Il Data Act (Regolamento Ue 2023/2854 riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo) si inserisce nel più ampio contesto della strategia europea in materia di dati, ideata dalla Commissione europea, rappresentandone l’ultimo e importante tassello a completamento della stessa.
Indice degli argomenti
Data Act e accessibilità by design: obiettivi e quadro normativo
Per comprendere gli obiettivi del Data Act, si menziona il Considerando 5 dello stesso, il quale afferma che “il presente regolamento garantisce che gli utenti di un prodotto connesso o di un servizio correlato nell’Unione possano accedere tempestivamente ai dati generati dall’uso di tale prodotto connesso o servizio correlato e che tali utenti possano utilizzare i dati, anche condividendoli con terzi di loro scelta. Esso impone ai titolari dei dati l’obbligo di mettere i dati a disposizione degli utenti e dei terzi scelti dagli utenti in determinate circostanze. Garantisce inoltre che i titolari dei dati mettano i dati a disposizione dei destinatari dei dati nell’Unione a condizioni eque, ragionevoli e non discriminatori e in modo trasparente. Le norme di diritto privato sono fondamentali nel quadro generale della condivisione dei dati. Il presente regolamento adegua pertanto le norme di diritto contrattuale e impedisce lo sfruttamento degli squilibri contrattuali che ostacolano l’accesso equo ai dati e il loro utilizzo. Il presente regolamento garantisce inoltre che i titolari dei dati mettano a disposizione degli enti pubblici, della Commissione, della Banca centrale europea o degli organismi dell’Unione, ove vi sia una necessità eccezionale, i dati necessari per lo svolgimento di un compito specifico nell’interesse pubblico. Il presente regolamento mira altresì ad agevolare il passaggio tra servizi di trattamento dei dati e a migliorare l’interoperabilità dei dati e dei meccanismi e servizi di condivisione dei dati nell’Unione. È opportuno non interpretare il presente regolamento come un atto che riconosce o che conferisce ai titolari dei dati un nuovo diritto di utilizzare i dati generati dall’uso di un prodotto connesso o di un servizio correlato”. Dunque, il Data Act apre alla possibilità non solo di mettere a disposizione i dati, ma anche di condividerli.
Stante queste premesse, il presente articolo fornisce, dunque, una panoramica sull’applicabilità di una specifica norma del Data Act (ossia, l’art. 3 par. 1, che si analizzerà nel paragrafo che segue) e delle novità che potrebbero intervenire con la Proposta di Regolamento COM (2025) 837 che modifica i regolamenti (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 e (UE) 2023/2854 e le direttive 2002/58/CE, (UE) 2022/2555 e (UE) 2022/2557 per quanto riguarda la semplificazione del quadro legislativo nel settore digitale e che abroga i regolamenti (UE) 2018/1807, (UE) 2019/1150 e (UE) 2022/868 e la direttiva (UE) 2019/1024, meglio nota come Digital Omnibus.
Obbligo di accessibilità by design nel Data Act
Come noto, non tutte le norme del Data Act sono applicabili allo stesso momento. Difatti, nonostante la gran parte delle disposizioni del Data Act si applichino già dal 2025, l’obbligo derivante dall’articolo 3, paragrafo 1, si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo il 12 settembre 2026.
Nello specifico, l’art. 3 par. 1 del Data Act precisa che “i prodotti connessi sono progettati e fabbricati e i servizi correlati sono progettati e forniti in modo tale che i dati dei prodotti e dei servizi correlati, compresi i pertinenti metadati necessari a interpretare e utilizzare tali dati, siano, per impostazione predefinita, accessibili all’utente in modo facile, sicuro, gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, in modo diretto”.
Ciò si traduce nell’imposizione ai fabbricanti di prodotti connessi e ai fornitori di servizi correlati di progettare l’architettura tecnica dei prodotti affinché i flussi informativi siano accessibili e protetti fin dall’origine.
Accessibilità dei dati e privacy by design
È indispensabile, sul punto, fare un paragone con quanto previsto dalla normativa sulla protezione dei dati personali, la quale, all’art. 25 del GDPR, statuisce il principio della protezione dei dati fin dalla progettazione e protezione per impostazione predefinita[1]
Si tratta di un punto di connessione fondamentale tra le due normative, le quali devono essere lette in maniera complementare tra loro, come ricorda anche il Considerando 8 del Data Act, il quale precisa che: “I principi della minimizzazione dei dati e della protezione dei dati fin dalla progettazione e per impostazione predefinita sono essenziali quando il trattamento comporta rischi significativi per i diritti fondamentali delle persone. Tenendo conto dello stato dell’arte, tutte le parti coinvolte nella condivisione dei dati, comprese le condivisioni rientranti nell’ambito di applicazione del presente regolamento, dovrebbero attuare misure tecniche e organizzative per tutelare tali diritti. Tali misure comprendono non solo la pseudonimizzazione e la cifratura, ma anche l’uso di tecnologie sempre più disponibili che consentono di applicare gli algoritmi ai dati e di ricavare informazioni preziose senza la trasmissione tra le parti o la copia non necessaria dei dati stessi, siano essi grezzi o strutturati”.
