È ormai un anno che è in vigore l’EU Data Act – e la maggior parte dei negozi online se ne è accorta ben poco. In parte a ragione: molti obblighi riguardano i produttori e i fornitori di servizi cloud, non i rivenditori. Ma solo in parte: chi vende prodotti connessi ha già oggi obblighi di informazione, e il 12 settembre 2026 entrerà in vigore la fase successiva del regolamento. È tempo di fare un bilancio onesto: cosa vale, chi è interessato, cosa ci aspetta.
In sintesi
- Il Data Act (Regolamento (UE) 2023/2854) è direttamente applicabile in tutti gli Stati membri dell’UE dal 12 settembre 2025 (art. 50).
- Già in vigore: chi vende prodotti connessi deve informare gli acquirenti sui dati generati dal prodotto prima della conclusione del contratto (art. 3, comma 2) – l’obbligo ricade sul venditore, non solo sul produttore.
- A partire dal 12 settembre 2026: i prodotti connessi immessi per la prima volta sul mercato devono essere progettati in modo tale che gli utenti possano accedere direttamente ai propri dati («accessibilità fin dalla progettazione», art. 3, comma 1) – questo riguarda principalmente i produttori.
- Per ogni rivenditore in qualità di cliente cloud: il passaggio da servizi di hosting, SaaS e cloud diventa più semplice (preavviso massimo di 2 mesi, esportazione dei dati regolamentata, art. 25); i costi di trasferimento saranno completamente aboliti a partire dal 12 gennaio 2027 (art. 29).
- Germania: dal 30 maggio 2026 è in vigore la legge di attuazione (DADG); l’autorità competente e l’organismo di reclamo è l’ Agenzia federale delle reti.
- Il Data Act non è una normativa sulla protezione dei dati: per quanto riguarda i dati personali, il GDPR continua ad applicarsi senza modifiche.
Che cos’è il Data Act e chi riguarda nel commercio online?
Il Data Act disciplina a chi appartengono i dati generati dai dispositivi connessi durante il loro funzionamento – dai fitness tracker alle macchine da caffè intelligenti fino ai localizzatori GPS – e a quali condizioni i clienti del cloud possono cambiare fornitore. Per i commercianti online ci sono esattamente due ruoli rilevanti: in qualità di venditori di prodotti connessi, devono adempiere ai propri obblighi di informazione (ne parleremo tra poco). In qualità di clienti di servizi di hosting, SaaS e cloud, beneficiano di nuovi diritti di cambio fornitore: in questo caso il commerciante è il beneficiario, non il soggetto obbligato. Per chi non vende prodotti connessi né stipula contratti relativi ai dati con altre aziende, il Data Act cambia ben poco nell’attività quotidiana: è bene precisarlo fin da subito.
Quali sono gli obblighi dei commercianti che vendono prodotti connessi?
La norma più importante nella quotidianità del negozio online è in vigore dal 12 settembre 2025 – e ancora oggi viene spesso trascurata: ai sensi dell’art. 3, comma 2, del Data Act, il venditore («che può essere anche il produttore») deve comunicare all’acquirente di un prodotto connesso, in modo chiaro e comprensibile, prima della conclusione del contratto: quali dati relativi al prodotto vengono generati dal dispositivo, in quale formato e in che misura; se genera dati in modo continuo e in tempo reale; se e per quanto tempo memorizza i dati sul dispositivo o su un server; e in che modo l’utente può accedere a tali dati, recuperarli ed eliminarli. Ciò riguarda anche i semplici rivenditori: chi mette in vendita dispositivi per la casa intelligente, dispositivi indossabili, localizzatori GPS o elettrodomestici intelligenti dovrebbe richiedere queste informazioni al produttore e renderle disponibili sulla pagina del prodotto – nel XONIC Shop System sono disponibili a tal fine schede di prodotto o campi aggiuntivi, in modo che le informazioni siano visibili prima dell’acquisto. Un’agevolazione, tra l’altro, è legata al produttore e non alle dimensioni del negozio: i dati relativi a prodotti realizzati da microimprese o piccole imprese sono esenti dagli obblighi di trasmissione dei dati previsti dal capitolo (art. 7).
Cosa cambierà il 12 settembre 2026?
