Data Act, dal 12 settembre 2026 i dispositivi connessi devono garantire l’accesso ai dati “by design”

Diventa applicabile l’obbligo di progettazione previsto dal Regolamento (UE) 2023/2854: cosa cambia per fabbricanti, fornitori ed enti pubblici che acquistano dispositivi connessi, e cosa verificare da subito nei contratti di fornitura.

 

Dal 12 settembre 2026 diventa applicabile una delle disposizioni più concrete del Data Act, il Regolamento (UE) 2023/2854 che disciplina l’accesso e la condivisione dei dati generati dai dispositivi connessi nell’Unione europea. Si tratta dell’articolo 3, paragrafo 1, che introduce il cosiddetto obbligo di “access by design”: i prodotti connessi devono essere progettati e fabbricati, e i servizi correlati devono essere progettati e forniti, in modo che i dati del prodotto e del servizio correlato, compresi i metadati pertinenti necessari a interpretarli e utilizzarli, siano per impostazione predefinita accessibili all’utente in modo facile, sicuro, gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico, e ove pertinente e tecnicamente possibile in modo diretto. L’obbligo riguarda, testualmente, i prodotti connessi e i servizi correlati “immessi sul mercato dopo il 12 settembre 2026”: chi ha già in catalogo prodotti equivalenti immessi sul mercato prima di questa data non è quindi tenuto a retroadeguarli, ma il perimetro è destinato ad ampliarsi progressivamente man mano che i cataloghi si rinnovano.

Il campo di applicazione è più ampio di quanto il nome del Regolamento lasci intuire. Il considerando 14 elenca tra i prodotti connessi le infrastrutture private, civili o commerciali, i veicoli, le attrezzature sanitarie e legate allo stile di vita, le apparecchiature domestiche e i beni di consumo, i dispositivi medici e sanitari, le macchine agricole e industriali. La definizione è comunque funzionale, non un elenco chiuso, in quanto l’articolo 2, punto 5, qualifica come “prodotto connesso” qualunque bene che generi o raccolga dati sul proprio utilizzo o ambiente e sia in grado di comunicarli: vi rientrano quindi, per estensione della medesima logica, anche gli apparati di sicurezza e di videosorveglianza di nuova generazione dotati di connettività. Per un ente pubblico o un’impresa che si limita ad acquistare questi dispositivi, la novità si traduce in un compito preciso, ossia verificare già in fase di capitolato o di contratto di fornitura che il produttore garantisca l’accesso ai dati “by design” richiesto dalla norma, evitando di scoprire il problema a fornitura già conclusa.

Il Data Act si affianca al GDPR, non lo sostituisce: lo dice espressamente l’articolo 1, paragrafo 5, del Regolamento. Quando i dati generati dal dispositivo connesso riguardano anche persone fisiche identificate o identificabili, che si tratti dell’utilizzatore del mezzo o di terzi ripresi da una telecamera di bordo, restano fermi tutti gli obblighi del Regolamento UE 2016/679, a partire dall’individuazione di un’idonea base giuridica e dal rispetto dei diritti degli interessati. Il titolare del trattamento dovrà quindi leggere il nuovo obbligo di accesso ai dati insieme, e non in alternativa, ai principi di liceità, minimizzazione e limitazione della finalità che già conosce.

Non tutti i soggetti sono toccati allo stesso modo. L’articolo 7 del Regolamento esenta dagli obblighi di progettazione del capo II i dati generati dall’uso di prodotti connessi fabbricati o progettati da una microimpresa o da una piccola impresa, o di servizi correlati forniti dalle medesime, a condizione che tali imprese non abbiano un’impresa associata o collegata che non sia a sua volta micro o piccola, e purché la fabbricazione o la progettazione del prodotto, o la fornitura del servizio, non siano state affidate in subappalto a un’impresa di dimensioni maggiori. La stessa esenzione vale per i prodotti e i servizi di un’impresa qualificata come media da meno di un anno, e per i prodotti connessi nel primo anno dalla loro immissione sul mercato da parte di una media impresa.

