Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Il Data Act sta cambiando la gestione commerciale dei dati in Europa. Per le aziende ciò significa che l’accesso ai dati non è più solo un’opzione contrattuale, ma un obbligo normativo. Grazie alla legge di attuazione del Data Act, la normativa viene applicata in modo concreto ed effettivo anche in Germania. Quali misure le aziende dovrebbero già preparare fin da ora.
La legge di attuazione del Data Act è già stata approvata dal Bundestag
Con il regolamento UE 2023/2854 (Data Act), l’Unione Europea istituisce per la prima volta un quadro normativo completo in materia di accesso e utilizzo dei dati. L’attenzione è rivolta in particolare ai dati provenienti da prodotti connessi e servizi collegati. L’obiettivo è quello di garantire agli utenti un maggiore controllo sui propri dati e, al contempo, promuovere l’innovazione basata sui dati.
Sebbene il Data Act, in quanto regolamento, sia direttamente applicabile, la sua attuazione pratica richiede un adeguamento a livello nazionale. In Germania, tale funzione è assunta dalla legge di attuazione del Data Act (DADG, BT-Drs. 21/2998). Esso disciplina in particolare le competenze, le procedure e le sanzioni, conferendo così efficacia operativa al quadro giuridico europeo.
Il 26 marzo 2026 il Bundestag tedesco ha approvato la legge di attuazione del Data Act; il Bundesrat deve ancora dare la propria approvazione.
Per gli obblighi relativi alla progettazione di prodotti interconnessi e servizi collegati ai sensi del Data Act è previsto un periodo transitorio fino al 12 settembre 2026.
Data Act: chi controllerà le aziende in futuro
Un elemento fondamentale del DADG è la definizione delle autorità competenti. Il legislatore ha attribuito un ruolo chiave all’Agenzia federale delle reti (BNetzA), che funge da autorità centrale di applicazione e coordinamento per gli obblighi derivanti dal Data Act.
Tra i suoi compiti rientrano, in particolare, la vigilanza sul rispetto delle norme, la gestione dei reclami e l'adozione di provvedimenti nei confronti delle imprese.
Tale competenza centrale non è tuttavia esaustiva. Nella misura in cui Dati personali Per quanto riguarda le persone interessate, il Garante federale per la protezione dei dati e la libertà di informazione (BfDI) riveste un ruolo particolare. Il DADG prevede una cooperazione coordinata tra le autorità.
Per le imprese ne deriva una struttura di vigilanza a più livelli. L’Agenzia federale delle reti funge da referente principale per le questioni relative all’accesso ai dati, mentre gli aspetti relativi alla protezione dei dati possono essere esaminati parallelamente dalle autorità competenti in materia.
L'accesso ai dati diventa esigibile: cosa cambia concretamente
Con il DADG, i diritti sostanziali previsti dal Data Act vengono tradotti in procedure concrete. In futuro, i diritti di accesso ai dati potranno essere fatti valere non solo a livello contrattuale, ma anche a livello normativo.
A tal fine, l’Agenzia federale delle reti è dotata di ampi poteri. Può infatti richiedere informazioni, effettuare verifiche ed emanare disposizioni vincolanti nei confronti delle imprese. Si dispone così di uno strumento efficace per garantire il rispetto dei diritti di accesso ai dati.
Inoltre, il quadro giuridico europeo prevede un sistema autonomo di organismi di risoluzione delle controversie. Questi organismi sono autorizzati dall’autorità competente e consentono la risoluzione extragiudiziale delle controversie. In futuro, le imprese dovranno quindi distinguere tra l’applicazione normativa da parte delle autorità e la risoluzione alternativa delle controversie. Questa doppia struttura mira a garantire che le questioni relative all’accesso ai dati vengano risolte in modo più strutturato, rapido e, al contempo, più regolamentato.
Suggerimento di lettura: Destinatari dell’EU Data Act: chi è interessato e quali sono gli obblighi previsti?
Sanzioni: perché la necessità di agire sta aumentando notevolmente
Questi meccanismi di applicazione più rigorosi non passeranno inosservati e aumenteranno notevolmente la pressione normativa sulle imprese.
