Data Act: diritti relativi al passaggio tra servizi cloud, non portabilità ai sensi del GDPR

Il Data Act (Regolamento 2023/2854) contrasta la dipendenza da un fornitore conferendo il diritto di passare da un servizio di trattamento dei dati, come quello di un fornitore di servizi cloud, a un altro. Impone ai fornitori di agevolare il passaggio, compreso il trasferimento dei dati e dei metadati entro un termine stabilito. La distinzione fondamentale rispetto al GDPR è la seguente: il diritto alla portabilità previsto dal GDPR riguarda i dati personali forniti dall’interessato a un titolare del trattamento, mentre il Data Act riguarda tutti i dati generati o trattati nel cloud, compresi i dati non personali e i metadati. Pertanto, se una domanda menziona il passaggio da un fornitore di servizi cloud a un altro, si pensi al Data Act; se menziona il trasferimento di dati personali da una piattaforma di social media, si pensi al GDPR.

Per evitare l’insidia, si ricordi che il Data Act si applica a tutti i dati presenti nel servizio cloud, non soltanto ai dati personali. Un rapido metodo di eliminazione: se lo scenario riguarda un’impresa che trasferisce l’intera banca dati o un’applicazione da un servizio cloud a un altro, si tratta dell’ambito del Data Act. Se riguarda un individuo che esporta da un servizio le proprie fotografie o i propri contatti, si tratta del GDPR. Si noti inoltre che il Data Act stabilisce limiti specifici agli oneri di passaggio e impone ai fornitori di rendere il passaggio tecnicamente fattibile entro 30 giorni. Se un’opzione d’esame menziona un «passaggio gratuito» o una «portabilità immediata», si verifichi attentamente il contesto.

Per fissare il concetto, si pensi: «Passaggio tra servizi cloud? Data Act. Trasferimento di dati personali? GDPR». Per verificare quanto appreso, ci si chieda: quale normativa disciplinerebbe il trasferimento della banca dati dei clienti di un’impresa da AWS ad Azure? Il Data Act, perché riguarda il servizio e non soltanto i dati personali.