La prossima entrata in applicazione del Data Act (settembre 2025, sebbene sia già in vigore dal dicembre 2023) segnerà un momento cruciale per il trattamento e la gestione dei dati nell’Unione Europea, introducendo regole “orizzontali” per l’accesso e l’utilizzo condiviso dei dati generati digitalmente.
In precedenza, la Commissione aveva già pubblicato una pagina informativa su tale atto normativo, formalmente il Regolamento (UE) 2023/2854, diretta a spiegare in linea generale la ratio delle disposizioni e una panoramica generale.
Adesso, con le FAQ pubblicate di recente, la Commissione vuole fornire uno strumento interpretativo-applicativo ulteriore, di approfondimento, che può servire a dissipare numerosi, comprensibili dubbi che possono derivare dalla lettura di un testo tutt’altro che banale: non solo un volume di 119 considerando e 50 densi articoli, si tratta altresì dell’interazione della normativa con norme già esistenti a generare molti dubbi sull’applicazione.
Ecco perché ora un documento di una quarantina di pagine come queste FAQ di orientamento rappresenta una bussola di orientamento da tenere sottomano. Sebbene spesso riprenda e ordini più chiaramente i considerando del Data Act, il documento supporta la comprensione con una serie di distinguo e grafici utili all’operatore.
Indice degli argomenti
Cenni generali sul Data Act
Ci permettiamo di rimandare a un nostro precedente contributo per varie nozioni introduttive del Regolamento. Si badi che tra l’altro si tratta di nozioni utili anche per capire meglio cosa siano e come funzionano i c.d. spazi comuni di dati (“data spaces”), risultato di una articolata strategia per lo sfruttamento comune, regolamentato, di dati digitali (personali e non personali) tra più soggetti. Il favore per un mercato unico comune dei dati è alla base della normativa in parola.
Qui ci limitiamo a ricordare i concetti di base utili per capire l’ambito regolamentare:
- Lo scopo del Data Act è anzitutto regolamentare l’uso e la condivisione dei dati nell’era digitale (c.d. data sharing), incidendo su un mercato dei dati più competitivo e innovativo, concentrandosi in particolare sui dati industriali e sull’Internet delle cose.
- La normativa stabilisce regole chiare su chi può utilizzare quali dati e in quali circostanze, cercando di bilanciare gli interessi di tutti gli attori coinvolti – punto chiave è dare agli utenti di dispositivi connessi maggior controllo sui dati che generano.
- Vengono introdotte anche misure per rendere più equo il mercato europeo del cloud e proteggere le aziende da clausole contrattuali “abusive”.
- In situazioni eccezionali, come le emergenze pubbliche, la norma prevede meccanismi per consentire agli enti pubblici di richiedere forzosamente dati alle imprese.
- L’obiettivo finale è sfruttare maggiormente il potenziale dei dati, specialmente quelli industriali, per stimolare l’innovazione e la competitività europea, garantendo al contempo un uso equo e sicuro delle informazioni digitali, rafforzando e perimetrando determinati diritti degli utenti e dei titolari dei dati.
Di cosa trattano le FAQ sul Data Act
Il documento si suddivide in dieci capitoli, a rispecchiare perlopiù la struttura del Data Act, ovvero:
- Le relazioni con altre normative europee.
- L’accesso e l’uso dei dati nell’ambito dell’Internet delle cose, che include specifiche sottosezioni dedicate a: utenti, dati dei titolari, terze parti.
- Le condizioni di equità, ragionevolezza e non discriminazione, inclusi i temi della compensazione e della risoluzione delle controversie.
- Le pratiche inique nei contratti di condivisione dati tra imprese.
- L’accesso ai dati da parte delle amministrazioni pubbliche.
- La transizione verso i servizi di elaborazione dei dati.
- L’accesso non autorizzato e il trasferimento fuori dall’UE di dati non personali da parte di enti di paesi terzi.
- L’interoperabilità dei sistemi.
- Le modalità di attuazione delle norme.
- Le iniziative future e le azioni previste per l’attuazione.
Di seguito non possiamo che affrontare solo alcuni dei punti salienti, rimandando alla lettura del documento per una completa comprensione di quanto delineato dalla Commissione.
