Data Act: cambiare fornitore cloud è un diritto, non una trattativa

Sì, in due vesti. Come cliente di servizi cloud hai i diritti del capo VI (passaggio tra fornitori, informazioni precontrattuali, oneri di passaggio) qualunque sia la tua dimensione e quella del fornitore. Come utilizzatore di prodotti connessi, macchine, veicoli, sensori e dispositivi, hai il diritto di accedere ai dati che generano e di condividerli con terzi di tua scelta. Gli obblighi di messa a disposizione dei dati del capo II non ricadono invece sulle micro e piccole imprese che fabbricano prodotti connessi, salvo collegamenti con imprese più grandi.

Dal 12 settembre 2025 il fornitore può addebitare solo i costi direttamente legati al passaggio; dal 12 gennaio 2027 nessun onere di passaggio (art. 29). Il contratto deve prevedere un preavviso massimo di due mesi per avviare il passaggio, un periodo di transizione di 30 giorni, che il cliente ha diritto di prorogare una volta (art. 25, par. 5); se il passaggio entro 30 giorni è tecnicamente impossibile, il fornitore lo motiva e indica un periodo alternativo fino a sette mesi (art. 25, par. 4); e un periodo di almeno 30 giorni, dopo il passaggio, per recuperare i dati (art. 25). Attenzione: le penali per recesso anticipato da un contratto a durata minima sono un’altra cosa e restano regolate dal contratto.

Tutti i dati esportabili, cioè i dati che hai caricato e quelli generati dall’uso del servizio, in un formato strutturato, di uso comune e leggibile da macchina, con assistenza ragionevole durante il passaggio. Il contratto deve elencare in modo esaustivo le categorie di dati e di asset digitali trasferibili, i formati vanno pubblicati in un registro online e, a passaggio concluso, il fornitore deve cancellare i tuoi dati. Per i servizi infrastrutturali (IaaS) il fornitore deve adottare tutte le misure ragionevoli in suo potere perché il cliente raggiunga l’equivalenza funzionale nel nuovo ambiente (art. 30, par. 1).

Che ogni fornitore di servizi di trattamento dei dati deve pubblicare sul proprio sito la giurisdizione a cui è soggetta l’infrastruttura usata per erogare i servizi e le misure adottate per impedire accessi governativi internazionali ai dati non personali conservati nell’Unione, quando sarebbero in conflitto con il diritto dell’Unione o degli Stati membri. AtWorkStudio lo fa nella pagina Giurisdizione e accesso governativo ai dati, richiamata nei contratti.

Sì: sono servizi di trattamento dei dati a tutti gli effetti. Il diritto esiste sulla carta; esercitarlo richiede un inventario di cosa sta dove, l’esportazione nei formati giusti e una migrazione verificata. È la parte che facciamo noi.

Il capo II riguarda i prodotti connessi e i servizi correlati: chi usa una macchina, un veicolo o un impianto che genera dati ha diritto di accedervi e di condividerli con un terzo, per esempio un manutentore indipendente. I prodotti immessi sul mercato dopo il 12 settembre 2026 devono essere progettati perché i dati siano accessibili per impostazione predefinita. Per una PMI manifatturiera è spesso il primo contatto concreto con il regolamento.

In tre modi. I tre servizi a catalogo qualificati dall’Agenzia per la Cybersicurezza Nazionale (ACN) seguono per intero le regole di passaggio del capo VI; le condizioni di uscita sono definite nei contratti. Tutti gli altri servizi sono progettati su misura per il singolo cliente e ricadono nell’art. 31: te lo diciamo prima di firmare, con le condizioni di uscita scritte nel contratto. La giurisdizione dell’infrastruttura e le misure contro l’accesso governativo sono nella pagina Giurisdizione. Non diamo pareri legali: il contratto lo legge il tuo legale, noi ti diciamo cosa è tecnicamente vero.