EU Data Act: chi possiede i dati che generi

Il Data Act (Regolamento UE 2024/2854) è la legge europea che stabilisce chi può accedere e usare i dati generati da prodotti connessi (macchinari, veicoli, elettrodomestici smart, sensori IoT) e dai servizi digitali collegati. In pratica dà a chi usa il prodotto il diritto di ottenere quei dati e di condividerli con terzi di sua scelta.

Per una PMI significa due cose concrete: se usi macchinari o software connessi, hai più diritti sui dati che produci; se invece li fabbrichi o li offri come servizio, hai nuovi obblighi di trasparenza e accesso. In più il regolamento rende più semplice ed economico cambiare fornitore cloud.

GiBSeS — Capire da che lato del tavolo ti trovi — utente o fornitore di dati — è il primo passo che facciamo insieme in una diagnosi.

Il Data Act è entrato in vigore l'11 gennaio 2024, ma la maggior parte degli obblighi si applica dal 12 settembre 2025. Alcune scadenze sono successive: l'obbligo di progettare i prodotti connessi in modo che i dati siano accessibili "by default" riguarda i prodotti immessi sul mercato dopo il 12 settembre 2026, mentre l'azzeramento dei costi di cambio fornitore cloud è previsto entro il 12 gennaio 2027.

Quindi sì, il grosso è già applicabile: conviene verificare la propria posizione ora, non aspettare le scadenze successive.

GiBSeS — Se non sai quali scadenze ti riguardano davvero, mettere in fila le date rispetto alla tua situazione è parte del punto iniziale che facciamo.

Sì, ma in modo diverso a seconda del ruolo. Il regolamento si applica a fabbricanti di prodotti connessi, fornitori di servizi correlati, utenti di questi prodotti (imprese e consumatori), fornitori di servizi cloud e destinatari dei dati. Anche una piccola azienda che semplicemente usa macchinari o software connessi rientra tra i soggetti tutelati.

Ci sono però esenzioni importanti per micro e piccole imprese quando sono loro a fabbricare il prodotto o a fornire il servizio: in quel caso molti obblighi di condivisione non si applicano. Essere PMI conta, ma la posizione va valutata caso per caso.

GiBSeS — Stabilire se sei soggetto tutelato, soggetto obbligato o entrambi è esattamente il tipo di chiarimento da cui partiamo.

Il Data Act riguarda i dati generati dall'uso di prodotti connessi e dei servizi ad essi correlati: parliamo di macchinari industriali, veicoli, dispositivi medici, elettrodomestici smart, sensori, ma anche del software e delle app che ne gestiscono il funzionamento. Rientrano i dati grezzi e quelli pre-elaborati che il prodotto raccoglie, registra o trasmette durante l'uso.

Non rientrano invece le informazioni che il fornitore ricava con analisi complesse e investimenti propri (i cosiddetti dati "derivati" o "inferiti"), che restano fuori dall'obbligo di condivisione.

GiBSeS — Distinguere il dato grezzo condivisibile da quello elaborato e protetto è una delle valutazioni tecniche in cui ti affianchiamo.

Sì. Se usi un prodotto connesto o un servizio correlato, hai il diritto di accedere ai dati che generi con il suo utilizzo, in modo facile, sicuro e gratuito, e dove tecnicamente possibile in modo diretto e continuo. Se non puoi ottenerli direttamente dal dispositivo, il detentore dei dati (di solito il fabbricante o il fornitore) deve metterteli a disposizione senza ritardi ingiustificati.

Questo rompe una prassi diffusa: fino a ieri i dati del tuo stesso macchinario restavano spesso chiusi nei sistemi del produttore.

GiBSeS — Riappropriarsi dei dati dei propri impianti è il cuore del tema "sovranità del dato" su cui lavoriamo con le PMI.

Sì, ed è una delle novità più concrete. Su tua richiesta, il detentore dei dati deve condividerli con un terzo che scegli tu — un manutentore indipendente, un altro fornitore di servizi, uno sviluppatore di soluzioni. Questo ti permette, per esempio, di far manutenere o ottimizzare un impianto da chi vuoi, senza restare vincolato al costruttore.

