Data Act e dati personali: dal 12 settembre 2026 scatta l’obbligo di “access by design”

Data Act e dati personali: dal 12 settembre 2026 scatta l’obbligo di “access by design”

Dal 12 settembre 2026 il Data Act impone l’accesso ai dati generati dai dispositivi connessi, ridefinendo gli obblighi di conformità per i fabbricanti di prodotti connessi. Da questa data, tutti i dispositivi connessi e gli oggetti intelligenti immessi sul mercato dovranno permettere a chi li usa di accedere facilmente ai dati che loro stessi contribuiscono a generare.

Il perimetro applicativo spazia dai grandi macchinari industriali e le linee di automazione aziendale, fino ai dispositivi medici, agli autoveicoli connessi, alle attrezzature agricole e persino agli elettrodomestici intelligenti.

La possibilità di accedere liberamente a queste informazioni rappresenta un’importante opportunità per ottimizzare i processi e sviluppare nuovi servizi digitali. Tuttavia, l’apertura di questi canali comporta anche un aumento della superficie di attacco, elevando il rischio di intrusioni informatiche o di esfiltrazione di segreti industriali.

Regole e obblighi sulla disponibilità dei dati – La nuova cornice giuridica europea trova il suo fulcro nel Regolamento (UE) 2023/2854 , noto come “Data Act”, che definisce le regole per l’accesso e l’impiego delle informazioni generate dai prodotti connessi, ferme restando le norme già vigenti sul trattamento dei dati personali ogni volta che tali informazioni riguardino persone fisiche.

L’architettura del regolamento distribuisce responsabilità specifiche sui diversi attori della filiera digitale, tra cui fabbricanti, fornitori di servizi e provider Cloud.

I nuovi obblighi complessivi si articolano in quattro aree principali:

– accesso per gli utenti (a carico di fabbricanti e fornitori di servizi): obbligo di progettare i dispositivi in modo che i dati grezzi e pre-processati siano accessibili per impostazione predefinita in modo facile, sicuro e gratuito a chi li usa;
– condivisione con terze parti (a carico del data holder): dovere di trasmettere le medesime informazioni, su richiesta dell’utente, a soggetti terzi (come manutentori o assicurazioni);
– accesso eccezionale (a carico del data holder): obbligo di mettere i dati a disposizione delle autorità pubbliche esclusivamente in situazioni tassative di emergenza o per specifici compiti di interesse pubblico;
– portabilità e Cloud switching (a carico dei fornitori di servizi Cloud): obbligo di eliminare gli ostacoli tecnici e contrattuali per consentire il passaggio sicuro dei dati verso altri provider, azzerando progressivamente i costi di migrazione (switching charges).

L’insieme di queste prescrizioni ridefinisce radicalmente i modelli operativi aziendali, trasformando la gestione tecnica dei flussi informativi in un pilastro della conformità digitale.

La tutela del know-how e la riservatezza industriale – L’apertura tecnica richiesta dalla legislazione solleva complesse problematiche relative alla protezione dei segreti commerciali e della proprietà intellettuale.

I fabbricanti mantengono il diritto di tutelare le informazioni derivate, ovvero quelle risultanti da elaborazioni complesse o algoritmi proprietari avanzati. La legge esclude tali inferenze dagli obblighi di condivisione automatica, concentrandosi esclusivamente sui dati grezzi raccolti dai sensori e sulle informazioni pre-processate.

Per preservare la riservatezza industriale e impedire infiltrazioni informatiche, la normativa definisce un regime di tutela strutturato su tre livelli sequenziali:

– identificazione e misure preventive: in via ordinaria, il titolare individua i dati protetti da segreto commerciale e concorda con l’utente misure tecniche e contrattuali proporzionate, come accordi di riservatezza e protocolli di accesso rigorosi;
– blocco o sospensione dell’accesso: in assenza di un accordo sulle misure di sicurezza, o in caso di violazione dei patti concordati e di vulnerabilità cyber nei flussi, il titolare può bloccare o sospendere la condivisione, notificando il provvedimento per iscritto all’utente e all’autorità competente;
– rifiuto eccezionale della richiesta: in circostanze eccezionali, e dimostrando sulla base di elementi oggettivi il rischio concreto di un grave danno economico con perdite irreparabili per l’azienda, il titolare può rifiutare caso per caso la trasmissione di dati specifici.

Grazie a questa flessibilità a livelli, il tessuto industriale riceve gli strumenti giuridici necessari per difendere la propria competitività e bloccare i trasferimenti a rischio senza incorrere in sanzioni.

Ambito applicativo – Sebbene i requisiti generali della disciplina siano già entrati in vigore, dal 12 settembre 2026 scatta quindi la scadenza più critica per il settore industriale: da quel momento scatta l’obbligo definitivo di “access by design”.

Tutti i fabbricanti di beni connessi e i fornitori di servizi digitali dovranno conformare la produzione a questo principio, progettando l’architettura tecnica dei prodotti affinché i flussi informativi siano accessibili e protetti fin dall’origine.

Ovviamente, il Data Act non sostituisce le normative già esistenti in materia di protezione dei dati personali, ma si affianca ad esse. Quando le informazioni trattate dai dispositivi connessi riguardano persone fisiche, restano infatti pienamente applicabili le disposizioni previste dal GDPR, con il relativo ruolo di vigilanza affidato al Garante per la protezione dei dati personali.

In quest’ottica, l’obbligo di condivisione dei dati con terze parti previsto dal Data Act dovrà necessariamente coordinarsi con la disciplina sull’autorizzazione al trattamento dei dati personali e con i restanti adempimenti ordinari del GDPR, a partire dall’informativa sul trattamento dei dati personali.

A questo quadro si aggiunge la direttiva NIS2, che impone requisiti di sicurezza informatica e di gestione degli incidenti per i soggetti operanti in settori essenziali e importanti — un livello di tutela che si affianca alle misure di sicurezza che il Data Act rende necessarie per gestire in modo affidabile l’accesso ai dati.

Fonte: https://www.federprivacy.org/informazione/flash-news/data-act-e-dati-personali-dal-12-settembre-2026-scatta-l-obbligo-di-access-by-design