Il Data Act, cioè il regolamento (UE) 2023/2854, si applica dal 12 settembre 2025 e dà a chi usa un prodotto connesso, impresa o consumatore, il diritto di accedere ai dati che genera e di farli condividere con altri. Per una PMI conta su tre fronti: i dati di macchinari e dispositivi connessi, il cambio di fornitore cloud o di software in abbonamento e le clausole sui dati imposte nei contratti tra imprese.
In breve
- Il Data Act è applicabile dal 12 settembre 2025; la Commissione ne chiarisce l’applicazione con FAQ aggiornate, l’ultima versione è del 22 gennaio 2026.
- Chi usa un prodotto connesso può accedere ai dati e chiedere che vengano trasmessi a un terzo, per esempio un manutentore indipendente.
- Per cambiare fornitore cloud il preavviso massimo è di due mesi e la transizione dura di norma al massimo 30 giorni; dal 12 gennaio 2027 non si potranno più addebitare costi di cambio.
- Le clausole sui dati abusive imposte unilateralmente a un’impresa non sono vincolanti; per i contratti più vecchi la regola scatta dal 12 settembre 2027.
Cos’è il Data Act e da quando si applica
È il regolamento europeo del 13 dicembre 2023 che fissa norme armonizzate sull’accesso equo ai dati e sul loro utilizzo. Secondo la Commissione serve a distribuire in modo più equo il valore generato dai dati tra i diversi attori del mercato, tutelando allo stesso tempo chi investe nelle tecnologie che li producono.
Non sostituisce il GDPR: per i dati personali il regolamento sulla protezione dei dati resta pienamente applicabile e il Data Act lo affianca. La novità è che riguarda i dati generati dall’uso di un prodotto, personali e non personali, e dà diritti anche alle imprese, non solo alle persone.
Quali prodotti e servizi riguarda
Un prodotto connesso è un oggetto che raccoglie o genera dati sul proprio uso, sulle prestazioni o sull’ambiente e li può trasmettere, via cavo o senza fili. La Commissione cita elettrodomestici intelligenti, elettronica di consumo, macchinari industriali, dispositivi medici, smartphone e televisori. Server e router, che servono principalmente a memorizzare o trasmettere dati, restano fuori dagli obblighi di condivisione, salvo che l’utente li possieda o li abbia a noleggio o in leasing.
Un servizio correlato è un servizio digitale collegato al prodotto che ne influenza il funzionamento, come l’app che regola le luci o la temperatura del frigorifero. Servono due condizioni: uno scambio di dati nei due sensi e un effetto sulle funzioni del prodotto. Connettività, fornitura di energia e servizi successivi come riparazione e manutenzione ordinaria non sono servizi correlati.
Quali diritti ha chi usa un prodotto connesso
Prima della vendita, del noleggio o del leasing, chi offre il prodotto deve informare l’utente su quali dati genera e su come accedervi. L’accesso può essere diretto, quando l’utente scarica i dati da solo, oppure indiretto, per esempio con una richiesta su un portale. Lo stesso obbligo di trasparenza vale quando un prodotto usato viene rivenduto.
L’utente può poi chiedere al titolare dei dati di trasmetterli a un terzo. Il terzo può usarli solo per gli scopi concordati con l’utente e non può servirsene per sviluppare un prodotto concorrente. Se il destinatario è una PMI, il compenso eventualmente chiesto per mettere a disposizione i dati non può includere un margine di profitto.
Un esempio ipotetico: un’impresa di pulizie industriali usa lavasciuga connesse. Con il Data Act può chiedere i dati di funzionamento e farli arrivare a un tecnico indipendente, invece di dipendere solo dall’assistenza del produttore.
Cambiare fornitore cloud o software in abbonamento
Le regole sul cambio di fornitore valgono per i servizi di trattamento dei dati e coprono i modelli più diffusi: infrastruttura, piattaforma e software in abbonamento (SaaS). Quindi riguardano anche il gestionale o il CRM in cloud di una PMI, e anche chi usa un’offerta gratuita (free tier).
- Preavviso: al massimo due mesi da quando il cliente comunica di voler cambiare.