Il terzo deve usare i dati solo per le finalità concordate con te e non può a sua volta cederli senza il tuo consenso. Sono esclusi da questo meccanismo i grandi gatekeeper designati dal Digital Markets Act.

GiBSeS — Usare questo diritto per aprire la concorrenza sui servizi post-vendita è una leva anti-lock-in che aiutiamo a mettere a terra.

Come fabbricante hai alcuni obblighi chiave. Devi informare chiaramente l'acquirente, prima della vendita, su quali dati il prodotto genera, come accedervi e con chi possono essere condivisi. Devi rendere i dati accessibili all'utente e, su sua richiesta, a terzi da lui indicati. Per i prodotti immessi sul mercato dopo il 12 settembre 2026 vale anche l'obbligo di progettarli in modo che i dati siano accessibili "by design e by default".

Puoi tutelare i tuoi segreti commerciali con misure adeguate, ma non puoi usarli come scusa per negare in blocco l'accesso.

GiBSeS — Rivedere contratti di vendita, documentazione tecnica e architettura del prodotto in ottica Data Act è un lavoro in cui ti supportiamo end-to-end.

Ottieni più controllo e più leva negoziale. Puoi accedere ai dati d'uso dei tuoi prodotti, portarli via, e affidarli a fornitori terzi per manutenzione, analisi o nuovi servizi. Questo riduce la dipendenza da un unico costruttore e ti permette di confrontare offerte di assistenza sul mercato aperto.

In concreto puoi valorizzare dati che prima restavano inaccessibili: efficienza energetica, usura, predittività dei guasti, ottimizzazione dei processi.

GiBSeS — Trasformare questi diritti in risparmio e in decisioni migliori è la parte pratica che ci interessa di più.

No, il Data Act non sostituisce né indebolisce il GDPR: i due si applicano in parallelo. Il GDPR continua a governare tutti i dati personali; il Data Act aggiunge diritti sull'accesso e la portabilità, ma in caso di conflitto la protezione dei dati personali prevale. Quando i dati generati dal prodotto includono informazioni personali, servono comunque una base giuridica valida e il rispetto dei principi GDPR.

In pratica molti dataset IoT sono misti (dati personali e non personali intrecciati): vanno gestiti tenendo insieme entrambe le normative.

GiBSeS — Sciogliere l'intreccio tra dati personali e non personali senza violare né l'uno né l'altro regolamento è un tipico nodo che aiutiamo a districare.

Il Data Act introduce una tutela contro le clausole contrattuali abusive relative all'accesso e all'uso dei dati, quando sono imposte unilateralmente da un'impresa a un'altra. Una clausola giudicata abusiva non è vincolante: ad esempio quella che esclude o limita in modo palesemente iniquo i rimedi in caso di inadempimento, o che dà a chi la impone il potere unilaterale di stabilire se i dati forniti sono conformi.

È una protezione pensata soprattutto per riequilibrare i rapporti quando la controparte ha un forte potere negoziale.

GiBSeS — Passare al setaccio i contratti dati alla ricerca di clausole non più opponibili è un controllo veloce ma spesso rivelatore.

Sì. Le micro e piccole imprese godono di alleggerimenti importanti: quando sono loro a fabbricare un prodotto connesso o a fornire un servizio correlato, gli obblighi di condivisione dei dati previsti dal capo II del regolamento in genere non si applicano. Questo evita di caricare le realtà più piccole degli stessi oneri delle multinazionali.

Attenzione però: l'esenzione può decadere se la micro o piccola impresa è collegata o partner di un'impresa più grande. La qualifica di PMI va verificata secondo i criteri UE (dipendenti, fatturato, assetto proprietario).

GiBSeS — Verificare con precisione se rientri nell'esenzione — e se il tuo assetto societario la fa decadere — è un controllo che conviene fare prima di investire in adeguamenti.

Sì, è uno degli obiettivi centrali. Il regolamento obbliga i fornitori di servizi di trattamento dati (cloud ed edge) a rimuovere gli ostacoli tecnici, contrattuali e commerciali al cambio fornitore. Devono garantire un processo di migrazione con termini definiti, assistere il cliente nel trasferimento di dati e applicazioni verso un altro provider o verso l'infrastruttura on-premise, e non possono imporre vincoli sproporzionati.

