- Un cambio di paradigma nell’economia digitale europea
Con l’approvazione del Regolamento (UE) 2023/2854 (13 dicembre 2023), meglio conosciuto come Data Act [1], l’Unione Europea ha compiuto un passo decisivo verso la costruzione di un’economia dei dati più equa e competitiva.
La normativa, applicabile (almeno in parte) dal 12 settembre 2025, rappresenta uno dei pilastri fondamentali della strategia europea per il decennio digitale, affiancandosi ad altri importanti atti legislativi come il Data Governance Act e il Digital Markets Act.
Nello specifico, il Data Act consente agli utenti di prodotti connessi [2] (i.e. qualunque prodotto in grado di generare o ricevere dati e di trasmetterli tramite tecnologie wireless o via cavo) e di servizi agli stessi correlati [3] di accedere ai dati generati con l’uso e di condividerli con i terzi. La normativa regola i diritti dei soggetti coinvolti, le procedure e i limiti di accesso e condivisione, gli aspetti contrattuali e la tutela della concorrenza.
Le nuove regole impongono alle imprese del settore una ridefinizione delle politiche di gestione dei dati generati da tecnologie connesse e, in particolare, un adeguamento strutturale dei contratti in essere tra fornitori, clienti (utenti) e terzi interessati alla ricezione dei dati.
- Le finalità della normativa: liberare il potenziale dei dati
Nell’era digitale, i dati rappresentano una risorsa economica fondamentale, ma il loro valore rimane spesso vincolato in contesti aziendali chiusi, inaccessibile a chi potrebbe utilizzarli per innovare e crescere. L’obiettivo principale del regolamento è quindi liberare questo potenziale, creando un mercato dei dati più dinamico e inclusivo.
La normativa persegue diverse finalità interconnesse. In primo luogo, mira a riequilibrare i rapporti di forza nell’economia digitale, garantendo che gli utenti – siano essi consumatori o imprese – possano accedere ai dati generati dai prodotti connessi che utilizzano. Si pensi, ad esempio, ai dati prodotti da un macchinario industriale intelligente: il Data Act assicura che l’azienda che lo utilizza possa accedere a questi dati per ottimizzare la produzione o scegliere liberamente il fornitore di servizi di manutenzione.
Un secondo obiettivo fondamentale è stimolare l’innovazione e la concorrenza. Facilitando la condivisione dei dati tra imprese, il regolamento intende favorire lo sviluppo di nuovi servizi e prodotti, particolarmente nell’ambito dell’intelligenza artificiale e dell’Internet of Things (IoT). Inoltre, la normativa rafforza la sovranità digitale europea, stabilendo regole specifiche per il trasferimento internazionale dei dati e prevedendo meccanismi di salvaguardia contro accessi illegittimi da parte di autorità di paesi terzi. In assenza di un
accordo internazionale con il paese terzo – delineato come regola principale – l’accesso ai dati potrebbe infatti essere lecitamente concesso solo in presenza di precise condizioni e garanzie.
- I protagonisti del Data Act
Il regolamento coinvolge una pluralità di soggetti, ciascuno con ruoli e responsabilità specifiche. Al centro del sistema sono collocati gli utenti, categoria che comprende sia i consumatori finali che le imprese che utilizzano prodotti connessi o servizi correlati. Questi soggetti acquisiscono il diritto fondamentale di accedere ai dati generati dall’uso dei loro dispositivi e di condividerli con terzi di loro scelta.
I titolari dei dati (data holders), tipicamente i produttori di dispositivi IoT o i fornitori di servizi digitali, sono tenuti a rendere disponibili i dati agli utenti e, su loro richiesta, a terzi. Questo obbligo rappresenta un cambiamento significativo rispetto al passato, dato che molte aziende consideravano i dati generati dai loro prodotti come proprietà esclusiva. Titolare può essere anche un distributore o rivenditore, tendenzialmente qualunque soggetto autorizzato dal produttore a gestire rapporti contrattuali con gli utenti.
I destinatari dei dati (data recipients) ricevono i dati su richiesta dell’utente; si tratta ad esempio di fornitori di servizi di riparazione indipendenti o sviluppatori di applicazioni innovative (misurazione/efficientamento di consumo energetico; controllo da remoto delle funzionalità di un apparecchio domestico etc.). Il regolamento stabilisce anche un ruolo importante per le pubbliche amministrazioni, che in situazioni di emergenza pubblica o per altri compiti di interesse pubblico possono richiedere l’accesso a determinati dati del settore privato.
