L'11 gennaio 2024 è entrato in vigore il Regolamento (UE) 2023/2854 sulla protezione dei dati, venti giorni dopo la sua pubblicazione nella Gazzetta ufficiale dell'Unione europea. Il Regolamento si applica a partire dal 12 settembre 2025. Tale normativa impone nuovi obblighi fondamentali ai produttori di prodotti connessi e ai fornitori di servizi correlati, interessando un'ampia gamma di settori: dalla produzione e dall'energia alla sanità e all'industria automobilistica. Chiunque generi, elabori o utilizzi dati in un contesto aziendale farebbe bene a esaminare tempestivamente la portata di questa normativa.
Che cosa disciplina la legge sulla protezione dei dati?
Il Regolamento sulla protezione dei dati (Data Act) rientra nella strategia europea in materia di dati, che mira a rafforzare la posizione competitiva dell'Europa nell'economia dei dati. Il Regolamento stabilisce le norme relative all'accesso ai dati generati dall'utilizzo di prodotti o servizi e alle condizioni in cui tali dati devono essere condivisi. Non si tratta di un diritto generale a tutti i dati, bensì di un quadro normativo articolato in sei aree specifiche: accesso degli utenti ai dati relativi a prodotti e servizi, condivisione B2B a condizioni eque, accesso pubblico in casi di necessità eccezionale, passaggio tra diversi fornitori di servizi di elaborazione dati, protezione contro l'accesso di governi internazionali ai dati non personali e interoperabilità.
Obblighi per le imprese: progettazione del prodotto
I prodotti connessi devono essere progettati e fabbricati in modo tale che i dati generati siano, di default, facilmente, in modo sicuro, gratuitamente e in un formato leggibile da una macchina, direttamente accessibili all'utente. Gli utenti di prodotti connessi – si pensi ai dispositivi per la casa intelligente, ai macchinari industriali o ai veicoli – acquisiscono così il diritto di accedere ai dati generati dal loro utilizzo di tali prodotti. I produttori e i fornitori di servizi non possono più conservare tali dati in via esclusiva.
È importante sottolineare che tale obbligo entrerà in vigore gradualmente. Sebbene la legge sulla protezione dei dati nel suo complesso sia applicabile a partire dal 12 settembre 2025, l'obbligo di progettazione e fabbricazione per i prodotti connessi si applicherà solo ai prodotti immessi sul mercato dopo il 12 settembre 2026. I prodotti già esistenti non sono quindi ancora interessati.
Condizioni eque per la condivisione dei dati B2B
Il regolamento contiene norme specifiche su termini contrattuali nei contratti di dati B2BUna clausola imposta unilateralmente da un'impresa a un'altra non vincola quest'ultima se è iniqua. Una clausola si considera imposta unilateralmente quando, nonostante un tentativo di negoziazione, l'altra parte non è stata in grado di influenzarne il contenuto. L'onere della prova in tal senso ricade sulla parte che ha inserito la clausola.
Una clausola è vessatoria se il suo utilizzo si discosta in modo significativo dalle buone prassi commerciali ed è contrario alla buona fede e alla correttezza. Il Regolamento cita come esempi le clausole che escludono la responsabilità per dolo o colpa grave, impediscono all'altra parte di utilizzare i propri dati, consentono la risoluzione unilaterale con un preavviso irragionevolmente breve o permettono modifiche sostanziali di prezzo o di altro tipo apportate unilateralmente. La conseguenza giuridica è che la clausola vessatoria non vincola l'altra parte, mentre le restanti disposizioni contrattuali restano in vigore nella misura in cui la clausola sia separabile.
Interazione con il GDPR
La legge sulla protezione dei dati si affianca al Regolamento generale sulla protezione dei dati (GDPR), ma esiste un'importante interazione tra di essi. Il Regolamento copre anche i dati personali, ma non li disgiunge dalla legge sulla protezione dei dati. Qualora l'utente non sia il soggetto i cui dati personali sono richiesti, tali dati personali possono essere forniti solo se esiste una valida base giuridica ai sensi dell'articolo 6 del GDPR. La legge sulla protezione dei dati non crea quindi un'eccezione autonoma al GDPR: l'accesso ai dati ai sensi della legge sulla protezione dei dati non esonera le parti da i loro obblighi in materia di GDPRné fornisce una base per l'ulteriore conservazione o riutilizzo dei dati forniti al di là dello scopo per cui sono stati ottenuti.