È pensato proprio per ridurre il lock-in che tiene le aziende ostaggio di un'unica piattaforma.

GiBSeS — Il lock-in cloud è uno dei rischi che valutiamo per primi: il Data Act ti dà finalmente strumenti concreti per uscirne.

Sì. Il Data Act prevede una riduzione graduale dei costi di cambio fornitore (switching charges) e la loro eliminazione entro il 12 gennaio 2027. Nel periodo transitorio i fornitori possono addebitare solo costi ridotti, legati alle spese effettivamente sostenute per la migrazione, non penali punitive. Restano invece fatturabili i normali costi di uso ordinario del servizio.

Questo abbatte una delle barriere economiche più forti al cambio di fornitore, insieme a quelle tecniche.

GiBSeS — Quantificare oggi il tuo reale costo di uscita — e come cadrà entro il 2027 — è un calcolo che cambia le trattative con i fornitori.

Il regolamento impone requisiti di interoperabilità per facilitare lo scambio di dati e il passaggio tra servizi. I fornitori di servizi cloud devono rendere disponibili interfacce aperte e informazioni sufficienti perché i dati possano essere trasferiti e riutilizzati altrove. Sono previste anche specifiche per gli spazi comuni europei di dati e la possibilità di standard armonizzati.

L'obiettivo è che i dati non restino "prigionieri" di un formato o di una piattaforma proprietaria.

GiBSeS — Progettare o scegliere sistemi realmente interoperabili, e non solo dichiarati tali, è una valutazione tecnica indipendente in cui siamo utili.

Il Data Act cerca un equilibrio: l'obbligo di condivisione non annulla la protezione dei segreti commerciali. Come detentore puoi individuare i dati coperti da segreto e concordare con l'utente o il terzo misure adeguate a preservarne la riservatezza (accordi, misure tecniche, condizioni d'uso). In casi eccezionali, se nonostante le misure c'è un rischio grave e dimostrabile di danno, la condivisione può essere sospesa o rifiutata.

Non puoi però usare il segreto commerciale come pretesto generico per negare qualsiasi accesso: il rifiuto va motivato e notificato.

GiBSeS — Impostare misure di tutela del know-how che reggano davvero, senza sconfinare in un rifiuto illegittimo, è un punto delicato su cui ti affianchiamo.

Ci sono limiti precisi. Il terzo che riceve i dati su richiesta dell'utente può usarli solo per le finalità e alle condizioni concordate con l'utente stesso, e non può impiegarli per sviluppare un prodotto concorrente rispetto a quello da cui i dati provengono. Non può nemmeno cedere i dati ad altri senza consenso.

Anche il detentore dei dati, dal canto suo, non può usare i dati non personali generati dall'utente per trarne informazioni sulla situazione economica o le strategie dell'utente in modo da danneggiarne la posizione commerciale.

GiBSeS — Scrivere gli accordi di condivisione in modo che questi divieti siano davvero operativi è parte del lavoro contrattuale che seguiamo.

Verso l'utente del prodotto l'accesso ai propri dati è gratuito. Quando invece i dati vengono messi a disposizione di un'impresa terza, il detentore può chiedere una compensazione ragionevole e non discriminatoria, basata sui costi sostenuti per rendere disponibili i dati. Se il destinatario è una PMI o un ente di ricerca, la compensazione non può superare tali costi, senza margini aggiuntivi.

Le condizioni economiche devono comunque essere eque, trasparenti e non usate come barriera occulta all'accesso.

GiBSeS — Definire una compensazione difendibile — né regalata né escludente — è una valutazione economico-contrattuale su misura.

Il Data Act non fissa importi di multa uniformi a livello europeo: demanda a ciascuno Stato membro il compito di stabilire le sanzioni, che devono essere effettive, proporzionate e dissuasive. Ogni Stato designa una o più autorità nazionali competenti per la vigilanza; per la parte relativa ai dati personali restano competenti le autorità di protezione dei dati (in Italia il Garante).

Gli importi e le procedure quindi dipendono dalle norme nazionali di attuazione: per la tua situazione specifica va verificato come lo Stato competente ha recepito il regolamento.

