Portabilità dei dati e GDPR: come lasciare il fornitore IT
14 luglio 2026·8 min di lettura
Un'azienda familiare di distribuzione può riprendersi i propri dati e lasciare il fornitore IT, e la leva vera non è l'articolo 20 del GDPR ma l'articolo 28 più il Data Act europeo. Opsy è il back office che si manda avanti da solo, partendo dalla mail. Legge il ciclo passivo (conferme d'ordine, DDT, fatture) dalla casella di posta e dallo SDI, riconcilia i documenti a quattro vie e segnala le differenze. Non è un gestionale e non lo sostituisce. Proprio perché legge da documenti che restano dell'azienda, è per disegno facile da lasciare. Questo articolo spiega la norma e consegna le clausole da pretendere. Per il quadro completo su cosa chiedere prima di firmare un contratto software rimanda alla guida sulla reversibilità contrattuale.
Perché un'azienda familiare ha paura di restare legata al fornitore del gestionale?
Perché lo ha già vissuto. Il fornitore del gestionale rende difficile e costoso ogni collegamento o esportazione, e il sistemista di fiducia ha interesse a trattenere il cliente. La paura del vincolo nasce dall'esperienza, non dalla teoria.
Il gestionale come mondo da cui non si esce
L'azienda familiare di distribuzione, spesso seconda o terza generazione, tra i 20 e i 150 dipendenti, con un gestionale italiano installato in casa, percepisce quel sistema come territorio da non toccare. Il rapporto pluriennale con il sistemista esterno rafforza la sensazione che cambiare qualcosa significhi rimettere tutto in discussione.
Il vissuto è concreto. I fornitori sono restii a fare collegamenti diretti e i costi per una operazione tecnicamente semplice si gonfiano fino a scoraggiare il cliente.
C'è una ritrosia da parte di chi fornisce il gestionale di fare collegamenti diretti. Si fermano perché i costi che i sistemisti danno anche per questa operazione, che in realtà da sistemista è piuttosto semplice.
La frammentazione che rende il vincolo ancora più caro
In una rete di distributori le marche di gestionale sono tante e diverse. Uno strumento legato a una sola marca ricrea il problema che l'azienda vuole evitare, perché copre solo una parte della rete e obbliga tutti gli altri a un nuovo collegamento su misura.
Il tema dell'indipendenza dalla marca vale per chiunque appartenga a una rete di distributori che usa gestionali diversi.
La paura si sposta sull'AI
Il timore è che un nuovo strumento, soprattutto uno con l'intelligenza artificiale, intrappoli di nuovo l'azienda. È un'obiezione legittima. La differenza è che la legge dà leve precise per riprendersi i propri dati, ed è il momento di vederle una per una.
Cosa dice davvero l'articolo 20 del GDPR e perché a un'impresa da solo non basta?
L'articolo 20 dà a una persona fisica il diritto di ricevere i propri dati personali in un formato strutturato e leggibile da una macchina e di trasferirli altrove. Non dà a un'azienda il diritto di portare via tutto il proprio archivio commerciale, quindi da solo non risolve il problema di chi vuole lasciare il fornitore IT.
Dati personali contro archivio commerciale
Questa è la distinzione da non sbagliare. Ordini, conferme d'ordine, DDT e fatture tra imprese non sono, in quanto tali, dati personali portabili. Contano i dati personali contenuti dentro quei documenti, cioè nomi, indirizzi email e contatti dei referenti.
Quasi tutti i contenuti sul tema confondono le due cose e lasciano credere che l'articolo 20 sia una chiave universale per svuotare il proprio gestionale. Non lo è. Il testo del GDPR e la pagina del Garante sul diritto alla portabilità parlano di dati personali dell'interessato (EUR-Lex, GDPR art. 20; Garante, portabilità).
Quando si applica davvero l'articolo 20
Il diritto alla portabilità si applica quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. È un perimetro preciso, che le linee guida europee sul diritto alla portabilità hanno chiarito distinguendo cosa vi rientra e cosa no (EDPB, WP242).
Perché l'articolo 20 è solo il primo pezzo
Per un individuo l'articolo 20 è una tutela forte. Per un'impresa che vuole cambiare fornitore e portarsi dietro tutto è solo il primo pezzo del quadro. La leva vera è altrove, e la prossima sezione la mette al centro.
Quali sono le leve legali che permettono a un'azienda di riprendersi i dati?
