Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei datiConformità informatica e regolamentazione dell'IA.
La legge europea sui dati (Regolamento UE 2023/2854) è entrata in vigore l'11 gennaio 2024 e, dopo un periodo di transizione, è stata approvata dal Parlamento europeo. dal 12 settembre 2025 direttamente applicabile in tutti gli Stati membri dell'UE. L'obiettivo è quello di facilitare l'accesso al crescente volume di dati industriali e IoT (Internet degli oggetti) e promuovere modelli di business innovativi. Ad oggi, si stima che circa 80 % di tutti i dati industriali siano rimasti inutilizzati. Spesso perché solo i produttori o le grandi aziende ne hanno il controllo. Il Data Act si propone ora di Utenti controllo sui dati che generano e di ridurre al minimo i rischi per la salute. Trasferimento dati su Terza parte in condizioni di equità. La sezione seguente esamina questo aspetto, quali attori (destinatari) la legge sui dati copre specificamente e che nuovi obblighi, soprattutto per i produttori e i fornitori di servizi applicare.
Chi sono i destinatari del Data Act?
La legge sui dati segue il principio della localizzazione del mercato e quindi riguarda aTutte le aziende che offrono prodotti connessi o servizi digitali associati nell'UE, indipendentemente dalla loro sede. Il regolamento riguarda quindi anche i produttori e i fornitori di servizi non europei, non appena i loro prodotti o servizi vengono immessi sul mercato o offerti nell'UE. In particolare, l'art. 1 del Data Act nomina i seguenti destinatari:
- Produttore di prodotti in rete (ad esempio produttori di dispositivi IoT, macchine intelligenti, veicoli connessi) e fornitori di servizi connessiche vengono offerti nell'UE. Ciò include, ad esempio, il software o le applicazioni senza le quali un dispositivo intelligente non potrebbe funzionare (ad esempio, l'applicazione per il controllo di un dispositivo domestico intelligente o il software di una macchina collegata in rete).
- Utenti dei suddetti prodotti e servizi in rete nell'UE. Questo include sia Consumatori (privati) e Utenti commerciali (ad esempio, le aziende che utilizzano dispositivi IoT o che acquistano/noleggiano macchine).
- Proprietario dei dati (titolare dei dati). Si tratta di persone fisiche o giuridiche che sono autorizzate o obbligate a fornire dati da prodotti o servizi in rete. In pratica, questo coincide solitamente con i produttori/fornitori dei prodotti.
- Destinatario dei dati. Questi sono Terza partea chi vengono resi disponibili i dati. Ciò include le aziende a cui l'utente trasmette i dati del proprio dispositivo, ad esempio fornitori di servizi esterni, officine di riparazione o altre terze parti.
- Fornitore di servizi di elaborazione dati. Ciò significa in particolare Fornitore di servizi cloudche offrono i loro servizi a clienti nell'UE. Questo gruppo è coperto dal Data Act, in quanto il regolamento mira a promuovere la portabilità dei dati e semplici cambiamenti di provider nel settore del cloud.
- Enti e autorità pubbliche nell'UE. Sebbene non siano esplicitamente indicati come destinatari "obbligati" nel campo di applicazione dell'art. 1, la legge sui dati concede Autorità e istituzioni pubbliche a determinate condizioni di richiedere dati alle aziende. Il capitolo V della legge sui dati personali disciplina la Scambio di dati tra lo Stato e il settore privato (B2G) e definisce quando le autorità possono richiedere l'accesso ai dati nel pubblico interesse.
Gruppo di destinatari definito in modo molto ampio nella legge sui dati.
Oltre a questi destinatari principali, la legge sui dati comprende anche Partecipanti a data room e applicazioni di smart contract uno. Ad esempio, si tratta di persone o aziende che forniscono contratti intelligenti per l'esecuzione automatica di accordi di scambio di dati.
Inoltre Venditore, proprietario e locatore appartengono al gruppo dei destinatari del Data Act. Essi sono soggetti a un obbligo precontrattuale Obbligo di informazione (vedi sotto).