- Transizione: al massimo 30 giorni, durante i quali il fornitore collabora al trasferimento. Il cliente può chiedere un periodo più lungo; il fornitore può allungarlo, fino a sette mesi, solo se dimostra entro 14 giorni che 30 giorni non sono tecnicamente sufficienti.
- Costi: dall’11 gennaio 2024 i costi di cambio, compresi quelli per estrarre i dati, possono coprire solo i costi effettivi; dal 12 gennaio 2027 non potranno più essere addebitati. Fa eccezione l’uso in parallelo di più cloud, dove i costi di trasferimento continuo restano possibili.
Per i servizi realizzati su misura e non offerti su larga scala esiste un regime speciale, ma alcune regole restano: interfacce aperte ed esportazione dei dati in un formato strutturato, di uso comune e leggibile da una macchina.
Clausole abusive sui dati tra imprese
Il Data Act controlla le clausole che riguardano l’accesso e l’uso dei dati, o la responsabilità per gli obblighi sui dati, quando sono imposte unilateralmente da un’impresa a un’altra. Alcune sono sempre abusive, altre si presumono abusive salvo prova contraria. Una clausola abusiva non vincola chi l’ha subita, mentre il resto del contratto resta valido se la clausola è separabile.
La regola vale per i contratti conclusi dopo il 12 settembre 2025. Per quelli precedenti si applica dal 12 settembre 2027, se sono a tempo indeterminato o scadono almeno dieci anni dopo l’11 gennaio 2024. Riguarda solo le parti del contratto sui dati, anche dentro accordi su altro: vendita di un macchinario, logistica, pubblicità, finanziamenti, cloud. La Commissione ha pubblicato una bozza di raccomandazione con clausole tipo non vincolanti per la condivisione dei dati e per i contratti cloud, utili come riferimento nelle trattative.
Cosa fare adesso
- Fai l’elenco dei prodotti connessi che usi o vendi e dei servizi cloud e SaaS a cui sei abbonato.
- Se vendi prodotti connessi, prepara le informazioni da dare prima del contratto: quali dati, come si accede, a chi chiedere.
- Rileggi i contratti cloud: preavviso, assistenza all’uscita, formati di esportazione, costi di cambio, con il 12 gennaio 2027 in agenda.
- Controlla le clausole sui dati nei contratti con fornitori più grandi e confrontale con le clausole tipo della Commissione.
- Per il software su misura, chiedi per iscritto esportazione dei dati in formati aperti e documentazione delle interfacce.
Quando sviluppiamo gestionali e integrazioni con Ecosystem, l’esportazione dei dati e le interfacce aperte sono tra le prime cose da definire. Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale.
Domande frequenti
Il Data Act riguarda solo i dati personali?
No. Riguarda i dati personali e non personali generati dall’uso di prodotti connessi e servizi correlati. Per i dati personali continua ad applicarsi pienamente il GDPR, che il Data Act affianca e completa.
Il cambio di gestionale in cloud rientra nel Data Act?
Sì, le regole sul cambio di fornitore coprono anche il software in abbonamento. Il preavviso massimo è di due mesi, la transizione di 30 giorni salvo eccezioni, e dal 12 gennaio 2027 il fornitore non potrà più addebitare costi per il cambio.
Cos’è un servizio correlato?
È un servizio digitale collegato a un prodotto connesso che ne influenza il funzionamento, come l’app che regola un elettrodomestico. Servono uno scambio di dati nei due sensi e un effetto sulle funzioni del prodotto; riparazione e manutenzione ordinaria non rientrano.
A chi mi rivolgo se un fornitore non rispetta il Data Act?
Ogni Stato membro designa almeno un’autorità competente e, se ne nomina più di una, un coordinatore dei dati che fa da punto di contatto unico. Per gli aspetti sui dati personali restano competenti le autorità per la protezione dei dati.
Fonti
- EUR-Lex, «Regolamento (UE) 2023/2854 riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo (Data Act)», 13 dicembre 2023
- Commissione europea, «Commission publishes Frequently Asked Questions about the Data Act», aggiornato il 3 marzo 2026
- Commissione europea, «Data Act: Frequently Asked Questions», versione 1.4, 22 gennaio 2026