Portabilità e passaggio al cloud
Un capitolo separato impone ai fornitori di servizi di elaborazione dati di agevolare il passaggio a un altro fornitore. Non possono imporre alcun ostacolo pre-commerciale, commerciale, tecnico, contrattuale o organizzativo che impedisca ai clienti di cambiare. A partire dal 12 gennaio 2027, i fornitori di servizi di elaborazione dati non possono più addebitare ai clienti alcun costo di passaggio. Il trasferimento effettivo dei dati e delle configurazioni deve avvenire senza indebito ritardo e in nessun caso dopo un periodo transitorio obbligatorio di massimo trenta giorni. Per le organizzazioni fortemente dipendenti da un singolo fornitore di servizi cloud, ciò offre un nuovo potere contrattuale in fase di rinnovo o rinegoziazione dei contratti.
Accesso pubblico in casi di necessità eccezionale
Il regolamento conferisce agli enti del settore pubblico la possibilità, a determinate condizioni, di richiedere l'accesso ai dati privati in casi di eccezionale necessità, come ad esempio in caso di emergenza pubblica. In tal caso, i titolari dei dati, ad eccezione delle microimprese e delle piccole imprese, sono obbligati a rendere disponibili gratuitamente i dati necessari. In altri casi di eccezionale necessità, il titolare dei dati ha diritto a un equo compenso. Tale potere è soggetto ai principi di proporzionalità e sussidiarietà stabiliti dal regolamento.
Applicazione delle norme nei Paesi Bassi
Nei Paesi Bassi, l'applicazione del Regolamento è ora sancita per legge attraverso la Legge di attuazione della legge sulla protezione dei dati (Uitvoeringswet dataverordening). L'Autorità olandese per i consumatori e i mercati (ACM) è l'autorità competente per la maggior parte del Regolamento, compresi i capitoli relativi ai dati dei prodotti, alla condivisione B2B e alla portabilità nel cloud. L'Autorità olandese per la protezione dei dati (AP) è competente per gli elementi sensibili alla privacy e per il trattamento dei dati personali di cui ad alcuni articoli e al Capitolo V. Entrambe le autorità possono intraprendere azioni esecutive nell'ambito della propria competenza, imponendo un'ordinanza soggetta a sanzione o a una multa amministrativa. La Legge di attuazione prevede anche un accordo di cooperazione e scambio di informazioni tra l'ACM e l'AP, in modo che entrambi i garanti possano agire in modo coordinato su questioni comuni.
Cosa significa in pratica?
Le aziende che sviluppano, importano o distribuiscono prodotti connessi farebbero bene a rivedere la progettazione dei propri prodotti e la struttura contrattuale alla luce della legge sulla protezione dei dati. Per i prodotti immessi sul mercato dopo il 12 settembre 2026, l'obbligo di progettazione e accessibilità si applica pienamente. I fornitori di servizi che elaborano dati per conto degli utenti dovrebbero valutare quali obblighi di condivisione dei dati si applicano loro e se gli accordi esistenti, comprese le clausole sui dati redatte unilateralmente, siano conformi a tali obblighi.
Chi aspetta che l'applicazione delle norme entri in vigore rischia di rimanere indietro. Allineare prodotti, servizi e contratti alle nuove regole in tempo utile non è solo questione di conformitàma offre anche delle opportunità: chi offre ai propri clienti trasparenza e accesso ai dati si distingue in un mercato sempre più critico nei confronti del modo in cui le aziende gestiscono i dati.
Hai domande sulle implicazioni del Regolamento generale sulla protezione dei dati (GDPR) dell'UE per la tua attività o i tuoi contratti? Gli avvocati di Law & More siamo felici di aiutarti.
Domande frequenti
La legge sulla protezione dei dati si applica già ai miei prodotti connessi esistenti?