Nel complesso, la cerchia dei destinatari è quindi molto ampia. "Tutti gli attori dell'economia basata sui dati" Il Data Act può avere ripercussioni su tutti i settori, dai produttori e utenti IoT ai fornitori di cloud e alle autorità.
Suggerimento di lettura: L'UE pubblica le FAQ sul Data Act
Eccezioni: La legge sui dati si applica a queste società in misura limitata
Le micro e piccole imprese (meno di 50 dipendenti e ≤ 10 milioni di euro di fatturato annuo/bilancio annuale) sono esenti da molti obblighi. Il legislatore vuole alleggerire l'onere per le imprese molto piccole. A meno che non si tratti di società partner o affiliate a società che non si qualificano come micro o piccole imprese. Tuttavia, le medie imprese più grandi (50 o più dipendenti) devono implementare i requisiti. Sono previste eccezioni anche per le organizzazioni di ricerca.
Al centro della legge sui dati, tuttavia, ci sono i produttori di dispositivi in rete e i fornitori dei servizi associati.. Questo perché in genere sono anche i Proprietario dei dati. Per loro, questo si traduce in un'ampia Nuovi obblighiper facilitare l'accesso ai dati da parte degli utenti e Terza parte per garantire che
Garantire l'accesso ai dati per gli utenti
Forse l'innovazione più importante è la Diritto dell'utente di accedere al Dati di utilizzo del suo prodotto. Il titolare del trattamento dei dati (ad esempio il produttore) deve fornire all'utente gratuito e, se tecnicamente possibile, fornire un accesso diretto e continuo ai dati generati dal dispositivo in tempo reale. In termini pratici, questo significa che i prodotti e i servizi progettato tecnicamente che l'utente possa accedere ai dati. I produttori devono quindi prevedere già nella progettazione del prodotto interfacce o funzioni che consentano il recupero dei dati. Una Trasmissione La trasmissione dei dati all'utente "a casa" non è obbligatoria. È sufficiente, ad esempio, che l'utente possa visualizzare o recuperare i dati sui server del produttore.
Rifiuto Il titolare dei dati può autorizzare l'accesso solo per motivi strettamente limitati. Ad esempio, se la divulgazione di specifici record di dati rivelerebbe informazioni rilevanti per i segreti aziendali. Ma anche in questo caso, un ragionevole accesso parziale o misure di protezione (ad es. Anonimizzazioneaccordo di riservatezza) è necessario per limitare il più possibile l'accesso ai dati degli utenti. È vietato abusare di questa opzione di esenzione.
Trasparenza e Obbligo di informazione
Trasparenza e Obbligo di informazione: Già prima di concludere un contratto I proprietari dei dati devono fornire informazioni complete su un prodotto o servizio connesso. Gli utenti devono saperlo prima di acquistare/noleggiare/utilizzare, Quali dati genera e immagazzina il prodotto, come e quanto tempo sono memorizzati, che ha accesso ad esso e come l'utente stesso può accedervi. Deve inoltre essere reso noto se i dati possono essere trasmessi a potenziali destinatari e a quali condizioni.
Questo obbligo di trasparenza è simile all'idea di una "descrizione del prodotto" e mira a evitare sorprese: L'utente viene a sapere, ad esempio, se il suo Smart TV Dati di utilizzo e se questi sono Terza parte (come i partner di assistenza). In Germania, ciò significa che i produttori dovranno integrare di conseguenza le informazioni sui prodotti e i termini e le condizioni generali.
Concordare i diritti di utilizzo
I proprietari dei dati devono garantire contrattualmente la necessaria Diritti di utilizzo dei dati generati dai loro prodotti possono essere concessi. Finora, spesso non era chiaro chi fosse il "proprietario" dei dati IoT non personali. In futuro, i contratti (ad esempio, contratti di acquisto/utilizzo) dovrebbero stabilire che il produttore/fornitore di servizi può utilizzare i dati generati dal dispositivo e trasmetterli alle condizioni della legge sui dati.
