In termini generali, il Data Act costituisce un passaggio fondamentale della European Data Strategy, con le finalità di rinnovare e rafforzare il mercato dei dati e garantire un maggiore controllo degli stessi, anche tramite un rafforzamento dei diritti degli utenti.
Come si evince, il Data Act non è un provvedimento recente: è stato deliberato ormai quasi due anni fa e l’art. 50, primo periodo ne prevede l’entrata in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta Ufficiale dell’Unione Europea, avvenuta il 22 dicembre 2023.
Si tratta, tuttavia, di un atto a efficacia differita: tale circostanza è espressamente prevista sempre dall’art. 50, il quale stabilisce – oltre al dies a quo del 12 settembre 2025 – ulteriori termini di applicazione futuri in relazione a specifici capi, che dunque produrranno effetti solo dai prossimi anni. Le ragioni di tale meccanismo differito sono da rinvenirsi nella necessità di offrire alle imprese interessate una finestra di tempo sufficiente a dotarsi degli strumenti adeguati al Regolamento.
Fulcro del Data Act è l’obbligo di rendere disponibili agli utenti dei dispositivi connessi (ovvero a terzi da loro scelti) i dati generati o comunque raccolti dai dispositivi medesimi. L’obbligo in questione può gravare non solo sul produttore, ma anche sul cosiddetto data holder, e cioè il soggetto che concretamente detiene il controllo agli accessi ai dati.
Tale obbligo incontra poche e limitate eccezioni, tra le quali la tutela dei segreti commerciali; pur non escludendone espressamente l’obbligo di condivisione, infatti, il Data Act garantisce che tale tutela sia protetta. Inoltre, è concesso al data holder di rifiutare una richiesta di condivisione dei dati qualora questi contengano segreti commerciali, purché fornisca debita prova che tale condivisione comporterebbe un grave danno economico.
Va tuttavia rilevato che il Data Act non fornisce una definizione di segreto commerciale, rimandando alla normativa vigente.
Per il suo ambito di applicazione, il Data Act può avere ampie ricadute pratiche soprattutto in ambito sanitario: i dispositivi medico-sanitari digitali, infatti, generano quotidianamente o comunque contengono una elevatissima quantità di dati, necessari quasi sempre per finalità terapeutiche.
Una prima importante conseguenza è sui produttori di dispositivi medici e di altri dispositivi connessi, i quali dovranno garantire che i prodotti siano progettati per consentire la condivisione dei dati con gli utenti e con i terzi designati. Per i primi l’accesso dovrà essere gratuito, mentre per i secondi potrà essere previsto un corrispettivo purché ragionevole.
Altri significativi impatti potrebbero riguardare le certificazioni relative ai dispositivi medici e, sotto un profilo più strettamente legale, l’aggiornamento dei contratti per recepire le novità introdotte dal Data Act.
È chiaro che tale sistema non è del tutto privo di rischi, collegati soprattutto a un utilizzo maldestro ed errato di dati sanitari da parte di soggetti (primi tra tutti, spesso i pazienti medesimi) privi delle capacità e delle conoscenze necessarie per analizzarli.