Per le violazioni del Data Act, il DADG prevede un quadro sanzionatorio autonomo. Il progetto di legge contiene fattispecie di ammende differenziate con limiti massimi graduati, che sono stati in parte inaspriti nel corso dell’ulteriore iter legislativo.
L'entità concreta delle sanzioni dipende in particolare dalla gravità e dalla durata della violazione, nonché dalla capacità economica dell'impresa. A ciò si aggiungono le sanzioni pecuniarie e le disposizioni delle autorità volte a ripristinare la conformità alla legge. Ciò comporta un rischio economico e operativo considerevole per le imprese.
Le conseguenze del Data Act: un obbligo o un’opportunità strategica?
Questi sviluppi normativi hanno un impatto diretto sui modelli di business basati sui dati. Particolarmente interessati sono i produttori di prodotti connessi, i fornitori di servizi digitali e i gestori di piattaforme.
In futuro, queste aziende saranno tenute a garantire ai propri utenti l'accesso a determinati dati e, a determinate condizioni, a consentirne l'accesso anche a terzi.
Allo stesso tempo, devono garantire che tale accesso avvenga a condizioni eque, trasparenti e non discriminatorie.
Ciò comporta un cambiamento radicale del ruolo dei dati. I dati non sono più solo una risorsa interna, ma una componente regolamentata delle catene del valore.
Per le aziende, quindi, non si pone solo una Conformità-Non si tratta solo di una questione di natura giuridica, ma anche di una questione strategica: come si può sfruttare attivamente il nuovo quadro giuridico?
Il tempo stringe: perché le aziende devono agire subito
Il Data Act è già entrato in vigore ed è ampiamente applicabile dal 12 settembre 2025. Sebbene il DADG sia ancora in fase di iter legislativo, le sue strutture fondamentali sono già individuabili.
Per le aziende ciò comporta un lasso di tempo limitato. L'attuazione richiede adeguamenti sia giuridici che tecnici e non può avvenire in tempi brevi.
Le aziende che reagiranno troppo tardi si troveranno sotto una notevole pressione in termini di tempistiche e attuazione.
Misure immediate per l'attuazione del Data Act
Per le aziende, la questione principale è ora quella di capire con quale rapidità e in modo strutturato possano attuare il Data Act.
- Chiarire l’ambito di applicazione e i ruoli relativi ai dati
Il primo passo è l’analisi del proprio modello di business. Le aziende dovrebbero verificare a breve termine se e in che misura i loro prodotti connessi e i servizi correlati rientrino nell’ambito di applicazione del Data Act. In tale contesto, occorre chiarire in particolare quali dati vengono generati e quali ruoli – ad esempio come titolare dei dati, utente o destinatario – l’azienda ricopre. Senza questa classificazione non è possibile garantire un’attuazione conforme alla legge. - Adattare in modo mirato le strutture contrattuali
Su questa base, il passo successivo è l’attuazione contrattuale. Le aziende dovrebbero verificare i contratti esistenti relativi ai dati e le clausole contrattuali standardizzate. Il Data Act stabilisce requisiti concreti per gli accordi di accesso e utilizzo dei dati, in particolare per quanto riguarda l’equità delle condizioni contrattuali. L’attenzione si concentra in particolare sulle norme relative all’accesso ai dati, al loro utilizzo, al compenso e alla tutela della riservatezza. - Garantire la disponibilità dei dati tecnici
I requisiti legali possono essere soddisfatti solo se anche le basi tecniche sono adeguate.
Le imprese devono garantire di poter mettere a disposizione i dati rilevanti in modo tempestivo, sicuro e in un formato strutturato e leggibile da un computer. Il Data Act non impone alcuna soluzione tecnica specifica. Richiede tuttavia la capacità di fornire dati in modo standardizzato e interoperabile. - Definire i processi interni e le responsabilità
Oltre agli aspetti giuridici e tecnici, anche l’organizzazione riveste un ruolo fondamentale. Le aziende dovrebbero definire chiaramente le responsabilità e le procedure per la gestione delle richieste di accesso ai dati, delle richieste degli utenti e delle procedure amministrative.
