Quando un’azienda vuole condividere dati con un partner, addestrare un sistema di intelligenza artificiale o riutilizzare informazioni pubbliche, la domanda decisiva non è solo “possiamo farlo?”, ma anche “con quali garanzie?”. Il Data Governance Act introduce regole europee per rendere lo scambio di dati più affidabile, tutelando privacy, segreti commerciali e diritti delle persone. In questa guida chiarisco cosa prevede, come si collega al GDPR e quali conseguenze pratiche ha per imprese e pubbliche amministrazioni italiane.
Le regole europee puntano a condividere più dati senza perdere controllo
- Applicazione dal 24 settembre 2023 per il regolamento europeo sulla governance dei dati.
- Quattro pilastri tra riutilizzo dei dati pubblici protetti, intermediari, altruismo dei dati e spazi comuni europei.
- GDPR sempre applicabile quando lo scambio coinvolge dati personali.
- AgID è l’autorità italiana competente per intermediari e organizzazioni di altruismo dei dati.
- Nessun accesso automatico ai dati riservati: servono base giuridica, sicurezza e condizioni d’uso trasparenti.
Che cos’è davvero il regolamento europeo sui dati
Il regolamento europeo 2022/868, noto come DGA, è uno dei pilastri della strategia dell’Unione per creare un mercato unico dei dati. È entrato in vigore il 23 giugno 2022 ed è diventato applicabile dopo un periodo transitorio di 15 mesi, il 24 settembre 2023.
Il suo obiettivo non è obbligare tutte le aziende a condividere ogni informazione disponibile. La logica è più precisa: creare condizioni di fiducia, trasparenza e sicurezza per rendere possibile la condivisione volontaria di dati tra cittadini, imprese, ricerca e pubbliche amministrazioni.
Io lo considero soprattutto una legge di infrastruttura. Non stabilisce soltanto chi può usare un dato, ma prova a costruire gli strumenti e gli intermediari che permettono di farlo senza trasformare lo scambio in una zona grigia fatta di contratti poco chiari, sistemi incompatibili e responsabilità indistinte.
Il campo di applicazione comprende dati personali e non personali. Tuttavia, quando compaiono informazioni riferibili a persone fisiche, il DGA non sostituisce il GDPR e non crea da solo una base giuridica per il trattamento.
Le quattro leve con cui l’Unione vuole aumentare la disponibilità dei dati
Riutilizzo dei dati pubblici protetti
Le amministrazioni pubbliche possono detenere dati che non sono liberamente pubblicabili perché coperti da riservatezza statistica, proprietà intellettuale, segreto commerciale o dati personali. Il regolamento crea condizioni per consentirne il riutilizzo, ad esempio per ricerca scientifica, analisi sanitarie o sviluppo di servizi innovativi.
Questo non significa che un’impresa possa semplicemente scaricare un archivio sanitario o una banca dati fiscale. L’ente pubblico deve predisporre garanzie adeguate, come anonimizzazione, pseudonimizzazione, ambienti di elaborazione sicuri e divieti di reidentificazione. Le condizioni devono essere proporzionate e non discriminatorie.
Per una startup italiana, la differenza può essere significativa. Un dataset pubblico trattato in un ambiente controllato può servire a sviluppare un modello predittivo senza consegnare direttamente informazioni identificabili. Il vantaggio non è soltanto tecnologico: diminuisce anche il rischio di una diffusione incontrollata.
Servizi di intermediazione dei dati
Gli intermediari mettono in contatto titolari dei dati e potenziali utilizzatori. Possono gestire piattaforme di condivisione, scambi bilaterali o multilaterali e strumenti per consentire alle persone di esercitare i propri diritti sui dati personali.
Il DGA richiede che questi soggetti operino con neutralità. Un intermediario non dovrebbe usare i dati raccolti per sviluppare un proprio prodotto concorrente o combinarli liberamente con altri servizi commerciali. Deve inoltre mantenere separata l’attività di intermediazione e presentare una notifica all’autorità competente.
La notifica non equivale a una certificazione generale della qualità del servizio. È un adempimento regolamentare che consente all’autorità di controllare identità, struttura, attività e condizioni operative del fornitore. Prima di affidargli dati sensibili, io verificherei comunque contratto, subfornitori, localizzazione dei sistemi, misure di sicurezza e gestione delle richieste degli interessati.