A partire dal 12 settembre 2026 entrerà in vigore il livello di progettazione: i prodotti connessi e i servizi associati immessi sul mercato dopo tale data dovranno essere progettati in modo tale che gli utenti possano accedere ai dati generati «in modo semplice, sicuro e gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico» e – nella misura in cui ciò sia tecnicamente fattibile – direttamente (art. 3, comma 1, in combinato disposto con l’art. 50). Questo obbligo riguarda in primo luogo i produttori e gli importatori, non i rivenditori. In pratica, per i rivenditori ciò significa che, per i prodotti nuovi che entreranno a far parte dell’assortimento a partire dall’autunno 2026, le schede tecniche dei fornitori dovrebbero includere fin da subito le informazioni relative all’accesso ai dati: chi le richiede sistematicamente al momento dell’acquisto adempie, di fatto, anche al proprio obbligo di informazione di cui all’art. 3, comma 2.
Quali vantaggi offre il Data Act a ogni rivenditore in qualità di cliente cloud?
Il secondo aspetto del Data Act è rilevante per ogni rivenditore che utilizza servizi di hosting, un sistema di negozio SaaS, un sistema di gestione delle scorte nel cloud o uno spazio di archiviazione online: i fornitori di servizi di trattamento dei dati devono rendere possibile, sia dal punto di vista contrattuale che tecnico, il passaggio a un altro fornitore (o alla propria infrastruttura) – con un preavviso massimo di due mesi per l’avvio del passaggio, un periodo di transizione regolamentato, un periodo di recupero dei dati di almeno 30 giorni successivi e la cancellazione garantita una volta completato il trasferimento (art. 25). Già oggi i costi di trasferimento possono essere addebitati solo in misura ridotta, a copertura dei costi effettivi, mentre a partire dal 12 gennaio 2027 non potranno più essere addebitati (art. 29). Particolarmente rilevante dal punto di vista pratico: tra i costi di trasferimento rientrano espressamente anche i costi di estrazione dei dati – le tanto discusse tariffe di uscita per il download dei propri dati (art. 2 n. 36). Le tariffe di utilizzo regolari e le penali concordate in caso di recesso anticipato rimangono invariate. Sono contemplati tutti i modelli di fornitura, compresi i sistemi di e-commerce SaaS, la gestione delle scorte nel cloud e i servizi di posta elettronica in hosting. Chi si sente vincolato dal proprio attuale fornitore ha così, per la prima volta, un diritto di recesso esigibile che include l’esportazione dei dati – e, in caso di problemi, un punto di riferimento (vedi sotto). Indipendentemente da ciò, già in fase di scelta del sistema vale la pena verificare in quali formati è possibile esportare prodotti, clienti e ordini.
Chi garantisce l’applicazione del Data Act in Germania – e quali sono le conseguenze in caso di violazioni?
Dal 30 maggio 2026 è in vigore la legge di attuazione tedesca, la «Gesetz zur Anwendung und Durchsetzung der Datenschutzverordnung» (DADG). L’autorità competente è l’Agenzia federale delle reti: funge da punto di riferimento centrale, informa il pubblico, esercita la vigilanza a livello nazionale e gestisce un portale per i reclami – ciò è interessante anche per i commercianti che, in qualità di clienti cloud, incontrano ostacoli nel cambiare fornitore. Per i dati personali, la competenza rimane del Commissario federale per la protezione dei dati e la libertà di informazione (§ 16 DADG).
Il catalogo delle sanzioni della DADG (§ 15) è graduato: fino a 5 milioni di euro per incentivi illeciti relativi ai dati rivolti agli utenti (per le imprese con un fatturato complessivo superiore a 250 milioni di euro, in alternativa fino al 2% del fatturato complessivo), fino a 500.000 € tra l’altro per violazioni dell’obbligo di progettazione di cui all’art. 3, comma 1, e degli obblighi di messa a disposizione dei dati, fino a 100.000 € e 50.000 € per le restanti fattispecie. Da notare per il settore commerciale: l’obbligo di informazione precontrattuale del venditore di cui all’art. 3, comma 2, non è menzionato in questo elenco – pertanto, i commercianti non rischiano direttamente una sanzione amministrativa per tale violazione. Ciò non significa però che l’obbligo sia privo di conseguenze: la letteratura specialistica lo classifica come norma di comportamento di mercato, la cui violazione può essere oggetto di diffida da parte dei concorrenti e delle associazioni ai sensi del diritto della concorrenza. Il rischio pratico per gli operatori commerciali risiede quindi meno nelle autorità che nella concorrenza.