Solo così è possibile gestire tali richieste in modo efficiente e nel rispetto della normativa. - Interfaccia con la GDPR rimuovere accuratamente
Particolare attenzione va prestata alla distinzione rispetto alla GDPR. In molti casi sono presenti anche Dati personali interessate, per cui entrambe le normative trovano applicazione in parallelo. Le imprese devono pertanto garantire che i diritti di accesso ai dati siano esercitati in conformità con i requisiti in materia di protezione dei dati.
Agire subito per assicurarsi un vantaggio competitivo
L'attuazione del Data Act non è un provvedimento isolato Conformità-Progetto. Riguarda in egual misura i contratti, l'architettura IT, la strategia sui dati e la governance.
È proprio qui che sta la sfida: molte aziende comprendono i requisiti normativi, ma non riescono a metterli in pratica in modo strutturato e conforme alla legge.
2B Advice aiuta le aziende ad attuare il Data Act in modo completo.
Dall'analisi dell'ambito di applicazione all'adeguamento delle strutture contrattuali, fino all'integrazione in sistemi esistenti Conformità- e i processi informatici.
Il nostro approccio coniuga la competenza giuridica con l'attuazione operativa: orientato alla pratica, scalabile e pensato per strutture aziendali complesse.
Contattateci, se:
- desiderano chiarire le misure concrete da adottare ai sensi del Data Act
- intendono adeguare le strutture esistenti nel rispetto della normativa vigente
- oppure desiderate utilizzare il Data Act in modo strategico per il vostro modello di business
Richiedi ora un primo colloquio senza impegno.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
Domande e risposte
Cosa disciplina la legge di attuazione del Data Act in Germania?
La legge di attuazione del Data Act integra il Data Act dell’UE, direttamente applicabile, con competenze nazionali, procedure e norme sanzionatorie. In particolare, essa stabilisce quali autorità vigilino sul rispetto delle disposizioni e in che modo possano essere fatti valere i diritti di accesso ai dati in Germania.
Quali sono le aziende maggiormente interessate dal Data Act?
Particolarmente interessati sono i produttori di prodotti connessi, i fornitori di servizi connessi e altre aziende con modelli di business basati sui dati. Essi devono verificare quali dati vengono generati dai loro prodotti e servizi e quale ruolo rivestono ai sensi del Data Act, ad esempio in qualità di titolari dei dati, utenti o destinatari dei dati.
Quale autorità è competente per l'applicazione del Data Act in Germania?
Ai sensi della legge di attuazione del Data Act, l’Agenzia federale delle reti svolge un ruolo centrale nell’applicazione e nel coordinamento. Nella misura in cui Dati personali A ciò si aggiungono ulteriori competenze in materia di protezione dei dati, per cui le aziende devono fare i conti con una struttura di vigilanza a più livelli.
Quali requisiti tecnici prevede il Data Act per la messa a disposizione dei dati?
Le imprese devono essere in grado di fornire i dati rilevanti in modo tempestivo, sicuro e in un formato strutturato e leggibile da un computer. Il Data Act non impone una soluzione tecnica specifica, ma presuppone che sia possibile una messa a disposizione dei dati standardizzata e interoperabile.
Quali contratti dovrebbero verificare le aziende alla luce del Data Act?
Le aziende dovrebbero verificare i contratti esistenti relativi ai dati e le clausole contrattuali standardizzate. Particolarmente rilevanti sono le disposizioni relative all’accesso ai dati, al loro utilizzo, alla remunerazione, alle condizioni contrattuali eque e alla tutela dei segreti commerciali.
In che modo occorre tenere conto congiuntamente del Data Act e del GDPR?
Per quanto riguarda i diritti di accesso ai dati Dati personali riguardano, si applicano il Data Act e GDPR in parallelo. Le imprese devono quindi garantire che la messa a disposizione e l’utilizzo dei dati siano conformi non solo alle disposizioni del Data Act, ma anche ai requisiti in materia di protezione dei dati.
German 
English 
Italian 
French