Il Data Act europeo è una delle normative tecnologiche più rilevanti che l'Europa abbia approvato dai tempi del GDPR, e ha una scadenza che conta già ora. Dal 12 settembre 2026, i prodotti connessi immessi sul mercato dell'UE dovranno essere costruiti in modo che i dati che generano siano accessibili alle persone che li usano. Per chiunque lavori con i dati di localizzazione, non è un'astrazione giuridica lontana. I dati di posizione sono esattamente il tipo di dati generati dalle macchine di cui si occupa la normativa.
Questo articolo spiega cos'è il Data Act, in cosa differisce dal GDPR, perché i dati di localizzazione ne sono al centro e cosa comporta se sviluppi prodotti con un'API di mappe o di localizzazione.
Cosa regola davvero il Data Act
Il Data Act, formalmente Regulation (EU) 2023/2854, risponde a una domanda semplice che il GDPR non pone: chi può usare i dati che un prodotto connesso crea? Per anni la risposta è stata, in pratica, il produttore. Un macchinario, un veicolo o un sensore generava grandi volumi di dati, e quei dati tornavano a chi aveva costruito il dispositivo, spesso senza un modo semplice per l'utente di raggiungerli.
Il Data Act cambia questa impostazione predefinita. L'utente di un prodotto connesso, la persona o l'azienda che lo ha acquistato o preso in leasing, ha il diritto di accedere ai dati che genera e di condividerli con una terza parte di sua scelta. Il produttore non può più trattare quei dati come un bene esclusivo. La normativa introduce anche regole su condizioni contrattuali eque per la condivisione dei dati, tutele contro clausole inique imposte alle aziende più piccole e obblighi che rendono più facile passare da un provider cloud a un altro.
Un punto cruciale: la normativa copre sia i dati personali sia quelli non personali. È la parte che sfugge a molti. Il GDPR raggiunge solo i dati relativi a persone identificabili. Il Data Act raggiunge l'intero flusso che un dispositivo produce, che al suo interno un individuo sia identificabile o meno.
Data Act e GDPR: due leggi, un solo flusso di dati
La confusione più comune è che il Data Act in qualche modo sostituisca o annacqui il GDPR. Non fa né l'una né l'altra cosa. I due sono pensati per funzionare insieme e regolano cose diverse.
Il GDPR regola i dati personali: stabilisce le condizioni alle quali puoi raccogliere, trattare e condividere informazioni su persone identificabili. Il Data Act regola l'accesso e la portabilità dei dati generati dalle macchine: obbliga i produttori ad aprire i dati che i loro prodotti creano e consente agli utenti di spostarli altrove.
Dove si incontrano, si applicano entrambi. Prendi una traccia di localizzazione di un veicolo connesso. È generata da una macchina, quindi si applicano le regole di accesso e portabilità del Data Act. Identifica anche gli spostamenti di un conducente, quindi è un dato personale e si applica anche il GDPR. Una richiesta di condivisione ai sensi del Data Act non prevale mai sul GDPR: ti serve comunque una base giuridica, devi comunque le consuete garanzie e non puoi comunque consegnare dati personali a una terza parte in un modo che il GDPR vieterebbe. Il Data Act apre una porta; il GDPR decide ancora chi può attraversarla.
Perché i dati di localizzazione sono al centro
Di tutti i dati generati dai prodotti connessi, quelli di localizzazione sono tra i più preziosi e i più sensibili, ed è proprio per questo che rappresentano un caso di prova decisivo per la normativa.
Veicoli connessi, tracker di flotta, hardware di consegna, macchinari agricoli e innumerevoli sensori IoT producono un flusso continuo di dati di posizione. Ai sensi del Data Act, l'utente di quel prodotto ha il diritto di raggiungere quel flusso e di portarlo verso un servizio che preferisce. Un'azienda di logistica che usa l'hardware telematico di qualcun altro può richiedere i propri dati di movimento in una forma utilizzabile. Un agricoltore può portare i dati del macchinario a uno strumento di analisi indipendente. Un conducente può spostare la cronologia dei propri viaggi.