GiBSeS — Capire quale autorità ti vigila e con quali sanzioni, nel tuo Paese, è un chiarimento che evita brutte sorprese.

Un percorso pragmatico parte da quattro passi: 1) mappare i prodotti e servizi connessi che usi o offri e i dati che generano; 2) stabilire il tuo ruolo (utente, detentore, fabbricante, fornitore cloud) e gli obblighi o diritti che ne derivano; 3) rivedere i contratti — di vendita, di servizio, cloud — cercando clausole ormai non opponibili o costi di uscita da rinegoziare; 4) allineare le misure su dati personali e segreti commerciali.

Non serve stravolgere tutto: serve capire dove sei esposto e dove, invece, il regolamento ti dà una leva a favore.

GiBSeS — Questa mappatura in quattro passi è esattamente la diagnosi iniziale con cui lavoriamo con le PMI.

Non necessariamente tutti, ma vanno riletti. Le nuove tutele sulle clausole abusive e sull'accesso ai dati incidono anche su rapporti in corso, e alcune clausole potrebbero risultare non più vincolanti. Per i contratti di durata indeterminata o di lunga durata già in essere il regolamento prevede periodi transitori, ma l'orientamento è chiaro: le condizioni sui dati devono adeguarsi.

È il momento giusto per una revisione mirata dei contratti che toccano dati, cloud e servizi connessi, senza aspettare un contenzioso.

GiBSeS — Una revisione contrattuale focalizzata sui punti toccati dal Data Act è un intervento rapido con ritorno concreto.

Sono tre pezzi complementari della strategia europea sui dati. Il GDPR protegge i dati personali. Il Data Governance Act (Regolamento UE 2022/868) crea le regole e le strutture per la condivisione volontaria e affidabile dei dati (intermediari, altruismo dei dati, riuso di dati pubblici). Il Data Act stabilisce chi ha diritto di accedere e usare i dati generati dai prodotti connessi e regola lo switching cloud e le clausole contrattuali.

In sintesi: il GDPR dice come proteggere i dati personali, il Data Governance Act come condividerli in modo fidato, il Data Act chi può ottenerli e usarli.

GiBSeS — Orientarsi tra regolamenti che si sovrappongono, senza fare confusione né lavoro doppio, è parte del valore di un advisor indipendente.

Perché sposta il potere sui dati verso chi li genera. Al di là dell'obbligo di legge, per una PMI significa poter riappropriarsi dei dati dei propri impianti, scegliere liberamente fornitori e partner tecnologici, abbattere il lock-in cloud e ridurre i costi di uscita. È il fondamento pratico della sovranità del dato: dipendere meno da un singolo fornitore e mantenere il controllo delle proprie informazioni.

Visto così, la compliance diventa un'occasione per ridisegnare in meglio le proprie scelte tecnologiche, non solo un adempimento.

GiBSeS — Trasformare il Data Act da obbligo a leva anti-lock-in e di indipendenza tecnologica è precisamente il modo in cui lo affrontiamo con te.

Sì. Il Data Act (Reg. UE 2024/2854) segue un criterio di mercato, non di stabilimento: si applica a chi immette sul mercato UE prodotti connessi o fornisce servizi correlati e servizi di trattamento dati a utenti e clienti nell'Unione, indipendentemente da dove abbia la sede legale. Il fatto di essere basati negli USA, in UK, in Svizzera o in Asia non vi esclude dagli obblighi.

In pratica, se un vostro macchinario, dispositivo IoT o servizio cloud finisce nelle mani di un utente europeo, siete nel perimetro del regolamento e dovete conformarvi come un'azienda UE.

GiBSeS — GiBSeS aiuta le PMI extra-UE a capire fin dall'inizio se e come il Data Act le tocca, prima che diventi un ostacolo all'ingresso sul mercato europeo.

Per prodotto connesso si intende un bene che ottiene, genera o raccoglie dati sul proprio uso o sull'ambiente e che è in grado di comunicarli tramite un servizio di comunicazione elettronica, una connessione fisica o l'accesso al dispositivo: macchinari industriali, veicoli, dispositivi medici, elettrodomestici smart, sensori, apparecchiature agricole e in generale l'IoT. I servizi correlati sono i servizi digitali (app, piattaforme, funzioni cloud) senza i quali il prodotto non potrebbe svolgere una o più funzioni, o che il fornitore collega al prodotto.

