Data Secrets: Il Data Act Riscrive le Regole dei Segreti Industriali (e Forse Non Solo)!

Ciao a tutti! Oggi voglio parlarvi di una cosa che sta facendo tremare i polsi a molte aziende e addetti ai lavori: il Data Act dell’Unione Europea. È una normativa fresca fresca che promette di rivoluzionare come accediamo, usiamo e condividiamo i dati. Ma, come sempre, il diavolo si nasconde nei dettagli, e uno dei dettagli più spinosi riguarda i segreti industriali (o Trade Secrets, TS, se preferite l’inglese).

Il Data Act cerca di trovare un equilibrio delicatissimo: da un lato spinge per una maggiore condivisione dei dati (pensate ai dati generati dai nostri dispositivi connessi, l’Internet of Things o IoT, o ai dati che le aziende potrebbero dover condividere con enti pubblici in casi eccezionali), dall’altro deve proteggere quelle informazioni super riservate che fanno la fortuna di un’azienda. Ecco, io ho iniziato a chiamare questa nuova categoria di informazioni, a metà tra dato da condividere e segreto da proteggere, i “data secrets“. E credetemi, il Data Act introduce delle novità pazzesche su come gestirli.

Il Dilemma: Condividere o Proteggere? Il Data Act vs la Direttiva sui Segreti Industriali

Prima di tuffarci nei “data secrets”, facciamo un passo indietro. Abbiamo due normative principali in gioco:

• La Direttiva sui Segreti Industriali (TSD): Questa mira a proteggere le informazioni aziendali riservate (quelle segrete, con valore commerciale perché segrete, e protette con misure ragionevoli) da acquisizioni, usi e divulgazioni illecite. L’obiettivo è favorire l’innovazione e la competitività proteggendo il know-how.
• Il Data Act: Questo, invece, spinge proprio nella direzione opposta per certi versi. Vuole sbloccare il potenziale dei dati, obbligando chi li detiene (i “data holder”) a condividerli con gli utenti dei dispositivi IoT o con enti pubblici in determinate situazioni. L’idea è creare un mercato dei dati più equo e competitivo.

Vedete il potenziale conflitto? Spesso, i dati che il Data Act vorrebbe far circolare sono proprio quei segreti che la TSD vorrebbe tenere al sicuro! Come ne usciamo? Il Data Act prova a costruire dei ponti, ma introduce meccanismi che, secondo me, cambiano proprio la natura dei segreti industriali quando sono “embedded” nei dati.

Focus sull’IoT: I Dati dei Nostri Gadget e i Segreti Nascosti

Pensate a tutti i dati generati dai vostri dispositivi connessi: smartwatch, auto intelligenti, termostati smart… Il Data Act dice che i produttori devono rendere questi dati accessibili a voi, gli utenti. Potete usarli, analizzarli e persino condividerli con terze parti (ad esempio, un’officina indipendente per la manutenzione dell’auto).

Ma cosa succede se questi dati contengono segreti industriali del produttore? Qui le cose si complicano. Il Data Act chiarisce che non si può rifiutare l’accesso solo perché un dato è un segreto industriale. Però… c’è un però. Il segreto industriale deve essere divulgato solo se vengono prese “tutte le misure necessarie” per preservarne la riservatezza. E chi decide quali misure sono “necessarie” e “proporzionate”? Qui inizia la danza tra utente e produttore.

Il produttore (data holder) chiederà all’utente (o alla terza parte scelta dall’utente) di accettare misure di confidenzialità. Se non c’è accordo, o se l’utente non rispetta le misure, il produttore può bloccare o sospendere la condivisione. Addirittura, in “circostanze eccezionali”, se il produttore dimostra che la divulgazione causerebbe un “grave danno economico”, può rifiutare l’accesso. Capite bene che il produttore ha un forte incentivo a dichiarare “segreto industriale!” il più possibile o a chiedere misure molto stringenti per scoraggiare la condivisione.