Integrazione e cooperazione tra GDPR e Data Act
All’interno del quadro legislativo stabilito dal Data Act, il GDPR conserva un ruolo centrale e inalterato, funzionando talvolta come punto di confronto per le disposizioni incluse nel nuovo Regolamento.
A premessa, segnaliamo uno dei più frequenti malintesi da dissipare parlando di Data Act/GDPR nella sua ambigua traduzione italiana: difatti il testo parla di “titolari dei dati” (in originale, “data holders”) quali soggetti (persone fisiche o giuridiche) che hanno il diritto o l’obbligo per legge di utilizzare e mettere a disposizione dati.
Non vanno confusi con i “titolari del trattamento” di dati personali (in originale, “data controllers”) che il GDPR definisce come i soggetti (persone fisiche o giuridiche) che decidono per quali finalità e con quali modalità trattare dati personali. Pertanto, i due titolari potrebbero coincidere ma non è affatto scontato.
Detto questo, secondo le FAQ il Data Act introduce un sistema di collaborazione tra le autorità preposte alla protezione dei dati e altre autorità rilevanti in base al Data Act. In questo contesto, le autorità privacy sono incaricate di assicurare il rispetto degli obblighi direttamente derivanti dal GDPR.
In una prospettiva più ampia, la Commissione mira a facilitare una collaborazione efficace tra le varie autorità per garantire l’applicazione delle normative relative ai dati, coinvolgendo anche i rappresentanti dell’EDPS (European Data Protection Supervisor) e dell’EDPB (European Data Protection Board) all’interno dell’European Data Innovation Board (cioè l’ente europeo che andrà a riunione e coordinare le autorità nazionali designate per il rispetto del Data Act).
Resta inteso che nei casi in cui siano applicabili sia il Data Act che il GDPR per gli stessi dati (personali), le FAQ precisano che l’utente/interessato potrà rivolgersi alla sola autorità privacy per esercitare i propri diritti all’accesso e alla portabilità come disciplinati dal Data Act.
La relazione con le normative esistenti non è vista come un impedimento, dato che il Data Act si posiziona come una regolamentazione di carattere orizzontale.
Nonostante ciò, si prevede che il Data Act possa essere integrato da normative settoriali specifiche (si pensi per esempio alla proposta di normazione sullo Spazio Comune Europeo dei Dati Sanitari), le quali possono definire dettagli pratici e tecnici, oltre a stabilire limitazioni specifiche sull’accesso ai dati o sulle azioni eseguibili dai titolari dei dati.
Il diritto di accesso del Data Act: quali dati?
Avanzando nella lettura, le FAQ specificano il perimetro del “diritto di accesso ai dati” del Data Act. Quali tipologie dati rientrano nel diritto di accesso? Lo si capisce meglio, presentandone le FAQ un’efficace sintesi, secondo il seguente schema:
- Product Data (dati del prodotto): sono i dati generati da dispositivi connessi durante il loro funzionamento, come le informazioni sui livelli di temperatura, l’uso energetico, e altre metriche operative. Questi dati sono spesso essenziali per la manutenzione e la riparazione dei dispositivi e ora devono essere resi accessibili sia agli utenti che a fornitori terzi, per esempio per fornire servizi di assistenza o migliorare il prodotto.
- Related Service Data (dati di servizi correlati): questi dati riguardano i servizi associati a un dispositivo connesso, come app e piattaforme digitali che raccolgono e utilizzano informazioni generate dal dispositivo. Il Data Act garantisce che questi dati possano essere utilizzati per fornire servizi innovativi a favore degli utenti, e permette loro di scegliere con chi condividere questi dati.
- Readily Available Data (dati prontamente disponibili): include tutti i dati che sono facilmente accessibili e che non richiedono un’elaborazione complessa o l’integrazione con altre fonti. Questi dati devono essere messi a disposizione degli utenti, senza restrizioni eccessive.
- Level of Enrichment (livello di arricchimento): si riferisce alla misura in cui i dati sono stati elaborati o combinati con altre informazioni. Dati arricchiti possono includere analisi complesse o modelli predittivi basati sui dati originali raccolti. Il Data Act mira a chiarire i diritti d’uso per tali dati: oggetto del diritto di accesso sono sicuramente i dati “grezzi” generati dai dispositivi con i relativi metadata, cioè i dati prontamente disponibili – mentre non lo sono i dati risultanti da inferenze, dati derivati anche da ulteriori attività e investimenti; si badi poi che restano immutati i diritti di proprietà intellettuale che possono limitare l’uso dei dati.
