Data Act: il segreto commerciale non protegge chi non lo ha mappato

Uno scenario tipico, non il caso di un’azienda reale. Il produttore di una macchina utensile connessa riceve, a ottobre 2026, la prima richiesta di accesso ai dati di processo: cicli, parametri di taratura, soglie di allarme. Risponde con la frase che crede gli basti — «sono dati coperti da segreto industriale» — e scopre che non basta. Il regolamento (UE) 2023/2854 (Data Act) non chiede di dichiarare il segreto quando arriva la richiesta. Chiede di averlo già mappato prima.

La data riguarda i prodotti nuovi, non il parco installato

Il Data Act si applica dal 12 settembre 2025. Ma l’obbligo che tocca la progettazione — dati accessibili all’utente «per impostazione predefinita», art. 3, paragrafo 1 — ha una data propria e successiva: l’art. 50, terzo comma, è netto — «L’obbligo derivante dall’articolo 3, paragrafo 1, si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo il 12 settembre 2026».

È la distinzione che quasi tutti sbagliano: la scadenza riguarda i prodotti che escono dalla fabbrica dopo quel giorno, non il parco già installato. Un macchinario venduto a marzo 2026 non va richiamato né aggiornato: l’obbligo vale prodotto per prodotto, da quando nasce. Chi ha un parco installato non ha un obbligo retroattivo — e non va allarmato per una scadenza che non lo riguarda.

I tre passaggi, in scala

L’articolo 4 disciplina il caso in cui, fra i dati che l’utente ha diritto di ricevere, ci siano informazioni che il titolare dei dati considera segreto commerciale. Non è una facoltà generica di dire di no: sono tre passaggi distinti, e ognuno presuppone che il precedente sia stato fatto.

Primo: individuare e concordare, prima della comunicazione. Il paragrafo 6 non lascia margine: «I segreti commerciali sono conservati e comunicati solo a condizione che prima della comunicazione il titolare dei dati e l’utente adottino tutte le misure necessarie per tutelarne la riservatezza». Precisa anche chi: il titolare dei dati o, se diverso, il detentore del segreto, «individua i dati protetti quali segreti commerciali, anche nei pertinenti metadati, e concorda con l’utente le misure tecniche e organizzative proporzionate». Due compiti, non uno: sapere cosa è segreto, voce per voce e metadati compresi, e concordarne la protezione con l’utente.

Secondo: bloccare, con l’autorità che lo sa. Se le misure non si concordano, o l’utente non le rispetta, il paragrafo 7 consente di «bloccare o, se del caso, sospendere la condivisione dei dati identificati come segreti commerciali». Non è un blocco silenzioso: la decisione «è debitamente motivata e fornita all’utente per iscritto e senza indebito ritardo», e il titolare dei dati «notifica all’autorità competente designata a norma dell’articolo 37» di aver bloccato, indicando quali misure non sono state concordate o attuate.

Terzo: rifiutare, ma di volta in volta. Solo in circostanze eccezionali, quando il titolare «possa dimostrare che subirà molto probabilmente gravi danni economici a causa della divulgazione», il paragrafo 8 gli consente di rifiutare l’accesso — «di volta in volta», non come regola generale, con la dimostrazione motivata «sulla base di elementi oggettivi». E anche il rifiuto genera una traccia: il testo integrale del paragrafo, oltre l’estratto più citato, aggiunge che chi rifiuta in questo modo notifica comunque l’autorità ex art. 37 — la stessa notifica prevista per chi blocca.

Perché tutto poggia sul primo passaggio

Chi arriva alla richiesta senza aver mai fatto il lavoro del paragrafo 6 non ha niente da concordare: non può proporre misure su un perimetro che non ha scritto, perché non sa con precisione cosa protegge — quali grandezze di processo, quali soglie di allarme, quali log sono know-how e quali sono semplice telemetria che l’utente ha comunque diritto a ricevere. Il testo nomina un livello che quasi nessuno guarda per primo: i metadati — non solo il valore del sensore, ma il nome del campo, la frequenza di campionamento.

È lo stesso esercizio che serve a dimostrare le «misure ragionevolmente adeguate» della disciplina sui segreti commerciali in un’eventuale causa civile — ne abbiamo scritto qui: un perimetro scritto e datato di cosa è segreto. Chi lo ha già fatto per reggere in giudizio arriva pronto anche davanti a una richiesta ex Data Act; chi non lo ha mai fatto scopre di avere due debiti aperti, non uno.

