Il Regolamento (UE) 2023/2854 introduce obblighi rilevanti per tutte le imprese che progettano, forniscono o gestiscono prodotti, impianti o servizi che generano dati attraverso il loro utilizzo.
Per “dati” il Data Act intende infatti qualsiasi informazione generata dall’uso di tali sistemi, incluse le informazioni tecniche e di funzionamento (come log, parametri, dati di utilizzo, performance e manutenzione), quindi anche informazioni che oggi sono spesso considerate meramente interne.
In particolare, le imprese sono tenute a:
– garantire l’accesso ai dati generati ai propri clienti in modo gratuito, immediato e in formato utilizzabile;
– consentire la condivisione dei dati con terzi indicati dal cliente/utente;
– rivedere la propria contrattualistica, indicando per ciascun rapporto quali dati vengono raccolti e come sono utilizzati.
A fronte di tali obblighi, è evidente che la condivisione dei dati può comportare la diffusione di informazioni sensibili dell’azienda.
Il Data Act prevede che l’accesso possa essere limitato solo laddove tali informazioni siano effettivamente qualificate e protette come segreti industriali ai sensi della normativa del codice della proprietà industriale.
La questione risulta quindi particolarmente delicata, sia sotto il profilo delle modalità di condivisione dei dati, sia con riferimento alla tutela del patrimonio informativo aziendale, la cui diffusione potrebbe generare un danno rilevante.
In questo contesto, il Data Act rappresenta anche un’occasione decisiva per rafforzare e strutturare i presidi sui segreti industriali, che, pur dovendo già essere oggetto di tutela nell’ambito della concorrenza e dei rapporti con dipendenti e collaboratori, assumono ora una rilevanza ulteriore e più stringente.
La prima necessità è costituita dall’individuazione specifica dei segreti commerciali dell’azienda, ossia dei dati che si ritiene abbiano un valore concorrenziale per l’impresa in quanto non conosciuti dai terzi. Con questa individuazione si verifica che i dati stessi -singolarmente e nel loro insieme- siano e siano sempre stati mantenuti segreti. Questa individuazione recherà anche le motivazioni per le quali i dati stessi hanno un valore sul mercato. Da ultimo, occorre verificare e dare conto delle misure di sicurezza adottate e applicate, misure di sicurezza che sono documentali (ad es. NDA e lettere di segretezza), fisiche (ad es. allarmi o telecamere di sorveglianza), procedurali e, soprattutto, informatiche (ad es. password da rinnovare periodicamente, server dedicati, gradazione di accesso ai dati, ecc.). Con la descrizione di queste caratteristiche, ci si può validamente opporre a qualunque richiesta di accesso ai dati individuati.
Peraltro, sotto il profilo contabile e di bilancio, la corretta qualificazione e tutela dei segreti industriali assume un rilievo specifico, poiché tali informazioni, ove giuridicamente protette, idonee a generare benefici economici futuri e riferibili a costi ed investimenti effettivamente sostenuti e attendibilmente determinabili, possono concorrere alla rappresentazione del patrimonio immateriale dell’impresa, nei limiti e secondo i criteri previsti dai principi contabili applicabili.
Tale attività assume inoltre rilievo sotto il profilo della responsabilità dell’organo amministrativo, in quanto l’adozione di una procedura per la gestione interna e la comunicazione all’esterno delle informazioni, specialmente quelle privilegiate o segrete, rientra pienamente nelle sue responsabilità di verifica dell’adeguatezza e del concreto funzionamento del sistema di controllo interno e di gestione dei rischi. In questo senso, la protezione dei segreti commerciali non è più solo un’opportunità strategica per difendere il vantaggio competitivo dell’impresa, ma diventa un tema da gestire con attenzione rispetto agli obblighi introdotti dal Data Act.
Cartwright Pescatore, Aicardi&Partners e Studio Catelli sono ovviamente a disposizione per approfondire insieme il tema.
