Data Act: dopo il 12 settembre 2026, l’accesso ai dati diventa requisito di progettazione

Dal 12 settembre 2026 il Data Act ha raggiunto una nuova soglia applicativa. Il Regolamento (UE) 2023/2854 si applica, nel suo impianto generale, già dal 12 settembre 2025; l’art. 50 ha però differito di un anno l’operatività dell’obbligo previsto dall’art. 3, par. 1, per i prodotti connessi e i servizi correlati immessi sul mercato dopo il 12 settembre 2026. Restano ferme le esclusioni e le disposizioni transitorie previste dall’art. 7. La disposizione interessa direttamente il modo in cui questi prodotti e servizi vengono progettati. I dati del prodotto, quelli del servizio correlato e i metadati necessari a interpretarli e utilizzarli devono essere, per impostazione predefinita, facilmente e sicuramente accessibili all’utente, gratuitamente, in formato completo, strutturato, di uso comune e leggibile da macchina. L’accesso deve essere diretto quando ciò sia pertinente e tecnicamente possibile. È soprattutto quest’ultimo elemento a meritare attenzione. Non perché il Data Act inauguri, dal 12 settembre 2026, un generale diritto dell’utente sui dati generati dagli oggetti connessi: la disciplina dell’accesso era già parte essenziale del Regolamento. Ciò che cambia è il momento nel quale il problema giuridico deve essere affrontato. L’accessibilità del dato entra ora fra i vincoli che accompagnano la costruzione del prodotto. La formula data access by design non compare nel testo normativo e sarebbe improprio presentarla come una nuova categoria legislativa. Può tuttavia descrivere efficacemente questa anticipazione della tutela: il diritto di accesso non opera soltanto a valle, quando l’utente chiede il dato, ma condiziona alcune delle decisioni tecniche assunte prima che il prodotto venga immesso sul mercato.

Sommario: 1. Quando una scelta tecnica condiziona l’esercizio di un diritto. – 2. Accessibilità non significa apertura indiscriminate. – 3. Se il dato è personale, l’utente può non essere l’interessato. – 4. Data Act e cybersecurity: due esigenze che arrivano nello stesso Progetto. – 5. La conformità si sposta a monte.

1. Quando una scelta tecnica condiziona l’esercizio di un diritto

Il considerando 20 del Data Act parte da un dato molto concreto. Il controllo esercitato dal fabbricante sulla progettazione consente spesso di determinare quali dati siano generati dal prodotto e, soprattutto, in quale modo possano essere raggiunti dall’utente. La disponibilità giuridica del dato rischia così di dipendere da una decisione architetturale assunta da chi progetta il sistema.

L’art. 3, par. 1, interviene proprio su questo punto. Se il dato deve risultare accessibile «per impostazione predefinita», alcune scelte che potrebbero sembrare esclusivamente tecniche acquistano una rilevanza giuridica: dove il dato viene conservato, attraverso quale interfaccia può essere recuperato, in quale formato viene esportato, quali procedure di autenticazione consentono l’accesso.

L’art. 4, par. 1, conferma che il modello non è rigidamente costruito attorno all’accesso diretto. Quando l’utente non possa ottenere i dati direttamente dal prodotto o dal servizio correlato, il titolare dei dati deve rendere accessibili quelli «prontamente disponibili», insieme ai metadati necessari, senza indebito ritardo, sulla base di una richiesta semplice e, quando tecnicamente possibile, mediante strumenti elettronici.

Ne emerge un sistema più articolato di quanto possa suggerire la sola espressione access by design. La progettazione deve favorire l’accessibilità, ma il legislatore non impone un’unica architettura tecnica e neppure stabilisce che ogni dato generato da un dispositivo debba necessariamente essere conservato per poter essere successivamente estratto. Il considerando 15 distingue inoltre i dati grezzi e pretrattati dalle informazioni ulteriormente dedotte o ricavate, escluse dall’obbligo di messa a disposizione salvo diverso accordo.

