EU Data Act 2026 in Italia: portabilità dei dati, cambio fornitore e addio al lock-in nella data room

Cosa prevede l'EU Data Act per chi usa una data room

Il Regolamento (UE) 2023/2854, meglio noto come EU Data Act, è entrato in applicazione il 12 settembre 2025 e introduce un quadro normativo europeo per l'accesso, la condivisione e la portabilità dei dati generati dai servizi digitali. Per chi usa una Virtual Data Room in Italia, le disposizioni più rilevanti sono quelle relative ai servizi di trattamento dei dati (artt. 23-35): portabilità verso un altro fornitore, interoperabilità tecnica, divieto di pratiche commerciali sleali che ostacolino il cambio.

Il Data Act si sovrappone e integra il GDPR: il GDPR garantisce la portabilità dei dati personali (art. 20 GDPR), il Data Act estende il diritto a tutti i dati generati nell'ambito dei servizi cloud e di trattamento. Per una data room, questo significa che i documenti caricati, i metadati strutturati (indice delle cartelle, cronologia degli accessi, log delle azioni) e i dati di configurazione della piattaforma devono essere esportabili verso un altro fornitore in un formato standard e completo.

In Italia, la vigilanza sul rispetto del Data Act è affidata all'Autorità Garante della Concorrenza e del Mercato (AGCM) per gli aspetti anticoncorrenziali e al Garante per la protezione dei dati personali per le intersezioni con il GDPR. Le imprese che non rispettano i nuovi obblighi rischiano sanzioni fino al 4% del fatturato mondiale annuo. Per le intersezioni con DORA e NIS2, si veda la scheda DORA e data room in Italia e la scheda NIS2 e data room in Italia.

Il diritto di portabilità: cosa copre e cosa non copre

L'art. 23 del Data Act stabilisce che i fornitori di servizi di trattamento dei dati devono consentire al cliente il passaggio verso un concorrente, garantendo la portabilità di tutti i dati presenti nel servizio. Per una data room, questo copre: i documenti caricati nella loro forma originale, la struttura delle cartelle e i metadati associati, le impostazioni di accesso e i gruppi di permessi configurati, il log di audit esportabile e le scadenze degli accordi NDA.

Il diritto di portabilità non copre le caratteristiche proprietarie dell'interfaccia utente del fornitore, il codice applicativo della piattaforma o i modelli AI eventualmente usati per l'elaborazione. In pratica: il cliente ha diritto a portare i propri dati, non la piattaforma del fornitore.

Un elemento spesso trascurato è il formato di esportazione. Il Data Act richiede formati strutturati, di uso comune e leggibili da dispositivo automatico. Per una data room questo significa: esportazione dei documenti in formato nativo (PDF, DOCX, XLSX) senza degradazione di qualità; esportazione del log di audit in CSV o JSON; esportazione della struttura delle cartelle in un formato riproducibile (es. archivio ZIP con alberatura originale). I formati proprietari non facilmente importabili altrove non soddisfano il requisito.

• Documenti: esportazione integrale nel formato originale, senza conversioni lossy
• Struttura delle cartelle: alberatura completa con metadati (nome, data, dimensione, proprietario)
• Permessi e gruppi: esportazione delle configurazioni di accesso in formato leggibile
• Audit log: log completo e non alterabile in formato aperto (CSV, JSON)
• NDA e accordi: esportazione delle firme digitali e dei timestamp di accettazione
• Configurazioni: impostazioni di watermark, scadenze, dominio personalizzato

Il diritto di cambio fornitore: Cloud Switching nell'EU Data Act

L'art. 25 del Data Act introduce il diritto di cambio fornitore (Cloud Switching) con un calendario preciso di eliminazione degli ostacoli. Da settembre 2027 i fornitori di servizi cloud non potranno applicare costi di egress superiori ai costi effettivi di trasferimento; da settembre 2025 le pratiche commerciali che ostacolano il cambio sono già vietate. Per chi usa una data room, questo ha conseguenze pratiche immediate.

Il primo ostacolo vietato sono i periodi di lock-in contrattuali non giustificati da investimenti iniziali documentabili. Un contratto VDR che vincola il cliente per 24 mesi senza possibilità di uscita anticipata, senza proporzione rispetto a un onboarding o a una personalizzazione effettiva, può configurare una pratica sleale ai sensi dell'art. 25. Il cliente ha il diritto di richiedere che il contratto preveda una clausola di uscita proporzionata.

Il secondo ostacolo vietato sono le tariffe di esportazione sproporzionate. Molti provider storici applicano costi per-GB sull'esportazione dei dati a fine contratto. A partire da settembre 2027 questi costi devono essere limitati ai costi effettivi di trasferimento. Già oggi, richiedere una quotazione esplicita sull'esportazione dei dati prima di firmare un contratto VDR è una pratica consigliata.

