A chi appartengono i dati IoT?

Una scadenza fra dieci giorni

Il 12 settembre 2026 entra in applicazione l'ultimo tassello importante del Data Act europeo — il regolamento (UE) 2023/2854. Da quella data ogni prodotto connesso messo a disposizione sul mercato europeo dovrà essere progettato in modo che i dati generati siano accessibili a chi lo utilizza.

Non accessibili su richiesta. Non accessibili dopo un ticket all'assistenza e sei settimane di attesa. Accessibili per impostazione predefinita, in un formato strutturato e leggibile da una macchina, e a titolo gratuito.

Il resto del Data Act si applica dal 12 settembre 2025. La novità è che «bisognerebbe rifare il firmware» smette di essere un argomento valido per i nuovi prodotti. Se lo immettete sul mercato europeo dopo questa data, l'accesso va previsto fin dalla progettazione.

Che cosa si intende per prodotto connesso

Il perimetro è più ampio di quanto si immagini. Il regolamento riguarda qualsiasi prodotto fisico che ottiene, genera o raccoglie dati sul proprio utilizzo, sulle proprie prestazioni o sull'ambiente circostante, e che li comunica — tramite una rete, una connessione fisica o un accesso sul dispositivo stesso.

In concreto: macchinari industriali, veicoli connessi, dispositivi medici e per il benessere, indossabili, sistemi di gestione degli edifici, elettronica di bordo, attrezzature per cucine professionali e una lunga coda di normale hardware aziendale che registra silenziosamente telemetria.

Sono coperti anche i servizi correlati: lo strato digitale esplicitamente legato al funzionamento del prodotto e in grado di influenzarne il comportamento. Diagnostica da remoto, manutenzione predittiva, navigazione, cruscotti di flotta — rientrano nell'ambito insieme all'hardware.

Un limite importante: l'obbligo riguarda i dati grezzi e pre-elaborati prontamente disponibili. I dati che avete realmente derivato o dedotto grazie ai vostri investimenti — modelli di scoring, output analitici, know-how proprietario — non sono ciò che il regolamento vi chiede di consegnare.

Che cosa richiede davvero l'accesso «fin dalla progettazione»

L'articolo 3, paragrafo 1, detta la regola di progettazione: ove pertinente e tecnicamente fattibile, i dati del prodotto e del servizio correlato devono essere direttamente disponibili per l'utente, in modo semplice, sicuro e completo, in un formato strutturato e leggibile da una macchina — e, ove pertinente, in modo continuo e in tempo reale.

L'articolo 3 impone anche un obbligo di trasparenza che opera prima della vendita. L'acquirente deve sapere in anticipo tipo, formato e volume dei dati generati, come accedervi, chi è il titolare dei dati e come contattarlo, se terzi riceveranno i dati, dove presentare reclamo e come si chiude il rapporto.

L'articolo 4 attribuisce all'utente un diritto di accesso gratuito. L'articolo 5 gli consente di ordinare al titolare dei dati di trasmetterli a un terzo di sua scelta — la disposizione che rimodellerà davvero il mercato dell'assistenza post-vendita.

Per la maggior parte delle imprese l'esercizio è meno di redazione giuridica e più di ingegneria e sviluppo web: un'API, una via di esportazione, un portale autenticato e una documentazione onesta di ciò che il dispositivo registra.

Monaco non è nell'UE — chi è quindi coinvolto

Monaco non è uno Stato membro dell'Unione europea e il Data Act non è diritto monegasco. Non si applica a un'operazione puramente interna fra due imprese del Principato.

Ma l'ambito del regolamento segue il mercato, non il fabbricante. Riguarda i prodotti connessi e i servizi correlati messi a disposizione sul mercato dell'Unione, indipendentemente dal luogo di stabilimento del fornitore. Una società iscritta a Monaco che vende o noleggia apparecchiature connesse a clienti in Francia, in Italia o altrove nell'Unione rientra nell'ambito per quei prodotti.

Quando sono in gioco dati personali, si applica in parallelo il regime monegasco della legge n. 1.565 del 3 dicembre 2024, sotto la vigilanza dell'APDP: i due quadri convivono anziché sostituirsi, e la mappatura dei dati che serve comunque per la conformità in materia di protezione dei dati copre già gran parte del percorso.

Le sanzioni sono stabilite da ciascuno Stato membro, non a livello centrale. Quando la violazione tocca anche dati personali, le autorità di controllo possono ricorrere a sanzioni di livello GDPR — fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. È un tetto, non una previsione, ma dà la misura.

Quello che la maggior parte delle imprese monegasche non vede

Leggere il Data Act solo come un onere significa perdere la metà che gioca a vostro favore. La maggior parte delle imprese del Principato non fabbrica dispositivi: li utilizza, e il regolamento ne fa dei beneficiari.

Pensate a ciò che un'attività a Monaco già gestisce: gestione tecnica dell'edificio e climatizzazione, ascensori, colonnine di ricarica, terminali di pagamento, refrigerazione in un ristorante, navigazione e monitoraggio connessi a bordo di un'imbarcazione. Ognuno di questi sistemi produce dati che finora sono circolati in un'unica direzione — verso il fornitore, che poi vi rivende l'analisi.

Dal 12 settembre 2025 potete già esigere quei dati. Dal 2026 le nuove apparecchiature dovranno essere costruite perché possiate raggiungerli. E l'articolo 5 vi permette di indirizzarli a un manutentore indipendente anziché al fornitore originario. Per il settore nautico e per quello immobiliare in particolare — dove i contratti di servizio sono lunghi, costosi e difficili da abbandonare — è una leva commerciale concreta. Le realtà dello yachting e della gestione di asset connessi dovrebbero rileggere i contratti con i fornitori adesso, non nel 2027.

C'è un'altra data da segnare. L'articolo 13 priva di effetto le clausole B2B abusive imposte unilateralmente in materia di accesso e uso dei dati. Dal 12 settembre 2027 questo controllo raggiungerà anche i contratti di lunga durata già in essere — quelli a tempo indeterminato o con scadenza oltre il gennaio 2034. Un contratto firmato oggi non dovrebbe dare per scontato che la clausola sui dati del fornitore sia definitiva.

Che cosa fare prima della scadenza

Se vendete prodotti connessi nell'Unione: inventariate ciò che i vostri dispositivi registrano davvero, distinguete fra dato grezzo e dato realmente derivato, definite la via di accesso e riscrivete la documentazione precontrattuale. L'ingegneria richiede quasi sempre più tempo della carta.

Se acquistate apparecchiature connesse: elencate i fornitori, chiedete a ciascuno per iscritto come accedere ai vostri dati e verificate che cosa prevede il contratto in corso prima di rinnovarlo. Già solo questo esercizio spesso si ripaga.

In entrambi i casi si tratta prima di architettura dei dati e solo dopo di diritto, e rientra nella stessa conversazione della vostra strategia digitale complessiva.

Una precisazione necessaria: questa è una sintesi, non una consulenza legale. Il Data Act si intreccia con norme settoriali, con il diritto della protezione dei dati e con i vostri contratti in modi che dipendono dalla situazione concreta, e i dettagli applicativi variano da uno Stato membro all'altro. Quando la risposta incide sulla roadmap di prodotto o sui rapporti con i fornitori, fatela confermare da un legale qualificato.

Se a Monaco costruite, vendete o dipendete da prodotti connessi e non sapete da che parte vi collocate, contattateci — lo mappiamo insieme.