Il regolamento è in vigore dal 12 settembre 2025, ma l'obbligo di progettare i prodotti connessi in modo che i dati siano accessibili agli utenti si applica solo ai prodotti immessi sul mercato dopo il 12 settembre 2026. I prodotti già presenti sul mercato prima di tale data non sono ancora soggetti al regolamento. Ciononostante, i produttori e gli importatori farebbero bene ad allineare fin da ora lo sviluppo dei loro prodotti ai nuovi requisiti, in modo che i futuri prodotti siano conformi al momento del lancio sul mercato.
Cosa devo fare se il mio contratto di trattamento dei dati contiene clausole che limitano l'accesso ai dati?
Ai sensi della legge sulla protezione dei dati, le clausole contrattuali imposte unilateralmente che impediscono all'altra parte di utilizzare o sfruttare i propri dati possono essere considerate abusive e pertanto non vincolanti. Si consiglia di far esaminare i contratti di protezione dei dati esistenti per verificare la presenza di tali clausole. L'onere della prova che una clausola non sia stata imposta unilateralmente spetta alla parte che l'ha inserita. Una rinegoziazione tempestiva è generalmente più efficace che attendere che l'altra parte invochi il Regolamento.
Posso condividere dati personali ai sensi della legge sulla protezione dei dati personali senza una base giuridica GDPR?
No. La legge sulla protezione dei dati non fornisce una base giuridica autonoma per la divulgazione dei dati personali. Qualora l'utente non sia l'interessato i cui dati personali sono richiesti, tali dati possono essere forniti solo in presenza di una valida base giuridica ai sensi dell'articolo 6 del GDPR. Inoltre, l'accesso ai dati ai sensi della legge sulla protezione dei dati non fornisce alcuna base per l'ulteriore conservazione o riutilizzo dei dati personali divulgati oltre lo scopo originario. Pertanto, la conformità al GDPR e alla legge sulla protezione dei dati deve essere garantita simultaneamente.
Posso ancora addebitare commissioni di passaggio come fornitore di servizi cloud?
A partire dal 12 gennaio 2027, i fornitori di servizi di elaborazione dati non possono più addebitare ai clienti costi di cambio fornitore. Inoltre, dal 12 settembre 2025, non possono essere imposti ostacoli tecnici, contrattuali o organizzativi che impediscano il passaggio a un nuovo fornitore. Il trasferimento effettivo dei dati, una volta effettuato il cambio, deve avvenire senza indebito ritardo ed essere completato entro un periodo transitorio di trenta giorni al massimo. I contratti in essere che prevedono periodi più lunghi o costi di cambio fornitore sono da riconsiderare.
Quale autorità di controllo è competente a far rispettare la legge sulla protezione dei dati nei Paesi Bassi?
L'applicazione del regolamento è divisa tra l'Autorità olandese per i consumatori e i mercati (ACM) e l'Autorità olandese per la protezione dei dati (AP). L'ACM è competente per la maggior parte del regolamento, comprese le disposizioni relative ai dati dei prodotti, alla condivisione B2B e alla portabilità nel cloud. L'AP è competente per gli elementi sensibili in materia di privacy e per il trattamento dei dati personali di cui ad alcuni articoli e al Capitolo V. Entrambe le autorità possono emettere un provvedimento soggetto a sanzione pecuniaria o a una sanzione amministrativa. Contro tali decisioni sono disponibili i consueti rimedi di diritto amministrativo, tra cui opposizione, ricorso e provvedimenti cautelari.
La legge sulla protezione dei dati si applica anche alle piccole imprese?
Il Regolamento opera distinzioni in base alle dimensioni dell'impresa su alcuni punti. Ad esempio, le microimprese e le piccole imprese sono esentate, in caso di richieste di dati urgenti da parte del pubblico, dall'obbligo di rendere i dati disponibili gratuitamente; in tali casi hanno diritto a un equo compenso. Per gli altri obblighi – tra cui l'obbligo di accessibilità per i prodotti connessi e il test di equità per le condizioni B2B – non è prevista un'esenzione generale per le piccole e medie imprese. I fornitori più piccoli di prodotti connessi o servizi cloud devono pertanto adeguare tempestivamente le proprie attività al Regolamento.