Per i team che costruiscono questi prodotti, tre obblighi passano da opzionali a strutturali:
- Accesso per impostazione predefinita. Da settembre 2026 un nuovo prodotto connesso deve essere progettato in modo che i dati che genera siano raggiungibili senza un processo su misura e ostruttivo.
- Portabilità. Gli utenti possono portare i propri dati altrove, il che significa che devono uscire in una forma che un altro sistema sia davvero in grado di importare.
- Interoperabilità. Dati che non possono essere compresi a valle non sono davvero portabili, quindi contano i formati aperti e i riferimenti stabili.
Nulla di tutto ciò è soddisfatto da un export proprietario che solo i tuoi strumenti sanno leggere. Una portabilità che dipende dal tuo lock-in non è portabilità.
Progettare un prodotto per gli obblighi del Data Act
I tre obblighi della normativa, accesso, portabilità e interoperabilità, si traducono in scelte ingegneristiche concrete. Falle bene mentre costruisci e l'obbligo non ti costa quasi nulla; adattale a posteriori dopo che un utente ha presentato una richiesta e costa moltissimo.
Costruisci il percorso di accesso prima che qualcuno lo chieda. Da settembre 2026 un nuovo prodotto connesso deve esporre i dati che genera per impostazione predefinita, non tramite un ticket di supporto e due settimane di attesa. Il momento più economico per progettare un endpoint pulito e documentato che restituisca a un utente i propri dati è mentre stai costruendo la funzionalità, non dopo che il diritto è stato esercitato.
Rendi l'export davvero portabile. Una portabilità che solo i tuoi strumenti sanno leggere non è portabilità. I dati che lasciano il tuo sistema come GeoJSON, uno standard aperto documentato, soddisfano l'obbligo di interoperabilità per costruzione; un blob proprietario è un reclamo in attesa di essere presentato. I formati aperti sono l'assicurazione più economica che la normativa offra.
Evita il lock-in su identificatori e geocodici. Quando trasformi un indirizzo in coordinate o assegni un ID a un luogo, preferisci riferimenti che un altro sistema possa risolvere, così che un utente che porta i propri dati verso un concorrente non arrivi con chiavi inutilizzabili. Vedi Cos'è un geocodice per capire perché il livello delle coordinate conta qui.
Una cosa che la normativa non risolve è quale ordinamento giuridico governi i dati in primo luogo. È una questione correlata ma distinta, la data sovereignty, e vale la pena deciderla in modo deliberato anziché per il caso di dove la tua API si trova a girare. La trattiamo in Data sovereignty e dati di localizzazione.
Come MapAtlas si inserisce nel Data Act
Il Data Act premia i dati aperti, portabili e non vincolati, ed è esattamente così che MapAtlas restituisce i risultati per impostazione predefinita. La nostra Geocoding API e la nostra Search API restituiscono coordinate e luoghi in formati aperti documentati anziché in un contenitore proprietario, così l'export che devi ai tuoi utenti ai sensi della normativa è qualcosa che hai già, non qualcosa da decodificare a ritroso in seguito.
Niente di tutto questo rende la conformità automatica. Il Data Act è soddisfatto dal modo in cui progetti il prodotto, redigi i contratti e governi i dati, non da un singolo fornitore. Ciò che fa la giusta infrastruttura è eliminare l'adattamento a posteriori: se il tuo livello di localizzazione è già aperto e portabile, gli obblighi più difficili della normativa sono soddisfatti alla fonte.
Per i mattoni di base, Cos'è il reverse geocoding tratta la trasformazione delle posizioni in indirizzi, Cos'è GeoJSON spiega il formato aperto che rende banale l'obbligo di portabilità, e la nostra pagina mappe conformi al GDPR mostra come funziona l'elaborazione europea su tutta la piattaforma. La normativa è esigente, ma per una volta il percorso conforme e il percorso ben progettato sono la stessa strada.
