Dal 12 settembre 2026 l’acceso ai dati diventa “by design”
I nuovi prodotti connessi dovranno essere progettati per rendere i dati accessibili agli utenti, nel rispetto di GDPR, NIS2, Cyber Resilience Act e segreti commerciali
Il Data Act – Regolamento (UE) 2023/2854, applicabile nella sua parte principale dal 12 settembre 2025, mira a favorire una maggiore disponibilità e utilizzabilità dei dati generati da prodotti e servizi digitali.
Tra gli ambiti più rilevanti rientrano i prodotti connessi e i servizi correlati, come veicoli, macchinari industriali, dispositivi medicali, wearable, elettrodomestici intelligenti e sistemi per smart building, energia e logistica.
Il Regolamento disciplina l’accesso ai dati generati durante l’utilizzo di tali prodotti e la loro condivisione con l’utente o con terzi da lui indicati. Possono rientrare, ad esempio, dati relativi a temperatura, pressione, posizione, velocità, funzionamento e stato del dispositivo.
Data Act e GDPR: discipline diverse, ma applicabili agli stessi dati.
Il GDPR tutela le persone fisiche e disciplina il trattamento dei dati personali. Il Data Act, invece, stabilisce chi può accedere ai dati generati da un prodotto connesso e a quali condizioni, indipendentemente dal fatto che siano personali o non personali. Le due discipline possono quindi applicarsi contemporaneamente.
Un veicolo connesso può generare dati tecnici sulla batteria o sulla diagnostica, ma anche informazioni riferibili al conducente o all’utilizzatore. Quando sono presenti dati personali, il Data Act non sostituisce né modifica il GDPR.
In particolare, il Data Act non costituisce una nuova base giuridica per il trattamento dei dati personali. Se l’utente che richiede i dati non coincide con l’interessato, la comunicazione deve comunque fondarsi su una valida base giuridica ai sensi del GDPR.
È quindi importante distinguere tra “utente” del Data Act, che può essere anche una persona giuridica proprietaria o utilizzatrice del prodotto, e “interessato” ai sensi del GDPR.
Il 12 settembre 2026: l’accessibilità entra nella progettazione.
L’art. 50 del Regolamento prevede che l’obbligo dell’art. 3, paragrafo 1 (di seguito analizzato), si applichi ai prodotti connessi e ai relativi servizi immessi sul mercato dopo il 12 settembre 2026.
Tali prodotti dovranno essere progettati in modo che i dati generati, compresi i metadati necessari per interpretarli, siano accessibili all’utente:
- facilmente;
- in modo sicuro;
- gratuitamente;
- in formato completo, strutturato e leggibile da dispositivo automatico;
- direttamente dal prodotto, quando pertinente e tecnicamente possibile.
Si tratta del principio di “access by design”: l’accesso ai dati non potrà essere considerato una funzione da aggiungere successivamente, ma dovrà essere previsto già nella progettazione del prodotto e del servizio correlato.
Accesso ai dati e sicurezza.
L’accesso non dovrà limitarsi alla possibilità di scaricare un file. La progettazione dovrà considerare formati, metadati, autenticazione, autorizzazioni, frequenza di aggiornamento e, quando necessario, accesso continuo o in tempo reale.
A seconda del prodotto, potranno essere necessari portali, API, funzioni di esportazione, dashboard e sistemi per consentire la trasmissione dei dati a terzi scelti dall’utente.
Questi strumenti dovranno però essere progettati in modo da evitare accessi abusivi o non autorizzati. Il Data Act dovrà quindi essere coordinato con:
- art. 25 GDPR, relativo alla protezione dei dati fin dalla progettazione;
- NIS2, per la gestione dei rischi di cybersicurezza;
- Cyber Resilience Act, che introduce requisiti di sicurezza per i prodotti con elementi digitali.
In concreto, saranno rilevanti autenticazione, gestione dei ruoli, segregazione dei dati, cifratura, logging, sicurezza delle API e gestione delle vulnerabilità.
Utente e interessato possono essere soggetti diversi.
Il proprietario o utilizzatore del prodotto non coincide necessariamente con la persona cui si riferiscono i dati.
È il caso, ad esempio, di un veicolo aziendale utilizzato da un dipendente o di un macchinario impiegato da più operatori. L’utente può avere diritto di accesso ai dati generati dal prodotto, ma ciò non significa che possa ottenere automaticamente tutti i dati personali riferibili ad altri soggetti.
Questa distinzione dovrebbe essere considerata già in fase di progettazione, individuando quali dati siano tecnici, quali riferibili all’utente e quali a terzi.
La condivisione con terzi.
L’art. 5 consente all’utente di chiedere che i dati siano messi a disposizione di un terzo da lui scelto, ad esempio per servizi di manutenzione, assistenza o analisi.
La condivisione deve avvenire in modo sicuro e, quando comprende dati personali, nel rispetto del GDPR. Il terzo potrà utilizzare i dati solo per le finalità concordate e dovrà cancellarli quando non siano più necessari, salvo diverso accordo per i dati non personali.
Segreti commerciali.
Il Data Act non elimina la tutela dei segreti commerciali. I dati protetti come tali possono essere condivisi solo adottando misure idonee a garantirne la riservatezza, come accordi di confidenzialità, controlli di accesso e specifiche misure tecniche e contrattuali.
In casi eccezionali, il titolare può sospendere o rifiutare l’accesso qualora dimostri un rischio molto probabile di grave danno economico derivante dalla divulgazione.
Cosa devono verificare produttori e fornitori.
In vista del 12 settembre 2026, sarà opportuno:
- censire i dati generati dal prodotto e i relativi metadati;
- individuare i dati personali e i soggetti cui si riferiscono;
- definire ruoli e autorizzazioni di utenti, amministratori e terzi;
- progettare modalità di accesso semplici, gratuite e sicure;
- integrare autenticazione, cifratura, logging e gestione delle vulnerabilità;
- separare i dati accessibili da segreti commerciali e informazioni non condivisibili;
- aggiornare informative privacy, contratti e condizioni d’uso.
Conclusioni.
Dal 12 settembre 2026, per i nuovi prodotti interessati dalla disciplina, l’accesso ai dati dovrà essere previsto direttamente nella progettazione.
La conformità non consisterà soltanto nel rendere disponibili i dati, ma nel farlo in modo accessibile, interoperabile e gratuito per l’utente, proteggendo al tempo stesso dati personali, sistemi informatici e segreti commerciali.
Il Data Act porta così a integrare tre principi: access by design, privacy by design e security by design.
Articolo di Cristian Ercolano