Il considerando 20 lo chiarisce espressamente: la disciplina non impone di memorizzare nell’unità di calcolo centrale dati che il prodotto non prevede di archiviare o trasmettere al di fuori del componente in cui sono generati, né di trattare dati personali ulteriori rispetto a quelli necessari secondo il principio di minimizzazione del GDPR.

È una precisazione importante. Altrimenti l’obbligo di rendere il dato accessibile rischierebbe, paradossalmente, di incentivare la produzione o la conservazione di informazioni che non vi sarebbe ragione di trattare.

2. Accessibilità non significa apertura indiscriminata

Il dato accessibile resta inserito in una trama di altri interessi giuridicamente protetti. Il Data Act non risolve questa compresenza stabilendo una prevalenza generalizzata dell’accesso.

Un primo limite emerge sul terreno della sicurezza. L’art. 4, par. 2, consente all’utente e al titolare dei dati di limitare o vietare contrattualmente l’accesso, l’uso o l’ulteriore condivisione quando tali attività possano compromettere requisiti di sicurezza del prodotto stabiliti dal diritto dell’Unione o nazionale e determinare gravi conseguenze negative per la salute, l’incolumità o la sicurezza delle persone fisiche. Non basta, quindi, invocare genericamente la cybersecurity per sottrarsi all’obbligo: la restrizione è collegata a condizioni precise e, quando il titolare dei dati rifiuta la condivisione, deve comunicarlo all’autorità competente.

Una tensione analoga riguarda i segreti commerciali. Il Regolamento prevede misure tecniche e organizzative per proteggerne la riservatezza. La condivisione può essere bloccata o sospesa quando manca un accordo su tali misure, quando non vengono rispettate o quando la riservatezza è compromessa; soltanto in circostanze eccezionali può essere rifiutata rispetto a specifici dati. Quest’ultima possibilità richiede che il titolare dei dati, quando è anche detentore del segreto commerciale, dimostri, sulla base di elementi oggettivi, l’elevata probabilità di subire un grave danno economico nonostante le misure di protezione adottate.

Il problema progettuale cambia così fisionomia. Non si tratta di costruire il sistema tecnicamente più aperto possibile, bensì di rendere l’accesso effettivo senza neutralizzare le altre tutele che l’ordinamento continua a riconoscere.

3. Se il dato è personale, l’utente può non essere l’interessato

Il rapporto con il GDPR rende ancora più evidente la necessità di evitare letture automatiche.

I dati prodotti dall’uso di un oggetto connesso possono riferirsi all’utente, ma anche ad altre persone. Una vettura utilizzata da più conducenti, un dispositivo domestico condiviso o un sistema che registra informazioni relative a soggetti diversi da chi ha acquistato il prodotto mostrano immediatamente il problema.

Il Data Act non sostituisce la disciplina della protezione dei dati personali e non crea, da solo, una base giuridica per trattare dati riferiti a un altro interessato. Quando l’utente non coincide con l’interessato, l’art. 4, par. 12, richiede una valida base giuridica ai sensi dell’art. 6 GDPR e, quando pertinente, il rispetto delle condizioni dell’art. 9 e della disciplina ePrivacy. La medesima logica opera, ai sensi dell’art. 5, par. 7, quando i dati vengono messi a disposizione di un terzo scelto dall’utente.

Qui l’architettura di accesso deve compiere un lavoro meno visibile ma essenziale. Autenticare chi formula la richiesta, distinguere i dati ai quali può legittimamente accedere, evitare che l’esercizio del diritto di un soggetto comporti la divulgazione indebita di informazioni relative ad altri.

Non è difficile vedere come un accesso tecnicamente semplice possa essere giuridicamente mal progettato. La disponibilità immediata del dato, considerata isolatamente, non costituisce quindi una misura sufficiente della conformità.

4. Data Act e cybersecurity: due esigenze che arrivano nello stesso progetto

La data del 12 settembre 2026 presenta anche una coincidenza interessante. Dal giorno precedente, 11 settembre 2026, è applicabile l’art. 14 del Regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA), relativo agli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi. Il CRA sarà applicabile nel suo complesso dall’11 dicembre 2027; il legislatore ha anticipato, tra l’altro, proprio il regime di reporting.