- Trade Secrets (segreti commerciali): il Data Act include disposizioni per proteggere i segreti commerciali durante la condivisione dei dati. Questo significa che, sebbene i dati debbano essere accessibili, non devono compromettere informazioni che possono essere considerate segreti commerciali ai sensi delle normative.
Prodotti connessi e servizi correlati nel contesto del Data Act
Il cuore del Capitolo II del Data Act è rappresentato dai “prodotti connessi”, definiti come oggetti capaci di generare, acquisire o raccogliere dati e di comunicarli attraverso connessioni cablate o wireless. Tra gli esempi figurano elettrodomestici, attrezzature industriali, dispositivi medici, smartphone e televisori.
Al contrario, si escludono quei prodotti la cui funzione primaria è l’archiviazione, l’elaborazione o la trasmissione di dati, come server e router, a meno che non siano di proprietà o in leasing all’utente.
Analogamente, il semplice collegamento di un prodotto a un’infrastruttura per il suo utilizzo non lo qualifica automaticamente come “prodotto connesso”. Un esempio è quello di un aeroplano collegato alle infrastrutture aeroportuali: non è considerato connesso a meno che l’utente non detenga la proprietà o diritti contrattuali sui sensori integrati nell’infrastruttura.
Un prodotto connesso rientra nell’ambito di applicazione del Data Act nel momento in cui viene introdotto nel mercato unico, attraverso il trasferimento di proprietà, possesso o altri diritti fra due parti economiche successivamente alla sua produzione. Per dettagli sui criteri di inclusione di tali prodotti, si rimanda alla “The Blue Guide on the implementation of EU product rules” del 2022.
Se un prodotto connesso viene immesso sul mercato dell’UE e successivamente utilizzato fuori dall’UE, i dati generati, sia internamente che esternamente, devono essere resi disponibili all’utente, in linea con il Data Act.
In aggiunta si discute dei “servizi correlati”, ovvero servizi digitali che possono collegarsi a un prodotto connesso influenzandone le funzionalità. Per esempio, trasmettendo dati o comandi, come un’app che regola la temperatura di un frigorifero. Per rientrare in questa categoria, è necessario che:
- esista uno scambio bidirezionale di dati tra il prodotto connesso e il servizio;
- il servizio influenzi le funzioni, il comportamento o le operazioni del prodotto.
Elementi aggiuntivi per identificare tali servizi includono: le aspettative degli utenti, il marketing del prodotto/servizio, le negoziazioni contrattuali, la sostituibilità del servizio digitale e la pre-installazione del servizio sul prodotto. Tuttavia, alcuni servizi digitali, come la connettività, la fornitura di energia e i servizi post-vendita, non rientrano in questa definizione.
È importante notare che, in caso di rivendita del prodotto connesso come usato, non vi sono differenze in termini di normativa: un prodotto usato non esclude l’utente dalle disposizioni del Data Act che si applica alle stesse condizioni. Ergo: l’utente dovrà comunque ricevere le dovute informazioni sui diritti esercitabili e su chi sia il titolare dei dati.
Infine, il Data Act si estende a tutti i prodotti connessi, inclusi quelli soggetti a specifici regimi di approvazione o valutazione della conformità, come veicoli a motore, aerei e dispositivi medici.
Definizione e diritti degli utenti
La sezione dedicata agli “utenti” chiarisce che essi possono essere individui o entità giuridiche che godono di un rapporto diretto e stabile con i prodotti connessi, sia tramite possesso diretto sia attraverso un diritto d’uso basato su accordi contrattuali o in relazione a un servizio correlato.
La localizzazione dei dati non influisce su questa definizione; ciò che conta è che l’utente sia stabilito nell’Unione Europea. En passant si badi che l’utente così definito può coincidere o meno con “l’interessato” ai sensi del GDPR, la persona fisica a cui si riferiscono i dati personali, e altrettanto può valere per il “contraente” ai sensi della Direttiva 2002/58 sulle comunicazioni elettroniche.
