I prodotti connessi sono in grado di generare, raccogliere o ottenere dati relativi al proprio utilizzo, alle proprie prestazioni o all’ambiente circostante e di trasmetterli attraverso una connessione via cavo o wireless.

Rientrano in questa categoria, ad esempio, un macchinario connesso, un’automobile che raccoglie dati sul funzionamento e sulle prestazioni del veicolo o un elettrodomestico smart che registra informazioni relative a come viene utilizzato e ai consumi.

Si tratta di un’enorme quantità di informazioni che può rappresentare una risorsa strategica per le imprese, sia nell’ottica dello sviluppo e dell’innovazione di prodotti e servizi, sia ai fini del rafforzamento della propria competitività sul mercato.

È in questo contesto che si inserisce il Regolamento (UE) 2023/2854, comunemente noto come Data Act, adottato con l’obiettivo di disciplinare l’accesso equo, l’utilizzo e la condivisione dei dati generati dall’impiego di prodotti connessi e servizi correlati.

Il diritto di accesso ai dati generati dai prodotti connessi

Il Data Act riconosce agli utenti di prodotti connessi e servizi correlati il diritto di accedere ai dati generati attraverso il loro utilizzo.

Rientrano nell’ambito di applicazione del Regolamento i dati grezzi e pretrattati generati dall’uso di un prodotto connesso o di un servizio correlato e prontamente disponibili per il detentore dei dati – normalmente il fabbricante del prodotto connesso o il fornitore del servizio correlato – vale a dire i dati ai quali è possibile accedere senza sostenere sforzi sproporzionati e senza andare oltre una semplice operazione di routine.

L’obiettivo è favorire una maggiore disponibilità dei dati prodotti dall’ecosistema IoT, consentendone l’utilizzo da parte degli utenti e, in determinate condizioni, la condivisione con terzi.

Le novità applicabili dal 12 settembre 2026

Il Data Act è già entrato in vigore, ma a decorrere dal 12 settembre 2026 trovano applicazione le disposizioni relative alla progettazione e alla messa a disposizione dei prodotti connessi e dei servizi correlati.

A partire da tale data, i prodotti connessi e i servizi correlati devono essere progettati, fabbricati e forniti in modo tale che i dati da essi generati, compresi i pertinenti metadati necessari per interpretarli e utilizzarli, siano per impostazione predefinita accessibili all’utente.

Il rapporto con la proprietà intellettuale e i segreti commerciali

Il Data Act non modifica le norme applicabili alla tutela dei diritti di proprietà intellettuale. A titolo esemplificativo, il contenuto di un film riprodotto su un televisore connesso non rientra nell’ambito di applicazione del Regolamento; diverso è invece il caso dei dati generati dall’utilizzo del medesimo televisore, quali la luminosità dello schermo, lo stato del sistema operativo o le informazioni relative alla navigazione nell’interfaccia.

Anche la disciplina dei segreti commerciali continua a trovare applicazione. Tuttavia, essa non può essere invocata per giustificare un rifiuto generalizzato dell’accesso ai dati o della loro condivisione, perché altrimenti verrebbe compromessa la stessa applicazione del Regolamento.

Il Data Act richiede pertanto di trovare un equilibrio tra il diritto di accesso e gli obblighi di condivisione dei dati, da un lato, e la protezione delle informazioni riservate, dall’altro. Tale equilibrio non si realizza attraverso il rifiuto astratto, bensì attraverso l’adozione preventiva di misure tecniche, organizzative e contrattuali idonee a garantire una condivisione sicura delle informazioni.

Come tutelare i segreti commerciali nella condivisione dei dati

Il Data Act prevede che i segreti commerciali possano essere condivisi solo a condizione che, prima della comunicazione, il detentore dei dati e l’utente o il terzo adottino tutte le misure necessarie a preservarne la riservatezza, in particolare nei confronti di soggetti terzi.

