Il Data Act, cioè il Regolamento (UE) 2023/2854 sull’accesso equo ai dati e sul loro utilizzo, è applicabile dal 12 settembre 2025. È un cambio di paradigma: chi genera dati usando prodotti connessi e servizi digitali acquisisce il diritto di accedervi, utilizzarli e condividerli con terzi. Per fabbricanti, fornitori cloud, web agency e PMI digitali significa rivedere contratti, informative e modelli di business.

C’è però una data più vicina, ed è quella che rende urgente questa lettura. Dal 12 settembre 2026 l’accesso ai dati va garantito dalla progettazione: l’obbligo dell’art. 3, par. 1 si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo quel giorno. Chi sta per lanciare un prodotto ha il problema adesso, non nel 2027.

Questa guida ricostruisce cosa fa il Regolamento, chi è coinvolto, quali adempimenti sono già dovuti e quali stanno per diventarlo.

1. Cos’è il Data Act e perché serve

Il Data Act è il secondo pilastro normativo della Strategia europea per i dati, dopo il Data Governance Act (Reg. UE 2022/868). Mentre il Data Governance Act regola l’infrastruttura giuridica della condivisione, il Data Act stabilisce chi può accedere a quali dati e a quali condizioni, intervenendo sulle relazioni private tra produttori, utenti e terzi.

L’Unione ha individuato quattro problemi che il Regolamento mira a risolvere. Il primo è la scarsa capacità di consumatori e imprese di sfruttare il valore dei dati generati dai prodotti che utilizzano: chi acquista un trattore connesso, una stampante industriale o un dispositivo medico spesso non ha alcun controllo sui dati che genera. Il secondo è la difficoltà delle PMI ad accedere ai dati nei rapporti B2B, ostacolata da clausole contrattuali squilibrate. Il terzo è la lentezza con cui la pubblica amministrazione acquisisce dati dal settore privato nelle situazioni di emergenza. Il quarto è il lock-in che blocca i clienti dei servizi cloud presso i grandi provider, prevalentemente extraeuropei.

A questi problemi il Regolamento risponde introducendo nuovi diritti soggettivi, obblighi di trasparenza, regole sui contratti e meccanismi tecnici di portabilità e interoperabilità. Si applica indistintamente a dati personali e non personali: una scelta importante, perché nella prassi i due tipi di dati si intrecciano e separarli è spesso artificioso.

2. Le date che contano, e le due scadenze già mancate

L’art. 50 del Regolamento scandisce un’applicazione progressiva. Vale la pena percorrerla per intero, perché a settembre 2026 metà del calendario è alle spalle e metà davanti.

Il 12 settembre 2025 è la data di applicazione generale. Da quel momento sono operativi i diritti di accesso, utilizzo e condivisione dei dati del capo II, gli obblighi B2G nelle situazioni di necessità eccezionale del capo V e gli obblighi sullo switching del capo VI. Il capo IV sulle clausole abusive B2B si applica ai contratti conclusi dopo quella data.

Il 12 settembre 2026 è la data dell’accesso ai dati by design. Qui la formulazione dell’art. 50 va letta con attenzione, perché delimita il perimetro: l’obbligo dell’art. 3, par. 1 si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo quella data. Non retroagisce su ciò che è già a catalogo, e riguarda invece tutto quello che entra sul mercato da lì in avanti.

Il 12 gennaio 2027 è la data in cui, ai sensi dell’art. 29, cadono del tutto le tariffe di passaggio fra fornitori di servizi di trattamento dei dati.

Il 12 settembre 2027 è la data in cui il capo IV sulle clausole abusive si estende anche ai contratti conclusi il 12 settembre 2025 o prima, a condizione che siano a tempo indeterminato oppure scadano almeno dieci anni dopo l’11 gennaio 2024. È il termine che impone di censire gli accordi cloud e SaaS pluriennali ancora in essere.

2.1 Le due scadenze che sono passate senza essere rispettate

C’è una parte del calendario di cui si parla poco, e riguarda gli obblighi che il Regolamento pone non alle imprese ma alle istituzioni. Entrambe le scadenze erano fissate al 12 settembre 2025, ed entrambe risultano mancate.

