La legge europea sulla protezione dei dati (GDPR) conferisce agli utenti di prodotti connessi e servizi correlati il diritto di accedere ai dati che generano e di farli condividere con terze parti. La legge è in vigore dal 12 settembre 2025, ma l'obbligo di progettare i prodotti in modo che i dati siano direttamente accessibili si applica solo ai prodotti connessi immessi sul mercato dopo il 12 settembre 2026.
The Data Act, Regulation (EU) 2023/2854, also sets rules on unfair terms in data contracts between businesses, on switching between cloud providers and on access to data by public bodies in exceptional situations. If your business makes, imports or sells connected products, offers cloud services or uses data under contracts with other businesses, it is likely to be affected. Below we explain the main obligations and how the ACM and the AP enforce them in the Netherlands.
Sommario
Cosa disciplina la legge sulla protezione dei dati?
The Data Act sets out who may access data generated by the use of products and services, and on what terms that data must be shared. It does not create a general right to all data, but a framework for six specific areas.
The Regulation entered into force on 11 January 2024. It covers access by users to product and service data, fair terms for data sharing between businesses, access by public bodies in cases of exceptional need, switching between data processing services, safeguards against unlawful governmental access to non-personal data from outside the EU, and interoperability. The full text is available on EUR-Lex.
Cosa devono fare i produttori di prodotti connessi?
I prodotti connessi e i servizi correlati devono essere progettati in modo che i dati che generano siano, di default, facilmente, in modo sicuro, gratuito e in un formato leggibile da una macchina direttamente accessibili all'utente, ove pertinente e tecnicamente fattibile (articolo 3). Si pensi ai dispositivi per la casa intelligente, alle macchine industriali, ai dispositivi medici o ai veicoli.
This design obligation applies to connected products and related services placed on the market after 12 September 2026. Products already on the market before that date do not need to be redesigned. Before a contract is concluded, the user must also be informed about the type and volume of data the product generates and how the user can access it (Article 3(2) and (3)).
Where data is not directly accessible, the data holder must make it available to the user on request, without undue delay and free of charge (Article 4). The user can also ask the data holder to share the data with a third party of the user’s choosing (Article 5). Gatekeepers designated under the Digital Markets Act cannot be such a third party.
Puoi proteggere i tuoi segreti commerciali?
Yes, to a degree. The data holder may require confidentiality measures before disclosing data that contains trade secrets, and may in exceptional cases refuse or suspend sharing if disclosure is highly likely to cause serious economic damage. Such a refusal must be substantiated in writing and notified to the competent authority, in the Netherlands the ACM.
The user may not use the data obtained to develop a product that competes with the connected product from which the data originates (Article 4(10)). The data holder, for its part, may only use non-personal product data on the basis of a contract with the user.
Quali clausole contrattuali tra aziende sono inique?
A contractual term on access to and use of data, or on liability and remedies for breach, does not bind the other business if it was unilaterally imposed and is unfair (Article 13). A term is unilaterally imposed if the other party could not influence its content despite an attempt to negotiate it, and the party that introduced the term must prove otherwise.
A term is unfair if it grossly deviates from good commercial practice in data access and use, contrary to good faith and fair dealing. Article 13 contains two lists. Terms that are always unfair include those that exclude or limit liability for intentional acts or gross negligence, and those that give the party that imposed the term the exclusive right to interpret the contract. Terms that are presumed unfair include those that inappropriately restrict the other party’s use of data it has contributed, or that allow termination at unreasonably short notice.
Una clausola abusiva non vincola l'altra parte, ma il resto del contratto rimane in vigore se la clausola può essere separata da esso. Le norme si applicano ai contratti conclusi dopo il 12 settembre 2025. Dal 12 settembre 2027, si applicano anche ai contratti più vecchi a tempo indeterminato o che scadono almeno dieci anni dopo l'11 gennaio 2024.
Se un titolare di dati deve rendere i dati disponibili a un'altra impresa, può richiedere un equo compenso (articolo 9). Per le micro, piccole e medie imprese e per alcuni enti di ricerca, tale compenso non può superare i costi sostenuti per rendere i dati disponibili.