Queste clausole creano certezza giuridica, ma sono Nessuna carta bianca per l'uso esclusivo dei dati: il Data Act chiarisce che i produttori devono pagare per l'uso esclusivo dei dati. Dati di utilizzo non può più essere utilizzato esclusivamente ma deve condividerli su richiesta dell'utente.
Trasferimento dati a Terza parte su richiesta dell'utente
Gli utenti di dispositivi IoT ricevono il diritto, i vostri dati a Terza parte di loro scelta. Se l'utente lo richiede, il titolare del trattamento deve adempiere ad alcune Dati di utilizzo immediatamente e, se possibile, in tempo reale a una persona indicata dall'utente. Destinatario dei dati (fornitore di terze parti). Questo può anche essere un Concorrenti del produttore. Questo diritto è finalizzato a Follow-up e servizi aggiuntivi essere promossi. Ad esempio, le officine indipendenti, le compagnie di assicurazione o i fornitori di servizi di analisi possono accedere ai dati tramite l'utente, che in precedenza erano spesso monopolizzati dal produttore.
Per la fornitura dei dati a terzi, il titolare del trattamento può, in linea di principio, richiedere una Remunerazione domanda, ma solo a condizioni eque e ragionevoli (principio FRAND). Non sono ammessi prezzi eccessivi o condizioni discriminatorie. È consentito un margine ragionevole sui costi di fornitura. Eccezione: il ricevente Terza parte è una PMI. Dalle piccole e medie imprese che ricevono dati non può essere richiesto alcun margine saranno realizzati. La Commissione UE Linee guida per i compensi appropriati al fine di facilitare l'applicazione pratica.
Clausole contrattuali e norme "antiabuso
Per affrontare gli squilibri di potere, la legge sui dati vieta le clausole contrattuali abusive nei contratti sui dati tra aziende. Soprattutto nelle costellazioni B2B con potere negoziale diseguale, non possono essere imposte condizioni unilaterali che si discostino significativamente dalle buone pratiche commerciali e violino la buona fede. Ad esempio, sono considerate abusive le clausole che obbligano l'utente ad autorizzare il trasferimento dei dati. tutti dei suoi dati, o che conferiscono al titolare dei dati diritti e libertà di ampia portata. Responsabilità civile senza corrispettivo. Tali condizioni non sono legalmente valide. In caso di dubbio, il titolare dei dati deve dimostrare che le sue clausole equo e appropriato sono.
Questi regolamenti mirano a rafforzare soprattutto i clienti di piccole e medie dimensioni, che in passato hanno spesso dovuto accettare condizioni contrattuali meno favorevoli. Inoltre, esse mirano a condizioni competitive eque impedendo ai potenti attori del mercato di consolidare la propria posizione attraverso contratti non trasparenti o unilaterali. Inoltre, in relazione a Titolare dei dati - destinatario dei dati applica esplicitamente il principio FRAND (equo, ragionevole e non discriminatorio) per l'accesso ai dati.
Il mercato dei dati deve diventare più equo
A partire dal 2025, la legge europea sui dati introdurrà un nuovo regime di utilizzo dei dati che avrà un impatto su tutti i settori. Produttore e proprietario dei dati in Germania deve concentrarsi su Estensione degli obblighi di informazione e divulgazione set, Utenti ottenere un guadagno completo Diritti dei dati, Destinatario dei dati nuove possibilità soggette a condizioni.
Il regolamento non è isolato, ma integra e modifica il quadro giuridico esistente: dalle norme sulla protezione dei dati e sulla concorrenza alle procedure amministrative. Le aziende farebbero bene a utilizzare il tempo rimanente per Misure di conformità per iniziare: interno Inventari dei dati contratti, creare interfacce tecniche e formare i dipendenti. Allo stesso tempo, non bisogna trascurare le opportunità: Un mercato dei dati più equo può Innovazione e concorrenza e tutti i soggetti coinvolti ne traggono beneficio.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPRconformità informatica e governance dell'IA. Pubblica regolarmente articoli di approfondimento sulla regolamentazione dell'IA, sulla conformità al GDPR e sulla gestione del rischio. Per saperne di più su di lui, visitate il sito Pagina del profilo dell'autore.
German 
English 
Italian 
French