Chi possiede e gestisce i dati in un distretto intelligente?

Di solito non esiste un parte e la "proprietà" raramente è il modo più utile per inquadrare la questione. Un distretto coinvolge proprietari di edifici, occupanti, un amministratore immobiliare, utenze, fornitori di servizi e talvolta un'autorità pubblica, ciascuno dei quali genera e utilizza informazioni diverse. Ciò che in realtà deve essere stabilito, categoria per categoria, è chi può accedere, utilizzare, condividere, conservare ed esportare ciascun tipo di dati, chi è responsabile della sua qualità e protezione e cosa succede quando una delle parti cambia. Laddove siano coinvolti dati personali, si applicano ruoli legali che nessuna formulazione contrattuale può prevalere.

Lo strumento pratico è un programma distrettuale sui diritti dei dati, concordato tra le parti e scritto nei relativi contratti con un adeguato input legale e di protezione dei dati.

I diritti non sono la stessa cosa delle responsabilità

L’organizzazione che gestisce un sensore potrebbe non essere quella che ospita la piattaforma, e nemmeno quella che utilizza l’output. Per ciascuna categoria di dati, è utile separare i diritti (accedere agli stessi, utilizzarli per scopi dichiarati, condividerli con terzi, conservarli, esportarli e concederli in licenza) dalle responsabilità (per la loro qualità, sicurezza, conservazione e cancellazione, per rispondere alle richieste e per mantenerne le definizioni).

Le garanzie vaghe non coprono questo aspetto. Una proposta di piattaforma che afferma che "il cliente possiede i dati" può comunque limitare i formati di esportazione, addebitare costi per i dati storici o limitare ciò che altri fornitori possono fare con essi. I diritti che contano devono essere scritti esplicitamente.

I dati personali hanno le proprie regole

Laddove i dati si riferiscono a persone identificabili, come nel caso di eventi di controllo degli accessi, occupazione collegata a individui, conti residenti, riconoscimento di targhe o CCTV, il Regolamento generale sulla protezione dei dati dell’UE (GDPR) si applica nel suo ambito territoriale (altre giurisdizioni hanno le proprie leggi sulla protezione dei dati) e i suoi ruoli derivano da ciò che fa effettivamente ciascuna parte, non da ciò che un contratto lo definisce. Il Regolamento definisce titolare del trattamento l’organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (articolo 4, paragrafo 7), e responsabile del trattamento quello che tratta dati personali per conto di un titolare del trattamento (articolo 4, paragrafo 8). Quando due o più titolari del trattamento determinano congiuntamente finalità e mezzi, essi sono contitolari del trattamento e devono definire le rispettive responsabilità in un accordo tra loro (articolo 26). Le linee guida del comitato europeo per la protezione dei dati su questi concetti sottolineano che sono funzionali: assegnano la responsabilità in base ai ruoli effettivi delle parti. In un distretto, l'amministratore immobiliare, il proprietario dell'edificio e il fornitore della piattaforma possono ricoprire ciascuno ruoli diversi per diverse attività di trattamento.

Questo è il motivo per cui il linguaggio "proprietà" in un contratto tecnologico non risolve la responsabilità in materia di protezione dei dati. I ruoli devono essere valutati con il responsabile della protezione dei dati o il consulente legale per ciascuna attività di trattamento e gli accordi di supporto devono essere messi in atto.

Dati provenienti da prodotti collegati

L’EU Data Act, in vigore dal 12 settembre 2025, conferisce agli utenti di prodotti connessi il diritto di accedere ai dati generati dal loro utilizzo e di condividerli con terzi. In un distretto con più proprietari, operatori e fornitori, chi conta come utilizzatore di un determinato prodotto potrebbe non essere ovvio. Questa è una questione legale per ciascun accordo e un motivo valido per dichiarare i termini di accesso ai dati negli appalti invece di lasciarli alle impostazioni predefinite del fornitore.

Il programma sui diritti dei dati

Le categorie, le finalità ed i periodi presenti nella tabella sono esemplificativi; ciascuno deve essere concordato per il distretto attuale.

Quando le parti cambiano

I distretti sopravvivono ai loro contratti, quindi il programma deve dire cosa succede quando le cose cambiano. Quando un immobile viene venduto, quali documenti vengono trasferiti al nuovo proprietario e quale termina l'accesso? Quando un inquilino se ne va, cosa viene cancellato, conservato o restituito? E quando viene sostituito un fornitore di servizi, come vengono esportati i dati storici, la configurazione e la documentazione in forma utilizzabile, entro quale periodo e a quale costo?

I diritti di transizione che esistono solo sulla carta hanno poco valore. Testare un'esportazione all'inizio del contratto, mentre c'è ancora tempo per correggere ciò che fallisce.

Governance per martedì prossimo

Un documento di policy non decide chi potrà vedere un set di dati martedì prossimo; le persone lo fanno. Qualcuno deve approvare nuove richieste di accesso e nuovi usi, qualcuno deve mantenere le definizioni dei dati e risolvere i valori contestati e qualcuno deve rivedere il programma quando cambiano le parti o i servizi. Anche le richieste e gli incidenti relativi alla protezione dei dati necessitano di un gestore nominato.