La prima è dell’art. 41: la Commissione, «prima del 12 settembre 2025», doveva elaborare e raccomandare clausole contrattuali tipo non vincolanti per l’accesso ai dati e clausole contrattuali standard per i contratti di cloud computing. Il 19 novembre 2025 la Commissione ha approvato un progetto di raccomandazione, che al momento in cui scriviamo risulta ancora tale: il documento porta l’intestazione «draft» e la pagina ufficiale della Commissione dedicata al Data Act lo elenca come progetto. Le clausole esistono e si possono già usare, ma non sono ancora state raccomandate formalmente.

La seconda è dell’art. 40, par. 2: gli Stati membri dovevano notificare alla Commissione, entro il 12 settembre 2025, le norme sulle sanzioni e le misure per applicarle. In Italia il decreto che individua l’autorità competente e definisce il regime sanzionatorio non risulta adottato.

Nulla di tutto questo sospende il Regolamento, che è direttamente applicabile e i cui diritti sono azionabili davanti al giudice ordinario. Ma cambia il modo in cui il rischio si presenta, e su questo torniamo al capitolo 6.

3. Chi è coinvolto: la mappa dei soggetti

L’art. 1, par. 3 adotta un approccio estensivo e articola l’ambito soggettivo in sette lettere, dalla a) alla g), che valgono in larga parte indipendentemente dal luogo di stabilimento purché si operi sul mercato dell’Unione: fabbricanti di prodotti connessi e fornitori di servizi correlati; utenti nell’Unione; titolari dei dati che li mettono a disposizione di destinatari nell’Unione; destinatari dei dati nell’Unione; enti pubblici, Commissione, BCE e organismi dell’Unione che chiedono dati per necessità eccezionali, e i titolari che rispondono; fornitori di servizi di trattamento dei dati che servono clienti nell’Unione; e infine partecipanti agli spazi di dati, venditori di applicazioni che usano contratti intelligenti e chi implementa contratti intelligenti per altri.

Quattro figure meritano un focus particolare, perché definiscono la dinamica operativa di tutto il Regolamento.

3.1 L’utente

È il soggetto cui sono attribuiti i nuovi diritti. Può essere una persona fisica o giuridica che possiede un prodotto connesso, ha ricevuto contrattualmente diritti temporanei di utilizzo o riceve un servizio correlato. Anche un’impresa è utente: significa che un’azienda che noleggia macchinari industriali smart ha diritti pieni sui dati generati durante l’utilizzo.

3.2 Il titolare dei dati

È il soggetto su cui ricadono gli obblighi: una persona fisica o giuridica che ha il diritto o l’obbligo di utilizzare e mettere a disposizione i dati. Tipicamente è il fabbricante del prodotto connesso o il fornitore del servizio correlato, ma può essere anche un soggetto diverso lungo la filiera. Non va confuso con il titolare del trattamento (data controller) del GDPR, anche se le due figure spesso coincidono nella stessa entità giuridica.

3.3 Il destinatario dei dati

È il terzo cui l’utente può chiedere che i dati siano trasmessi. Non rientrano in questa categoria i gatekeeper individuati ai sensi del DMA (Reg. UE 2022/1925), che sono espressamente esclusi per evitare ulteriori concentrazioni di mercato.

3.4 Esclusioni soggettive

Il Capo II non si applica a microimprese e piccole imprese (sotto i 50 dipendenti e 10 milioni di euro di fatturato annuo), salvo eccezioni. Questa è una notizia rilevante per le startup nei primi anni di attività, ma attenzione: l’esclusione vale per il titolare dei dati che è microimpresa, non per gli utenti.

4. I tre diritti cardine: accesso, utilizzo, condivisione

Il cuore del Data Act sono i tre nuovi diritti riconosciuti all’utente dagli artt. 3, 4 e 5 del Regolamento.

4.1 Diritto di accesso ai dati (art. 3)

L’utente ha diritto ad accedere ai dati generati dal proprio utilizzo di un prodotto connesso o servizio correlato. L’accesso deve essere facile, sicuro, gratuito, in formato strutturato, di uso comune e leggibile da dispositivo automatico. Per i prodotti immessi sul mercato dopo il 12 settembre 2026 questo accesso deve essere garantito by design, integrato nella progettazione del prodotto stesso.

Il diritto riguarda i dati grezzi e i dati pretrattati. Non riguarda invece le informazioni di secondo livello, cioè quelle derivate da elaborazioni complesse che incorporano il know-how del titolare. La distinzione è critica e fonte di contenzioso prevedibile.