Altruismo dei dati per finalità di interesse generale
Si parla di altruismo dei dati quando persone o aziende scelgono di mettere a disposizione informazioni volontariamente e senza ricevere un compenso per obiettivi di interesse generale. Tra gli esempi rientrano ricerca medica, monitoraggio ambientale, mobilità sostenibile e prevenzione di emergenze.
Le organizzazioni che rispettano determinati requisiti possono chiedere la registrazione come organizzazioni riconosciute di altruismo dei dati. Devono operare senza scopo di lucro, informare chiaramente chi conferisce i dati e offrire strumenti semplici per revocare il consenso o ritirare l’autorizzazione.
Qui il collegamento con il GDPR è diretto. Per i dati personali, il consenso deve essere libero, specifico, informato e revocabile. Una formula generica come “accetto l’uso dei miei dati per la ricerca” può essere insufficiente se non spiega finalità, destinatari, durata e modalità del trattamento.Leggi anche: Privacy e sicurezza dei dati - guida pratica per proteggerti
Spazi europei comuni dei dati
Il regolamento sostiene la nascita di spazi comuni dei dati in settori come salute, energia, agricoltura, finanza, mobilità, ambiente e pubblica amministrazione. L’idea è superare i silos nazionali e aziendali, usando standard comuni e interoperabilità.
Uno spazio europeo dei dati non è un unico grande database centralizzato. È piuttosto un ecosistema nel quale soggetti diversi possono condividere e utilizzare informazioni secondo regole, formati e autorizzazioni compatibili. Per le imprese questo può ridurre i costi di integrazione, ma solo se i dati sono accompagnati da metadati affidabili, qualità verificabile e responsabilità ben assegnate.Privacy e dati personali restano sotto il controllo del GDPR
Il punto che genera più confusione è il rapporto tra il DGA e il GDPR. La regola pratica è semplice: il DGA disciplina il modo in cui la condivisione può essere organizzata, mentre il GDPR continua a stabilire quando e come i dati personali possono essere trattati.
| Situazione | Regola da applicare | Rischio tipico |
|---|---|---|
| Scambio di dati personali tra aziende | GDPR, base giuridica, informativa, sicurezza e responsabilità documentate | Confondere il DGA con un’autorizzazione al trattamento |
| Riutilizzo di dati pubblici riservati | Regole del DGA, condizioni dell’ente pubblico e protezione di privacy e segreti commerciali | Richiedere dati senza accettare limiti di accesso o riutilizzo |
| Servizio di intermediazione | Notifica al registro competente e requisiti di neutralità | Usare i dati intermediati per finalità proprie non dichiarate |
| Donazione di dati per la ricerca | Consenso o autorizzazione validi, trasparenza e revoca semplice | Raccogliere un consenso troppo ampio o difficile da ritirare |
In pratica, bisogna definire chi è titolare del trattamento, chi agisce come responsabile e chi utilizza i dati per una finalità autonoma. Se il progetto presenta rischi elevati per le persone, può essere necessaria una valutazione d’impatto sulla protezione dei dati, oltre a misure come controllo degli accessi, cifratura, minimizzazione e conservazione limitata.
Il DGA non elimina neppure il diritto alla cancellazione, all’accesso o alla rettifica. Non consente di aggirare il segreto professionale e non rende automaticamente lecita la trasferibilità di dati verso paesi terzi. Sono proprio questi dettagli a distinguere una governance seria da una semplice piattaforma di scambio.
Cosa devono fare in concreto le imprese italiane
Non tutte le aziende hanno gli stessi obblighi. Una società che usa dati disponibili in un data space non si trova nella stessa posizione di un intermediario che gestisce dati per conto di molti soggetti. Prima di acquistare una nuova soluzione, partirei da una mappatura semplice in quattro passaggi.
- Classificare i dati distinguendo dati personali, anonimi, riservati, coperti da proprietà intellettuale e dati soggetti a regole settoriali.
- Definire la finalità dello scambio, gli utilizzatori autorizzati, la durata dell’accesso e gli eventuali divieti di ulteriore condivisione.
- Verificare la base giuridica e aggiornare informative, contratti, registri dei trattamenti e valutazioni d’impatto quando servono.