Qual è il rapporto tra la legge sulla protezione dei dati e il GDPR?
The Data Act does not replace the General Data Protection Regulation (GDPR). Where personal data is involved, the GDPR continues to apply in full, and in case of conflict the GDPR prevails.
If the user who asks for data is not the data subject, personal data may only be made available if there is a valid legal basis under Article 6 GDPR and, where relevant, Article 9 GDPR. The Data Act does not create such a basis itself, and the GDPR rules on purpose limitation, security and storage periods keep applying. Read more about I rischi del GDPR nella condivisione dei dati e circa per quanto tempo puoi conservare i dati dei clienti.
Quali cambiamenti ci saranno per i fornitori di servizi cloud e i loro clienti?
Providers of data processing services, such as cloud and edge services, must make it easier for customers to switch to another provider or to their own infrastructure. They may not impose commercial, technical, contractual or organisational obstacles that hinder switching (Article 23).
Il contratto deve consentire al cliente di cambiare fornitore con un preavviso massimo di due mesi, trascorso il quale il trasferimento effettivo dei dati e delle risorse digitali deve essere completato entro un periodo transitorio di massimo trenta giorni. Qualora ciò non sia tecnicamente fattibile, il fornitore deve spiegarne il motivo e può estendere il periodo fino a un massimo di sette mesi.
From 12 January 2027, providers may no longer charge any switching charges at all. Until that date, they may only charge reduced charges that do not exceed the costs directly linked to the switch. Check your existing contratti cloud for longer periods or switching fees before they are renewed.
Quando gli enti pubblici possono richiedere i tuoi dati?
Gli enti del settore pubblico possono, a determinate condizioni, richiedere alle imprese di rendere disponibili i dati in caso di necessità eccezionale, come ad esempio in caso di emergenza pubblica. La richiesta deve essere specifica, proporzionata e giustificata.
In a public emergency, data holders must provide the data free of charge, except micro and small enterprises, which are entitled to compensation. In other cases of exceptional need, for example where the data is needed for a specific task in the public interest and cannot be obtained otherwise, the data holder may claim fair compensation.
Chi si occupa dell'applicazione della legge sulla protezione dei dati nei Paesi Bassi?
Supervision is regulated in the Data Act Implementation Act (Uitvoeringswet dataverordening), in force since 21 November 2025. The Authority for Consumers and Markets (ACM) supervises most of the Regulation, including the rules on product data, data sharing between businesses and cloud switching.
The Dutch Data Protection Authority (Autoriteit Persoonsgegevens, AP) is responsible where personal data is involved and for data requests by public bodies. Both authorities can impose an order subject to a penalty (last onder dwangsom) or an administrative fine within their own area, and they cooperate on overlapping issues.
If an authority takes a decision against your business, you can lodge an objection (bezwaar) with that authority within six weeks and then appeal to the court. A business can also enforce its rights under the Regulation in the civil courts, for example if a data holder refuses access to data.
La legge sulla protezione dei dati si applica anche alle piccole imprese?
Largely, yes. There is no general exemption for small and medium-sized enterprises: the design obligation for connected products and the fairness test for contract terms apply regardless of the size of the business.
The data access and sharing obligations of Chapter II do not apply to data generated by products manufactured or services provided by micro and small enterprises, provided they have no larger partner or linked enterprise (Article 7). Medium-sized enterprises benefit from a limited transitional exemption of one year. In a public emergency, micro and small enterprises are entitled to compensation.
What should you check as a manufacturer, data holder or cloud provider?
Start with the products and services you place on the market after 12 September 2026, as the design obligation applies to them in full.
- Does the product design give users direct access to their data where technically feasible (Article 3)?
- Does your pre-contract information state the type and volume of data and how users can access it?
- Is there a process to handle access and sharing requests without undue delay (Articles 4 and 5)?
- Have you identified trade secrets and the confidentiality measures you will require before sharing?
- Do your cloud contracts respect the two-month notice period, the thirty-day transfer period and the end of switching charges on 12 January 2027?