Il terzo ostacolo è la mancanza di interoperabilità tecnica. Il Data Act richiede che i fornitori rendano disponibili interfacce standard per il trasferimento dei dati verso i concorrenti. Nel mercato VDR questo si traduce nella richiesta di API documentate per l'esportazione bulk dei dati e di formati di output standardizzati.

Lock-in nelle data room: come riconoscerlo nel contratto

Il lock-in nelle data room si manifesta in quattro forme principali. La prima è il lock-in contrattuale: contratti annuali con penali di uscita anticipata non proporzionate, rinnovi automatici con preavviso breve (tipicamente 30 giorni), clausole che obbligano al pagamento dell'intero periodo residuo in caso di recesso. Il Data Act non elimina i contratti annuali, ma pone un limite alla loro proporzionalità rispetto agli investimenti iniziali del fornitore.

La seconda forma è il lock-in tecnico: dati esportabili solo in formati proprietari, struttura delle cartelle non riproducibile fuori dalla piattaforma, audit log disponibile solo nell'interfaccia del provider (non esportabile in formato aperto). Questo tipo di lock-in è direttamente incompatibile con il Data Act.

La terza forma è il lock-in economico: tariffe di egress applicate all'esportazione dei documenti a fine contratto, costi di migrazione non dichiarati nel preventivo iniziale. Il Data Act li limita ma non li elimina fino al 2027.

La quarta forma, meno ovvia, è il lock-in operativo: la piattaforma è talmente integrata nei processi dell'organizzazione (Q&A strutturato, NDA gate, watermark nominativo) che il costo di riformattare i workflow per un nuovo provider supera il costo del contratto. Questo lock-in non è vietato dal Data Act, ma può essere mitigato scegliendo provider con esportazione completa e formati aperti fin dall'inizio.

Scenario: Adriano Tessuti SpA e la migrazione della data room M&A

Adriano Tessuti SpA è un'azienda tessile di Prato con 280 dipendenti e un fatturato di 45 milioni di euro. A gennaio 2026 la direzione avvia un processo di vendita parziale del capitale a un fondo di private equity europeo. Il responsabile legale sceglie un provider VDR enterprise su base di una proposta commerciale ricevuta due anni prima: contratto biennale, 1.800 euro al mese, con accesso a 10 utenti interni e 50 visitatori esterni.

Dopo sei mesi, a conclusione della due diligence e con l'operazione in standby per ragioni di mercato, il responsabile legale decide di mettere la data room in pausa e valutare un cambio fornitore. Il provider comunica che l'esportazione completa dei documenti, dei metadati e dell'audit log richiede un'operazione di migrazione fatturata a parte, con un preventivo di 3.200 euro e un tempo tecnico di 15 giorni lavorativi. I documenti esportabili sono in un formato ZIP con struttura non mappata sull'alberatura originale della data room.

Questa situazione, comune prima dell'EU Data Act, è oggi potenzialmente contestabile. Il responsabile legale richiede formalmente al provider una dichiarazione scritta sui costi effettivi di trasferimento e sul formato di esportazione, citando il Regolamento (UE) 2023/2854. Il provider abbassa il preventivo di migrazione a 800 euro e fornisce un'esportazione in ZIP con alberatura originale. La situazione si risolve, ma l'esperienza spinge l'azienda a includere nel contratto con il nuovo fornitore, scelto per la successiva operazione, una clausola esplicita di portabilità con formato e tempi concordati.

Interoperabilità tecnica: cosa chiedere al provider prima di firmare

Il Data Act introduce l'obbligo per i fornitori di servizi di trattamento dati di pubblicare interfacce aperte per il trasferimento dei dati verso i concorrenti. Nel mercato VDR questo si traduce in requisiti concreti da verificare prima di firmare un contratto.

