversi, raccolte in un unico regolamento:

Dati dei prodotti connessi (capo II)

L’utente ha diritto di accedere ai dati generati dall’uso del prodotto e dei servizi correlati, con i metadati necessari a interpretarli, gratuitamente, in un formato strutturato e leggibile da una macchina e, dove possibile, in tempo reale (art. 4). Può chiedere che siano trasmessi a un terzo di sua scelta (art. 5); un gatekeeper designato ai sensi del Digital Markets Act non può essere quel terzo. Prima della vendita o del noleggio, il venditore deve dire quali dati il prodotto genera, dove li conserva e come l’utente può accedervi (art. 3, paragrafi 2 e 3). I segreti commerciali restano protetti: il titolare può subordinare la condivisione a misure di riservatezza e, in casi eccezionali e motivati, rifiutarla.

Il titolare, dal canto suo, può usare i dati non personali solo sulla base di un contratto con l’utente e non può usarli per ricavare informazioni sulla situazione economica dell’utente (art. 4, paragrafo 13). L’utente non può usare i dati ottenuti per sviluppare un prodotto connesso concorrente (art. 4, paragrafo 10).

Clausole abusive tra imprese (capo IV)

Una clausola su accesso ai dati, uso dei dati o responsabilità, imposta unilateralmente da un’impresa a un’altra, non è vincolante se abusiva (art. 13). Lo è sempre, per esempio, se esclude la responsabilità per dolo o colpa grave; si presume abusiva se impedisce all’altra parte di usare o di ottenere copia dei dati che ha fornito o generato durante il contratto, o di recedere entro un termine ragionevole.

Dati agli enti pubblici in caso di necessità eccezionale (capo V)

Enti pubblici, Commissione, BCE e organismi dell’Unione possono chiedere dati a un’impresa solo per una necessità eccezionale: un’emergenza pubblica, oppure, per i soli dati non personali, un compito di interesse pubblico previsto dalla legge che non possono svolgere senza quei dati (artt. 14 e 15). Nelle emergenze i dati si danno gratuitamente, salvo che il titolare sia una micro o piccola impresa.

Cambio di fornitore cloud (capo VI) e accesso governativo (capo VII)

I fornitori di servizi di trattamento dei dati devono rimuovere gli ostacoli commerciali, tecnici e contrattuali al passaggio verso un altro fornitore o verso un’infrastruttura locale (art. 23), con clausole minime obbligatorie nel contratto (art. 25). Devono pubblicare la giurisdizione a cui è soggetta la loro infrastruttura (art. 28) e adottare misure per impedire l’accesso di autorità di paesi terzi ai dati non personali detenuti nell’Unione quando sarebbe in conflitto con il diritto dell’Unione o nazionale (art. 32).

I dati del prodotto non sono più solo del fabbricante. Chi addestra modelli sui dati generati dai propri prodotti connessi deve averne titolo per contratto con l’utente, e non può impedire all’utente di portarli a un concorrente nei servizi di manutenzione o di analisi. Per i prodotti immessi sul mercato dopo il 12 settembre 2026 l’accesso dell’utente va progettato nel prodotto, non concesso su richiesta.

Il cambio di fornitore è un requisito di architettura. Il Data Act obbliga il fornitore cloud a consentire l’uscita, ma l’uscita funziona solo se l’architettura del cliente non dipende da servizi che non hanno equivalenti. Il contratto deve elencare i dati esportabili: è il momento di verificare che fra quei dati ci siano indici vettoriali, log e configurazioni, non solo i documenti di partenza.

La giurisdizione diventa un’informazione pubblica. Con l’art. 28 il fornitore deve dichiarare a quale giurisdizione è soggetta l’infrastruttura. Non è un obbligo di residenza dei dati: è un’informazione che chi compra può e deve usare nella propria valutazione dei rischi.

Le clausole sui dati nei contratti con i fornitori di AI si possono contestare. Una clausola imposta che impedisce di ottenere copia dei dati generati durante il contratto, o che esclude la responsabilità per colpa grave, non è vincolante per un contratto concluso dopo il 12 settembre 2025.

Il Data Act si aggiunge alle regole sui dati personali e sulla sicurezza dei prodotti, senza sostituirle:

• GDPR — prevale in caso di conflitto; per l’utente che è anche interessato, i diritti del Data Act integrano l’accesso e la portabilità degli artt. 15 e 20.
• Cyber Resilience Act — lo stesso prodotto connesso che deve rendere accessibili i dati deve essere sicuro per progettazione e gestire le vulnerabilità.
• Spazio europeo dei dati sanitari — per i dati sanitari elettronici aggiunge regole settoriali di accesso e di uso secondario.
• Digital Omnibus — la proposta COM(2025) 837 interviene anche sul Data Act, ma non è legge: mancano la posizione del Parlamento europeo e i triloghi.
• Cloud and AI Development Act — proposta che, sul cloud acquistato dalla pubblica amministrazione, aggiungerebbe livelli di garanzia sulla sovranità; richiama l’art. 32 del Data Act fra i criteri per i paesi terzi associati.

• «Il Data Act riguarda solo i dati non personali». Copre dati personali e non personali; per i primi fa salvo il GDPR, che prevale in caso di conflitto.
• «L’accesso by design vale per tutti i prodotti dal 12 settembre 2026». Vale per i prodotti connessi e i servizi correlati immessi sul mercato dopo quella data. Il diritto di accesso su richiesta (art. 4) si applica già dal 12 settembre 2025.
• «Il Data Act impone di tenere i dati in UE». Non impone la residenza dei dati. Chiede trasparenza sulla giurisdizione e misure contro l’accesso illecito di autorità di paesi terzi ai dati non personali.
• «I contratti già firmati non sono toccati». Dal 12 settembre 2027 le regole sulle clausole abusive si applicano anche ai contratti precedenti a tempo indeterminato o di lunga durata.
• «Possiamo cambiare cloud quando vogliamo, lo dice la legge». La legge toglie gli ostacoli del fornitore, non quelli della tua architettura: l’equivalenza funzionale è garantita solo per l’infrastruttura, per il resto il fornitore deve offrire interfacce aperte ed esportare i dati.