Inoltre, particolarmente importante in proposito è il provvedimento dell’11 giugno 2026 [10266034] contro la Città Metropolitana di Sassari, sanzionata per aver configurato erroneamente il proprio protocollo informatico, rendendo accessibili documenti contenenti dati personali a soggetti che, in ragione del ruolo ricoperto e delle mansioni svolte, non erano autorizzati a trattarli. Tra le altre cose, il Garante ha rilevato la violazione del principio di privacy by design e by default (ex art. 25 GDPR). Infatti, l’articolo 25 del GDPR richiede che il titolare del trattamento, già al momento di determinare i mezzi del trattamento, metta in atto misure tecniche e organizzative adeguate a garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento.
Il Garante precisa che questo principio vale esplicitamente anche per l’accessibilità: “dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica.” Inoltre, le Linee guida 4/2019 sull’articolo 25 dell’EDPB, citate nel provvedimento, chiariscono, al paragrafo 55, che “il titolare dovrebbe prevedere limitazioni quanto ai soggetti abilitati all’accesso e alla tipologia dell’accesso ai dati personali sulla base di una valutazione della necessità e assicurare che i dati personali siano realmente accessibili a chi ne ha bisogno in caso di necessità.”
È interessante notare come tale principio, sebbene in una formulazione differente, sia replicato anche all’interno del Data Act, nello specifico ai sensi dell’art. 3 par. 1, il quale prevede che i fabbricanti di prodotti connessi e i fornitori di servizi correlati progettino l’architettura tecnica dei prodotti affinché i flussi informativi siano accessibili e protetti fin dall’origine.
Data Act e Digital Omnibus: la proposta di semplificazione
Un altro aspetto fondamentale da considerare è la proposta di Regolamento COM (2025) 837 della Commissione europea (ancora oggetto di discussione in seno al legislatore europeo) che incide su una pluralità di normative, tra cui GDPR, Direttiva NIS2 e anche il Data Act. Tale proposta di Regolamento, e già oggetto di ampie discussioni tra gli addetti ai lavori, è meglio nota come “Omnibus Digitale” o “Digital Omnibus”.
Attraverso la citata proposta, la Commissione cerca di perseguire un obiettivo di razionalizzazione rispetto al Data Act, attraverso l’inglobamento del Data Governance Act (regolamento (UE) 2022/868, regolamento sulla governance dei dati) e della Direttiva Open Data (direttiva (UE) 2019/1024, direttiva sull’apertura dei dati) all’interno del Data Act (regolamento (UE) 2023/2854), allo scopo di creare un unico strumento consolidato per l’economia dei dati europea.
Come noto, il Data Act fa parte della c.d. strategia europea sui dati, caratterizzata da ulteriori Regolamenti, ossia il Digital Services Act, il Digital Markets Act e il Data Governance Act. Nello specifico, il Data Act integra il Data Governance Act (DGA), in vigore dal 23 giugno 2022. Tuttavia, mentre il DGA disciplina l’accesso e la condivisione dei dati all’interno dell’UE, compresa la definizione delle condizioni per il riutilizzo dei dati protetti del settore pubblico e meccanismi affidabili per la condivisione volontaria dei dati, il Data Act interviene a livello sostanziale su specifici aspetti per l’accesso ai dati, nonché disciplinando requisiti e standard obbligatori per facilitare il riutilizzo dei dati.
Secondo la Commissione, questa soluzione di razionalizzazione, proposta con il Digital Omnibus, presenterebbe numerosi vantaggi per le amministrazioni pubbliche che detengono dati del settore pubblico e per i riutilizzatori di dati, in quanto permetterebbe loro di razionalizzare i processi e ridurre gli oneri amministrativi associati all’interpretazione e all’attuazione di diverse normative nazionali.
L’importanza di attuare un’efficace strategia di accessibilità by design
In generale, ciò che emerge dall’analisi dell’art. 3 par. 1 Data Act è l’importanza di attuare un’efficace strategia di accessibilità by design, sulla scia del non meno importante principio di protezione dei dati fin dalla progettazione e protezione per impostazione predefinita (ai sensi dell’art. 25 GDPR), in ambito data protection. In relazione a ciò, con riguardo al Digital Omnibus (attualmente oggetto di discussione presso il legislatore europeo), si osserva come le citate proposte di riforma non sembrino toccare gli obblighi fondamentali in materia di accesso e condivisione dei dati generati dai prodotti connessi e dai servizi correlati (di cui al Capo II del Regolamento). Tuttavia, sarà comunque necessario attendere eventuali ulteriori sviluppi con l’avanzare dell’iter legislativo del Digital Omnibus, il quale potrebbe subire delle variazioni nel corso del tempo.
Note
[1] Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati. ↩
Partecipa alla community