A decorrere dal 12 settembre 2026, diventa applicabile, ai prodotti connessi e ai servizi correlati immessi sul mercato a partire da tale data, l’obbligo di accessibilità dei dati per impostazione predefinita previsto dall’art. 3(1) del Regolamento (UE) 2023/2854 (il “Data Act” o il “Regolamento”). Si tratta di un’evoluzione significativa per i fabbricanti e fornitori di servizi, che dal 12 settembre 2026 dovranno garantire – già a livello progettuale – un accesso agevole, sicuro e strutturato ai dati generati dall’uso del prodotto o del servizio. Più in particolare, l’obbligo risultante dall’art. 3(1) si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo il 12 settembre 2026, mentre le restanti disposizioni del Data Act trovano applicazione, salve le specifiche decorrenze previste dal Regolamento, già dal 12 settembre 2025. Il quadro normativo del Data Act Il Data Act introduce regole armonizzate su: (i) la messa a disposizione dei dati dei prodotti e dei servizi correlati agli utenti; (ii) la messa a disposizione dei dati da parte dei data holder a destinatari terzi; (iii) la condivisione, in casi eccezionali, con enti del settore pubblico, la Commissione, la BCE e organismi dell’Unione; (iv) la facilitazione del passaggio (switching) tra servizi di trattamento dei dati; (v) la protezione da accessi illeciti di soggetti terzi ai dati non personali; e (vi) lo sviluppo di standard di interoperabilità. Il raccordo con la disciplina sulla protezione dei dati personali è esplicito: il Data Act fa salve le norme UE e nazionali in materia di protezione dei dati personali, privacy e riservatezza delle comunicazioni, con prevalenza, in caso di conflitto, della disciplina sulla protezione dei dati personali[1]. In linea generale, il Regolamento mira a promuovere un mercato dei dati aperto e competitivo, favorendo la disponibilità, accessibilità e riutilizzabilità delle informazioni generate dall’uso di prodotti connessi e servizi correlati, con particolare riferimento all’ambito industriale. Il Data Act costruisce una disciplina differenziata in relazione alla funzione svolta da ciascun operatore nella catena del valore dei dati, individuando specifici obblighi a carico di: Il Regolamento riconosce inoltre all’utente la facoltà di indirizzare i dati verso soggetti terzi di propria scelta, imponendo al data holder di renderli disponibili per servizi prestati da operatori diversi dal fabbricante originario o dal fornitore del servizio correlato. La condivisione con enti pubblici o istituzioni UE ha invece carattere eccezionale, essendo ammessa solo in presenza dei presupposti tassativamente previsti (in particolare situazioni di emergenza e specifiche finalità di interesse pubblico). Sul piano contrattuale, il Data Act introduce meccanismi diretti a prevenire che condizioni squilibrate pregiudichino l’esercizio dei diritti di accesso e utilizzo. Sul versante dei servizi di trattamento dei dati, l’obiettivo è quello di rendere effettivamente praticabile la sostituzione del fornitore, limitando i vincoli tecnologici e contrattuali al trasferimento di dati, applicazioni e altri elementi digitali e prevedendo la progressiva eliminazione dei relativi costi. Per le imprese, la conformità richiede dunque una verifica integrata delle caratteristiche di prodotti e servizi, dei processi di gestione dei dati, delle infrastrutture tecnologiche e degli assetti contrattuali. Il nuovo obbligo di accessibilità dei dati by design nel Data Act e il rapporto con il GDPR Come già anticipato, l’art. 3(1)del Data Act pone a carico dei fabbricanti di prodotti connessi e dei fornitori di servizi correlati uno specifico requisito di progettazione, richiedendo che i dati generati dal prodotto o dal servizio correlato, compresi i pertinenti metadati necessari a interpretarli e utilizzarli, siano accessibili all’utente per impostazione predefinita, in modo facile, sicuro e gratuito e in un formato completo, strutturato, di uso comune e leggibile meccanicamente. Ove pertinente e tecnicamente fattibile, i dati devono inoltre essere direttamente accessibili all’utente. Pur usando testualmente le parole "per impostazione predefinita", la norma incorpora un vero e proprio obbligo di accessibilità by design: le caratteristiche tecniche del prodotto e del servizio devono essere concepite, sin dalla fase progettuale, in modo da rendere concretamente esercitabile il diritto di accesso dell’utente. La disposizione va letta in coordinamento con il principio di data protection by design and by default sancito dall’art. 25 del Regolamento (UE) 2016/679 (“GDPR”). Il considerando 8 del Data Act richiama espressamente i principi di minimizzazione e di protezione dei dati fin dalla progettazione e per impostazione predefinita, precisando che tutte le parti coinvolte nella condivisione dei dati dovrebbero adottare misure tecniche e organizzative adeguate al fine di tutelare i diritti fondamentali degli interessati. In questa prospettiva, assume particolare rilievo il provvedimento adottato dal Garante per la protezione dei dati personali (il “Garante” o l’“Autorità”) l’11 giugno 2026[2], nel quale l’Autorità ha accertato che l’erronea configurazione del protocollo informatico aveva consentito a soggetti non autorizzati l’accesso a documenti contenenti dati personali, con conseguente violazione degli artt. 5(1)(f), 5(2) e 25 del GDPR. Il Garante ha ricollegato tale configurazione alla mancata predisposizione di sistemi idonei a garantire un accesso selettivo alla documentazione, in coerenza con il principio di protezione dei dati fin dalla progettazione. Lo stesso approccio rileva nell’attuazione del Data Act: l’accessibilità dei dati richiesta by design non equivale, infatti, a un accesso indiscriminato. Quando sono coinvolti dati personali, la configurazione tecnica dei meccanismi di accesso dovrà essere strutturata in modo da conciliare l’esigenza di effettiva disponibilità dei dati con i requisiti di sicurezza, autorizzazione e protezione imposti dal GDPR. Ne deriva che l’accessibilità by design e privacy by design and by default devono essere considerate come requisiti complementari, destinati a operare congiuntamente nella progettazione dei prodotti connessi e dei servizi correlati. Conclusioni Il Data Act segna il passaggio da un modello in cui i dati generati dai prodotti connessi restavano prevalentemente nella disponibilità dei fabbricanti e dei fornitori a un sistema fondato sulla loro effettiva accessibilità, mobilità e condivisione controllata. Per gli operatori economici, l’adeguamento non può pertanto ridursi a un intervento formale sulla documentazione contrattuale: richiede una revisione coordinata della progettazione di prodotti e servizi, delle architetture tecnologiche, dei sistemi di autorizzazione e dei processi di gestione dei dati. Quando siano coinvolti dati personali, questo percorso dovrà svolgersi nel pieno rispetto del GDPR: l’accessibilità by design prevista dal Data Act dovrà essere attuata insieme ai principi di minimizzazione, sicurezza e protezione dei dati fin dalla progettazione e per impostazione predefinita. [1] FAQ Data Act, 22 January 2026, Version 1.4, par. 1. [2] https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10266034