I titolari dei dati sono tenuti a fornire agli utenti le istruzioni su come accedere ai dati generati dai prodotti connessi. Tale accesso può essere garantito sia direttamente (senza che vi debba essere una richiesta da parte dell’utente) che indirettamente (quando invece vi deve essere richiesta). L’art. 3 del Data Act introduce una certa flessibilità nella definizione del metodo di accesso diretto, riconoscendo la diversità dei possibili prodotti coinvolti. Non vi è un obbligo di accesso diretto imposto ai titolari, beninteso.
Gli utenti hanno poi libertà di monetizzare i dati ottenuti, potendo stipulare accordi sia con i titolari dei dati che con terze parti. Si prevede inoltre la possibilità, nei contratti business-to-business (B2B), di negoziare limitazioni sulla condivisione o sull’utilizzo dei dati, a fronte di un’adeguata compensazione.
Il Data Act vuole assicurare altresì un elevato livello di protezione per i consumatori: mettendo a disposizione degli utenti vari strumenti per la tutela dei propri diritti, potendo presentare reclami all’autorità competente, potendo avviare procedimenti giudiziari, potendo avvalersi degli strumenti previsti dalla legislazione UE sulla protezione dei consumatori eccetera.
Ruolo e responsabilità dei titolari dei dati
Identificare chi ricopre il ruolo di titolare dei dati (data holder) è cruciale. Come già detto, si considera titolare dei dati chi ha il controllo sull’accesso ai dati, indipendentemente dalla produzione dell’hardware o del software: produttore del dispositivo e titolare dei dati possono coincidere o meno. Teniamo presente che il titolare è colui che controlla l’accesso ai dati, non chi produce l’hardware o il software del prodotto.
Nella realtà. i ruoli possono essere non facili da discernere, le FAQ presentano alcune esemplificazioni come la seguente:
Da questo schema (ove l’utente contrae sia con un produttore IoT che con un fornitore di servizi) ne discende che tra due fornitori di componenti di prodotto (A e B), solo A desidera ricevere e utilizzare i dati prodotti dal suo componente. A deve – conformemente al contratto stipulato con l’utente e il produttore – diventare un titolare dei dati e negoziare l’uso dei dati con l’utente.
Quando un utente acquista un servizio correlato a un prodotto connesso, altresì il fornitore di tale servizio diventa di fatto un titolare dei dati, dovendo stabilire un contatto diretto con l’utente.
Non è obbligatorio per i produttori garantire un accesso diretto ai dati in ogni situazione o per ogni prodotto connesso. L’accesso diretto dall’utente ai dati dovrebbe essere garantito “ove pertinente e tecnicamente fattibile”, permettendo agli utenti di accedere ai dati senza l’intervento del titolare dei dati e indipendentemente dalla loro ubicazione, e dando ai produttori la libertà di decidere se rendere i dati liberamente accessibili.
In merito ai titolari dei dati viene, inoltre, chiarito che:
- Il Data Act si applica ai produttori di prodotti connessi e ai fornitori di servizi correlati, anche se questi sono basati al di fuori dell’Unione Europea. Questa disposizione assicura che gli standard di protezione dei dati e di accesso si estendano oltre i confini dell’UE.
- I titolari dei dati devono aderire al principio di trasparenza e hanno la libertà di utilizzare i dati non personali, a condizione che ciò sia previsto da un accordo contrattuale. Si riafferma l’importanza della chiarezza e della concordia nelle modalità di utilizzo dei dati.
- I titolari dei dati sono tenuti a verificare l’identità degli utenti legittimi senza richiedere informazioni non strettamente necessarie. Per assicurare una verifica efficiente e rispettosa della privacy dell’utente.
- I titolari dei dati sono obbligati a condividere i dati con terze parti su richiesta di un utente che ha diritto di accesso a tali dati.
- Sebbene generalmente non sia permesso agli utenti di accedere allo storico dei dati di un dispositivo di seconda mano, per motivi di riservatezza e protezione degli interessi, ciò non è categoricamente escluso, lasciando spazio a possibili eccezioni.
- Analogamente al diritto all’oblio previsto dal GDPR per i dati personali, gli utenti potrebbero richiedere la cancellazione dei loro dati non personali prima della vendita del prodotto. Sebbene non espressamente previsto, questo diritto non viene escluso a priori.