What should you check as a user or business customer?
As a user you can claim data that a manufacturer or service provider would otherwise keep to itself, and you can challenge unfair data terms under Article 13.
- Which connected products and services in your business generate data you could request under Article 4?
- Do your supplier contracts contain unilaterally imposed terms on data use or liability that may be unfair?
- Can you switch cloud provider within two months’ notice, and what switching charges does the contract allow?
- Do you have a GDPR legal basis for each flow of personal data you receive or pass on?
- Have you documented your requests, so you can file a complaint with the ACM or go to court if access is refused?
What can we do for you with the Data Act?
Avvocati informatici advise businesses on data contracts, cloud agreements and compliance with the Data Act and the GDPR.
- We map which of your products, services and contracts fall within the scope of the Data Act.
- We review your standard terms and supplier contracts against the unfair-terms lists of Article 13.
- We draft or revise data sharing agreements, including confidentiality measures for trade secrets.
- We check your cloud contracts for notice periods, transfer periods and switching charges.
- We align your Data Act processes with your GDPR obligations.
- We represent you in proceedings before the ACM, the AP or the civil courts.
Sintesi
- La legge sulla protezione dei dati è in vigore dal 12 settembre 2025; l'obbligo di progettazione per i prodotti connessi si applica ai prodotti immessi sul mercato dopo il 12 settembre 2026.
- Gli utenti possono accedere ai dati generati dai loro prodotti connessi e consentirne la condivisione con terze parti, nel rispetto della tutela dei segreti commerciali.
- Le condizioni inique imposte unilateralmente in materia di accesso ai dati, utilizzo e responsabilità non vincolano l'altra azienda.
- I fornitori di servizi cloud devono agevolare il passaggio da un fornitore all'altro e, a partire dal 12 gennaio 2027, non potranno più addebitare commissioni per tale passaggio.
- Nei Paesi Bassi, l'ACM e l'AP vigilano sulla conformità e possono imporre sanzioni.
Domande frequenti
La legge sulla protezione dei dati si applica già ai miei prodotti connessi esistenti?
The Regulation has applied since 12 September 2025, but the obligation to design connected products so that users can access the data directly only applies to products placed on the market after 12 September 2026. For products already on the market, users can still request access to the data from the data holder under Article 4.
Cosa devo fare se il mio contratto di trattamento dei dati contiene clausole che limitano l'accesso ai dati?
Have the contract reviewed. A unilaterally imposed term that inappropriately restricts the other party’s use of data it has contributed is presumed unfair under Article 13 and then does not bind that party. The party that introduced the term must prove that it was negotiated.
Posso condividere dati personali ai sensi della legge sulla protezione dei dati personali senza una base giuridica GDPR?
No. La legge sulla protezione dei dati non fornisce una base giuridica per la divulgazione dei dati personali. Se l'utente non è l'interessato, i dati personali possono essere resi disponibili solo in presenza di una valida base giuridica ai sensi dell'articolo 6 del GDPR. I dati ottenuti ai sensi della legge sulla protezione dei dati non possono inoltre essere conservati o riutilizzati oltre quanto consentito dal GDPR.
Posso ancora addebitare commissioni di passaggio come fornitore di servizi cloud?
Solo fino al 12 gennaio 2027, e solo con tariffe ridotte che non superino i costi direttamente collegati al passaggio. A partire da tale data, le spese di cambio saranno vietate. Il trasferimento stesso dovrà essere completato entro un periodo transitorio di massimo trenta giorni, salvo impossibilità tecnica.
Quale autorità di controllo applica la legge sulla protezione dei dati nei Paesi Bassi?
L'Autorità per i consumatori e i mercati (ACM) sovrintende alla maggior parte del Regolamento, compresi i dati sui prodotti, la condivisione dei dati tra le imprese e il passaggio al cloud. L'Autorità olandese per la protezione dei dati (AP) è responsabile quando sono coinvolti dati personali. Entrambe possono emettere un provvedimento soggetto a sanzioni pecuniarie o a multe, contro i quali è possibile presentare opposizione e ricorso.
