Entra in una nuova fase applicativa il Regolamento (UE) 2023/2854 – Data Act: dal 12 settembre 2026 trova infatti applicazione l’obbligo previsto dall’art. 3, par. 1, in base al quale i prodotti connessi e i relativi servizi immessi sul mercato dopo tale data devono essere progettati in modo da consentire agli utenti un accesso agevole ai dati generati dal loro utilizzo. La previsione ha portata unionale e interessa quindi anche produttori e fornitori che commercializzano prodotti o servizi nel mercato italiano.

Il Data Act è applicabile, nel suo complesso, già dal 12 settembre 2025. Fino ad oggi, tuttavia, il diritto dell’utente di ottenere i dati generati dall’utilizzo di un prodotto connesso può richiedere, in determinate circostanze, una specifica richiesta al titolare dei dati. Con la nuova fase applicativa, il legislatore europeo compie un ulteriore passaggio verso un modello di “access by design”: l’accessibilità dei dati deve essere incorporata nella progettazione stessa del prodotto o del servizio, anziché essere gestita esclusivamente attraverso procedure successive di richiesta.

In particolare, l’art. 3, par. 1, del Data Act dispone che i prodotti connessi siano progettati e fabbricati e i servizi correlati siano progettati e forniti in modo tale che i dati del prodotto e del servizio correlato, compresi i metadati necessari alla loro interpretazione e utilizzazione, siano per impostazione predefinita accessibili all’utente facilmente, in modo sicuro e gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico. Ove pertinente e tecnicamente possibile, l’accesso deve inoltre essere diretto.

La disciplina riguarda un numero molto ampio di dispositivi dell’Internet of Things (IoT). Rientrano nella nozione di prodotto connesso, ad esempio, smartwatch e dispositivi per il monitoraggio della salute, apparecchiature smart home, automobili e altri veicoli connessi, macchinari industriali, agricoli e altri dispositivi capaci di raccogliere o generare dati relativi al proprio utilizzo o all’ambiente circostante e di comunicarli elettronicamente. Sono interessati anche i “servizi correlati”, quali applicazioni, software o servizi di monitoraggio remoto connessi al prodotto e funzionali al suo funzionamento o alla modifica delle sue funzionalità.

I dati interessati comprendono, in linea generale, i dati grezzi e pretrattati generati dall’utilizzo del prodotto connesso o del servizio correlato che siano prontamente disponibili al titolare dei dati, nonché i relativi metadati. Possono quindi rientrare nel perimetro, a seconda del prodotto, dati relativi a temperatura, pressione, posizione, velocità, accelerazione, utilizzo o prestazioni dell’apparecchiatura. Restano invece fuori dall’ambito del Capo II, in linea di principio, i dati desunti o derivati mediante elaborazioni ulteriori e i contenuti protetti, ferme restando le specifiche disposizioni del Regolamento e la normativa in materia di proprietà intellettuale.

L’“access by design” non significa, tuttavia, che ogni dato debba necessariamente essere fisicamente memorizzato sul dispositivo o che sia sempre richiesto un accesso diretto. Quest’ultimo è imposto dall’art. 3 nella misura in cui sia pertinente e tecnicamente possibile. Quando l’utente non possa accedere direttamente ai dati dal prodotto o dal servizio correlato, continua ad operare il meccanismo previsto dall’art. 4 del Data Act, in base al quale il titolare deve mettere a disposizione dell’utente, su semplice richiesta e senza indebito ritardo, i dati interessati e i relativi metadati, gratuitamente e, ove pertinente e tecnicamente possibile, anche in maniera continua e in tempo reale.

Il diritto non è riservato ai consumatori. Ai fini del Data Act, possono essere utenti anche le imprese che possiedono, prendono in locazione o utilizzano in leasing un prodotto connesso o che ricevono un servizio correlato. Il nuovo regime assume quindi particolare importanza nei rapporti B2B, ad esempio per macchinari industriali, flotte di veicoli, dispositivi professionali e apparecchiature IoT, consentendo all’impresa utilizzatrice di sfruttare i dati generati per attività di manutenzione, ottimizzazione dei processi, analisi delle prestazioni o ricorso a fornitori di servizi post-vendita diversi dal produttore.

La possibilità di rendere i dati accessibili all’utente è infatti strettamente collegata all’altro obiettivo centrale del Data Act: consentire all’utente di utilizzare i dati e metterli a disposizione di terzi scelti dallo stesso, favorendo così lo sviluppo di servizi di manutenzione, riparazione e altri servizi data-driven e riducendo fenomeni di lock-in rispetto al produttore originario.

Sul piano operativo, per produttori e fornitori la nuova fase applicativa richiede un controllo che non può essere limitato alla documentazione contrattuale. Le imprese dovrebbero verificare se i prodotti e i servizi immessi sul mercato dopo il 12 settembre 2026 rientrino nelle definizioni di “prodotto connesso” e “servizio correlato”; identificare quali dati e metadati ricadano nel perimetro del Data Act; verificare se l’architettura tecnica consenta l’accesso diretto dell’utente; predisporre interfacce, dashboard, applicazioni, API o altri strumenti tecnici idonei; e documentare adeguatamente le ragioni per cui, in determinati casi, l’accesso diretto non sia tecnicamente possibile. La stessa CCPC raccomanda ai data holder di effettuare tale verifica e di poter dimostrare e documentare le ragioni dell’eventuale mancata disponibilità di un accesso diretto.

L’adeguamento deve inoltre essere coordinato con gli obblighi di sicurezza, tutela dei segreti commerciali, proprietà intellettuale e protezione dei dati personali. Il Data Act si applica infatti sia a dati personali sia a dati non personali, ma non modifica le condizioni di liceità previste dal GDPR: quando i dati richiesti comprendono dati personali riferiti a soggetti diversi dall’utente, la loro comunicazione presuppone comunque l’esistenza di una valida base giuridica ai sensi della normativa sulla protezione dei dati.

La scadenza del 12 settembre 2026 segna quindi un passaggio significativo nell’attuazione del Data Act: l’accesso ai dati generati dai prodotti connessi non deve più essere considerato soltanto come un diritto da gestire ex post, ma come un requisito da incorporare nell’architettura del prodotto e del servizio sin dalla fase di progettazione. Per produttori, fornitori IoT e provider di servizi digitali collegati, la compliance al Data Act diventa pertanto anche una questione di product design, data architecture e governance tecnica, oltre che di disciplina contrattuale.