EU Data Act: accesso ai dati dei prodotti connessi e cosa cambia il 12 settembre 2026

Il diritto europeo dei prodotti dà oggi due risposte del tutto diverse alla domanda «di chi sono i dati di un prodotto». Il passaporto digitale di prodotto risponde per i dati statici: materiale, origine, riparabilità, conformità — informazioni fissate dal fabbricante e consultabili attraverso un supporto dati da consumatori, autorità e riciclatori. Il Data Act risponde per i dati dinamici: ore di funzionamento, codici di errore, letture dei sensori, profili di consumo — tutto ciò che esiste solo quando qualcuno usa il prodotto. I due regimi riguardano lo stesso apparecchio, ma lo affrontano da lati opposti.

Il regolamento (UE) 2023/2854 si applica dal 12 settembre 2025. Il secondo passo decisivo arriva adesso: dal 12 settembre 2026 ogni prodotto connesso immesso per la prima volta sul mercato deve essere progettato in modo che i dati generati siano, per impostazione predefinita, facilmente, in modo sicuro e gratuitamente accessibili in modo diretto. Non è più un obbligo di rispondere a richieste, ma un requisito di progettazione: ricade sullo sviluppo prodotto, non sull’ufficio legale. Questo articolo spiega cosa vale da quella data, dove stanno i limiti e in quali punti il Data Act incontra il passaporto digitale di prodotto.

---

I punti chiave

• Il Data Act è il regolamento (UE) 2023/2854. È entrato in vigore l’11 gennaio 2024 e si applica direttamente in tutti gli Stati membri dal 12 settembre 2025, senza recepimento nazionale.
• Dal 12 settembre 2025 vale l’accesso su richiesta. L’utente può chiedere i dati di prodotto generati dal proprio uso (articolo 4) ed esigere che il titolare dei dati li trasmetta a un terzo (articolo 5), per esempio a un’officina indipendente.
• Dal 12 settembre 2026 si aggiunge l’«accesso fin dalla progettazione». L’articolo 3, paragrafo 1, riguarda prodotti connessi e servizi correlati immessi sul mercato dopo tale data: i dati devono essere direttamente accessibili per impostazione predefinita, ove pertinente e tecnicamente fattibile. Un portale con modulo di richiesta non basta più.
• I prodotti già sul mercato restano fuori dall’articolo 3, paragrafo 1. Rimangono sotto l’accesso su richiesta. La data si aggancia all’immissione sul mercato, non alla vendita al cliente finale.
• Il segreto commerciale non è un motivo generale di rifiuto. In linea di principio va divulgato se titolare dei dati e destinatario concordano misure tecniche e organizzative proporzionate. Il rifiuto è possibile solo in casi ristretti e va motivato.
• Microimprese e piccole imprese sono esentate. Ai sensi dell’articolo 7 il capo II non si applica a prodotti e servizi di imprese con meno di 50 dipendenti e fatturato o bilancio non superiore a 10 milioni di EUR, salvo che siano collegate a un’impresa maggiore o operino come produttore conto terzi.
• L’applicazione è nazionale. Ogni Stato membro designa le autorità competenti e fissa le sanzioni. In Germania la legge di attuazione (DA-DG) è in vigore dal 30 maggio 2026 e indica la Bundesnetzagentur come autorità di coordinamento.
• Il Data Act non sostituisce il passaporto digitale di prodotto. Disciplina dati d’uso e diritti di accesso; il DPP disciplina dati anagrafici e obblighi di pubblicazione. Rispettarli entrambi richiede un modello dati che li tenga distinti.

Cosa disciplina il Data Act — e cosa no

Il Data Act non è una norma sulla protezione dei dati. Non decide se i dati personali possano essere trattati: resta materia del GDPR, che si applica in parallelo e prevale in caso di conflitto. Il Data Act decide altro: chi può accedere ai dati che un prodotto genera con l’uso e a quali condizioni.

Il regolamento contiene quattro blocchi:

• Capo II — accesso ai dati del prodotto. Il nucleo per i fabbricanti di apparecchi connessi. L’utente ottiene accesso ai dati generati dal proprio uso e può cederli a terzi.
• Capi III e IV — condizioni eque. Quando i dati sono messi a disposizione in forza di un obbligo di legge, le condizioni devono essere eque, ragionevoli e non discriminatorie (FRAND). Le clausole inique imposte unilateralmente tra imprese non sono vincolanti.
• Capo V — accesso del settore pubblico. Le autorità possono richiedere dati in caso di necessità eccezionale, per esempio in emergenza.
• Capo VI — cambio di servizio cloud. I fornitori devono consentire il passaggio a un altro servizio. I corrispettivi di trasferimento sono in via di eliminazione e dal 12 gennaio 2027 non potranno più essere applicati.

