Il 21 ottobre 2026 gli ambasciatori dei Ventisette hanno approvato il mandato del Consiglio sul Digital Omnibus, e secondo Agence Europe il testo coincide con l’ultimo compromesso della presidenza. Nella parte sul Data Act il mandato dà al titolare dei dati un motivo nuovo per rifiutare a un cliente europeo l’accesso ai dati coperti da segreto commerciale, quando l’ordinamento a cui il cliente appartiene, o quello di chi lo controlla, protegge il segreto meno di quanto faccia l’Unione. La proposta della Commissione del 19 novembre 2025 aveva aggiunto quel motivo agli articoli 4, paragrafo 8, e 5, paragrafo 11, del regolamento (UE) 2023/2854.
Il compromesso della presidenza, nella versione del 2 ottobre, ne abbassa la soglia da rischio elevato a rischio significativo e sostituisce la comunicazione di ogni rifiuto all’autorità con un resoconto ogni tre mesi. La diagnosi dei governi che chiedevano più tutela per il segreto è fondata. L’assetto che ne risulta affida a una parte del rapporto il giudizio sull’ordinamento di un altro Stato, e l’autorità viene a sapere del rifiuto a cose fatte, con un ritardo che può arrivare a tre mesi.
Indice degli argomenti
Il Data Act e la tutela dei segreti commerciali
Il regolamento si applica dal 12 settembre 2025 e muove dall’accesso. Il considerando 31 esclude, in linea di principio, che il titolare rifiuti una richiesta per la sola ragione che i dati costituiscono un segreto commerciale, e richiama l’articolo 3, paragrafo 2, della direttiva (UE) 2016/943, per cui le operazioni sul segreto sono lecite nella misura in cui il diritto dell’Unione o nazionale le richiede o le consente. In Italia la direttiva è stata recepita dal decreto legislativo 63 del 2018, che ha modificato gli articoli 98 e 99 del codice della proprietà industriale.
Il titolare identifica i dati protetti, anche nei metadati, e concorda con l’utente misure di riservatezza proporzionate (articolo 4, paragrafo 6). Se l’accordo manca, o l’utente viola le misure, il paragrafo 7 consente di sospendere la condivisione con decisione scritta e motivata e con comunicazione all’autorità designata ai sensi dell’articolo 37. Il rifiuto vero e proprio è riservato a circostanze eccezionali, quando il titolare dimostra che, nonostante le misure adottate dall’utente, è altamente probabile un danno economico grave a suo carico, che il considerando 31 descrive come una perdita grave e irreparabile (paragrafo 8).
L’utente può contestare la decisione davanti al giudice o con reclamo all’autorità, che decide senza indugio se e a quali condizioni la condivisione debba iniziare o riprendere (paragrafo 9). L’articolo 5, paragrafi 9-11, ripete la struttura per i terzi scelti dall’utente.
Dal danno irreparabile al rischio significativo
La nuova ipotesi di rifiuto affronta una difficoltà che il testo in vigore pone al titolare. Per rifiutare, quest’ultimo deve provare un danno grave e irreparabile che deriverebbe dall’uscita dei dati dalla sua disponibilità, e il paragrafo 8 gli indica tra gli elementi oggettivi anche la possibilità di far valere in giudizio la tutela del segreto nei paesi terzi. L’ordinamento straniero entra dunque nel regime vigente come indizio del danno.
La proposta della Commissione lo svincola dal danno e ne fa un motivo a sé, fondato sul rischio di «acquisizione, uso o divulgazione illeciti» a favore di entità di paesi terzi, o di entità stabilite nell’Unione sotto il loro controllo diretto o indiretto, soggette a giurisdizioni che offrono una protezione «più debole o non equivalente» a quella dell’Unione. L’oggetto della prova passa così dalla perdita economica all’illecito.
Quantificare in anticipo una perdita irreparabile, che dipende da eventi futuri, supera le possibilità di un titolare, e il criterio vigente rischia di valere soltanto sulla carta. Il criterio nuovo richiede una previsione di tipo diverso, sulla tenuta di un ordinamento, e il Consiglio la rende più agevole sostituendo «elevato» con «significativo» davanti a rischio.