Il blocco costruisce un archivio, non lo evita

Il paragrafo 7 toglie la scelta più comoda — ignorare la richiesta, o rispondere con un diniego generico. Impone due comunicazioni scritte: la motivazione all’utente, e la notifica all’autorità. Bloccare senza aver prima concordato nulla non chiude il problema: lo sposta su un tavolo dove qualcun altro guarda.

C’è una conseguenza di secondo ordine. Ogni notifica ex art. 37 costruisce, presso l’autorità competente, uno storico di chi blocca, quante volte e con quali motivazioni — la stessa autorità a cui l’art. 37, paragrafo 5, lettera b), assegna il compito di trattare i reclami «anche in relazione a segreti commerciali». Un fornitore che blocca spesso, magari perché non ha mai fatto la mappatura del paragrafo 6, smette di essere un caso isolato e diventa un pattern visibile a chi vigila.

Il rifiuto vale per la richiesta, non per il prodotto

Il paragrafo 8 non offre una via d’uscita strutturale: «di volta in volta» significa che non esiste una policy che dichiara un’intera categoria di dati sempre riservata. Ogni richiesta va motivata per sé, sulla base di criteri che il testo elenca — l’applicabilità della protezione nei paesi terzi, la natura e il livello di riservatezza dei dati, «l’unicità e la novità del prodotto connesso».

Quest’ultimo criterio merita attenzione: un prodotto maturo, con concorrenti che offrono già soluzioni comparabili, ha oggettivamente meno novità da difendere di uno appena lanciato. La finestra in cui il rifiuto poggia su basi solide è quella subito dopo il lancio, non quella in cui il prodotto è già maturo — un incentivo implicito che vale la pena riconoscere.

Verso un terzo, e chi decide le contestazioni

Il meccanismo si ripete quasi identico all’articolo 5, sul diritto dell’utente di condividere i dati con un terzo — un manutentore, un assicuratore: i paragrafi 9-11 riproducono la stessa sequenza. Una differenza tecnica: la condivisione con il terzo è ammessa «solo nella misura in cui tale divulgazione è strettamente necessaria per conseguire la finalità concordata tra l’utente e il terzo» — una stretta necessità che il paragrafo 6 dell’art. 4 non impone allo stesso modo. Verso un terzo, il perimetro da giustificare è più stretto.

Chi decide una contestazione? L’art. 37 impone a ogni Stato membro di designare una o più autorità competenti, con poteri che includono reclami e indagini. In Italia il decreto di designazione non ci risulta adottato — non ne abbiamo trovato traccia su fonte primaria alla data di questo articolo — lo segnalavamo già a luglio —, ma il regolamento è direttamente applicabile, e gli obblighi di notifica restano comunque in vigore.

Il rovescio, e come lo mettiamo in esercizio

Il Data Act non svuota il segreto commerciale: lo procedimentalizza, riconoscendo esplicitamente il rischio di danno economico grave. Chi legge il regolamento come «dovete dare tutto» sbaglia quanto chi lo legge come «basta scrivere riservato». Fra le due letture sbagliate c’è il lavoro fatto prima — e per un’organizzazione con più linee di prodotto e più fornitori che detengono segreti propri, non è un foglio aggiornato a mano quando arriva una richiesta.

È il controllo che mettiamo in esercizio: la mappatura di quali dati e metadati sono segreto commerciale su ciascun prodotto, le misure concordate con ciascun utente, le motivazioni scritte di ogni blocco e le notifiche all’autorità diventano una traccia con data, richiesta ed esito — pronta da esibire a un’ispezione, non un parere chiuso in un documento firmato una volta. Lo stesso impianto tiene insieme anche il resto dei dati dell’organizzazione — impianti, archivi, gestionali, sensori, documenti, contratti — in un modello operativo unico su cui agenti AI eseguono decisioni con un operatore al comando: per grandi imprese, difesa, pubblica amministrazione e sanità la conformità è la porta d’ingresso, non il punto d’arrivo. Entrambe le modalità — on-premise su macchine autonome senza integrazione profonda nella rete del cliente, o cloud dedicato con VPN e data center in Italia, presidiato da noi —, gestione condivisa, impianti multimodello: siamo già sul campo, con sistemi in esercizio in diverse realtà enterprise e non solo.

Sapreste dire oggi, prodotto per prodotto, quali dati e quali metadati sono segreto commerciale — e con quali misure li avete concordati? Mezz’ora con un nostro esperto basta per la prima mappa.