- Viene chiarito che un’entità non può simultaneamente assumere i ruoli di utente e titolare dei dati.
Il Data Act affronta di petto la questione già accennata della protezione dei segreti commerciali/industriali, fornendo indicazioni su come i titolari possano gestire i segreti commerciali e attivare la procedura di c.d. “trade secrets handbrake” (cioè metaforicamente un “freno a mano tirato” sui segreti commerciali).
Tale procedura – ex ante la condivisione dei dati – è riassunta nelle FAQ (che riprendono comunque l’art. 4 del Data Act e relativi considerando): partendo dall’identificazione dei segreti passando per l’accordo con l’utente per le misure di protezione, arrivando al possibile rifiuto o blocco della condivisione in certi casi.
È importante notare che la clausola di non concorrenza imposta dal Data Act per i prodotti connessi non si estende ai servizi connessi.
Inoltre, utenti e titolari dei dati possono accordarsi per limitare o negare la condivisione dei dati se ciò può compromettere la sicurezza del prodotto connesso (ovvero con potenziali rischi per la salute e la sicurezza delle persone).
Data Act e Digital Markets Act: trasferimenti dati extra-UE
Le FAQ affrontano peraltro la relazione tra le terze parti e i cosiddetti “gatekeeper” delineati nel Digital Markets Act (regolamento che mira a promuovere la concorrenza e prevenire comportamenti anticoncorrenziali da parte delle grandi piattaforme online, identificate come gatekeeper).
La sinergia tra il Data Act e il DMA è fondamentale per garantire che l’accesso ai dati e il loro utilizzo da parte delle terze parti non solo rispettino le normative sulla protezione dei dati, ma contribuiscano anche a un ambiente digitale più equo e competitivo.
Il tema è articolato, ci limitiamo qui ad accennare che il Data Act vieta ai gatekeepers di fungere da terzo con cui l’utente possa condividere i dati, con severe limitazioni (per es. non possono sollecitare né fornire incentivi commerciali all’utente affinché chieda al titolare dei dati di mettere i dati a disposizione di uno dei suoi servizi).
Un punto di particolare interesse riguarda la possibilità che i dati siano trasferiti a entità in Stati terzi, ovvero Paesi al di fuori dell’UE/SEE. Le FAQ prevedono un approccio cauto e regolamentato al trasferimento internazionale di dati, pur riconoscendo la libertà di trasferimento extra-UE/SEE. Questa posizione riflette la priorità dell’UE di garantire che i dati personali e non personali degli europei siano trattati con il massimo livello di sicurezza e protezione, anche quando si tratta di interazioni con Paesi al di fuori dell’Unione.
Difatti il Data Act affronta la delicata questione del trasferimento/accesso illecito di dati non personali, da parte delle autorità di Stati extra-UE/SEE, introducendo la possibilità di imporre requisiti di localizzazione europea dei dati.
L’art. 32 del Data Act viene esplorato in dettaglio, evidenziando gli obiettivi e le condizioni per il trasferimento di dati, nonché le misure di sicurezza preventive (tecnico-organizzative) da adottare prima di procedere con la condivisione di informazioni a terze parti.
Ovviamente gli accessi illeciti in parola non devono essere consentiti. Di fatto, queste previsioni rispecchiano quanto sappiamo ormai tutti sui requisiti imposti dal GDPR quanto ai trasferimenti extra-UE/SEE di dati personali, però declinato solo su illeciti da parte di soggetti pubblici esteri.
Portabilità dei dati e clausole contrattuali standard per il cloud
Si chiarisce il concetto di “portabilità dei dati” (e di data policy portability) che emerge come uno dei pilastri fondamentali del Data Act. Mirando a garantire che gli utenti possano trasferire, esportare facilmente i propri dati – inclusi input, output e metadati – tra diversi titolari e fornitori di servizi.
Questa iniziativa è volta a stimolare la concorrenza e l’innovazione, pur rispettando i limiti imposti dalla protezione della proprietà intellettuale e dei segreti commerciali che rimangono esclusi dall’esercizio della portabilità.
Come si evince, si tratta di una declinazione più estesa del diritto alla portabilità dei dati personali già riconosciuto dal GDPR, focalizzata sul contesto IoT e che comprende sia i dati personali che non personali quale oggetto.