Tra le limitazioni che la normativa prevede rispetto ai diritti di accesso e condivisione, merita particolare menzione il divieto (per utenti e destinatari) di usare i dati per sviluppare prodotti e servizi in concorrenza diretta con quelli che hanno originato i dati e di ricevere/usare dati che qualifichino segreti commerciali del titolare dei dati.
- La complementarietà con il GDPR
Non è possibile considerare e comprendere a pieno la portata del Data Act, senza una riflessione rispetto alla sua convergenza con il più noto GDPR, antesignano della regolamentazione europea nel settore digitale.
Sebbene abbiano obiettivi distinti, questi strumenti normativi presentano significativi punti di contatto che delineano un quadro integrato per la protezione e l’utilizzo dei dati nell’Unione Europea.
Il GDPR, come noto, si concentra sulla protezione dei dati personali, garantendo i diritti fondamentali degli individui – persone fisiche – nel trattamento delle loro informazioni. Il Data Act, invece, come visto disciplina l’accesso e l’utilizzo di tutti i tipi di dati generati da prodotti connessi e servizi digitali, inclusi quelli non personali. Quando i dati regolamentati dal Data Act includono informazioni personali, entrambe le normative si applicano contemporaneamente, creando un sistema di protezione a doppio livello.
La complementarietà tra le due normative emerge chiaramente nell’analisi dei principi fondamentali condivisi. In materia di trasparenza e controllo, il GDPR garantisce il diritto all’informazione sui trattamenti di dati personali, mentre il Data Act stabilisce obblighi di trasparenza sui dati generati da prodotti connessi. Questo crea un sistema informativo complessivo che copre l’intero ciclo di vita del dato.
La portabilità dei dati rappresenta un altro punto di convergenza significativo. Se il GDPR riconosce il diritto alla portabilità dei dati personali (Art. 20), il Data Act estende questo concetto a tutti i dati, facilitando il passaggio tra servizi e prevenendo il lock-in tecnologico. Entrambe le normative riconoscono inoltre la necessità di bilanciare diritti degli individui, interessi commerciali legittimi, innovazione tecnologica e sicurezza dei dati.
Dal punto di vista operativo, il Data Act non sostituisce le basi giuridiche del GDPR per il trattamento di dati personali, ma le integra definendo quando e come i dati possono essere condivisi, sempre nel rispetto delle tutele previste dal GDPR. In materia di sicurezza, mentre il GDPR impone misure tecniche e organizzative appropriate, il Data Act stabilisce specifici requisiti di sicurezza per la condivisione dei dati, creando un framework coordinato di protezione.
Entrambe le normative enfatizzano la responsabilità (accountability) dei soggetti che trattano i dati, l’importanza di meccanismi di governance interni e la necessità di valutazioni d’impatto quando appropriato. Questo approccio comune facilita l’implementazione di sistemi di compliance integrati.
L’applicazione congiunta delle due normative presenta tuttavia alcune sfide interpretative. È necessario identificare correttamente il regime applicabile, determinando quando si applica solo il GDPR, solo il Data Act, o entrambi. Inoltre, occorre stabilire gerarchie normative chiare in caso di potenziali conflitti e armonizzare i diversi meccanismi di enforcement e le autorità competenti.
L’evoluzione tecnologica richiederà un’interpretazione dinamica di entrambe le normative. L’Internet of Things, l’intelligenza artificiale e i servizi cloud rappresentano ambiti dove la convergenza tra Data Act e GDPR sarà particolarmente significativa, richiedendo approcci integrati alla compliance che tengano conto sia delle specificità di ciascuna normativa sia della loro visione comune per un’Europa digitale sicura e innovativa.
- I profili contrattuali
Infine, dal punto di vista contrattuale, il Data Act introduce importanti novità che ridefiniscono le relazioni commerciali nell’economia dei dati. Le tipologie negoziali specificamente menzionate dalla normativa sono: vendita (o comunque qualsiasi forma di cessione-acquisto), noleggio, locazione, fornitura di servizi.
5.1 Il regolamento stabilisce che i contratti tra titolari dei dati e utenti devono essere trasparenti sulle modalità di generazione, raccolta e possibile utilizzo dei dati. I produttori e fornitori di prodotti connessi e servizi correlati sono tenuti ad includere un’informativa dettagliata su natura dei dati, volume/frequenza della loro generazione, uso atteso degli stessi, modalità di archiviazione, accesso e condivisione [4].