4.2 Diritto di utilizzo dei dati (art. 4)

L’utente può utilizzare i dati cui ha avuto accesso per qualsiasi finalità lecita. È un’innovazione rilevante: prima del Data Act, molti contratti riservavano al fabbricante l’utilizzo esclusivo dei dati generati. Ora il titolare può continuare a usarli solo sulla base di un contratto con l’utente (art. 4, par. 13), e non può usarli per ricavare informazioni sulla situazione economica, sulle risorse o sui metodi di produzione dell’utente.

Il divieto di sviluppare un prodotto concorrente con quei dati esiste, ma grava su soggetti diversi e conviene non confonderli: vincola l’utente (art. 4, par. 10) e il terzo destinatario che riceve i dati su richiesta dell’utente (art. 6, par. 2, lett. e). Il titolare, che quel prodotto lo fabbrica, è limitato altrove: l’art. 4, par. 14 gli vieta di mettere i dati non personali del prodotto a disposizione di terzi per finalità diverse dall’esecuzione del contratto con l’utente.

4.3 Diritto di condivisione con terzi (art. 5)

L’utente può chiedere al titolare di trasmettere i dati a un terzo di sua scelta. È la dimensione più dirompente: un’azienda agricola che usa un trattore connesso può chiedere al fabbricante di trasmettere i dati a un fornitore indipendente di servizi di manutenzione predittiva, scardinando il lock-in tecnologico.

Il titolare può rifiutare solo in casi tassativi, principalmente per tutela di segreti commerciali, e a condizioni rigorose. Le clausole contrattuali che escludono o limitano questo diritto sono nulle se l’utente è consumatore, e abusive se l’utente è impresa.

5. Cosa devono fare le aziende: gli adempimenti operativi

Tradurre gli obblighi del Data Act in azioni concrete dipende dal ruolo dell’azienda nella catena del valore.

5.1 Per fabbricanti di prodotti connessi e fornitori di servizi correlati

Le azioni prioritarie sono: mappatura dei dati generati distinguendo grezzi, pretrattati e di secondo livello; redazione delle informative precontrattuali dell’art. 3, par. 2 e 3, che vanno consegnate prima di concludere il contratto di acquisto, locazione o noleggio e devono indicare tipo, formato e volume stimato dei dati, se il prodotto li genera in modo continuo e in tempo reale, se li archivia e per quanto, e il modo in cui l’utente può accedervi, reperirli o cancellarli; revisione dei T&C e dei contratti di vendita o noleggio per renderli compatibili con i diritti dell’utente; per i prodotti immessi sul mercato dopo il 12 settembre 2026, integrazione dell’accesso by design nella progettazione; mappatura dei segreti commerciali da proteggere e implementazione delle misure di salvaguardia previste dall’art. 4, par. 6.

5.2 Per fornitori di servizi cloud, edge, SaaS, IaaS, PaaS

Gli obblighi del Capo VI mirano a eliminare il vendor lock-in. Le aziende fornitrici devono: predisporre clausole contrattuali conformi alle indicazioni della Commissione su switching, terminazione, sicurezza, continuità operativa e responsabilità, che dal novembre 2025 esistono in forma di progetto di raccomandazione e sono raccolte negli allegati da VI a XII; garantire che il passaggio a un altro fornitore avvenga in tempi predeterminati (la finestra principale è di 30 giorni con periodo transitorio massimo di sei mesi); abolire progressivamente le tariffe di passaggio (entro il 12 gennaio 2027 dovrebbero essere azzerate); assicurare equivalenza funzionale del servizio dopo lo switching; fornire trasparenza informativa pubblica sulle modalità di passaggio.

5.3 Per utenti imprese di prodotti connessi e servizi cloud

Anche dal lato utente ci sono azioni da intraprendere: verificare quali dati genera l’azienda attraverso i prodotti connessi acquistati o noleggiati; valutare se attivare richieste di condivisione verso fornitori alternativi (manutenzione, analytics, servizi indipendenti); rinegoziare i contratti cloud sfruttando il nuovo regime di switching; censire i contratti SaaS pluriennali in essere in vista del 12 settembre 2027.