L’illecito da prevedere sta dopo la consegna. Alla consegna l’utente acquisisce i dati in modo lecito, perché il diritto dell’Unione lo consente, e il rischio riguarda i passaggi che portano i dati a un’entità di un paese terzo contro l’accordo di riservatezza o contro il diritto dell’Unione. Il considerando 12 della proposta indica gli indizi che il titolare può valutare, tra cui gli obblighi di divulgazione imposti da uno Stato terzo in contrasto con il diritto dell’Unione e l’influenza politica indebita, e il considerando 11 estende il motivo ai casi in cui la legge straniera sia in teoria solida o superiore a quella dell’Unione ma carente nell’applicazione pratica.
L’accordo di riservatezza dell’articolo 4, paragrafo 6, vincola l’utente. La nuova ipotesi guarda a ciò che l’accordo lascia fuori, cioè l’ordine di un’autorità straniera che raggiunge l’utente o la società che lo controlla, e toglie a una categoria di utenti la certezza che un accordo sulle misure di riservatezza basti a ottenere i dati.
Segreti commerciali e ordinamenti esteri nel Data Act
In altre sedi il diritto dell’Unione affida alla Commissione, con atti pubblici, giudizi analoghi sulla qualità di un ordinamento straniero o sul potere di un soggetto. Le decisioni di adeguatezza dell’articolo 45 del regolamento (UE) 2016/679 individuano i paesi terzi verso cui possono circolare i dati personali, e la designazione dei gatekeeper ai sensi dell’articolo 3 del regolamento (UE) 2022/1925 individua le imprese soggette al DMA. Il Data Act si serve della seconda nell’articolo 5, paragrafo 3, che esclude i gatekeeper dai terzi ammissibili, e il titolare applica l’esclusione leggendo un elenco. Per la nuova ipotesi l’elenco è sostituito da linee guida.
Il compromesso del 2 ottobre (documento del Consiglio 13886/26) prevede che la Commissione, sentito il Comitato europeo per l’innovazione in materia di dati, le emani sulla valutazione del danno, sui dati dei settori critici più esposti, sulla tutela del segreto nei paesi terzi e sull’accertamento del controllo da parte di entità straniere, e un nuovo considerando 14a rinvia ai settori critici degli allegati della direttiva NIS2. Il compromesso paragona il meccanismo a un freno a mano (handbrake), e il titolare lo aziona da sé. Le linee guida orientano l’interpretazione.
La valutazione dell’ordinamento straniero spetta al titolare, che è anche la parte interessata al rifiuto. Il controllo scatta dopo, se l’utente presenta reclamo o agisce in giudizio, e l’onere della dimostrazione rimane al titolare, che deve motivare per iscritto con elementi oggettivi. Il giudice o l’autorità valutano allora quella prova su un ordinamento straniero senza una decisione della Commissione a cui appoggiarsi.
Il nodo del controllo sulle entità straniere
Il titolare deve accertare anche il controllo. Il considerando 13 lo descrive come la capacità di esercitare un’influenza decisiva o dominante sulla gestione o sulle decisioni strategiche di un’altra entità, attraverso il capitale o i diritti di voto, le partecipazioni finanziarie, gli accordi contrattuali o soggetti interposti, anche senza maggioranza. Il considerando chiede al titolare di fare il possibile per ottenere le informazioni, consultando i registri pubblici o domandandole all’utente, in modo poco invasivo.
L’articolo 4, paragrafo 5, limita le informazioni che il titolare può pretendere per verificare la qualità di utente, e la domanda sulla proprietà serve a un altro scopo. Il testo omette di dire se l’utente debba rispondere e quali conseguenze abbia un rifiuto di rispondere sulla prova del controllo.
La vigilanza sui rifiuti previsti dal Data Act
L’equilibrio del 2023, che la presidenza stessa invoca nella nota del 4 giugno 2026, passa in buona parte dalla comunicazione all’autorità. Nel regime vigente il titolare che rifiuta ai sensi del paragrafo 8 comunica il rifiuto all’autorità designata. La nota del 4 giugno riferisce che alcune delegazioni volevano abolire la comunicazione automatica, perché la dimostrazione del danno appesantiva il titolare. Il testo del 2 ottobre conserva l’obbligo e ne cambia il momento. Il titolare comunica all’autorità tutti i casi di rifiuto ogni tre mesi.