Se vendete hardware che 'parla' con un vostro cloud o app, quasi certamente ricadete in entrambe le categorie.

GiBSeS — GiBSeS mappa il vostro prodotto e il suo ecosistema digitale per stabilire con precisione quali obblighi del Data Act si attivano sul mercato UE.

Il Data Act è in vigore dall'11 gennaio 2024 ma si applica in via generale a partire dal 12 settembre 2025. Alcune disposizioni hanno tempistiche proprie: gli obblighi di progettazione dei prodotti affinché i dati siano accessibili 'by design' valgono per i prodotti connessi immessi sul mercato dopo il 12 settembre 2026, mentre le regole sull'eliminazione dei costi di cambio fornitore cloud entrano pienamente in vigore dal 12 gennaio 2027.

Se pianificate lanci o aggiornamenti di prodotto per il mercato UE, queste date vanno considerate già in fase di progettazione, non a ridosso della vendita.

GiBSeS — GiBSeS costruisce con voi una roadmap allineata a queste scadenze, così l'accesso al mercato UE non viene rallentato da adeguamenti dell'ultimo minuto.

L'utente UE (che può essere un'impresa o un consumatore) ha diritto di accedere ai dati che genera usando il vostro prodotto connesso o servizio correlato e di condividerli con terzi di sua scelta, ad esempio un altro fornitore di manutenzione o servizi. Come titolare dei dati (data holder) dovete rendere questi dati disponibili in modo facile, sicuro, gratuito per l'utente e, ove tecnicamente possibile, in modo continuo e in tempo reale.

Non potete più trattare i dati d'uso del prodotto come un vostro asset esclusivo: il controllo si sposta in parte verso il cliente europeo.

GiBSeS — GiBSeS vi aiuta a ridisegnare flussi e contratti dati in modo conforme, senza cedere più di quanto la norma richieda realmente.

In molti casi sì, almeno in parte. Il Data Act introduce il principio di 'accesso ai dati by design and by default': i prodotti connessi e i relativi servizi devono essere progettati e realizzati in modo che l'utente possa accedere facilmente, in modo sicuro e (dove possibile) direttamente ai dati generati. Questo può richiedere modifiche a firmware, interfacce, API e documentazione tecnica.

L'obbligo di progettazione si applica ai prodotti immessi sul mercato UE dopo il 12 settembre 2026, quindi chi progetta oggi nuove versioni ha una finestra per adeguarsi.

GiBSeS — GiBSeS affianca i vostri team tecnici per integrare l'accessibilità dei dati nel prodotto fin dalla progettazione, evitando costose modifiche successive.

Il Data Act non prevede un obbligo generalizzato di designare un rappresentante UE equivalente a quello dell'art. 27 del GDPR per tutti i soggetti. Tuttavia, dovete comunque essere raggiungibili e gestibili dal punto di vista della conformità sul mercato europeo: informazioni chiare all'utente, canali per rispondere alle richieste di accesso ai dati e capacità di interfacciarvi con le autorità competenti.

La necessità di una figura o entità di riferimento in UE dipende dal vostro modello (vendita diretta, tramite importatore, tramite distributore) e va valutata caso per caso, anche in combinazione con altri regolamenti UE che invece un rappresentante lo richiedono.

GiBSeS — GiBSeS, come advisor indipendente, vi aiuta a strutturare una presenza di conformità in Europa proporzionata, senza legarvi a un unico fornitore o intermediario.

Il Data Act attribuisce gli obblighi principali al 'titolare dei dati' (data holder), cioè al soggetto che ha il diritto o l'obbligo di mettere a disposizione i dati: tipicamente il produttore o fornitore del servizio correlato che controlla i dati del prodotto, anche se estero. Importatori e distributori europei hanno un ruolo, ma non vi sollevano automaticamente dalle vostre responsabilità di progettazione e di messa a disposizione dei dati.

Le responsabilità vanno definite chiaramente nei contratti lungo la catena di fornitura: un accordo poco chiaro rischia di lasciare l'obbligo (e il rischio) in capo a voi produttori.