• Esportazione bulk: il provider deve consentire l'esportazione integrale di tutti i documenti, metadati e log in un'unica operazione, senza limitazioni di dimensione o di numero di file
• Formato aperto: i dati esportati devono essere in formati leggibili da qualsiasi strumento standard (PDF/A per i documenti, CSV o JSON per i log, ZIP con alberatura per la struttura)
• API documentate: il provider deve rendere disponibile documentazione tecnica per l'accesso programmatico ai dati, inclusi endpoint per l'esportazione
• Tempistica garantita: il contratto deve specificare entro quanto tempo il fornitore consegna i dati esportati in caso di richiesta o di terminazione
• Costi di egress dichiarati: qualsiasi costo per l'esportazione dei dati deve essere dichiarato nel contratto, non come voce aggiuntiva a fine rapporto
• Periodo di transizione: il provider deve garantire un periodo post-terminazione (minimo 30 giorni, idealmente 90) in cui i dati restano accessibili per la migrazione

Papermark e la conformità all'EU Data Act

Tra i provider VDR disponibili sul mercato italiano, Papermark soddisfa i requisiti chiave del Data Act attraverso un'architettura progettata per la portabilità fin dall'origine. I documenti caricati sono esportabili integralmente nel formato originale in qualsiasi momento, senza costi aggiuntivi. Il log di audit è esportabile in formato CSV, con tutte le colonne (utente, timestamp, azione, documento, pagina) incluse. La struttura delle cartelle viene preservata nell'esportazione ZIP.

Il piano Enterprise di Papermark include l'opzione di self-hosting: il cliente installa la piattaforma sulla propria infrastruttura cloud, eliminando strutturalmente il problema del lock-in sul fornitore. I dati non escono mai dall'ambiente dell'organizzazione e la migrazione verso un'altra soluzione non richiede la cooperazione del provider.

Sul fronte della conformità, Papermark dispone di hosting predefinito su AWS Francoforte (eu-central-1) sotto giurisdizione UE, certificazione SOC 2 Type II e ISO 27001, conformità GDPR nativa con DPA disponibile. L'audit log esportabile soddisfa sia i requisiti del Data Act che quelli di DORA per gli enti finanziari. Per la guida completa alle migliori VDR del mercato italiano, si veda la classifica migliori Virtual Data Room 2026.

GDPR e EU Data Act: le intersezioni per chi usa una data room in Italia

Il GDPR e il Data Act non sono in contraddizione, ma si sovrappongono in modo che le organizzazioni italiane devono saper gestire. Il GDPR garantisce la portabilità dei dati personali (art. 20 GDPR): i dati personali trattati con il consenso dell'interessato o nell'esecuzione di un contratto devono essere esportabili in formato strutturato. Il Data Act estende il diritto a tutti i dati generati nel servizio, inclusi i dati non personali o i dati aziendali.

Per una data room, la sovrapposizione pratica riguarda soprattutto i dati di accesso dei visitatori (email, timestamp, azioni) che sono contemporaneamente dati personali (soggetti al GDPR) e dati di audit del servizio (soggetti al Data Act). Il provider deve garantire la portabilità di entrambe le categorie, con il DPA GDPR che copre i primi e le clausole del Data Act che coprono i secondi.

Un punto di attenzione specifica riguarda i trasferimenti extra-UE. Il Data Act consente il trasferimento dei dati verso paesi terzi solo in presenza di garanzie equivalenti. Per una data room usata da un'azienda italiana, questo significa che il cambio verso un fornitore extra-UE richiede una valutazione del rischio equivalente a quella richiesta dal GDPR per i trasferimenti di dati personali. La scelta di un provider con hosting in UE elimina questa complessità. Per approfondire la gestione del GDPR nelle data room, si veda la scheda data room GDPR.

Errori comuni nella gestione del Data Act per le data room

Il primo errore è considerare il Data Act una questione solo per i provider, non per i clienti. Il Data Act attribuisce diritti ai clienti delle piattaforme digitali: il diritto di portabilità, il diritto di cambio fornitore senza lock-in sproporzionato, il diritto a formati aperti. Questi diritti devono essere esercitati attivamente: il provider non li offrirà spontaneamente se non richiesto contrattualmente.

Il secondo errore è firmare contratti VDR senza verificare le clausole di uscita e di portabilità. Molti contratti VDR storici non contengono clausole esplicite sull'esportazione dei dati a fine rapporto: il formato di esportazione, i tempi e i costi eventuali sono lasciati alla discrezionalità del provider. Con il Data Act in vigore, richiedere clausole esplicite su questi punti prima di firmare è diventato un obbligo di diligenza, non una precauzione opzionale.

Il terzo errore è confondere il diritto di portabilità del Data Act con quello del GDPR. Il GDPR copre i dati personali degli interessati; il Data Act copre tutti i dati del servizio. Per una data room, il log di audit che registra le azioni di un visitatore è sia dato personale (soggetto al GDPR) che dato del servizio (soggetto al Data Act). Le due discipline si sommano, non si sostituiscono.

Il quarto errore è non testare l'esportazione prima di iniziare un'operazione critica. Un'azienda che scopre a metà due diligence che il proprio provider non supporta l'esportazione dell'audit log in formato aperto ha un problema operativo immediato. La verifica dell'esportazione completa, inclusi log e struttura delle cartelle, dovrebbe essere parte del processo di selezione del provider, non una scoperta a posteriori.