Il rifiuto è un atto scritto tra il titolare e l’utente, e l’autorità è l’unico terzo che ne riceve notizia. L’utente conosce la decisione dal primo giorno e può proporre reclamo ai sensi dell’articolo 4, paragrafo 9, lettera a), davanti a un’autorità che deve decidere senza indugio se la condivisione debba iniziare o riprendere e che può attendere ancora la comunicazione del titolare. Sul contenuto della comunicazione il testo tace.
Per le sospensioni del paragrafo 7 il regolamento in vigore richiede di indicare le misure che le parti hanno omesso di concordare o di attuare, mentre per i rifiuti del paragrafo 8 si limita a prevedere la comunicazione, e la formula «tutti i casi di rifiuto» può designare un semplice elenco.
I dati necessari alla verifica del 2028
L’articolo 49, paragrafo 1, lettera f), del Data Act prescrive alla Commissione di valutare entro il 12 settembre 2028 l’effetto del meccanismo di rifiuto degli articoli 4, paragrafo 8, e 5, paragrafo 11, e l’impatto del regolamento sui segreti commerciali, tenendo conto di un’eventuale revisione della direttiva 2016/943. La proposta e il testo del 2 ottobre lasciano intatta quella lettera. Il legislatore del 2023 aveva previsto di giudicare il meccanismo dopo tre anni di applicazione. La proposta di modifica è arrivata dopo due mesi e il mandato del Consiglio la rafforza a tredici mesi dall’inizio dell’applicazione.
I rifiuti che l’utente accetta sono noti a terzi soltanto attraverso la comunicazione all’autorità, e il giudizio della Commissione potrà fondarsi su quei dati. Se la comunicazione trimestrale indica il motivo invocato, tra il danno e il rischio legato a un ordinamento straniero, e l’ordinamento a cui il rifiuto si riferisce, la valutazione del 2028 potrà misurare se la nuova ipotesi contrasta la fuga di know-how che la Commissione e il Consiglio dichiarano di voler impedire o se funziona come un’uscita generale dalla condivisione. Il considerando 12 raccomanda di evitare rifiuti sistematici verso un intero paese, e i dati raccolti permettono di verificare se i titolari la seguono.
Contratti e segreti commerciali nel nuovo Data Act
Il caso che muove i governi favorevoli a più tutela è semplice. Un titolare che condivide dati di processo industriale con un utente il cui gruppo di controllo è soggetto a un ordinamento capace di imporre la consegna dei dati ha un contratto di riservatezza che vincola l’utente soltanto fin dove arriva la legge che lo governa, e un segreto divulgato perde la propria natura di segreto. Nei contratti che si firmano oggi valgono le regole in vigore, e queste consentono di prepararsi al metodo che la nuova ipotesi richiederebbe.
Al titolare conviene estendere le misure di riservatezza alle società del gruppo dell’utente, con l’obbligo di comunicare ogni cambio di controllo e ogni ordine di un’autorità straniera che riguardi i dati ricevuti, e tenere un registro dei rifiuti e delle sospensioni con i relativi motivi, perché la motivazione scritta è dovuta oggi e la comunicazione periodica ne richiederà la raccolta. All’utente che appartiene a un gruppo con capogruppo extraeuropea serve una dichiarazione sulla propria struttura di controllo, che il considerando 13 invita il titolare a domandare, e un impegno contrattuale a opporsi agli ordini stranieri, da preparare prima della richiesta.
Il Data Act sui segreti commerciali verso il negoziato europeo
Il mandato del 21 ottobre è una posizione negoziale. Il confronto con il Parlamento europeo comincia quando questo avrà adottato la propria, e le formulazioni citate, tratte dalla versione del 2 ottobre, vanno riverificate sul testo del mandato quando sarà pubblicato.
Partecipa alla community