Per anni abbiamo parlato di privacy come se il problema fosse solo “proteggere” i dati. Oggi, però, la domanda è diventata più complessa: chi può accedere ai dati? Chi può usarli? Chi li deve condividere? E con quali limiti?

È qui che entra in gioco il Data Act, una delle norme europee più importanti per la nuova economia dei dati. Il tema non riguarda solo le grandi aziende tecnologiche. Riguarda anche chi utilizza prodotti connessi, software, piattaforme cloud, macchinari intelligenti, dispositivi IoT, servizi digitali e sistemi che generano informazioni utili al business.

In questo scenario il DPO non è chiamato solo a “proteggere la privacy”. Deve aiutare l’azienda a capire quando quei dati sono personali, quando sono industriali, quando possono essere condivisi, quando no, e quali regole servono per evitare confusione tra GDPR, contratti e interessi commerciali.

Perché il Data Act interessa anche al DPO

A prima vista il Data Act sembra parlare più di mercato, concorrenza e accesso ai dati che di privacy. In realtà, per il DPO è un tema molto vicino.

Il motivo è semplice: tanti dati generati da prodotti connessi o servizi digitali possono essere anche dati personali, direttamente o indirettamente. Pensiamo a un dispositivo wearable, a un veicolo connesso, a un macchinario industriale usato da un operatore identificabile, a una piattaforma che raccoglie log di utilizzo o performance.

Quando il dato è personale, il GDPR continua ad applicarsi. Quindi il Data Act può aprire nuove possibilità di accesso e condivisione, ma non cancella i principi privacy: base giuridica, minimizzazione, trasparenza, sicurezza, diritti degli interessati.

Il DPO serve proprio per evitare l’errore più pericoloso: pensare che “se il dato è accessibile, allora è automaticamente utilizzabile”.

Il nuovo problema: i dati non stanno più fermi

Una volta era più semplice: i dati venivano raccolti da un’azienda, conservati in un database e usati per una finalità abbastanza chiara. Oggi i dati viaggiano molto di più.

Un prodotto connesso può generare dati per il produttore, per l’utilizzatore, per il manutentore, per un fornitore cloud, per un’app collegata e magari per un soggetto terzo che offre servizi aggiuntivi. In mezzo ci sono contratti, API, dashboard, export, log, sub-fornitori.

Qui il DPO deve fare una cosa apparentemente banale ma decisiva: aiutare l’azienda a disegnare la mappa dei flussi. Non solo “dove sono i dati”, ma chi li genera, chi li riceve, per quale motivo, con quale ruolo e per quanto tempo.

Senza questa mappa, ogni richiesta di accesso o condivisione diventa improvvisazione.

Data Act e GDPR: non sono nemici, ma vanno fatti parlare

Il Data Act punta a rendere più equo l’accesso ai dati, soprattutto nei contesti in cui chi usa un prodotto connesso rischia di non poter sfruttare i dati che quel prodotto genera. Il GDPR, invece, tutela le persone quando quei dati permettono di identificarle o riguardano il loro comportamento.

Il punto non è scegliere una norma contro l’altra. Il punto è farle convivere.

Esempio pratico: un’azienda chiede accesso ai dati generati da un macchinario connesso per ottimizzare manutenzione e consumi. Se quei dati includono anche informazioni riconducibili agli operatori, il DPO dovrà chiedere: serve davvero il dettaglio individuale? Possiamo aggregare? Possiamo pseudonimizzare? Chi potrà vedere i dati? Per quanto tempo?

Queste domande non rallentano il progetto. Lo rendono più solido.

Il rischio delle richieste “troppo larghe”

Con il Data Act aumenteranno le richieste di accesso, portabilità e condivisione dei dati. Alcune saranno legittime e utili. Altre saranno troppo generiche.

Qui il DPO aiuta a evitare due estremi: dire sempre sì senza valutare, oppure dire sempre no per paura.

La strada giusta è costruire un processo: identificare il richiedente, capire il perimetro dei dati, verificare se ci sono dati personali, controllare contratti e segreti commerciali, definire misure tecniche, registrare la decisione.

Il punto non è bloccare l’accesso ai dati. Il punto è governarlo.

Contratti, fornitori e cloud: dove si gioca la partita

Il Data Act non vive solo nei documenti legali. Vive nei contratti con fornitori, produttori, piattaforme cloud e partner tecnologici.

Molte aziende scopriranno che non hanno pieno controllo sui dati generati dai propri strumenti. Oppure che i contratti non spiegano bene chi può usare cosa. Oppure ancora che i dati sono tecnicamente accessibili, ma in un formato poco utile.

Il DPO, insieme a legal, IT e procurement, dovrebbe verificare almeno tre aspetti: ruoli privacy, misure di sicurezza e condizioni di condivisione. Se il fornitore tratta dati personali per conto dell’azienda, serve un DPA coerente. Se ci sono trasferimenti extra-UE, serve una valutazione. Se il dato viene condiviso con terzi, serve chiarezza sulle finalità. (Commissione Europea — Data Act explained)

Il vero problema non è avere tanti fornitori. È non sapere cosa fanno con i dati.

Il DPO come traduttore tra privacy, business e tecnologia

Questo è uno dei casi in cui il DPO deve parlare tre lingue.

Deve capire il linguaggio del business, perché i dati hanno valore. Deve capire il linguaggio della tecnologia, perché i dati passano da API, cloud, dispositivi e log. E deve tradurre tutto nel linguaggio della governance: ruoli, basi giuridiche, informative, controlli, accountability.

Quando funziona, il DPO non è quello che arriva a dire “non si può”. È quello che aiuta a dire: “si può fare così, con questi limiti e queste garanzie”.

Cosa fare subito in azienda

Il primo passo è creare un inventario dei prodotti, piattaforme e servizi che generano dati. Non solo dati personali: tutti i dati rilevanti. Poi bisogna capire quali di questi possono diventare personali, anche indirettamente.

Il secondo passo è rivedere i contratti principali, soprattutto con fornitori cloud, software, piattaforme IoT e servizi collegati.

Il terzo passo è costruire una procedura per le richieste di accesso o condivisione: chi le riceve, chi le valuta, quali controlli si fanno, come si documenta la risposta.

Il quarto passo è aggiornare informative e policy interne quando i flussi cambiano.

Non serve fare tutto in una settimana. Serve iniziare con ordine.

Errori da evitare

Il primo errore è pensare che il Data Act riguardi solo “i produttori di dispositivi”. In realtà può toccare anche utilizzatori, fornitori, integratori e aziende che basano processi su prodotti connessi.

Il secondo errore è separare troppo Data Act e GDPR. Se il dato può riguardare persone fisiche, il DPO deve essere coinvolto.

Il terzo errore è sottovalutare i contratti: molte risposte alle domande operative stanno lì, non nei principi astratti.

Il quarto errore è non documentare le decisioni. Se concedi o neghi un accesso ai dati, devi poter spiegare perché.

Conclusione

Il Data Act cambia il modo in cui le aziende devono pensare ai dati: non più solo come qualcosa da custodire, ma come qualcosa che può circolare, creare valore e generare nuove responsabilità.

Per il DPO è una sfida interessante: aiutare l’azienda a non confondere accesso con libertà totale, condivisione con perdita di controllo, innovazione con improvvisazione.

Se vuoi capire come preparare la tua organizzazione al Data Act, mappare i flussi e allineare GDPR, contratti e fornitori, contatta il DPO Alessandro Simonassi (P.I. Computers) tramite il form: https://picomputers.it/contatti/