Sono due. L'articolo 28 del GDPR obbliga il fornitore che tratta i dati per conto dell'azienda a restituirli o cancellarli a fine rapporto, a scelta dell'azienda. Il Data Act europeo, il regolamento sui dati applicabile dal 12 settembre 2025, obbliga i fornitori cloud a consentire il passaggio a un altro fornitore e a rimuovere i costi di uscita.
Articolo 28, la restituzione dei dati a fine rapporto
Il fornitore che gestisce i dati per l'azienda è responsabile del trattamento per conto del titolare. Secondo l'articolo 28, comma 3, lettera g, al termine del servizio deve cancellare o restituire tutti i dati, a scelta del titolare. È l'obbligo contrattuale che quasi nessun articolo divulgativo mette al centro, eppure è la base concreta per esigere indietro i propri dati (EUR-Lex, GDPR art. 28).
Data Act, il diritto di cambiare fornitore cloud
Il Data Act, il regolamento europeo sui dati, è il tassello nuovo e più rilevante. Applicabile dal 12 settembre 2025, colpisce direttamente il vincolo al fornitore IT.
Prevede tre cose che contano per chi vuole andarsene.
- Obblighi di portabilità dei dati in formati strutturati.
- Rimozione graduale dei costi di passaggio a un altro fornitore.
- Divieto di ostacoli tecnici e contrattuali al cambio di fornitore.
La Commissione europea conferma questi obblighi e la data di applicabilità nella sua scheda ufficiale (EUR-Lex, Data Act; Commissione europea).
La linea del tempo del diritto di uscire
Le tre norme si sono stratificate nel tempo e insieme rendono il diritto di lasciare il fornitore IT più solido di quanto molte aziende credano.
Fonte: Regolamento UE 2016/679 (GDPR); Regolamento UE 2023/2854 (Data Act).
Quali clausole servono nel contratto per lasciare il fornitore senza perdere i dati?
Il diritto di uscire esiste solo se è scritto nel contratto. Cinque clausole precise lo rendono esigibile, e chiunque può portarle al proprio fornitore o al proprio consulente anche senza essere un giurista.
Le cinque clausole da pretendere
Il vocabolario giusto è cosa chiedere e perché conta, non un elenco di divieti astratti. Queste cinque richieste ricalcano una redline contrattuale reale di un'azienda di distribuzione che, prima di firmare, ha chiesto per iscritto di dettagliare export, restituzione dati e sub-responsabili.
Ha senso quando
Non ha senso quando
Limitare l'uso dei nostri dati per training/miglioramento dei modelli AI, prevedendo solo previa nostra autorizzazione espressa; dettagliare meglio sub-responsabili ed eventuali trasferimenti extra-UE, con elenco e relative garanzie; precisare meglio modalità e tempi di export/restituzione dati a fine rapporto.
Perché uno strumento che legge dalla mail è facile da lasciare
Se i dati di partenza vivono nella casella di posta e nello SDI, che restano dell'azienda, nessun fornitore può trattenerli. Uno strumento che legge da lì e non diventa mai l'archivio ufficiale è, per disegno, reversibile. La conformità diventa una scelta di disegno, non una promessa.
La leggerezza dell'adozione conferma il punto. Per attivare un livello sopra il gestionale non serve un team IT interno, bastano due referenti operativi e circa una settimana. Aggiungere e togliere quel livello è un gesto leggero, quindi il vincolo non si ricrea. Il pattern è già validato su clienti reali, come mostra la pagina Opsy per chi distribuisce componenti tessili e accessori moda.
Domande frequenti
Cosa dice l'articolo 20 del GDPR sulla portabilità dei dati?
L'articolo 20 del GDPR dà a una persona fisica il diritto di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da un dispositivo automatico, e di trasmetterli a un altro titolare. Si applica quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. È un diritto dell'individuo sui suoi dati personali, non uno strumento pensato per lo spostamento di un intero archivio commerciale.
La portabilità del GDPR vale per i dati commerciali della mia azienda o solo per i dati personali?
Vale per i dati personali. Ordini, conferme d'ordine, DDT e fatture tra imprese non sono, in quanto tali, dati personali portabili ai sensi dell'articolo 20. Contano i dati personali contenuti in quei documenti, come nomi, indirizzi email e contatti dei referenti. Per riprendersi l'intero archivio commerciale un'azienda usa altre leve, l'articolo 28 del GDPR e il Data Act europeo.