Il Data Act prova a mitigare questo rischio (obbligo di motivare il rifiuto, possibilità di reclamo), ma la vedo dura per l’utente medio negoziare alla pari con un colosso tecnologico. Inoltre, ci sono limiti su come l’utente o la terza parte possono usare i dati (non per creare prodotti concorrenti, non per spiare il produttore). Un equilibrio difficile, che sarà definito molto dai contratti specifici e dai “termini contrattuali modello” che la Commissione dovrà sviluppare.

Un’altra complicazione? La terza parte a cui l’utente dà accesso ai dati potrebbe a sua volta condividerli con una “seconda” terza parte (es. l’officina condivide i dati con un fornitore di ricambi). Il Data Act lo permette, ma richiede che anche questa seconda parte rispetti le misure di confidenzialità originali. Ma come fa il produttore a saperlo e a farle rispettare, visto che non c’è un contratto diretto? Un bel grattacapo!

Focus sul B2G: Quando le Aziende Devono Aprire i Cassetti agli Enti Pubblici

Il Data Act prevede anche scenari “Business-to-Government” (B2G). In casi di “necessità eccezionale” (emergenze sanitarie, disastri naturali, gravi incidenti informatici, ma anche per compiti specifici di interesse pubblico previsti dalla legge, come statistiche ufficiali), gli enti pubblici possono chiedere alle aziende (medie e grandi, non le micro e piccole imprese per richieste non emergenziali) di condividere i loro dati.

Anche qui, la protezione dei segreti industriali è centrale. L’ente pubblico che richiede i dati deve impegnarsi fin da subito a proteggerli, identificando quali dati sono TS e prendendo misure tecniche e organizzative adeguate *prima* di riceverli. Se azienda ed ente pubblico non sono d’accordo (anche sulla natura di TS dei dati), la questione finisce davanti a un “organismo competente”.

Se l’ente pubblico condivide ulteriormente i dati con istituti di ricerca o statistici, anche questi devono rispettare le stesse regole di protezione dei TS, e l’azienda originale deve essere informata. L’implementazione di queste misure di protezione può essere costosa, un altro fattore da considerare.

Le Grandi Novità: Autorità Competenti e Misure Tecniche di Protezione (MTP)

Ed eccoci al cuore della mia tesi sui “data secrets”. Il Data Act introduce due elementi rivoluzionari rispetto alla gestione tradizionale dei segreti industriali (che di solito è affidata alle cause civili tra le parti):

1. Le Autorità Competenti Nazionali:
Ogni Stato Membro dovrà designare delle autorità competenti con il potere di gestire i reclami relativi al Data Act, *inclusi quelli sui segreti industriali*. Questo è pazzesco! Queste autorità interverranno in caso di disaccordo sulle misure di confidenzialità, sui rifiuti di accesso basati su TS, o sulla mancata implementazione delle misure.

Di fatto, queste autorità faranno una sorta di valutazione *ex-ante* (prima di un eventuale giudizio in tribunale) sulla validità della pretesa di segreto industriale. Dovranno decidere se un dato è davvero un TS, se le misure richieste sono proporzionate, se c’è stato un danno, ecc. Decisioni che prima spettavano ai giudici ora passano, almeno in prima battuta, a un organo amministrativo.

Questo apre scenari inediti:

• Necessità di Expertise: Queste autorità avranno bisogno di competenze specifiche sia sul Data Act che sulla complessa materia dei segreti industriali. Gli attuali uffici brevetti o altre autorità sono pronti?
• Rischio Frammentazione: Essendo autorità nazionali, c’è il rischio che interpretino le regole in modo diverso da paese a paese, frammentando il mercato interno.
• Potenziale Database di “Data Secrets”: Le notifiche e i reclami gestiti da queste autorità potrebbero creare, nel tempo, un database (non pubblico per la parte confidenziale, ovviamente) di casi contestati. Immaginate il valore di sapere quali tipi di dati vengono rivendicati come TS, da chi, e con quale esito davanti all’autorità! Potrebbe portare a una trasparenza mai vista nel campo dei TS.