Ciò che il regolamento non crea è un diritto di proprietà sui dati. Attribuisce diritti di accesso, non una posizione dominicale. E non consente all’utente di usare i dati per sviluppare un prodotto concorrente: il divieto è scritto espressamente nel testo.

Prodotto connesso, titolare dei dati, utente: i tre concetti da cui dipende tutto

Prodotto connesso è ogni bene che ottiene, genera o raccoglie dati sul proprio uso o sull’ambiente e può comunicarli tramite un servizio di comunicazione elettronica, una connessione fisica o un accesso a bordo dell’apparecchio. L’ambito è più ampio di quanto la maggior parte delle imprese immagini: veicoli, macchine agricole, linee di produzione, ascensori, pompe di calore, elettrodomestici, dispositivi medici, wearable — ed espressamente macchine che restituiscono i dati solo tramite una porta di servizio locale.

Sono esclusi i beni la cui funzione principale è memorizzare, elaborare o trasmettere dati per conto di terzi: server, router, telecamere come meri apparati di trasmissione. Decisivo è se la raccolta di dati sia un sottoprodotto della funzione reale o la funzione stessa.

Titolare dei dati è chi, per contratto o per legge, ha il diritto o la possibilità concreta di utilizzarli: di norma il fabbricante, talvolta il gestore della piattaforma cloud. Utente è chi possiede, noleggia o prende in leasing il prodotto. Nei beni strumentali spesso non è né il fabbricante né un consumatore, ma un’impresa intermedia. Chi non sa assegnare questi tre ruoli sulla propria gamma non è in grado di adempiere.

Due regimi di dati, un prodotto: Data Act e DPP a confronto

	Data Act (2023/2854)	Passaporto digitale di prodotto (ESPR)
Tipo di dati	Dati d’uso: sensori, ore di funzionamento, codici di errore	Dati anagrafici: materiale, origine, riparabilità, conformità
Origine	In continuo, durante l’esercizio	Prima dell’immissione sul mercato, statici fino all’aggiornamento
Legittimati	L’utente e i terzi da lui designati	Consumatori, autorità, riciclatori, distributori, per livello di accesso
Via di accesso	Sull’apparecchio o tramite interfaccia	Supporto dati sul prodotto (codice QR, GS1 Digital Link)
Innesco	Una richiesta di accesso o l’obbligo di progettazione	Un atto delegato per il gruppo di prodotti
Tempistica	Dal 12.09.2025; accesso by design dal 12.09.2026	Gruppo per gruppo dal 2027 (prima i tessili)
Pubblico?	No, bilaterale tra legittimati	In parte sì, con accesso pubblico scaglionato

La conclusione pratica: entrambi i regimi hanno bisogno della stessa base — un’identità di prodotto univoca e un modello dati mantenuto — ma rispondono a domande diverse. Mescolarli in un unico catalogo di campi produce un insieme che non serve né all’utente né alla vigilanza del mercato.

Cosa vale dal 12 settembre 2025

Accesso su richiesta (articolo 4)

L’utente può chiedere i dati del prodotto e del servizio correlato prontamente disponibili: senza indebito ritardo, nella stessa qualità e nello stesso formato in cui li detiene il titolare, gratuitamente e, ove tecnicamente fattibile, in continuo e in tempo reale. «Prontamente disponibili» significa dati grezzi e pre-elaborati che il titolare può ottenere senza sforzo sproporzionato. I risultati analitici che incorporano il suo know-how restano fuori.

Trasmissione a un terzo (articolo 5)

Su richiesta dell’utente il titolare deve trasmettere i dati a un terzo designato. È la disposizione con il maggiore effetto di mercato: apre a officine indipendenti, imprese di manutenzione e fornitori di analytics un canale finora controllato dal fabbricante. In questo senso il Data Act completa il diritto alla riparazione sul lato dei dati. I gatekeeper ai sensi del regolamento sui mercati digitali sono esclusi come destinatari.

Condizioni eque e FRAND (capi III e IV)

Quando un’impresa mette a disposizione dati in forza di un obbligo di legge, le condizioni devono essere eque, ragionevoli e non discriminatorie. Verso i consumatori e verso microimprese e piccole imprese non si può chiedere un corrispettivo superiore ai costi di messa a disposizione. Le clausole di accesso ai dati imposte unilateralmente e non ragionevoli non vincolano tra imprese.