5.2 In secondo luogo, nei rapporti tra imprese (BtoB), le clausole che impediscono o limitano eccessivamente l’accesso ai dati da parte degli utenti sono considerate nulle.
Le clausole relative alla messa a disposizione di dati, quando siano imposte unilateralmente dal titolare dei dati all’impresa utente, devono essere soggette a una verifica della natura potenzialmente abusiva (si presume che tali clausole fondino sulla maggiore forza negoziale del proponente, in una situazione in cui i profili concorrenziali, di tutela del consumatore o delle PMI-microimprese sono particolarmente sensibili).
Secondo un approccio simile alla normativa sulla tutela dei consumatori, sono definiti elenchi delle tipologie di clausole da ritenere abusive (“black list” vs. “grey list”).
5.2.1 Nello specifico, la normativa prevede un elenco non esaustivo di clausole che sono sempre considerate abusive, volte a:
A) escludere o limitare la responsabilità della parte che ha imposto unilateralmente la clausola in caso di dolo o colpa grave;
B) escludere i mezzi di ricorso a disposizione della parte alla quale la clausola è stata imposta unilateralmente in caso di inadempimento degli obblighi contrattuali o la responsabilità della parte che ha imposto unilateralmente la clausola in caso di violazione di tali obblighi;
C) conferire alla parte che ha imposto unilateralmente la clausola il diritto esclusivo di determinare se i dati forniti sono conformi al contratto o di interpretare una qualsiasi clausola del contratto;
5.2.2 È inoltre definito un elenco di clausole che si presumono abusive (sino a prova contraria), aventi la finalità di:
D) limitare in modo inappropriato i mezzi di ricorso in caso di inadempimento degli obblighi contrattuali o la responsabilità in caso di violazione di tali obblighi, oppure estendere la responsabilità dell’impresa cui è stata imposta unilateralmente la clausola;
E) consentire alla parte che ha imposto unilateralmente la clausola di accedere ai dati dell’altra parte contraente e di utilizzarli in modo tale da nuocere significativamente ai legittimi interessi dell’altra parte contraente, in particolare quando tali dati contengano dati sensibili sotto il profilo commerciale o sono protetti da segreti commerciali o da diritti di proprietà intellettuale;
F) impedire alla parte alla quale è stata imposta unilateralmente la clausola di utilizzare i dati che tale parte ha fornito o generato durante il periodo del contratto, o limitare l’utilizzo di tali dati in misura tale da privare tale parte del diritto di utilizzare, acquisire o controllare tali dati, di accedervi o di sfruttarne il valore in modo adeguato;
G) impedire alla parte alla quale è stata imposta unilateralmente la clausola di recedere dall’accordo entro un termine ragionevole;
H) impedire alla parte alla quale è stata imposta unilateralmente la clausola di ottenere una copia dei dati che tale parte ha fornito o generato durante il periodo del contratto o entro un termine ragionevole dopo la risoluzione dello stesso;
I) consentire alla parte che ha imposto unilateralmente la clausola di risolvere il contratto con un preavviso irragionevolmente breve, tenendo conto di qualsiasi ragionevole possibilità dell’altra parte contraente di passare a un servizio alternativo e comparabile e del danno finanziario causato da tale risoluzione, salvo quando sussistano gravi motivi;
J) consentire alla parte che ha imposto unilateralmente la clausola di modificare sostanzialmente il prezzo specificato nel contratto o qualsiasi altra condizione sostanziale relativa alla natura, al formato, alla qualità o alla quantità dei dati da condividere, qualora non sia specificato nel contratto alcun motivo valido e alcun diritto dell’altra parte di risolvere il contratto nel caso di una tale modifica.
Se una clausola è considerata abusiva, non è più valida e, ove possibile, è semplicemente separata dal contratto. Se si presume che sia abusiva, l’entità che ha imposto la clausola può provare a dimostrare che la clausola non è abusiva.
5.3 La normativa include inoltre previsioni specifiche rispetto: i) al rapporto negoziale tra titolare e destinatario dei dati, inclusi i principi per la definizione dell’eventuale corrispettivo: ii) alle clausole contrattuali per il passaggio del servizio di trattamento dei dati a diverso fornitore (in merito a diritti del cliente e obblighi del fornitore di servizi).
- Entrata in vigore e applicazione
Il regolamento è applicabile dal 12 settembre 2025.
Le disposizioni in materia contrattuale (capo IV del Data Act) si applicano ai contratti conclusi dopo il 12 settembre 2025.