Il quinto errore è ignorare il periodo di transizione post-terminazione. Anche con il Data Act, se il contratto non prevede esplicitamente un periodo di accesso post-terminazione (di norma almeno 30 giorni), il cliente rischia di perdere l'accesso ai documenti immediatamente dopo la scadenza. Le clausole di transizione devono essere negoziate nel contratto iniziale, non al momento dell'uscita.

Cos'è l'EU Data Act e quando si applica in Italia?

Il Regolamento (UE) 2023/2854, noto come EU Data Act, è applicabile dal 12 settembre 2025 in tutta l'Unione Europea, inclusa l'Italia. Introduce il diritto di portabilità dei dati generati dai servizi digitali e il diritto di cambio fornitore (Cloud Switching) senza pratiche di lock-in sleali. Si applica ai fornitori di servizi cloud e di trattamento dati che operano nell'UE, inclusi i provider di Virtual Data Room.

Una data room rientra nel perimetro del Data Act?

Sì. Le Virtual Data Room rientrano nella definizione di 'servizi di trattamento dei dati' ai sensi del Data Act. I fornitori VDR sono obbligati a garantire la portabilità dei dati verso altri fornitori, a non applicare pratiche commerciali che ostacolino il cambio e a rendere disponibili interfacce tecniche per il trasferimento dei dati. I clienti hanno il diritto di richiedere l'esportazione completa dei propri dati in formato aperto.

Cosa si intende per Cloud Switching nel Data Act?

Il Cloud Switching è il diritto del cliente di cambiare fornitore di servizi cloud o dati senza incontrare ostacoli sproporzionati. Il Data Act vieta ai provider di applicare costi di egress superiori ai costi effettivi di trasferimento (da settembre 2027), di imporre periodi di lock-in contrattuale non giustificati e di rendere tecnicamente difficile l'esportazione dei dati. Per una data room, significa avere diritto a un'esportazione completa e a costi ragionevoli.

Cosa deve contenere un contratto VDR conforme all'EU Data Act?

Un contratto VDR conforme all'EU Data Act deve prevedere: clausola di portabilità con specifico formato di esportazione, periodo di transizione post-terminazione di almeno 30 giorni con accesso ai dati garantito, dichiarazione dei costi di egress, impegno del fornitore a cooperare con il provider successivo durante la migrazione. I contratti esistenti firmati prima di settembre 2025 rimangono validi, ma i rinnovi devono adeguarsi.

Il GDPR e il Data Act si sovrappongono per le data room?

Sì, parzialmente. Il GDPR copre la portabilità dei dati personali degli interessati. Il Data Act copre tutti i dati generati nel servizio, inclusi i dati non personali. Per una data room, i dati di accesso dei visitatori sono simultaneamente soggetti a entrambe le normative. Le due discipline si sommano: il provider deve soddisfare sia gli obblighi GDPR (DPA, consenso, cancellazione) che quelli del Data Act (portabilità, Cloud Switching).

Come scelgo un provider VDR che rispetti il Data Act?

Verificare tre aspetti nel contratto e nelle specifiche tecniche: il provider garantisce l'esportazione completa dei documenti, dell'audit log e della struttura delle cartelle in formato aperto? Il contratto prevede una clausola di uscita proporzionata senza penali eccessive? I costi di esportazione sono dichiarati esplicitamente? Un provider che non risponde chiaramente a queste domande rappresenta un rischio di lock-in incompatibile con il Data Act.

Papermark è conforme all'EU Data Act?

Papermark soddisfa i requisiti chiave del Data Act: esportazione completa dei documenti nel formato originale, log di audit esportabile in CSV, struttura delle cartelle preservata nell'esportazione ZIP, nessun costo aggiuntivo per l'esportazione dei dati. Il piano Enterprise con self-hosting elimina strutturalmente qualsiasi forma di lock-in sul fornitore. Hosting predefinito su AWS Francoforte (eu-central-1), SOC 2 Type II, ISO 27001 certificato, GDPR conforme.

Il Data Act si applica anche ai fornitori VDR non europei che operano in Italia?

Sì. Il Data Act si applica a qualsiasi fornitore di servizi di trattamento dati che offre servizi nell'Unione Europea, indipendentemente dalla propria sede legale. Un fornitore VDR americano che serve clienti italiani è soggetto agli obblighi del Data Act allo stesso modo di un fornitore europeo. La differenza pratica è che i provider non UE possono essere soggetti anche a legislazioni extraterritoriali (come il Cloud Act americano) che possono confliggere con il Data Act.