Cambio di fornitore cloud (capo VI)

I fornitori di servizi di trattamento dati devono consentire il passaggio a un altro fornitore o a infrastruttura propria, entro termini contrattuali e senza ostacoli tecnici. I corrispettivi di trasferimento vengono eliminati per fasi e dal 12 gennaio 2027 non potranno più essere addebitati. Per i fabbricanti conta perché la telemetria dei loro apparecchi risiede di solito presso un grande fornitore cloud.

Cosa cambia il 12 settembre 2026: accesso fin dalla progettazione

L’articolo 3, paragrafo 1, impone che i prodotti connessi e i servizi correlati siano progettati e forniti in modo che i dati del prodotto e del servizio siano, per impostazione predefinita, facilmente, in modo sicuro e gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e — ove pertinente e tecnicamente fattibile — direttamente accessibili all’utente.

Il cambiamento rispetto alla situazione attuale è sostanziale:

• Finora: l’utente chiede, il fabbricante fornisce. Basta un portale di assistenza con modulo e tempi di lavorazione.
• Dal 12.09.2026: l’accesso deve essere incorporato nel prodotto. Nessuna domanda, nessuno sblocco, nessun software del fabbricante come unica strada.

La data si aggancia all’immissione sul mercato. I prodotti messi a disposizione per la prima volta sul mercato dell’Unione prima di allora restano sotto il regime precedente, anche se continuano a essere venduti dopo. Per la pianificazione significa che ogni serie il cui avvio di produzione cade dopo il 12 settembre 2026 deve nascere con l’interfaccia. Il retrofit su apparecchi con cicli di sviluppo lunghi è raramente economico, per cui la decisione di fatto si prende già nei progetti di ingegneria in corso.

La riserva «ove pertinente e tecnicamente fattibile» non è una scappatoia. Consente gradazioni su apparecchi senza display e senza connessione permanente, ma richiede una motivazione documentata. Chi la invoca dovrebbe mettere per iscritto la valutazione: in un contenzioso è l’unica prova.

Quali dati rientrano — e dove passa il confine

Rientrano i dati grezzi e pre-elaborati che il prodotto genera o raccoglie durante l’uso: ore di esercizio, temperature, livelli di riempimento, numero di cicli, codici di errore e diagnostici, dati di localizzazione, valori di consumo.

Non rientrano:

• Dati derivati o inferiti in cui sono confluiti algoritmi, modelli o valutazioni proprie. Il valore grezzo di un sensore di vibrazione va consegnato; l’indice di vita residua calcolato a partire da esso no.
• Dati non prontamente disponibili, cioè ottenibili solo con sforzo sproporzionato.
• Contenuti non correlati all’uso del prodotto.

Sul segreto commerciale l’aspettativa diffusa è sbagliata. Non è una causa di esclusione: le informazioni protette vanno in linea di principio divulgate purché titolare e destinatario concordino prima misure tecniche e organizzative proporzionate — accordi di riservatezza, restrizioni di accesso, incapsulamento tecnico. Il rifiuto è eccezionale, va motivato e comunicato all’autorità competente. Un’impresa priva di una classificazione dei campi che contengono segreti commerciali non può realisticamente avvalersi di quell’eccezione.

Obblighi informativi precontrattuali

L’articolo 3, paragrafi 2 e 3, anticipa parte dell’obbligo. Prima che l’utente acquisti, noleggi o prenda in leasing un prodotto connesso o sottoscriva un servizio correlato, deve essere informato in linguaggio chiaro e comprensibile su:

• tipo, formato e volume stimato dei dati che il prodotto genererà presumibilmente,
• se i dati sono generati in continuo e in tempo reale,
• come sono conservati e per quanto tempo,
• come l’utente vi accede e può chiederne la cancellazione,
• chi è il titolare dei dati, con identità e recapiti,
• se il titolare intende usarli in proprio e se li condivide con terzi.

Queste informazioni appartengono alla comunicazione precontrattuale, non a una nota nelle condizioni generali, e devono coincidere con ciò che l’apparecchio fa davvero. In pratica finiscono in una scheda dati dedicata, tenuta accanto alle istruzioni per l’uso digitali.

Chi è esentato: microimprese e piccole imprese

L’articolo 7 esclude l’applicazione del capo II a prodotti e servizi correlati fabbricati o prestati da microimprese e piccole imprese ai sensi della raccomandazione 2003/361/CE: meno di 50 dipendenti e fatturato annuo o totale di bilancio annuo non superiore a 10 milioni di EUR.