Il Laboratorio ha già esaminato questo passaggio nell’articolo Segnalare senza esporre. Il Cyber Resilience Act e la nuova governance europea delle vulnerabilità, pubblicato l’11 settembre 2026.

La vicinanza temporale non deve essere caricata di un significato che i due regolamenti non le attribuiscono. Data Act e CRA hanno oggetto, presupposti e ambiti applicativi differenti. Quando però le due discipline interessano il medesimo prodotto, finiscono inevitabilmente per incidere su alcune delle stesse decisioni progettuali, pur con tempi di applicazione diversi.

Un’interfaccia che consente di estrarre dati, un’API, un sistema di autenticazione o un meccanismo di accesso remoto possono realizzare l’obiettivo di rendere il dato effettivamente utilizzabile dall’utente; possono anche aumentare, se progettati male, la superficie di attacco del prodotto. La sicurezza non interviene allora come limite esterno da applicare dopo avere soddisfatto il Data Act. Fa parte del problema progettuale sin dall’inizio.

È forse questo il punto nel quale la nuova soglia applicativa mostra meglio la propria rilevanza per l’informatica giuridica. Norme diverse, portatrici di interessi diversi, convergono su un medesimo oggetto tecnico. La soluzione concreta non può essere ricavata integralmente né dal testo normativo né dalla sola competenza ingegneristica.

5. La conformità si sposta a monte

L’art. 3, par. 1, non consegna ai fabbricanti e ai fornitori di servizi correlati un progetto tecnico già definito dal legislatore. Rimangono spazi di valutazione: quali dati siano effettivamente interessati, quando l’accesso diretto sia pertinente e tecnicamente possibile, quali modalità garantiscano la sicurezza, come debbano essere protetti dati personali e segreti commerciali.

Ciò che cambia dal 12 settembre 2026 è il momento nel quale tali questioni devono essere affrontate.

Una parte della conformità al Data Act precede ormai l’immissione del prodotto sul mercato. Questo spostamento a monte rende particolarmente evidente un fenomeno che attraversa una parte crescente della regolazione digitale europea: alcune garanzie giuridiche possono essere effettive soltanto se trovano una corrispondenza nell’architettura tecnica.

In questo senso — e soltanto in questo senso — parlare di data access by design appare utile. Non perché il Data Act abbia introdotto una nuova formula destinata ad affiancare il data protection by design del GDPR, ma perché la disciplina mostra quanto il confine tra configurazione tecnica e conformità giuridica sia diventato difficile da tracciare.

Il diritto di accedere a un dato può essere riconosciuto dalla norma. La possibilità di esercitarlo, però, dipende anche da ciò che è stato deciso molto prima della richiesta dell’utente: quando quel prodotto era ancora un progetto.

Fonti e riferimenti essenziali

• Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (Data Act), in particolare artt. 2, 3, 4, 5, 7 e 50 e considerando 15, 20, 31 e 34.
• Commissione europea, Frequently Asked Questions about the Data Act, versione 1.4, 22 gennaio 2026.
• Regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica i regolamenti (UE) n. 168/2013 e (UE) 2019/1020 e la direttiva (UE) 2020/1828 (Cyber Resilience Act), in particolare artt. 14 e 71.
• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE (GDPR), in particolare artt. 5, 6, 9 e 25.
• Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, in particolare art. 5, par. 3.
• M. Farina, Segnalare senza esporre. Il Cyber Resilience Act e la nuova governance europea delle vulnerabilità, ICT4Law&Forensics, 11 settembre 2026.

Di Massimo Farina
 Professore Associato di Informatica Giuridica presso il Dipartimento di Ingegneria Elettrica e Elettronica (DIEE) dell’Università di Cagliari. Responsabile della protezione dei dati personali (RPD), ai sensi dell’articolo 37 del Regolamento UE 2016/679, dell’Ateneo Cagliaritano e Coordinatore del “ICT4Law&Forensics Lab”. Abilitato alle funzioni di Professore di prima fascia per il settore concorsuale 12 H3 (Filosofia del diritto – GIUR-17/A ). Avvocato del Foro di Cagliari abilitato al patrocinio davanti alle Giurisdizioni Superiori.