Il detentore dei dati, o, qualora non coincida con esso, il detentore del segreto commerciale, è tenuto a:

• individuare i dati protetti come segreti commerciali, anche nei relativi metadati
• concordare con l’utente o con il terzo misure tecniche e organizzative proporzionate volte a preservarne la riservatezza.

Tra gli strumenti utilizzabili rientrano, a titolo esemplificativo: accordi di riservatezza, clausole contrattuali, protocolli di accesso rigorosi, standard tecnici e codici di condotta.

Non è pertanto ammesso un rifiuto generalizzato fondato sul semplice rischio che le informazioni riservate possano essere divulgate. Il sistema delineato dal Data Act richiede piuttosto l’adozione preventiva di strumenti idonei a consentire una condivisione dei dati che sia al contempo sicura e rispettosa delle legittime esigenze di riservatezza.

Il rifiuto eccezionale della condivisione: il meccanismo del «trade secrets handbrake»

Solo in casi eccezionali il detentore dei dati può rifiutare la condivisione di un segreto commerciale, dimostrando che, nonostante le misure adottate per proteggere le informazioni riservate, la loro divulgazione potrebbe causare un grave danno economico. Il rifiuto deve essere fondato su elementi concreti e deve indicare le ragioni per cui le misure di salvaguardia concordate risultino insufficienti; possono essere valorizzati, in tale contesto, anche eventuali rischi per la cibersicurezza.

È questo il meccanismo definito «trade secrets handbrake», che consente, in presenza di determinati e specifici presupposti, quali il mancato raggiungimento di un accordo sulle misure di salvaguardia, l’inadempimento da parte dell’utente o del terzo rispetto alle misure concordate o la compromissione della riservatezza dei segreti commerciali, di omettere la condivisione dei dati, di sospenderla o, in via del tutto eccezionale, di rifiutarla.

In ogni caso, anche il rifiuto fondato sull’elevata probabilità di un grave danno economico presuppone un’attività preventiva di individuazione e valutazione dei segreti commerciali. Non è sufficiente opporre un diniego generico o invocare in astratto la riservatezza delle informazioni.

La mappatura preventiva dei segreti commerciali come attività strategica

Il profilo più rilevante che emerge dal Data Act sul piano operativo è quello della preparazione preventiva. La tutela dei segreti commerciali non può essere affrontata al momento in cui perviene una richiesta di accesso ai dati: a quel punto, l’assenza di una mappatura strutturata e di misure già predisposte pregiudica sia la capacità di condividere i dati in modo sicuro, sia la possibilità di opporre un rifiuto adeguatamente motivato.

È invece necessario aver già:

• identificato e mappato i dati che costituiscono segreti commerciali, anche nei relativi metadati
• valutato il loro valore economico e i rischi connessi alla loro eventuale divulgazione
• predisposto misure tecniche, organizzative e contrattuali adeguate a proteggerne la riservatezza in sede di condivisione.

Per le imprese che producono prodotti connessi o forniscono servizi correlati, ciò significa che la compliance al Data Act non riguarda soltanto la capacità tecnica di rendere disponibili i dati, ma richiede anche una riflessione preventiva sulla classificazione dei dati, sul loro valore e sulle modalità con cui proteggerli nel momento in cui devono essere messi a disposizione di utenti o di terzi.

Il punto di equilibrio individuato dal Regolamento non è, dunque, quello tra accesso ai dati e assoluta segretezza, bensì quello tra condivisione dei dati e protezione effettiva delle informazioni riservate: un equilibrio che si costruisce prima ancora che sorga l’obbligo di condividere, attraverso un’attività strutturata e continuativa di governo del patrimonio informativo aziendale.

Gli avvocati del team Luppi Legal sono specializzati in proprietà intellettuale e supportano le aziende a salvaguardare i propri segreti commerciali anche tenendo conto dei nuovi obblighi di condivisione e accesso ai dati previsti dal Data Act.