L’esenzione decade in due casi:

• L’impresa ha un’impresa associata o collegata che non è micro né piccola. Una controllata di un gruppo maggiore non può invocare il proprio organico.
• L’impresa opera come produttore conto terzi o subfornitore di progettazione. Fabbricare su incarico di un produttore maggiore fa rientrare l’obbligo.

Le medie imprese non sono esentate. L’idea diffusa che «le PMI sono fuori» vale solo per la metà inferiore della definizione di PMI.

Applicazione nazionale: la Germania come esempio

Il Data Act si applica direttamente, ma l’applicazione spetta agli Stati membri. Ciascuno designa le autorità competenti e fissa le sanzioni; il regolamento richiede solo che siano effettive, proporzionate e dissuasive. Quando sono coinvolti dati personali, le autorità di protezione dei dati possono applicare il massimale del GDPR: fino a 20 milioni di EUR o il 4 per cento del fatturato mondiale annuo.

In Germania la Data Act Durchführungsgesetz (DA-DG), in vigore dal 30 maggio 2026, ripartisce le competenze, e la Bundesnetzagentur funge da autorità di coordinamento e punto di reclamo. Le imprese che vendono in più Stati membri dovrebbero chiarire presto quale autorità sia per loro capofila: le regole di competenza differiscono e non esiste uno sportello unico come nel GDPR.

Cosa cambierebbe il Digital Omnibus — e cosa non vale ancora

La Commissione ha proposto modifiche al Data Act nel pacchetto Digital Omnibus. Due punti interessano i fabbricanti:

• Maggiore tutela del segreto commerciale. I titolari potrebbero rifiutare più facilmente le richieste quando la divulgazione esporrebbe conoscenze protette a destinatari collegati a paesi terzi privi di tutela adeguata.
• Accesso pubblico più stretto. L’ampia «necessità eccezionale» del capo V sarebbe sostituita da un regime più circoscritto, legato essenzialmente a vere emergenze.

Il punto decisivo per la pianificazione: la proposta non tocca le regole centrali sull’accesso ai dati e non è stata adottata. La data del 12 settembre 2026 resta. Rinviare l’obbligo di progettazione in attesa di un alleggerimento significa rinviarlo contro il diritto vigente.

Dove Data Act e passaporto digitale di prodotto convergono

Quattro punti di incontro concreti:

1. Identità del prodotto. Entrambi presuppongono che l’apparecchio sia identificabile in modo univoco. Chi introduce il GS1 Digital Link per il DPP dispone della stessa chiave per associare la telemetria.
2. Riparazione e ricambi. Il DPP fornisce l’istruzione di riparazione e il codice del pezzo; il Data Act il codice di errore dall’apparecchio. Solo insieme compongono un processo di assistenza utilizzabile.
3. Livelli di accesso. Il DPP prevede diritti scaglionati per consumatori, autorità e riciclatori. Il Data Act richiede una gestione dei diritti analoga per l’utente e i terzi designati. Costruirli separatamente significa gestire due sistemi di permessi per le stesse persone.
4. La qualità del dato come collo di bottiglia. La causa più frequente dell’arenarsi di entrambi i progetti è la stessa: dati di prodotto sparsi tra ERP, PIM, CAD e sistemi di assistenza. Perché la base dati venga prima dell’interfaccia è spiegato in DPP e PIM.

Sei passi per prepararsi

1. Costruire l’inventario dei prodotti

Elencare tutte le serie che ottengono o trasmettono dati, comprese quelle leggibili solo da una porta di servizio locale. Segnare per ciascuna la data prevista o effettiva di immissione sul mercato. Tutto ciò che è successivo al 12 settembre 2026 ricade nell’articolo 3, paragrafo 1.

2. Assegnare i ruoli

Stabilire per ogni serie chi è titolare dei dati e chi utente. Nei modelli di leasing, noleggio e gestione non è banale ed è spesso regolato in contratto diversamente da quanto presuppone il regolamento.

3. Classificare i campi dati

Separare dati grezzi e pre-elaborati dai risultati derivati e contrassegnare i campi con segreti commerciali. Senza questa classificazione non si può né consegnare con sicurezza né rifiutare con motivazione.

4. Specificare l’interfaccia

Definire la via di accesso diretto: interfaccia dell’apparecchio, API locale, funzione di esportazione aperta. Formato strutturato, di uso comune e leggibile da dispositivo automatico. Documentare dove l’accesso diretto non è tecnicamente fattibile e perché.

5. Redigere le informazioni precontrattuali

Una scheda dati per famiglia di prodotto con i punti dell’articolo 3, paragrafi 2 e 3, concordata con vendite e marketing perché arrivi davvero al cliente prima della firma.

