DATA ACT E PRODOTTI CONNESSI:
scatta l’obbligo di “Access by Design” dal 12 settembre 2026
La nuova disciplina europea (Regolamento UE 2023/2854) trasforma la gestione dei dati generati da IoT e dispositivi intelligenti. Fabbricanti e aziende chiamati ad adeguare architetture tecniche, tutele del know-how e conformità al GDPR.
BRUXELLES – Entra nella sua fase applicativa più determinante il Data Act (Regolamento UE 2023/2854). A partire dal 12 settembre 2026, scatta infatti l’obbligo di "Access by Design": tutti i dispositivi connessi e gli oggetti intelligenti immessi sul mercato europeo dovranno essere progettati per consentire agli utenti un accesso facile, sicuro e gratuito ai dati grezzi e pre-processati che essi stessi contribuiscono a generare.
L’impatto della normativa coinvolge in maniera trasversale l'intero ecosistema industriale e tecnologico: dai macchinari per l'automazione di fabbrica alle attrezzature agricole, dai veicoli connessi ai dispositivi medici, fino agli elettrodomestici per la domotica. Se da un lato la libera circolazione dei flussi informativi offre nuove opportunità di ottimizzazione dei processi e sviluppo di servizi digitali, dall'altro impone una profonda revisione delle politiche di cybersecurity e di tutela dei segreti commerciali.
I quattro pilastri operativi del Data Act
La nuova architettura giuridica europea distribuisce responsabilità ben definite lungo tutta la filiera digitale, articolandosi su quattro aree principali di intervento:
Accesso diretto per gli utenti: I fabbricanti e i fornitori devono strutturare gli hardware e i software in modo che i dati raccolti dai sensori siano accessibili all'utente di default.
Condivisione con terze parti (Data Holder): Su richiesta dell'utente, i detentori dei dati hanno il dovere di trasmettere le medesime informazioni a soggetti terzi (come aziende di manutenzione, partner tecnici o compagnie assicurative).
Messa a disposizione per enti pubblici: In casi tassativi ed eccezionali di emergenza o per specifici compiti di interesse pubblico, i dati devono poter essere messi a disposizione delle autorità competenti.
Portabilità e Cloud Switching: I provider di servizi Cloud sono tenuti a rimuovere gli ostacoli tecnici e contrattuali per consentire il passaggio sicuro dei dati verso altri fornitori, riducendo e azzerando nel tempo i costi di migrazione.
Protezione del know-how e gestione dei segreti commerciali
Una delle principali criticità sollevate dall'apertura dei canali informativi riguarda la salvaguardia della proprietà intellettuale. Il Data Act chiarisce che l'obbligo di condivisione riguarda esclusivamente i dati grezzi e pre-processati, escludendo le informazioni derivate da elaborazioni algoritmiche complesse o coperte da brevetto proprietario.
Per prevenire rischi di spionaggio industriale e vulnerabilità informatiche, il regolamento prevede un sistema di tutela graduale:
Accordi e misure preventive: Il titolare definisce con l'utente idonei protocolli di sicurezza e accordi di riservatezza (NDA).
Sospensione dell'accesso: In caso di assenza di intesa sulle garanzie o di violazione delle misure di sicurezza, il titolare può bloccare la condivisione previa notifica scritta alle autorità.
Rifiuto motivato: In circostanze eccezionali, laddove sussista la prova oggettiva di un grave e irreparabile danno economico per l'impresa, la trasmissione di specifici dati può essere negata.
Coordinamento tra Data Act, GDPR e Direttiva NIS2
Il Data Act non sostituisce la normativa sul trattamento dei dati personali. Qualora le informazioni estratte dai dispositivi IoT o dai macchinari riguardino persone fisiche, resta pienamente applicabile il GDPR (Regolamento UE 2016/679). La condivisione dei dati con terze parti dovrà quindi integrarsi con il rispetto delle basi giuridiche, delle informative all'interessato e della gestione dei diritti di riservatezza sotto la vigilanza delle Autorità Garanti.
Infine, l'adeguamento tecnico richiesto dal Data Act deve coordinarsi con i requisiti di sicurezza informatica e gestione dei rischi previsti dalla Direttiva NIS2, garantendo che la maggiore disponibilità di dati non comprometta la resilienza cibernetica delle infrastrutture essenziali.