Domande frequenti
Cos'è il Data Act europeo?
Il Data Act europeo (Regulation (EU) 2023/2854) è una legge europea che disciplina chi può accedere ai dati generati dai prodotti connessi e dai servizi correlati e utilizzarli. La sua idea centrale è che i dati prodotti da un dispositivo, che si tratti di un'auto, un sensore, un macchinario o un wearable, debbano essere accessibili all'utente che li ha generati, non chiusi a chiave dal produttore. La maggior parte delle sue disposizioni si applica dal 12 settembre 2025 e, dal 12 settembre 2026, i nuovi prodotti connessi immessi sul mercato dovranno essere progettati in modo che questi dati siano accessibili per impostazione predefinita. Affianca il GDPR anziché sostituirlo: il GDPR disciplina i dati personali, mentre il Data Act disciplina l'accesso e la condivisione di dati generati dalle macchine, sia personali sia non personali.
In cosa il Data Act europeo è diverso dal GDPR?
Il GDPR riguarda la protezione dei dati personali: limita il modo in cui raccogli, tratti e condividi informazioni che identificano una persona. Il Data Act riguarda l'accesso e la portabilità dei dati generati dalle macchine: obbliga i produttori a rendere disponibili all'utente i dati creati da un prodotto connesso e consente a quell'utente di condividerli con terze parti. Dove i due si sovrappongono, per esempio una traccia di localizzazione che è al tempo stesso generata da una macchina e personale, entrambe le leggi si applicano contemporaneamente. Il Data Act non indebolisce il GDPR: una richiesta di condivisione ai sensi del Data Act deve comunque rispettare le basi giuridiche e le garanzie del GDPR.
Cosa significa il Data Act europeo per i dati di localizzazione?
I dati di localizzazione sono uno degli esempi più chiari di dati generati dalle macchine coperti dalla normativa. Un veicolo connesso, un tracker di flotta, un dispositivo di consegna o un sensore IoT produce di continuo dati di posizione e, ai sensi del Data Act, l'utente di quel prodotto ha il diritto di accedervi e di portarli verso un servizio di sua scelta. Per chi sviluppa funzionalità di localizzazione, la conseguenza pratica è che portabilità e interoperabilità dei dati smettono di essere un optional e diventano requisiti di progettazione. Se una traccia di localizzazione è legata a una persona, è anche un dato personale, quindi si applica anche il GDPR.
Quando entra in vigore il Data Act europeo?
Il Data Act è entrato in vigore a gennaio 2024 ed è diventato applicabile il 12 settembre 2025. Una tappa importante successiva cade il 12 settembre 2026: i prodotti connessi e i servizi correlati immessi sul mercato dell'UE a partire da tale data dovranno essere progettati in modo che i dati che generano siano, per impostazione predefinita, facilmente, in sicurezza e, ove pertinente, direttamente accessibili all'utente. Gli obblighi di cambio provider cloud e di interoperabilità entrano in vigore gradualmente nello stesso periodo. L'applicazione è affidata alle autorità competenti designate da ciascuno Stato membro, quindi le sanzioni precise variano da paese a paese.
Come possono le API di mappe supportare la conformità a normative regionali come il Data Act?
Un'API di mappe o di localizzazione non può renderti conforme da sola, perché la conformità dipende dal design del tuo prodotto, dai contratti e dalla tua data governance. Ciò che fa il fornitore giusto è ridurre gli attriti: un'API che elabora le query di localizzazione all'interno dell'UE, espone i dati in formati aperti e portabili come GeoJSON ed evita di vincolarti a identificatori proprietari rende molto più semplice soddisfare gli obblighi di accesso, portabilità e interoperabilità del Data Act, e allo stesso tempo agevola normative regionali vicine come il GDPR. MapAtlas elabora i dati di localizzazione all'interno dell'UE per impostazione predefinita e restituisce i risultati in formati aperti, il che mantiene ridotta la superficie di conformità.
