Il Data Act: una nuova era per l’accesso e la condivisione dei dati

Inquadramento generale

Nel panorama normativo europeo si è aggiunto un tassello fondamentale che promette di ridefinire le regole di accesso e utilizzo dei dati generati da prodotti e servizi digitali. Parliamo del Regolamento (UE) 2023/2854, meglio noto come Data Act, un provvedimento entrato in vigore l’11 gennaio 2024 e che trova piena applicazione a partire dal 12 settembre 2025. Questa nuova disciplina mira a creare un mercato unico e più equo, stabilendo principi chiari su chi può accedere ai dati e a quali condizioni. È dunque importante, per imprese e professionisti, comprendere fin da ora la portata di questo cambiamento.

Il principio cardine del Data Act è tanto semplice quanto rivoluzionario: gli utenti, siano essi consumatori o imprese, hanno il diritto di accedere ai dati generati dall’uso di prodotti connessi (come auto intelligenti, elettrodomestici smart, macchinari industriali) e dei servizi correlati. I produttori hanno quindi l’obbligo di progettare i loro beni in modo che tali dati siano, per impostazione predefinita, facilmente e gratuitamente accessibili all’utente. Si tratta di un cambio di paradigma che sposta il controllo dei dati dal produttore a chi effettivamente utilizza il bene o il servizio.

Le implicazioni pratiche di questa norma sono di vasta portata visto che, su richiesta dell’utente, i dati potranno anche essere condivisi con soggetti terzi. Si pensi, ad esempio, alla possibilità per il proprietario di un’automobile di condividere i dati diagnostici con un’officina indipendente di sua scelta, anziché essere vincolato alla rete ufficiale del produttore; l’obiettivo del legislatore europeo è chiaro stimolare la concorrenza e l’innovazione nel modo più democratico possibile. A tutela delle piccole e medie imprese, il Data Act introduce inoltre specifiche protezioni contro le clausole contrattuali abusive che le grandi aziende potrebbero imporre per limitare la condivisione dei dati, promuovendo un mercato più equilibrato.

Le clausole abusive

Più nello specifico, l’art. 13 del Data Act stabilisce un principio generale e fornisce una suddivisione volta a identificare le clausole abusive.
Una clausola è considerata abusiva quando si discosta notevolmente dalle buone pratiche commerciali in materia di accesso e utilizzo dei dati, risultando contraria ai principi di buona fede e correttezza. La norma si applica solo alle clausole che sono state imposte unilateralmente, ovvero quando una parte non ha avuto la possibilità reale di negoziarne il contenuto.

Il regolamento distingue tra:

• clausole che sono sempre considerate abusive: un esempio è una clausola che esclude o limita la responsabilità della parte che l’ha imposta per dolo o colpa grave.
• clausole che si presumono abusive fino a prova contraria. In presenza di tali pattuizioni spetta alla parte che ha imposto la clausola dimostrare che, nel contesto specifico, essa non è iniqua.

Rientrano in questa categoria, ad esempio, le clausole che:

• limitano in modo inappropriato i mezzi di ricorso della controparte in caso di inadempimento;
• concedono alla parte che le ha predisposte il diritto esclusivo di interpretare qualsiasi termine del contratto;
• impediscono alla controparte di utilizzare i dati forniti o generati durante il contratto dopo la sua conclusione.

L’effetto principale della qualificazione di una clausola come abusiva è la sua nullità; la clausola viene considerata come non apposta e non produce effetti, mentre il resto del contratto rimane valido, a condizione che possa sussistere senza la parte viziata.
Al fine di indirizzare il mercato anche su questo versante, la Commissione Europea sta sviluppando clausole contrattuali tipo non vincolanti per aiutare le imprese a redigere accordi equi e conformi al regolamento.

La portabilità dei dati e i rapporti con il GDPR

Il regolamento interviene anche su altri fronti strategici, come quello dei servizi cloud; vengono infatti introdotte norme per facilitare la portabilità dei dati, ovvero il passaggio da un fornitore di servizi cloud a un altro, rimuovendo le barriere ingiustificate che oggi rendono questo processo complesso e costoso. Un altro aspetto di notevole interesse riguarda l’accesso ai dati da parte delle autorità pubbliche: in circostanze eccezionali e di emergenza, come calamità naturali o crisi sanitarie, le autorità potranno richiedere l’accesso a dati detenuti da soggetti privati, sempre nel rispetto del principio di proporzionalità.

È bene anche ricordare che il Data Act non sostituisce, ma in un certo senso completa il GDPR: mentre quest’ultimo si occupa della protezione dei dati personali, il nuovo regolamento disciplina l’accesso e l’utilizzo dei dati (personali e non) nei rapporti tra utenti, produttori e terzi.
Inoltre, è lo stesso Regolamento europeo a stabilire che nessuno dei suoi obblighi può essere interpretato in modo da ledere i diritti e le garanzie previsti dal GDPR.