Il 21 ottobre 2026 gli ambasciatori dei Ventisette hanno approvato il mandato del Consiglio sul Digital Omnibus; secondo Agence Europe il testo coincide con l’ultimo compromesso della presidenza. Nella parte dedicata al Data Act il mandato dà al titolare dei dati un nuovo motivo per rifiutare a un cliente europeo l’accesso a dati coperti da segreto commerciale, quando l’ordinamento a cui il cliente appartiene, o quello di chi lo controlla, protegge il segreto meno di quanto faccia l’Unione.

Origini e evoluzione normativa

La proposta della Commissione del 19 novembre 2025 aveva aggiunto tale motivo agli articoli 4, paragrafo 8, e 5, paragrafo 11, del regolamento (UE) 2023/2854. Il compromesso della presidenza, nella versione del 2 ottobre, ne abbassa la soglia da “rischio elevato” a “rischio significativo” e sostituisce la comunicazione di ogni rifiuto all’autorità con un resoconto ogni tre mesi.

La diagnosi dei governi, che chiedevano più tutela per il segreto, è fondata: l’assetto risultante affida al titolare il giudizio sull’ordinamento di un altro Stato, mentre l’autorità viene a conoscenza del rifiuto a cose fatte, con un ritardo potenziale di tre mesi.

Applicazione pratica del regolamento

Il regolamento si applica dal 12 settembre 2025 e parte dall’accesso. Il considerando 31 esclude, in linea di principio, che il titolare rifiuti una richiesta solo perché i dati costituiscono un segreto commerciale, richiamando l’articolo 3, paragrafo 2, della direttiva (UE) 2016/943. In Italia la direttiva è stata recepita dal decreto legislativo 63 del 2018, che ha modificato gli articoli 98 e 99 del codice della proprietà industriale.

Il titolare deve identificare i dati protetti, anche nei metadati, e concordare con l’utente misure di riservatezza proporzionate (articolo 4, paragrafo 6). Se l’accordo manca o l’utente viola le misure, il paragrafo 7 consente di sospendere la condivisione con decisione scritta e motivata e con comunicazione all’autorità designata ai sensi dell’articolo 37.

Il nuovo motivo di rifiuto

Il rifiuto vero e proprio è riservato a circostanze eccezionali: il titolare deve dimostrare che, nonostante le misure adottate dall’utente, è altamente probabile un danno economico grave a suo carico. Il considerando 31 descrive tale danno come “grave e irreparabile” (paragrafo 8).

L’utente può contestare la decisione davanti al giudice o con reclamo all’autorità, che decide senza indugio se e a quali condizioni la condivisione debba iniziare o riprendere (paragrafo 9). L’articolo 5, paragrafi 9‑11, ripete la stessa struttura per i terzi scelti dall’utente.

Dal danno all’illicità

Il nuovo motivo di rifiuto supera la difficoltà del testo vigente, che richiedeva la prova di un danno grave e irreparabile derivante dall’uscita dei dati. Il paragrafo 8 indicava anche la possibilità di far valere in giudizio la tutela del segreto nei paesi terzi, usando l’ordinamento straniero come indizio del danno.

La proposta della Commissione lo svincola dal danno e lo trasforma in un motivo autonomo, basato sul rischio di “acquisizione, uso o divulgazione illeciti” da parte di entità di paesi terzi, o di entità stabilite nell’Unione sotto loro controllo diretto o indiretto, soggette a giurisdizioni con protezione più debole o non equivalente a quella dell’Unione.

Come valutare il rischio

Quantificare in anticipo una perdita irreparabile è complesso; il nuovo criterio richiede una previsione diversa, basata sulla tenuta dell’ordinamento straniero. Il Consiglio rende più agevole il requisito sostituendo “elevato” con “significativo”.

Il rischio di illecito si concretizza dopo la consegna: l’utente acquisisce i dati in modo lecito perché il diritto dell’Unione lo consente; il pericolo riguarda i passaggi successivi che potrebbero portare i dati a un’entità di un paese terzo, contro l’accordo di riservatezza o il diritto dell’Unione.