Le nuove norme sono applicabili anche ai contratti già in vigore al 12 settembre 2025, ma a condizione che:
- siano a tempo indeterminato; o
- scadano almeno 10 anni dopo l’11 gennaio 2024 (data di entrata in vigore del Data Act).
Anche tali contratti dovranno quindi essere adeguati entro il 12 settembre 2027, con opportuni accordi integrativi (o sostituiti ex novo).
—–
Note:
[1] Il Data Act è stato pubblicato nella Gazzetta Ufficiale in data 22 dicembre 2023, con entrata in vigore il ventesimo giorno successivo alla pubblicazione (11 gennaio 2024).
[2] Secondo la definizione del Data Act, è «prodotto connesso»: un bene che ottiene, genera o raccoglie dati relativi al suo utilizzo o al suo ambiente e che è in grado di comunicare dati del prodotto tramite un servizio di comunicazione elettronica, una connessione fisica o l’accesso su dispositivo, e la cui funzione primaria non è l’archiviazione, il trattamento o la trasmissione dei dati per conto di una parte diversa dall’utente;
[3] Secondo la definizione del Data Act, è «servizio correlato»: un servizio digitale diverso da un servizio di comunicazione elettronica, anche software, connesso con il prodotto al momento dell’acquisto, della locazione o del noleggio in modo tale che la sua assenza impedirebbe al prodotto connesso di svolgere una o più delle sue funzioni o che è successivamente connesso al prodotto dal fabbricante o da un terzo al fine di ampliare, aggiornare o adattare le funzioni del prodotto connesso.
[4] Prima di concludere un contratto di acquisto, locazione o noleggio di un prodotto connesso, il venditore, il locatore o il noleggiante, che può essere il fabbricante, fornisce all’utente almeno le informazioni seguenti, in modo chiaro e comprensibile:
a) il tipo, il formato e il volume stimato di dati del prodotto che il prodotto connesso può generare;
b) se il prodotto connesso è in grado di generare dati in modo continuo e in tempo reale;
c) se il prodotto connesso è in grado di archiviare dati sul dispositivo o su un server remoto, compresa, se del caso, la durata prevista della conservazione;
d) il modo in cui l’utente può accedere a tali dati, reperirli o, se del caso, cancellarli, compresi i mezzi tecnici per farlo, nonché le condizioni d’uso e la qualità del servizio.
Prima di concludere un contratto di fornitura di un servizio correlato, il fornitore di tale servizio correlato fornisce all’utente almeno le informazioni seguenti, in modo chiaro e comprensibile:
a) la natura, il volume stimato e la frequenza di raccolta dei dati del prodotto che il potenziale titolare dei dati dovrebbe ottenere e, se del caso, le modalità con cui l’utente può accedere a tali dati o reperirli, comprese le modalità di archiviazione dei dati del potenziale titolare dei dati e la durata della loro conservazione;
b) la natura e il volume stimato dei dati di un servizio correlato che saranno generati, nonché le modalità con cui l’utente può accedere a tali dati o reperirli, comprese le modalità di archiviazione dei dati del potenziale titolare dei dati e la durata della conservazione;
c) se il potenziale titolare dei dati prevede di utilizzare esso stesso i dati prontamente disponibili e le finalità per le quali tali dati saranno utilizzati e se intende consentire a uno o più terzi di utilizzare i dati per le finalità concordate con l’utente;
d) l’identità del potenziale titolare dei dati, ad esempio il suo nome commerciale e l’indirizzo geografico al quale è stabilito e, se del caso, di altre parti coinvolte nel trattamento dei dati;
e) i mezzi di comunicazione che consentono di contattare rapidamente il potenziale titolare dei dati e di comunicare efficacemente con quest’ultimo;
f) il modo in cui l’utente può chiedere che i dati siano condivisi con terzi e, se del caso, porre fine alla condivisione dei dati;
g) il diritto dell’utente di presentare un reclamo per violazione delle disposizioni del presente capo all’autorità competente;
h) se un potenziale titolare dei dati è il detentore di segreti commerciali contenuti nei dati accessibili dal prodotto connesso o generati nel corso della fornitura di un servizio correlato e, qualora il potenziale titolare dei dati non sia il detentore di segreti commerciali, l’identità del detentore del segreto commerciale;
i) la durata del contratto tra l’utente e il potenziale titolare dei dati, nonché le modalità per risolvere tale contratto.