Data Act e GDPR: cosa vale per i dati personali?
Il Data Act è una normativa sull’economia dei dati, non una normativa sulla protezione dei dati. Non appena i dati relativi ai prodotti sono di carattere personale – cosa che spesso si verifica nel caso di dispositivi utilizzati dai clienti finali –, il GDPR continua ad applicarsi senza modifiche: le basi giuridiche, i diritti degli interessati e gli obblighi di cancellazione rimangono invariati; il Data Act non introduce alcuna nuova autorizzazione al trattamento. Per i gestori di negozi online non cambia quindi nulla rispetto alle attuali procedure di protezione dei dati; i due quadri normativi sono complementari. Abbiamo riassunto gli aspetti fondamentali di un sistema di negozio online conforme alla protezione dei dati nel nostro articolo «Sistema di negozio online conforme al GDPR ».
La cronologia del Data Act
| Data | Disposizione |
|---|---|
| 11/01/2024 | Entrata in vigore del regolamento (UE) 2023/2854. |
| dal 12/09/2025 | Il Data Act si applica direttamente (art. 50): tra l’altro, obblighi di informazione precontrattuali nella vendita di prodotti connessi (art. 3, comma 2), diritti di accesso ai dati da parte degli utenti, diritti di cambio di cloud (cap. VI), divieto di clausole abusive in materia di dati per i contratti B2B di nuova stipula (cap. IV). |
| dal 30/05/2026 | Entra in vigore la legge di attuazione tedesca (DADG): l’Agenzia federale delle reti come autorità competente e organo di reclamo, sanzioni pecuniarie graduate. |
| dal 12/09/2026 | «Accessibilità by design»: i prodotti connessi e i servizi associati di nuova immissione sul mercato devono garantire l’accesso diretto ai dati (art. 3, comma 1, in combinato disposto con l’art. 50). |
| dal 12 gennaio 2027 | Totale divieto delle spese di trasferimento in caso di cambio di fornitore di servizi di elaborazione dati (art. 29, comma 1). |
| dal 12/09/2027 | Le norme sulle clausole di cui al capitolo IV si applicano anche ai contratti preesistenti (stipulati fino al 12/09/2025), purché a tempo indeterminato o con durata almeno fino al 2034 (art. 50). |
Cosa dovrebbero fare ora i rivenditori?
- Esaminare l’assortimento: quali articoli sono «prodotti connessi» ai sensi del Data Act (dispositivi in grado di raccogliere e trasmettere dati di utilizzo o ambientali)? Esempi tipici: dispositivi per la casa intelligente, dispositivi indossabili, localizzatori GPS, elettrodomestici e attrezzi da giardino intelligenti, utensili connessi.
- Richiedere le informazioni al produttore: per questi articoli, richiedere al fornitore le informazioni sui dati ai sensi dell’art. 3, comma 2, e renderle disponibili sulla pagina del prodotto – l’obbligo è già in vigore.
- Acquisti a partire dall’autunno 2026: per i prodotti nuovi, prestare attenzione alla fase di progettazione – in futuro, le schede tecniche dei prodotti dovrebbero contenere di norma le informazioni relative all’accesso ai dati.
- Verificare i contratti cloud: i termini di preavviso superiori a due mesi e le spese forfettarie di trasferimento non sono più ammessi per i servizi di trattamento dei dati; a partire dal 12 gennaio 2027 non potranno più essere addebitate spese di trasferimento.
- Lasciare invariati i processi relativi al GDPR: il Data Act non sostituisce gli obblighi in materia di protezione dei dati e non crea una nuova base giuridica.
Nota: il presente articolo non costituisce una consulenza legale (aggiornato alla data di chiusura della redazione). Per informazioni vincolanti relative alla vostra specifica gamma di prodotti e ai vostri contratti, rivolgetevi a studi legali specializzati e alle Camere di Commercio e dell’Industria.
Domande frequenti sul Data Act
Fonti
- Regolamento (UE) 2023/2854 (Data Act) – EUR-Lex (fonte primaria, in particolare gli articoli 3, 25, 29, 40, 50)
- Commissione europea: Regolamento sui dati (Data Act)
- Legge sull’applicazione e l’esecuzione del regolamento sui dati (DADG), BGBl. 2026 I n. 157
- Agenzia federale delle reti: Data Act – Informazioni e portale per i reclami