Parallelamente, rileva il termine “digital assets” (“risorse digitali” nella versione italiana) sui quali l’utente ha diritto d’uso: si riferisce agli strumenti e alle configurazioni necessarie per un utilizzo ottimale dei dati in un nuovo ambiente di servizio, come le impostazioni di sicurezza e gestione dei diritti di accesso.
Questi asset sono essenziali per una transizione fluida e per mantenere l’interoperabilità tra diversi sistemi, sottolineando l’importanza di una piattaforma aperta e flessibile nel panorama digitale attuale.
In ultimo, nel contesto dell’interoperabilità, essenziale per attuare una efficace condivisione di dati, vengono analizzate varie questioni pertinenti. Per esempio, il fatto che la Commissione Europea ha la facoltà di definire specifiche tecniche al di là degli standard esistenti, mostrando una preferenza per l’adozione di open standard – tuttavia non vi è l’intenzione di sostituire gli standard già in uso, ma piuttosto di costruire su di essi per facilitare l’integrazione e l’uso dei dati.
Verrà, comunque, creata online una repository comune dell’Unione (“common Union repository”) sugli standard per l’interoperabilità dei servizi.
Troppa incertezza per il Data Act nuocerà all’AI?
Le FAQ riguardanti il Data Act hanno il merito di fornire chiarimenti essenziali su aspetti della normativa che potevano apparire ambigui o insufficientemente definiti dopo una prima lettura.
Questo processo di approfondimento è fondamentale non solo per comprendere meglio le intenzioni del legislatore europeo ma anche per identificare le aree in cui sono necessari ulteriori interventi normativi o di standardizzazione.
Una delle sfide più significative identificate è la necessità di sviluppare una maggiore standardizzazione nell’ambito dell’interoperabilità dei data spaces, un concetto al centro del cosiddetto “European Trusted Data Framework”.
Parallelamente, è in corso un importante lavoro di sviluppo di modelli contrattuali per il data sharing e le clausole contrattuali standard (standard contractual clauses) specificamente orientate al contesto B2B.
Questo sforzo è guidato da un gruppo di esperti in B2B che mirano a creare un insieme di strumenti contrattuali che facilitino la condivisione dei dati tra le imprese in modo equo, trasparente e sicuro.
L’obiettivo è di ridurre le barriere legali e pratiche al data sharing, promuovendo al contempo la fiducia tra le parti coinvolte. Più precisamente, sarà la Commissione a pubblicare apposite clausole contrattuali standard sia per il data sharing che per i contratti di cloud computing.
“Standard” in questo contesto vorrà dire un testo a modello, potendo le parti liberamente modificarlo. Lo scopo di questa operazione dovrebbe essere di aiutare a standardizzare le più comuni previsioni contrattuali e fornire un testo che rispetti i requisiti del Data Act agli operatori, pur senza limitare la loro libertà contrattuale.
Tutto questo è particolarmente rilevante in un contesto in cui la diffusione dell’intelligenza artificiale generativa richiede un accesso più ampio e sicuro ai dati. Le nuove regole forniranno un terreno fertile, poiché le aziende potranno sfruttare un bacino di dati più ricco e variegato per addestrare algoritmi, sviluppare nuovi prodotti e migliorare i servizi esistenti.
Allo stesso tempo, la protezione contro l’abuso dei segreti commerciali e il rafforzamento delle norme per evitare il trasferimento illecito di dati garantiranno che questa innovazione avvenga in un contesto di fiducia e rispetto delle regole.
Diversi dubbi e criticità potenziali restano sullo sfondo, per es. su come bilanciare l’accessibilità con la tutela dei diritti di proprietà intellettuale e dei segreti commerciali. Inoltre, l’integrazione del Data Act con le normative preesistenti come il GDPR può generare complessità aggiuntive per gli operatori: la distinzione tra dati personali e non personali, e come questi siano trattati nel contesto della condivisione obbligatoria, rimane una zona grigia che richiederà ulteriori chiarimenti.
Questo potrebbe portare a conflitti legali e incertezze per le aziende che operano in settori ad alta intensità di dati.
Queste FAQ sono un primo passo nel diradare alcuni nodi, molto lavoro resta da fare.
