Il Regolamento UE 2023/2854 (Data Act) diventa pienamente applicabile il 12 settembre 2025 e impone obblighi diretti a produttori di dispositivi connessi, fornitori di servizi cloud e imprese che trattano dati generati dagli utenti. Uno studio legale deve già oggi verificare contratti e clausole di accesso ai dati dei propri clienti impresa, perché alcune disposizioni — come quelle sulle clausole abusive nei contratti B2B — si applicano anche ai rapporti in corso. Chi assiste PMI o startup nel settore IoT, manifatturiero o SaaS ha un perimetro di adeguamento concreto da mappare subito.
Punti chiave
- Punto 1 — Il Data Act si applica dal 12 settembre 2025 a prodotti connessi e servizi correlati venduti nell’UE.
- Punto 2 — Le clausole contrattuali che limitano l’accesso ai dati generati dall’utente possono essere dichiarate abusive.
- Punto 3 — Gli enti pubblici possono richiedere accesso ai dati privati in situazioni di emergenza, con limiti normativi precisi.
Dal 12 settembre 2025, chi assiste imprese che producono o distribuiscono prodotti connessi — macchinari industriali, dispositivi IoT, veicoli, elettrodomestici smart — deve conoscere il perimetro di obblighi che il Regolamento UE 2023/2854 scarica su quei clienti. Contratti di fornitura, accordi di licenza dati e termini di servizio cloud vanno riletti con questa lente prima che arrivi l’autorità di controllo.
La Commissione europea ha adottato il Regolamento (UE) 2023/2854, noto come Data Act, pubblicato in Gazzetta Ufficiale UE il 22 dicembre 2023 ed entrato in vigore il 11 gennaio 2024. Il testo costruisce un quadro orizzontale sull’accesso e il riutilizzo dei dati prodotti da oggetti connessi e servizi digitali correlati, coprendo utenti, imprese, enti pubblici, provider cloud e profili di interoperabilità.
Il contesto normativo
Il Data Act si affianca al GDPR (Reg. UE 2016/679) senza sovrapporsi: il GDPR governa i dati personali, il Data Act governa i dati industriali e non personali generati dall’uso di prodotti connessi. L’art. 4 del Reg. 2023/2854 obbliga il titolare del prodotto a garantire all’utente accesso diretto, gratuito e in tempo reale ai dati generati durante l’uso. L’art. 8 disciplina la condivisione dei dati con terzi su richiesta dell’utente, imponendo condizioni eque, ragionevoli e non discriminatorie (FRAND). Sul fronte delle clausole abusive, l’art. 13 stabilisce che nei contratti B2B le clausole che escludono o limitano unilateralmente la responsabilità per inadempimento, o che attribuiscono a una parte il diritto esclusivo di determinare la conformità del contratto, si considerano abusive e prive di effetto — richiamo diretto all’art. 1341 c.c. per il diritto interno, con uno standard UE autonomo e più stringente.
Cosa cambia per lo studio
- Revisione contrattuale urgente: ogni contratto di fornitura di prodotti IoT o SaaS stipulato con clienti impresa va verificato per clausole che limitino l’accesso ai dati generati — quelle in contrasto con gli artt. 4 e 13 del Regolamento sono nulle di diritto dal 12 settembre 2025.
- Mappatura dei flussi dati: lo studio che assiste produttori di dispositivi connessi deve aiutare il cliente a identificare quali dati genera il prodotto, chi vi accede oggi e con quale base contrattuale — la lacuna documentale è il primo rischio in caso di audit.
- Clausole di portabilità e switch cloud: gli artt. 23-31 impongono obblighi specifici ai provider di servizi cloud sull’interoperabilità e sulla portabilità dei dati. I contratti cloud dei clienti impresa vanno adeguati per includere diritti espliciti di exit e trasferimento.
- Accesso pubblico ai dati privati: gli artt. 14-22 consentono agli enti pubblici di richiedere dati a imprese private in situazioni di emergenza o interesse generale. Lo studio deve presidiare le richieste ricevute dai clienti e verificare che rispettino i limiti di proporzionalità previsti dal Regolamento.
- Segreti commerciali: l’art. 4, par. 6 e l’art. 5 prevedono una tutela specifica dei trade secrets — il titolare del prodotto può rifiutare la condivisione di dati che costituiscano segreti commerciali, purché dimostri e documenti il pregiudizio concreto. La prova va costruita preventivamente, non dopo la richiesta.
Attenzione a
Il rischio principale è trattare il Data Act come una scadenza lontana. Le clausole abusive nei contratti B2B già in vigore alla data del 12 settembre 2025 restano efficaci fino alla prima rinegoziazione, ma la parte svantaggiata può già invocare la nullità dalla data di applicazione. Chi ha contratti pluriennali con clienti che forniscono prodotti connessi deve intervenire ora, non aspettare il rinnovo.
Secondo rischio: confondere il diritto di accesso ai dati del Data Act con il diritto alla portabilità del GDPR (art. 20 Reg. 2016/679). Sono diritti distinti, con presupposti diversi. Il Data Act copre dati non personali o misti, e il suo meccanismo non richiede il consenso dell’interessato come base giuridica — l’obbligo nasce direttamente dal Regolamento. Sovrapporre i due regimi in consulenza espone a errori di inquadramento difficili da correggere in fase contenziosa.
Domande frequenti
Dal quando si applica il Data Act alle imprese italiane?
Il Regolamento UE 2023/2854 è applicabile dal 12 settembre 2025 in tutti gli Stati membri, Italia inclusa, senza necessità di recepimento nazionale. Le imprese che producono o distribuiscono prodotti connessi nell’UE rientrano nel perimetro a partire da quella data, indipendentemente dalla loro sede.
Quali clausole contrattuali diventano nulle con il Data Act?
L’art. 13 del Reg. 2023/2854 considera abusive, nei contratti B2B, le clausole che escludono o limitano unilateralmente la responsabilità per inadempimento degli obblighi di accesso ai dati, o che attribuiscono a una sola parte il potere esclusivo di valutare la conformità contrattuale. Queste clausole sono prive di effetto dalla data di applicazione del Regolamento.
Il Data Act si applica anche ai dati personali o solo a quelli industriali?
Il Data Act si applica ai dati generati da prodotti connessi e servizi correlati, inclusi i dati misti (personali e non personali). Dove i dati sono personali, il GDPR continua ad applicarsi in parallelo. I due regolamenti non si escludono: il Data Act non deroga al GDPR, ma aggiunge obblighi specifici sull’accesso e la condivisione dei dati industriali.
Fonte di riferimento: AgendaDigitale