Data Act: come le aziende dovranno adeguarsi

L’11 gennaio 2024 è entrato in vigore il Regolamento UE n. 2023/2854, cosiddetto “Data Act,” che disciplina l’accesso, l’utilizzo e la circolazione dei dati generati dai prodotti connessi nell’ambito dell’Internet of Things (IoT), con la principale finalità di armonizzare le norme sull’accesso ai dati da parte degli utenti e sul loro utilizzo. Tale regolamento diverrà direttamente applicabile a decorrere dal 12 settembre 2025.

Cosa prevede il Data Act per le imprese

Il Data Act, avendo come obiettivo principale quello di eliminare gli ostacoli al buon funzionamento del mercato interno dei dati, grazie all’introduzione di norme per l’interoperabilità dei dati e favorendo quindi il data sharing all’interno dei diversi settori economici, aprirà nuovi scenari di opportunità per le imprese, con un particolare riguardo anche nei confronti di quelle medio-piccole.
Allo stesso tempo, le nuove disposizioni del regolamento comporteranno necessariamente nuovi obblighi e conseguenti sensibili aumenti di costi per gli operatori economici.

Come dovranno adeguarsi le imprese

Il regolamento, in particolare, mira a garantire che gli utenti di un prodotto connesso o di un servizio correlato, possano accedere ai dati generati dall’uso di tale prodotto o servizio e che possano utilizzare i dati, anche condividendoli con altri terzi di loro scelta.
Il Data Act, pertanto, innanzitutto impone ai titolari dei dati, quindi all’operatore economico, l’obbligo di mettere i dati a disposizione degli utenti e dei terzi scelti dagli utenti in determinate circostanze. La messa a disposizione, inoltre, dovrà avvenire a condizioni eque, ragionevoli, non discriminatore ed in modo trasparente.

Ambito di applicazione e soggetti coinvolti

Per ciò che concerne l’ambito di applicazione, il Data Act si applicherà ai dati personali e non personali, compresi anche i metadati, trattati in tutti i settori economici, sia pubblici che privati, e riguarderà tutti i prodotti connessi immessi sul mercato europeo.
Lo stesso regolamento fa in ogni caso salva l’applicazione delle norme in materia di protezione dei dati personali, in particolar modo il GDPR.
I soggetti ai quali si riferisce la normativa sono principalmente:

• L’interessato, ossia la persona fisica a cui si riferiscono i dati personali, come individuato dall’art. 4 del GDPR, nonché l’utente, ossia la persona fisica o giuridica che possiede un prodotto connesso o a cui sono stati trasferiti contrattualmente diritti temporanei di utilizzo di tale prodotto connesso o che riceve un servizio correlato (Art. 2, punti nn. 11 e 12);
• Il titolare dei dati, ovverosia colui che vanta una posizione di diritto sui dati e che ha l’obbligo di mettere a disposizione i dati generati e/o raccolti dal prodotto connesso, o nel corso della fornitura di un servizio correlato, a favore dell’utente, o a favore del terzo eventualmente scelto da quest’ultimo (Art. 2, punto n. 13);
• Il destinatario dei dati, cioè una persona fisica o giuridica che agisce per fini connessi alla sua attività, diversa dall’utente di un prodotto connesso, che riceve i dati dal titolare dei dati e che quindi può essere un terzo individuato a seguito di una richiesta da parte dell’utente al titolare dei dati stesso (Art. 2, punto n. 14).

Gli obblighi per i titolari dei dati

Gli obblighi a cui saranno seggette le imprese titolari dei dati (che non siano piccole o microimprese), sono stabiliti principalmente dagli articoli 3 e 4 del Data Act, cuore del regolamento, e riguardano gli obblighi di rendere accessibili all’utente i dati del prodotto e dei servizi correlati, inclusi i metadati necessari ad interpretare tali dati, mettendoli a disposizione dell’utente, ed il conseguente diritto di quest’ultimo di accedere ed utilizzare i dati generati, in modo facile, sicuro, a titolo gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico.
In particolare, tali obblighi prevedono:

• La necessità che i prodotti connessi ed i servizi correlati siano progettati, fabbricati e forniti in maniera tale che i dati generati/raccolti dal sistema siano direttamente accessibili all’utente per impostazione predefinita (Art. 3, comma 1);
• Prima della conclusione del contratto, dovrà essere resa un’informativa all’utente da parte del titolare, che dovrà contenere tutte le informazioni indicate espressamente al comma 2, per ciò che concerne i prodotti connessi, ed al comma 3, per ciò che concerne i servizi correlati, dell’Art. 3 del Data Act; tali informazioni essenzialmente riguardano le caratteristiche tecniche del prodotto in relazione ai dati del prodotto stesso e a quelli che può generare, nonché il loro accesso e condivisione da parte dell’utente;
• Se l’utente non può accedere direttamente ai dati, il titolare dovrà prontamente metterli a disposizione dell’utente medesimo, sulla base di una semplice richiesta, pertanto il titolare dovrà necessariamente fornire agli utenti dei servizi che garantiscano tempestivamente l’accesso ai dati, se possibile in modo continuo ed in tempo reale (Art. 4, comma 1);
• Il titolare non dovrà rendere difficile l’esercizio delle scelte e dei diritti dell’utente e quindi dovrà evitare di utilizzare interfacce o immagini grafiche che possano compromettere o pregiudicare l’autonomia ed il processo decisionale dell’utente (art. 4, comma 4);
• Il titolare, su richiesta dell’utente, dovrà mettere a disposizione di terzi i dati prontamente disponibili (Art. 5, comma 1);
• Il titolare dovrà facilitare la strategia di uscita dell’utente (Opt out), evitando compiti inutili e onerosi, e garantendo che non perda nessuno dei suoi dati a seguito del processo di passaggio; il fornitore di servizi di trattamento dei dati di origine dovrebbe, quindi, preventivamente informare l’utente della portabilità dei dati che possono essere esportati una volta che egli decide di passare a un diverso fornitore di servizi;
• Il titolare sarà tenuto ad applicare adeguate misure tecniche di protezione per impedire la divulgazione illecita dei dati o l’accesso illecito agli stessi.