5.4 Per tutti: contratti B2B e clausole abusive

Il Capo IV introduce un controllo di abusività delle clausole imposte unilateralmente nei contratti B2B sull’accesso e l’uso dei dati. È previsto un meccanismo simile a quello delle clausole abusive nei contratti con i consumatori, con una lista nera di clausole automaticamente nulle e una lista grigia di clausole presunte abusive. Ogni azienda che redige contratti standard sull’accesso ai dati deve sottoporli a verifica di conformità. Il progetto di raccomandazione della Commissione contiene quattro modelli di contratto che coprono i capi II, III e IV: utente e titolare dei dati (allegato II), utente e destinatario (allegato III), titolare e destinatario quando il titolare ha un obbligo legale di mettere a disposizione i dati (allegato IV), e imprese che condividono dati su base volontaria (allegato V).

6. Rischi e sanzioni: cosa c’è in gioco

L’art. 40 del Regolamento delega agli Stati membri la definizione delle sanzioni, richiedendo che siano efficaci, proporzionate e dissuasive. Quando si tratta di violazioni che coinvolgono dati personali, possono applicarsi anche le sanzioni del GDPR (fino a 20.000.000 euro o 4% del fatturato annuo mondiale).

In Italia, in attesa del decreto attuativo che l’art. 40, par. 2 imponeva di notificare entro il 12 settembre 2025, il quadro nazionale di enforcement resta incompleto. Questo non significa che le imprese possano ignorare gli obblighi: il Regolamento è direttamente applicabile, e i diritti degli utenti possono essere azionati in via civile davanti al giudice ordinario. Una clausola contrattuale incompatibile con il Data Act può essere dichiarata nulla; un rifiuto immotivato di condivisione dei dati può generare responsabilità contrattuale ed extracontrattuale; un’omessa informativa pre-contrattuale può alimentare contestazioni in caso di disputa.

Si aggiunge il rischio reputazionale e commerciale: clienti business sempre più sofisticati richiedono garanzie di conformità al Data Act nelle gare e nei due diligence, e l’incompatibilità con il Regolamento può tradursi in perdita di opportunità.

7. Le aree del Data Act che impatteranno di più

Cinque ambiti meritano un’attenzione operativa immediata, perché tipicamente generano i primi contenziosi e le prime richieste di adeguamento.

Il primo è la contrattualistica IoT, con la necessità di adeguare T&C, contratti di vendita, noleggio e manutenzione dei prodotti connessi. Il secondo è la portabilità cloud, con la revisione dei contratti SaaS, IaaS e PaaS in vista dello switching senza tariffe. Il terzo è il rapporto con i segreti commerciali, dove la condivisione dei dati richiede meccanismi rigorosi di protezione del know-how. Il quarto è la compliance integrata con il GDPR, per evitare che le procedure Data Act entrino in conflitto con le basi giuridiche del trattamento. Il quinto è la revisione delle clausole abusive B2B, che richiede un audit dei contratti standard utilizzati per la condivisione dei dati con clienti e partner.

Conclusioni

Il Data Act si presenta come una normativa sui dati, ma quello che cambia davvero sono i contratti e i prodotti. I diritti dell’utente esistono dal settembre 2025 e sono azionabili; quello che manca a molte aziende non è la consapevolezza della norma, è la traduzione della norma in clausole, informative e scelte di progettazione.

La scadenza del 12 settembre 2026 è la prima che tocca il prodotto e non la carta. Fino a oggi ci si poteva adeguare riscrivendo documenti; da quel giorno l’accesso ai dati va garantito per impostazione predefinita in ciò che si immette sul mercato, e un prodotto progettato senza tenerne conto non si mette in regola con un allegato contrattuale.

C’è poi un punto che va detto perché è controintuitivo, ed è la nostra valutazione: il ritardo delle istituzioni non è una buona notizia per le imprese. Che l’Italia non abbia ancora un regime sanzionatorio e che le clausole tipo siano ferme allo stato di progetto sposta il rischio, non lo elimina. Lo sposta dal terreno amministrativo, dove una sanzione è prevedibile e quantificabile, a quello civile, dove una clausola incompatibile con il Regolamento è nulla, un rifiuto immotivato di condivisione genera responsabilità, e il contenzioso lo apre la controparte quando le conviene. È un rischio meno visibile e non necessariamente minore.

L’ordine di lavoro che consigliamo è di conseguenza sempre lo stesso: prima la mappatura dei dati, poi i contratti, poi il prodotto. Chi parte dai contratti senza sapere quali dati genera scrive clausole su un oggetto che non ha ancora definito.

Punti chiave

Fonti