GiBSeS — GiBSeS analizza la vostra catena di distribuzione UE e aiuta a ripartire ruoli e responsabilità nei contratti in modo che nessun obbligo resti scoperto.

Se fornite servizi di trattamento dati (cloud, edge e simili) a clienti nell'Unione, il Data Act vi impone di facilitare il cambio di fornitore (switching): rimozione degli ostacoli contrattuali, commerciali e tecnici, tempi definiti per la migrazione, portabilità di dati e asset digitali e requisiti di interoperabilità. I costi di cambio fornitore devono essere progressivamente ridotti e, dal 12 gennaio 2027, non possono più essere addebitati (salvo eccezioni transitorie basate sui costi effettivi).

Questo vale anche se la vostra infrastruttura è fuori UE, purché il cliente sia europeo.

GiBSeS — GiBSeS supporta i provider extra-UE nell'adeguare contratti, egress e architetture di portabilità per restare competitivi e conformi sul mercato cloud europeo.

Sì, in parte. Il Capo VII del Data Act impone in particolare ai fornitori di servizi di trattamento dati di adottare misure per prevenire l'accesso e il trasferimento internazionale di dati non personali detenuti nell'UE quando ciò confliggerebbe con il diritto dell'Unione o degli Stati membri. Se un governo o un'autorità di un Paese terzo richiede tali dati, il fornitore deve rispettare precise garanzie prima di dare seguito alla richiesta.

Per un'azienda con sede, ad esempio, negli USA o in Asia, questo significa che le richieste di accesso 'domestiche' possono entrare in tensione con gli obblighi UE: il tema va gestito, non ignorato.

GiBSeS — GiBSeS aiuta a impostare governance e misure tecniche che reggano al doppio vincolo tra il vostro Paese d'origine e le regole UE sui dati.

Il Data Act si affianca al GDPR, non lo sostituisce. Quando i dati generati dal prodotto connesso comprendono dati personali, continua ad applicarsi integralmente il GDPR: in caso di conflitto, la normativa sulla protezione dei dati personali prevale e serve una base giuridica valida per ogni trattamento e condivisione. Il Data Act aggiunge diritti di accesso e condivisione, ma non crea di per sé una nuova base giuridica per trattare dati personali.

Per chi vende in UE questo significa dover gestire contemporaneamente due livelli: accesso/portabilità (Data Act) e liceità del trattamento (GDPR).

GiBSeS — GiBSeS coordina la conformità Data Act e GDPR in un unico impianto, così i due regolamenti non entrano in conflitto nei vostri prodotti e contratti.

Le sanzioni per la violazione del Data Act sono stabilite dai singoli Stati membri e devono essere effettive, proporzionate e dissuasive; quando è coinvolta la violazione di dati personali possono aggiungersi le sanzioni del GDPR (fino a 20 milioni di euro o al 4% del fatturato mondiale annuo). Oltre alle multe, la non conformità può tradursi in contestazioni contrattuali con clienti e partner UE e in difficoltà commerciali di accesso al mercato.

Il rischio principale per un'azienda extra-UE non è tanto un 'blocco doganale' automatico, quanto perdere clienti, gare e partnership europee perché il prodotto non rispetta requisiti ormai attesi dal mercato.

GiBSeS — GiBSeS traduce questi rischi in priorità concrete, aiutandovi a proteggere l'accesso al mercato UE prima che diventi un problema commerciale o legale.

Un percorso ragionevole parte da tre passi: (1) mappare i vostri prodotti e servizi per capire quali sono 'connessi' o 'correlati' e quali dati generano; (2) individuare il vostro ruolo (titolare dei dati, fornitore di servizi cloud, ecc.) e le scadenze rilevanti; (3) verificare progettazione del prodotto, contratti con utenti e partner UE e misure sui trasferimenti internazionali di dati.

Da qui si definisce un piano di adeguamento prioritizzato, concentrando gli sforzi dove il rischio di mercato e sanzionatorio è più alto, senza sovraccaricare l'organizzazione con adempimenti non necessari.

GiBSeS — GiBSeS, advisor tecnologico indipendente, guida le PMI extra-UE in questo percorso passo dopo passo, così l'accesso al mercato europeo resta rapido e senza vincoli a un singolo fornitore.