2. Le Misure Tecniche di Protezione (MTP):
Le MTP sono, in parole povere, i “lucchetti digitali” che i data holder possono usare per proteggere i dati (e i TS in essi contenuti). Pensate a crittografia, sistemi di accesso controllato, ecc. Il Data Act non solo le riconosce, ma dà loro una marcia in più.

L’articolo 11 del Data Act stabilisce che chi detiene i dati può usare le MTP per prevenire accessi non autorizzati e assicurare il rispetto degli accordi. Ma la vera bomba è che fornisce rimedi specifici se qualcuno aggira queste MTP, rimedi che sembrano andare oltre quelli previsti dalla TSD:

• Cancellazione dei dati ottenuti illecitamente.
• Stop alla produzione/vendita di beni o servizi basati su quei dati.
• Distruzione dei beni “incriminati” se c’è rischio di danno grave (valutando la proporzionalità).
• Obbligo di informare l’utente dell’uso non autorizzato.
• Risarcimento dei danni.

Questi rimedi assomigliano a quelli della TSD, ma ci sono differenze chiave:

• Chi li chiede? Nel Data Act, è il data holder a poterli chiedere *direttamente* (anche se poi probabilmente servirà un giudice per imporli coattivamente), mentre nella TSD è necessaria una decisione giudiziaria.
• Contro chi? Il Data Act estende questi rimedi non solo a chi aggira le MTP, ma potenzialmente a “qualsiasi altra parte che riceve i dati dall’utente per mezzo di una violazione del presente regolamento”. Sorprendentemente, non sembra esserci un requisito esplicito che questa “altra parte” sapesse o dovesse sapere dell’illecito, a differenza della TSD. Questo potrebbe espandere notevolmente la portata della protezione dei TS “digitalmente lucchettati”.
• Effetti “simil-proprietari”: Le MTP, così potenziate, conferiscono ai “data secrets” degli effetti verso terzi che li avvicinano a una sorta di diritto di proprietà, cosa che i segreti industriali tradizionali non hanno in modo così marcato.

Quindi, Cosa Sono Davvero i “Data Secrets”?

Alla luce di tutto questo, penso sia giustificato parlare di “data secrets” come una nuova sottocategoria di segreti industriali, specifica del Data Act, con caratteristiche proprie:

1. La presenza di un’autorità amministrativa nazionale con poteri di valutazione ex-ante.
2. Un ruolo centrale delle MTP che conferiscono effetti verso terzi più forti, quasi “proprietari”.

Queste non sono modifiche da poco. Cambiano le dinamiche di protezione, introducono nuovi attori (le autorità competenti) e nuovi strumenti (le MTP potenziate).

Conclusioni (Provvisorie): Verso la “Proprietà dei Dati”?

Il Data Act, nel tentativo di incentivare la condivisione dei dati che le aziende erano restie a condividere volontariamente, sembra aver creato questi “data secrets” con caratteristiche rafforzate. È quasi come se, non potendo introdurre un vero e proprio “diritto di proprietà sui dati” (concetto legalmente scivoloso), il legislatore ci sia andato il più vicino possibile tramite la leva tecno-regolatoria delle MTP e il controllo amministrativo delle autorità competenti.

Certo, restano tante domande aperte:

• Lo scope del Data Act è comunque limitato (es. i dati “inferiti” sono spesso esclusi dall’obbligo di condivisione IoT, e sono proprio quelli più probabilmente TS).
• Quanto costerà implementare tutto questo?
• Le autorità nazionali riusciranno a garantire coerenza?
• Quale sarà l’impatto reale su innovazione e concorrenza?
• Come interagirà il Data Act con altre normative sui dati (Data Governance Act, EHDS…)?

Una cosa è certa: i segreti industriali stanno diventando uno strumento sempre più centrale nella legislazione digitale europea per bilanciare condivisione e protezione. I “data secrets” sono l’ultima, affascinante evoluzione di questa tendenza. Se porteranno a una maggiore trasparenza (grazie alle autorità e ai potenziali registri) o a una “proprietarizzazione” strisciante dei dati, beh, credo sia una storia ancora tutta da scrivere. Staremo a vedere!

Fonte: Springer