6. Aggiornare i contratti

Rivedere contratti di fornitura, assistenza e cloud alla ricerca di clausole che limitino l’accesso ai dati o impongano corrispettivi non ragionevoli. Tali clausole non vincolano tra imprese e creano rischio di responsabilità se restano in uso.

Cinque errori che costano

• Trattare il Data Act come un tema IT. L’articolo 3, paragrafo 1, è un requisito di progettazione. Appartiene allo sviluppo prodotto e al capitolato, non a un registro di conformità.
• Riferire la data limite alla vendita. Conta l’immissione sul mercato, non la consegna al cliente finale.
• Invocare il segreto commerciale in blocco. Senza classificazione per campi e senza offerta di misure di tutela l’argomento non regge.
• Contare sull’esenzione per le PMI. Copre solo micro e piccole imprese e decade con l’appartenenza a un gruppo o la produzione conto terzi.
• Fondere DPP e Data Act in un unico modello dati. Dati statici di conformità e dati vivi d’uso hanno cicli di aggiornamento, destinatari e regole di conservazione diversi.

Domande frequenti

Il Data Act si applica a macchine senza connessione a internet?

Sì, se raccolgono dati e possono comunicarli tramite una connessione fisica o un accesso a bordo. Una macchina utensile i cui dati di esercizio si leggono solo da una porta di servizio locale è un prodotto connesso ai sensi del regolamento. Il quadro normativo più ampio nel settore macchine è descritto nel regolamento macchine (UE) 2023/1230.

Devo adeguare i prodotti già sul mercato?

No. L’articolo 3, paragrafo 1, riguarda solo i prodotti connessi immessi sul mercato dopo il 12 settembre 2026. Gli apparecchi precedenti restano soggetti all’accesso su richiesta dell’articolo 4, che vale dal 12 settembre 2025 e va comunque rispettato.

Posso far pagare l’accesso ai dati?

All’utente no. Verso un terzo da lui designato un corrispettivo è possibile, ma deve essere non discriminatorio e ragionevole; verso microimprese e piccole imprese non può superare i costi di messa a disposizione.

In cosa differisce il Data Act dal GDPR?

Il GDPR disciplina il trattamento dei dati personali e i diritti degli interessati. Il Data Act disciplina l’accesso ai dati derivanti dall’uso del prodotto, personali o meno. Se lo sono, il GDPR si applica in aggiunta e prevale in caso di conflitto.

Serve un passaporto digitale di prodotto per rispettare il Data Act?

No: sono obblighi distinti con calendari distinti. In pratica entrambi poggiano sulla stessa base di identificazione univoca e dati di prodotto mantenuti, per cui conviene attuarli insieme. Il punto di partenza è nella checklist di implementazione del DPP.

Quali sanzioni sono previste?

Le fissano gli Stati membri. Devono essere effettive, proporzionate e dissuasive; se sono coinvolti dati personali, le autorità di protezione dei dati possono applicare la forbice del GDPR fino a 20 milioni di EUR o al 4 per cento del fatturato mondiale annuo. In Germania l’autorità di coordinamento è la Bundesnetzagentur.

myDPP può assolvere per me gli obblighi del Data Act?

myDPP gestisce i dati anagrafici di prodotto e il passaporto digitale, cioè il lato statico. La telemetria dell’apparecchio resta nei vostri sistemi operativi. Il contributo di myDPP è l’identità di prodotto univoca e il modello dati che consente di riferire entrambi i mondi allo stesso articolo; come si collega all’ERP è descritto nella guida all’integrazione con l’ERP.

Continua a leggere

• Passaporto digitale del prodotto in 15 minuti
• Regolamento ESPR: requisiti di ecodesign
• Regolamento macchine (UE) 2023/1230 e il DPP
• Cyber Resilience Act: cybersicurezza e DPP
• Diritto alla riparazione nell’UE
• Istruzioni per l’uso digitali: requisiti
• DPP e PIM: perché i dati di prodotto sono il fondamento
• Integrazione del DPP con i sistemi ERP
• Passaporto della batteria: requisiti UE e tempistiche
• Come implementare il DPP: checklist

Fonti

• Regolamento (UE) 2023/2854 su norme armonizzate per un accesso equo ai dati e il loro utilizzo (regolamento sui dati)
• Regolamento (UE) 2024/1781 che istituisce un quadro per la fissazione di requisiti di progettazione ecocompatibile (ESPR)
• Raccomandazione 2003/361/CE relativa alla definizione delle microimprese, piccole e medie imprese
• Commissione europea — Data Act
• Bundesnetzagentur — accesso e uso dei dati (Data Act)