Impatto sugli accordi di riservatezza

L’accordo di riservatezza dell’articolo 4, paragrafo 6, vincola l’utente. La nuova ipotesi guarda a ciò che l’accordo non copre: l’ordine di un’autorità straniera che raggiunge l’utente o la società che lo controlla. Questo toglie a una categoria di utenti la certezza che un semplice accordo sulle misure di riservatezza sia sufficiente per ottenere i dati.

Interazioni con altri quadri normativi

In altre sedi il diritto dell’Unione affida alla Commissione, con atti pubblici, giudizi analoghi sulla qualità di un ordinamento straniero o sul potere di un soggetto. Le decisioni di adeguatezza dell’articolo 45 del regolamento (UE) 2016/679 individuano i paesi terzi verso cui possono circolare i dati personali; la designazione dei gatekeeper ai sensi dell’articolo 3 del regolamento (UE) 2022/1925 individua le imprese soggette al DMA.

Il Data Act si serve della seconda nell’articolo 5, paragrafo 3, che esclude i gatekeeper dai terzi ammissibili, e il titolare applica l’esclusione leggendo un elenco. Per la nuova ipotesi l’elenco è sostituito da linee guida.

Il compromesso del 2 ottobre 2026

Il documento del Consiglio 13886/26 prevede che la Commissione, sentito il Comitato europeo per l’innovazione in materia di dati, emani linee guida sulla valutazione del danno, sui dati dei settori critici più esposti, sulla tutela del segreto nei paesi terzi e sull’accertamento del controllo da parte di entità straniere. Un nuovo considerando 14a rinvia ai settori critici degli allegati della direttiva NIS2.

Il compromesso paragona il meccanismo a un freno a mano (handbrake): il titolare lo aziona autonomamente. Le linee guida orientano l’interpretazione, ma non sostituiscono la valutazione caso per caso.

Onere della prova e ruolo dell’autorità

La valutazione dell’ordinamento straniero spetta al titolare, che è anche la parte interessata al rifiuto. Il controllo scatta solo dopo che l’utente presenta reclamo o agisce in giudizio; l’onere della dimostrazione rimane al titolare, il quale deve motivare per iscritto con elementi oggettivi.

Il giudice o l’autorità valutano allora quella prova senza una decisione preventiva della Commissione. Il titolare deve accertare anche il “controllo” come definito dal considerando 13: capacità di esercitare un’influenza decisiva o dominante sulla gestione o sulle decisioni strategiche di un’altra entità, attraverso capitale, diritti di voto, partecipazioni finanziarie, accordi contrattuali o soggetti interposti, anche senza maggioranza.

Limiti pratici e prospettive future

Il considerando 13 richiede al titolare di raccogliere informazioni in modo poco invasivo, consultando registri pubblici o chiedendo all’utente. L’articolo 4, paragrafo 5, limita le informazioni che il titolare può pretendere per verificare la qualità dell’utente; il testo omette di specificare se l’utente debba rispondere e quali conseguenze abbia un rifiuto di rispondere sulla prova del controllo.

L’equilibrio del 2023, richiamato nella nota della presidenza del 4 giugno 2026, dipendeva in gran parte dalla comunicazione immediata all’autorità. Nel regime vigente il titolare che rifiuta ai sensi del paragrafo 8 comunica il rifiuto all’autorità designata; la nota del 4 giugno riferisce che alcune delegazioni volevano abolire la comunicazione automatica perché la dimostrazione del danno appesantiva il titolare.

Con il nuovo meccanismo, la comunicazione è differita a un resoconto trimestrale, alleggerendo il carico amministrativo ma aumentando l’incertezza per le autorità, che ricevono informazioni ritardate e potenzialmente parziali.

In conclusione, il Data Act, con la sua nuova ipotesi di rifiuto basata sul rischio di ordinamenti esteri più deboli, sposta il peso della valutazione dal danno economico alla previsione di illecito. Questo cambiamento offre maggiore flessibilità al titolare, ma richiede una capacità analitica più sofisticata e una documentazione accurata, al fine di difendersi efficacemente in caso di contestazione da parte dell’utente o dell’autorità.