Approfondimento editoriale · fonti ufficiali (EUR-Lex, Commissione europea)medium
Data Act: chi può leggere i dati dei tuoi dispositivi, e perché è un tema di sicurezza
Non un attacco, ma una norma che ridisegna chi può accedere ai dati generati dagli oggetti connessi. Il Data Act — Regolamento (UE) 2023/2854 — è in vigore dall'11 gennaio 2024 e applicabile dal 12 settembre 2025. Dà agli utenti il diritto di accedere ai dati prodotti dai loro dispositivi e di condividerli con terzi, obbliga a facilitare il cambio di fornitore cloud, e introduce tutele contro l'accesso illecito ai dati da parte di governi extra-UE. Più soggetti che toccano gli stessi dati significa più superficie da proteggere: un approfondimento su cosa cambia e perché la sicurezza ne è parte integrante, non un dettaglio.
L'oggetto che genera dati, e la domanda di chi sono
Un'automobile connessa, una macchina agricola, un termostato, un macchinario industriale: ognuno di questi oggetti produce di continuo dati sul proprio funzionamento. Per anni la risposta alla domanda "di chi sono quei dati" è stata di fatto una sola: del fabbricante, che li raccoglie e decide chi può vederli. Il Data Act, il Regolamento (UE) 2023/2854, riscrive quella risposta. È in vigore dall'11 gennaio 2024 ed è applicabile dal 12 settembre 2025: non è una proposta, è diritto vigente.
Il principio è semplice da enunciare e ampio nelle conseguenze: l'utente di un prodotto connesso — chi lo usa, non solo chi lo ha costruito — ha il diritto di accedere ai dati che quel prodotto genera e di condividerli con terzi di sua scelta. Un agricoltore può portare i dati del proprio trattore a un'officina indipendente; il proprietario di un macchinario può darli a un fornitore di manutenzione alternativo. Il dato smette di essere un recinto del fabbricante e diventa una risorsa che l'utente può muovere.
Le tre leve del regolamento
Il Data Act poggia su alcune leve principali, e ciascuna ha un risvolto di sicurezza.
- 01Accesso e condivisione dei datil'utente accede ai dati del dispositivo e li dà a terzi
- 02Cambio di fornitore cloudobbligo di rimuovere gli ostacoli al passaggio
- 03Tutela dei dati non personalibarriere all'accesso illecito da governi extra-UE
La prima è l'accesso ai dati appena descritto. La seconda riguarda il cloud: il regolamento impone ai fornitori di servizi di elaborazione dati di facilitare il passaggio a un altro fornitore, rimuovendo ostacoli contrattuali, economici e tecnici al switching. L'obiettivo è ridurre il lock-in, la situazione in cui cambiare fornitore è così costoso da diventare impraticabile. La terza è la protezione dei dati non personali conservati nell'UE contro l'accesso o il trasferimento illecito da parte di autorità di Paesi terzi — un tema che completa, per i dati non personali, ciò che altre norme prevedono per quelli personali.
Perché la sicurezza non è un capitolo a parte
È facile leggere il Data Act come una questione di concorrenza e di mercato. Lo è, ma non solo. Ogni leva sposta qualcosa sul piano della sicurezza. Aprire i dati di un dispositivo a terzi significa moltiplicare i punti in cui quei dati transitano e sono conservati: più destinatari, più canali, più superficie da proteggere. Il regolamento ne è consapevole e prevede che la condivisione avvenga con misure adeguate, e che la messa a disposizione dei dati non comprometta segreti commerciali e sicurezza — un equilibrio delicato, perché rifiutare la condivisione "per sicurezza" non deve diventare la scorciatoia per aggirare l'obbligo.
Il cambio di fornitore cloud, allo stesso modo, è una buona notizia per la resilienza — poter uscire da un fornitore è parte di una strategia di continuità — ma la migrazione dei dati è essa stessa un momento di rischio: vanno spostati in modo cifrato, verificato, senza copie orfane lasciate indietro. E la tutela contro l'accesso governativo extra-UE è, in sostanza, una questione di sovranità del dato che ha implicazioni dirette su dove e come si conservano le informazioni.
Cosa prendere, anche fuori dai confini dell'obbligo
Il Data Act si intreccia con il resto dell'ordinamento europeo sui dati. Non sostituisce il GDPR: dove ci sono dati personali, il GDPR prevale e le sue tutele restano. Si affianca invece alle norme sulla sicurezza — NIS2, Cyber Resilience Act — componendo un quadro in cui i prodotti connessi devono essere insieme sicuri, interoperabili e "aperti" verso l'utente.
Per chi produce o vende oggetti connessi e software nell'UE, il messaggio pratico è che l'accessibilità dei dati va progettata, non improvvisata: interfacce che permettano l'accesso in modo sicuro, contratti che non usino la sicurezza come pretesto per negarlo, procedure di switching che non lascino dati esposti. È un approfondimento, non l'attacco del giorno; ma è la cornice dentro cui, sempre più, i dati dei dispositivi si muoveranno. Le date e i contenuti che contano sono verificabili alle fonti ufficiali in testa alla pagina: il testo su EUR-Lex e le spiegazioni della Commissione europea.