- Documentare i controlli su sicurezza, accessi, audit, incidenti, subfornitori, cancellazione e revoca dei permessi.
Se l’azienda offre un vero servizio di intermediazione, deve valutare la notifica all’autorità competente e predisporre una struttura operativa coerente con i requisiti di neutralità. Il regolamento non fissa un costo unico europeo per la notifica: eventuali diritti dipendono dalle regole nazionali. In Italia, quindi, è prudente controllare la procedura e la modulistica applicabili presso l’autorità competente prima dell’avvio.
Un errore frequente consiste nel chiamare “intermediario” qualsiasi cloud provider o fornitore di strumenti ETL. Non basta ospitare dati o trasferirli tecnicamente. La disciplina riguarda servizi che mettono in relazione un numero indeterminato di titolari e utilizzatori con lo scopo di facilitare la condivisione.
Le differenze tra DGA, GDPR e Data Act
Queste tre norme vengono spesso messe nello stesso calderone, ma rispondono a domande diverse. Separarle aiuta a evitare valutazioni sbagliate e investimenti duplicati.
| Norma | Domanda principale | Focus operativo |
|---|---|---|
| GDPR | È lecito trattare questi dati personali? | Diritti degli interessati, basi giuridiche, sicurezza e responsabilità |
| DGA | Come rendere affidabile la condivisione volontaria dei dati? | Intermediari, altruismo, riutilizzo di dati pubblici protetti e interoperabilità |
| Data Act | Chi può accedere e usare i dati generati da prodotti e servizi connessi? | Accesso ai dati industriali, condivisione tra imprese e rapporti con il settore pubblico |
Il Data Act è applicabile dal 12 settembre 2025 e completa il quadro con regole più concrete sull’accesso ai dati generati da dispositivi connessi e servizi correlati. Il DGA, invece, nasce soprattutto per costruire fiducia nei meccanismi di condivisione volontaria.
Nel 2026 il quadro europeo è ancora in evoluzione. La Commissione ha proposto un Digital Omnibus per semplificare e accorpare alcune regole sui dati nel Data Act. Fino a quando le modifiche non sono formalmente applicabili, conviene basare processi e contratti sul testo vigente e monitorare gli aggiornamenti normativi, soprattutto per i servizi di intermediazione e il riutilizzo dei dati pubblici.
Il ruolo dell’Italia e di AgID nel 2026
In Italia il decreto legislativo 144/2024 ha adeguato l’ordinamento nazionale al regolamento europeo. AgID è stata designata come autorità competente per la procedura di notifica dei servizi di intermediazione e per la registrazione delle organizzazioni di altruismo dei dati.
Questo non esclude il ruolo del Garante per la protezione dei dati personali. Quando sono coinvolti dati personali, il Garante resta l’autorità di riferimento per l’applicazione del GDPR e per i profili di tutela della privacy. Le due funzioni devono dialogare, perché una piattaforma può rispettare formalmente le regole di intermediazione e, allo stesso tempo, trattare i dati personali in modo illecito.
Per una pubblica amministrazione italiana, la priorità è rendere chiari cataloghi, condizioni di accesso, formati, costi e ambienti sicuri di trattamento. Per un’impresa, invece, il passaggio più utile è capire se sta agendo come titolare dei dati, utilizzatore, intermediario o semplice fornitore tecnologico.
La scelta più utile per costruire una governance che regga davvero
Il DGA non va affrontato come un altro documento da aggiungere alla cartella compliance. La sua utilità emerge quando collega processi legali, architettura tecnologica e responsabilità aziendali in un unico modello.
Io partirei da un progetto limitato, con un solo flusso di dati e una finalità misurabile. Dopo aver verificato qualità, autorizzazioni, sicurezza e risultati, si può estendere il modello ad altri reparti o partner. È un approccio meno spettacolare di una grande piattaforma centralizzata, ma molto più solido quando arrivano audit, richieste degli interessati o cambiamenti regolamentari.
La vera promessa della governance europea dei dati non è condividere tutto. È riuscire a condividere il dato giusto, con il soggetto giusto, per il tempo giusto e con garanzie dimostrabili. Per le organizzazioni italiane questa è già una linea concreta per innovare senza sacrificare privacy e controllo.