Quanto alle sanzioni, l’articolo 40 del Regolamento le rimette agli Stati membri, con l’obbligo di notificarle alla Commissione entro il 12 settembre 2025 e di tenerne un registro pubblico aggiornato. Su questo punto l’Italia risulta inadempiente: le leggi di delegazione europea 2023, 2024 e 2025 non contengono alcuna delega per l’adeguamento al Data Act, e fonti specializzate confermavano ancora nel luglio 2026 che non era stato adottato un decreto attuativo né designata un’autorità nazionale di vigilanza, con conseguente rischio di una procedura d’infrazione a carico dello Stato italiano. Questa lacuna non sospende però gli obblighi sostanziali del Regolamento, incluso quello dell’articolo 3, che restano pienamente vincolanti in quanto direttamente applicabili in tutti gli Stati membri: chi non rispetta l’obbligo di “access by design” non può contare sull’assenza di un’autorità italiana dedicata, perché resta comunque esposto a un’azione dell’utente o a un intervento del Garante per la componente di dati personali.

 

Le tappe di applicazione del Data Act

Data	Cosa diventa applicabile
12 settembre 2025	Applicazione generale del Regolamento (UE) 2023/2854; obbligo di messa a disposizione dei dati previsto dal capo III per gli obblighi di diritto UE o nazionale sopravvenuti dopo questa data; applicazione del capo IV (clausole contrattuali abusive tra imprese) ai contratti conclusi da questa data
12 settembre 2026	Applicabilità dell’articolo 3, paragrafo 1: obbligo di “access by design” per i prodotti connessi e i servizi correlati immessi sul mercato dopo questa data
12 settembre 2027	Applicazione delle norme del capo IV sulle clausole contrattuali abusive anche ai contratti conclusi il 12 settembre 2025 o prima, se a tempo indeterminato o con scadenza prevista almeno dieci anni dopo l’11 gennaio 2024

Fonte: Regolamento (UE) 2023/2854 (Data Act), art. 50, Gazzetta ufficiale dell’Unione europea, serie L, 22.12.2023 (eur-lex.europa.eu/eli/reg/2023/2854/oj/eng)

 

Soggetti e adempimenti pratici

Soggetto	Cosa deve fare da subito
Fabbricante di prodotti connessi / fornitore di servizi correlati	Verificare che i nuovi prodotti immessi sul mercato dopo il 12 settembre 2026 offrano l’accesso ai dati del prodotto e del servizio correlato per impostazione predefinita, salvo l’esenzione per micro e piccole imprese dell’art. 7
Ente pubblico o impresa acquirente	Inserire nei capitolati e nei contratti di fornitura una clausola di conformità al Data Act, in aggiunta alle verifiche già previste per il GDPR
Titolare del trattamento (quando i dati riguardano persone fisiche)	Individuare la base giuridica del trattamento e garantire i diritti degli interessati anche per i dati resi accessibili ai sensi del Data Act

Fonte: Regolamento (UE) 2023/2854, artt. 3-7 e considerando correlati; elaborazione iSimply.

 

Per chi si occupa di privacy e transizione digitale negli enti pubblici e nelle imprese, il consiglio pratico è iniziare a mappare, già da ora, i dispositivi connessi in uso o in fase di acquisizione, individuare quali tra questi rientrano nel campo di applicazione del Regolamento a partire dal 12 settembre 2026 e verificare con i fornitori le modalità tecniche con cui verrà garantito l’accesso ai dati. Per gli acquisti di apparati di sicurezza e di videosorveglianza connessi, tema particolarmente sentito dai Comuni, la verifica va condotta insieme alla valutazione d’impatto già richiesta dal Garante per questo tipo di trattamenti.

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Regolamento (UE) 2023/2854 (“Data Act”), Gazzetta ufficiale dell’Unione europea.

eur-lex.europa.eu/eli/reg/2023/2854/oj/eng

 

Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa, poi sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale: iSimply srl ne mantiene la piena responsabilità editoriale. Proprio per questa revisione, l’indicazione non è obbligatoria ai sensi dell’art. 50, par. 4, del Regolamento (UE) 2024/1689, ma iSimply sceglie comunque di renderla pubblica per trasparenza verso i propri lettori.