Nuove sfide per gli operatori economici

Le imprese si troveranno, quindi, a gestire una grande mole di dati, destinati ad aumentare in maniera sempre più esponenziale, e dovranno pertanto essere in grado di garantire ai propri clienti dei servizi di assistenza ad hoc per la messa a disposizione dei dati.
La sfida più importante certamente è quella che impone alle aziende la necessità di adeguare i prodotti ed i servizi offerti ai clienti alle nuove norme dettate dal Data Act, offrendo quindi prodotti e servizi conformi e che garantiscano elevati standard di sicurezza dei dati.
Tale obbligo, di riflesso, non potrà che comportare un aumento dei costi per le imprese tenute all’adeguamento, a discapito principalmente degli operatori economici più deboli.
È facile, inoltre, prevedere, che la messa in circolazione di una grande quantità di dati, compresi i metadati generati dai dispositivi stessi, potrà mettere a rischio la concorrenza tra le imprese, in particolare in caso di divulgazione di segreti commerciali e industriali, sebbene il Data Act ponga una particolare attenzione sul tema. Il testo del regolamento ha infatti introdotto una serie di disposizioni volte alla tutela di tali informazioni, ivi incluse l’adozione di misure di sicurezza a protezione dei segreti commerciali e la possibilità per il detentore dei dati di sospenderne la condivisione o impedirne l’accesso al ricorrere di talune circostanze.

Le grandi opportunità che ne potranno derivare

Il Data Act, tuttavia, offre nuove opportunità a tutte quelle imprese che saranno in grado di valorizzare al meglio i propri prodotti ed i propri servizi, nell’ottica di un mondo sempre più iperconnesso.
Le aziende più virtuose, quelle che sapranno subito conformarsi, sia alle richieste della nuova normativa, sia alle esigenze degli utenti, potranno essere certamente le più competitive sul mercato, rispetto a quelle imprese che, invece, vedranno il Data Act solamente come l’ennesimo adempimento burocratico al quale adeguarsi.
Il nuovo regolamento ha, infatti, l’obiettivo di promuovere lo sviluppo di prodotti connessi o di servizi correlati nuovi e innovativi e di stimolare l’innovazione nei servizi post-vendita, oltre che stimolare lo sviluppo di servizi completamente nuovi che utilizzano i dati in questione, anche sulla base di dati provenienti da una varietà di prodotti connessi o servizi correlati.
La maggior circolazione dei dati, l’interoperabilità e la portabilità degli stessi, aumentando la conoscenza generale, permetterà, inoltre, alle imprese di poter creare dei prodotti sempre più customizzati e su misura per i propri utenti.
Inoltre, i dati interoperabili e di elevata qualità provenienti da diversi settori, non potranno che aumentare la competitività e l’innovazione tecnologica e potranno, quindi, garantire una crescita economica sostenibile.

Monetizzazione dei dati e riequilibrio del potere contrattuale

Un’altra novità del regolamento che andrà a vantaggio delle imprese, è la previsione della monetizzazione dei dati. Il Data Act prevede, infatti, che nella circolazione dei dati fra imprese possa essere previsto il pagamento di un prezzo ragionevole (e non discriminatorio) che comprenda il costo per la messa a disposizione e gli investimenti compiuti per la raccolta e la produzione di tali dati. Tuttavia, nel caso in cui i dati siano forniti a PMI, potrà essere richiesto soltanto il rimborso dei costi sostenuti per la loro messa a disposizione.
Inoltre, il Data Act ha introdotto una serie di previsioni volte a riequilibrare il potere contrattuale fra le imprese di grandi dimensioni e quelle di piccole dimensioni, al fine di garantire condizioni eque per la condivisione dei dati. Il regolamento, in particolare, prevede l’inefficacia di un elenco di clausole contrattuali imposte unilateralmente, con una distinzione tra clausole sicuramente abusive, e clausole che si presumono abusive.
Infine, il Data Act, mediante i suoi obiettivi, darà l’opportunità alle imprese di acquisire consapevolezza in merito al valore potenziale dei dati da essi generati, prodotti e condivisi, e di beneficiare di un mercato inclusivo ed equo.

Conclusioni

È del tutto evidente che il Data Act avrà un impatto significativo sull’economia e sulle abitudini di tutti i soggetti coinvolti.
L’obiettivo principale del regolamento è certamente quello di creare equità nell’economia dei dati e consentire agli utenti di raccogliere valore dai dati stessi, che vengono generati dai prodotti connessi o dai servizi correlati che utilizzano.
Attraverso questo nuovo regolamento, l’Unione Europea prosegue quindi la propria strategia in materia di dati, attraverso la realizzazione di un mercato unico europeo dei dati, in cui possano fluire tra i settori e gli Stati membri in modo sicuro e affidabile a beneficio dell’intera economia europea, dei cittadini e della società, dando l’opportunità alle imprese e agli operatori economici europei di diventare leader nell’economia dei dati.