Che differenza c'è tra l'articolo 20 e l'articolo 28 del GDPR quando cambio fornitore IT?
L'articolo 20 è un diritto della persona fisica sui propri dati personali. L'articolo 28 riguarda il rapporto tra l'azienda titolare del trattamento e il fornitore che tratta i dati per suo conto. Il comma 3 lettera g dell'articolo 28 obbliga il fornitore a cancellare o restituire tutti i dati al termine del servizio, a scelta dell'azienda. Per chi vuole lasciare un fornitore IT la leva utile è l'articolo 28, non l'articolo 20 da solo.
Cos'è il Data Act europeo e cosa cambia per chi vuole lasciare un fornitore cloud?
Il Data Act, il regolamento europeo sui dati (Regolamento UE 2023/2854), è applicabile dal 12 settembre 2025. Impone ai fornitori di servizi di trattamento dati di consentire il passaggio a un altro fornitore, di rimuovere gradualmente i costi di uscita e di garantire la portabilità in formati strutturati, vietando gli ostacoli tecnici e contrattuali al cambio. È la prima norma che colpisce direttamente il vincolo al fornitore IT.
Quali clausole servono nel contratto per lasciare il fornitore del gestionale senza perdere i dati?
Cinque clausole rendono il diritto di uscire esigibile. Esportazione in formato aperto e leggibile da una macchina, restituzione di tutti i dati a fine rapporto con tempi certi, nessun costo di uscita, elenco dei sub-responsabili del trattamento ed eventuali trasferimenti fuori dall'Unione Europea, divieto di usare i dati dell'azienda per l'addestramento dei modelli AI senza autorizzazione espressa. Sono richieste concrete che chiunque può portare al proprio fornitore o al proprio consulente.
Posso obbligare un fornitore a restituirmi tutti i dati alla fine del contratto?
Sì, se il fornitore tratta i dati per conto dell'azienda come responsabile del trattamento. L'articolo 28 comma 3 lettera g del GDPR prevede che, al termine del servizio, il responsabile cancelli o restituisca tutti i dati a scelta del titolare. Il diritto è più solido quando il contratto lo scrive in modo esplicito, con formato di consegna e tempi certi.
In che formato ho diritto di ricevere i miei dati quando cambio fornitore?
L'articolo 20 del GDPR parla di formato strutturato, di uso comune e leggibile da un dispositivo automatico. Il Data Act rafforza l'obbligo di portabilità in formati strutturati per i servizi di trattamento dati. Come riferimento di cosa pretendere in un export, le linee guida AGID sull'articolo 68 del Codice dell'Amministrazione Digitale definiscono formato aperto un formato reso pubblico, documentato e neutro rispetto agli strumenti tecnologici.
Un'azienda di distribuzione rischia di restare bloccata se adotta un software AI sopra il gestionale?
Dipende da dove vivono i dati di partenza. Se lo strumento legge conferme d'ordine, DDT e fatture dalla casella di posta e dallo SDI, che restano dell'azienda, e non diventa mai l'archivio ufficiale, si può aggiungere e togliere senza perdere nulla. La reversibilità in quel caso è una scelta di disegno del prodotto, non una promessa commerciale.
In sintesi
La leva per lasciare un fornitore IT non è l'articolo 20 del GDPR ma l'articolo 28, che impone la restituzione dei dati a fine rapporto, più il Data Act europeo, che libera il passaggio da un fornitore all'altro. Il diritto diventa esigibile quando le cinque clausole di uscita sono nero su bianco nel contratto. La paura del vincolo si ribalta quando lo strumento legge dai documenti reali e non tocca il gestionale, perché un livello del genere si aggiunge e si toglie senza perdere nulla. Per il quadro completo su cosa chiedere prima di firmare un contratto software conviene partire dalla reversibilità, non dal prezzo.
Prenota una demo di 20 minuti
Mostriamo Opsy con i vostri documenti, in chiamata. Senza slide e senza impegno.
Chi vuole provare un livello che legge dai propri documenti reali senza toccare il gestionale può entrare in lista e vederlo lavorare sul proprio ciclo passivo.
Continua a leggere
Gestionale italiano per aziende di distribuzione: 20 domande e risposte
Il miglior gestionale italiano per la distribuzione cambia per settore, volume e architettura tecnologica. Venti domande e risposte verificate sui sistemi più diffusi nel 2026.
Riconciliazione documentale nella distribuzione, guida 2026
Riconciliazione documentale nella distribuzione italiana, cosa è, dove si rompe, quanto costa e come automatizzarla sopra il gestionale esistente nel 2026.
Questo articolo ha finalità divulgative e non sostituisce una consulenza legale sul caso specifico.
Domande frequenti
- Cosa dice l'articolo 20 del GDPR sulla portabilità dei dati?
- L'articolo 20 del GDPR dà a una persona fisica il diritto di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da un dispositivo automatico, e di trasmetterli a un altro titolare. Si applica quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. È un diritto dell'individuo sui suoi dati personali, non uno strumento pensato per lo spostamento di un intero archivio commerciale.
- La portabilità del GDPR vale per i dati commerciali dell'azienda o solo per i dati personali?
- Vale per i dati personali. Ordini, conferme d'ordine, DDT e fatture tra imprese non sono, in quanto tali, dati personali portabili ai sensi dell'articolo 20. Contano i dati personali contenuti in quei documenti, come nomi, indirizzi email e contatti dei referenti. Per riprendersi l'intero archivio commerciale un'azienda usa altre leve, l'articolo 28 del GDPR e il Data Act europeo.
- Che differenza c'è tra l'articolo 20 e l'articolo 28 del GDPR quando cambio fornitore IT?
- L'articolo 20 è un diritto della persona fisica sui propri dati personali. L'articolo 28 riguarda il rapporto tra l'azienda titolare del trattamento e il fornitore che tratta i dati per suo conto. Il comma 3 lettera g dell'articolo 28 obbliga il fornitore a cancellare o restituire tutti i dati al termine del servizio, a scelta dell'azienda. Per chi vuole lasciare un fornitore IT la leva utile è l'articolo 28, non l'articolo 20 da solo.
- Cos'è il Data Act europeo e cosa cambia per chi vuole lasciare un fornitore cloud?
- Il Data Act, il regolamento europeo sui dati (Regolamento UE 2023/2854), è applicabile dal 12 settembre 2025. Impone ai fornitori di servizi di trattamento dati di consentire il passaggio a un altro fornitore, di rimuovere gradualmente i costi di uscita e di garantire la portabilità in formati strutturati, vietando gli ostacoli tecnici e contrattuali al cambio. È la prima norma che colpisce direttamente il vincolo al fornitore IT.
- Quali clausole servono nel contratto per lasciare il fornitore del gestionale senza perdere i dati?
- Cinque clausole rendono il diritto di uscire esigibile. Esportazione in formato aperto e leggibile da una macchina, restituzione di tutti i dati a fine rapporto con tempi certi, nessun costo di uscita, elenco dei sub-responsabili del trattamento ed eventuali trasferimenti fuori dall'Unione Europea, divieto di usare i dati dell'azienda per l'addestramento dei modelli AI senza autorizzazione espressa. Sono richieste concrete che chiunque può portare al proprio fornitore o al proprio consulente.
- Posso obbligare un fornitore a restituirmi tutti i dati alla fine del contratto?
- Sì, se il fornitore tratta i dati per conto dell'azienda come responsabile del trattamento. L'articolo 28 comma 3 lettera g del GDPR prevede che, al termine del servizio, il responsabile cancelli o restituisca tutti i dati a scelta del titolare. Il diritto è più solido quando il contratto lo scrive in modo esplicito, con formato di consegna e tempi certi.
- In che formato ho diritto di ricevere i miei dati quando cambio fornitore?
- L'articolo 20 del GDPR parla di formato strutturato, di uso comune e leggibile da un dispositivo automatico. Il Data Act rafforza l'obbligo di portabilità in formati strutturati per i servizi di trattamento dati. Come riferimento di cosa pretendere in un export, le linee guida AGID sull'articolo 68 del Codice dell'Amministrazione Digitale definiscono formato aperto un formato reso pubblico, documentato e neutro rispetto agli strumenti tecnologici.
- Un'azienda di distribuzione rischia di restare bloccata se adotta un software AI sopra il gestionale?
- Dipende da dove vivono i dati di partenza. Se lo strumento legge conferme d'ordine, DDT e fatture dalla casella di posta e dallo SDI, che restano dell'azienda, e non diventa mai l'archivio ufficiale, si può aggiungere e togliere senza perdere nulla. La reversibilità in quel caso è una scelta di disegno del prodotto, non una promessa commerciale.