Lo Sportello unico nazionale dei dati protetti: il Data Governance Act mette alla prova la governance informativa dei Comuni

Con una notizia pubblicata il 28 maggio 2026, l’Agenzia per l’Italia Digitale ha reso disponibile sul portale dati.gov.it lo Sportello unico nazionale dei dati protetti, dando attuazione all’art. 8 del Regolamento (UE) 2022/868 — il Data Governance Act (DGA) — che individua l’AgID quale autorità nazionale ed ente competente. Si tratta di un passaggio che, dietro l’apparente sobrietà tecnica del comunicato, segna un mutamento di prospettiva non secondario per chiunque amministri dati pubblici, e in modo particolarmente sensibile per i Comuni, che di dati ne detengono moltissimi e, spesso, fra i più delicati.
Per comprendere la portata dello strumento occorre liberarsi di un equivoco diffuso. Quando si parla di valorizzazione del patrimonio informativo pubblico, il pensiero corre quasi automaticamente agli open data, ossia a quei dati liberamente accessibili, riutilizzabili e ridistribuibili da chiunque, secondo la logica inaugurata in sede europea dalla direttiva (UE) 2019/1024 e, nel nostro ordinamento, dalle disposizioni del Codice dell’Amministrazione Digitale (d.lgs. 7 marzo 2005, n. 82) e dal d.lgs. 24 gennaio 2006, n. 36, come riformato proprio in attuazione di quella direttiva. Il DGA si colloca, però, su un piano diverso e in certo senso complementare. Esso non riguarda i dati che possono diventare aperti, bensì proprio quelli che non possono esserlo: dati sanitari, dati di mobilità, informazioni coperte da riservatezza statistica o commerciale, materiali protetti da diritti di proprietà intellettuale, dati la cui diffusione inciderebbe sulla tutela della vita privata. Sono, cioè, dati che la pubblica amministrazione detiene ma che, per la presenza di una tutela qualificata, non può semplicemente rovesciare in rete in formato aperto.
La domanda alla quale il DGA tenta di rispondere è allora la seguente: come consentire un riutilizzo di questi dati che sia al tempo stesso sicuro e rispettoso delle tutele che su di essi gravano? La risposta del legislatore europeo è di natura essenzialmente procedurale e informativa. Prima ancora di disciplinare le condizioni del riutilizzo, occorre rendere i dati reperibili: bisogna cioè che chi potrebbe averne interesse — un’impresa, un centro di ricerca, una start-up, ma anche un’altra amministrazione — sappia che quei dati esistono, presso quale ente sono custoditi e a quali condizioni possano essere richiesti. È qui che si inserisce lo sportello unico.
Il punto qualificante, e quello che merita la massima attenzione da parte degli enti locali, è che lo Sportello unico non rende fruibili i dati in sé. A differenza degli open data, i dati protetti non sono scaricabili né immediatamente utilizzabili: lo sportello pubblica i metadati descrittivi, ossia le informazioni che dicono che cosa quel dataset contenga, chi ne sia il titolare e attraverso quali procedure possa essere richiesto l’accesso. Il dato vero e proprio resta presso l’amministrazione che lo detiene e potrà essere ottenuto soltanto a valle di una richiesta formale rivolta al titolare, secondo le modalità indicate nei metadati stessi.
Sul piano tecnico, l’AgID ha scelto la via dell’economia infrastrutturale, costruendo lo sportello sull’architettura già esistente di dati.gov.it e sul medesimo approccio di harvesting impiegato per gli open data, coerentemente con quanto suggerito dal Considerando 26 del DGA. Lo strumento è raggiungibile dall’apposita voce di sottomenu “Dati protetti” del portale nazionale, è interrogabile mediante filtri dedicati ed è registrato anche nel punto di accesso unico europeo disponibile su data.europa.eu. I primi dataset, utilizzati anche in fase di test, sono stati pubblicati in collaborazione con il Servizio Open Data della Camera di Commercio delle Marche.
Dietro questa scelta vi è una visione che va oltre l’efficienza tecnica. Concentrare in un unico luogo i metadati relativi tanto ai dati aperti quanto a quelli protetti consente all’utente di muoversi lungo una singola catena del valore: di cercare, cioè, in un solo punto, senza dover distinguere a priori fra ciò che è liberamente accessibile e ciò che richiede una procedura di accesso. È un modello che premia la trasparenza della disponibilità informativa, anche dove la disponibilità del dato resta condizionata.
Il comunicato dell’AgID contiene un passaggio che gli amministratori locali farebbero bene a non leggere in fretta: tutti gli enti pubblici titolari di dati che rientrano nell’ambito applicativo del DGA sono ora tenuti a documentarli nello sportello unico, seguendo lo stesso approccio adottato per la pubblicazione degli open data, con l’aggiunta di una specifica indicazione che li qualifichi come dati protetti. Non si tratta dunque di una facoltà o di una buona pratica suggerita, ma di un adempimento.
Per un Comune, l’impatto è tutt’altro che teorico. Si pensi alla mole e alla varietà dei dati che un ente locale tratta quotidianamente: dati anagrafici e di stato civile, informazioni dei servizi sociali, dati relativi alla mobilità urbana e al traffico, dati ambientali, catastali, tributari, urbanistici, dati raccolti tramite sistemi di videosorveglianza o sensoristica diffusa nelle smart city. Una parte consistente di questo patrimonio non potrà mai diventare open data proprio perché coperta da quelle tutele — in primis la protezione dei dati personali — che il DGA pone a presupposto della propria disciplina. Eppure molti di questi dati, opportunamente trattati, anonimizzati o resi accessibili in ambienti controllati, possono avere un valore enorme per la ricerca, per la pianificazione dei servizi, per l’innovazione del territorio. Il DGA chiede al Comune di rendere conoscibile questo patrimonio, descrivendolo e indicando come accedervi.
Qui emerge la prima sfida, che è di natura organizzativa prima ancora che giuridica. Documentare i dati protetti presuppone che l’ente sappia, anzitutto, quali dati detiene: presuppone cioè un censimento aggiornato del proprio patrimonio informativo, una mappatura dei trattamenti che, non casualmente, è già richiesta dal registro delle attività di trattamento previsto dal Regolamento (UE) 2016/679. Lo sportello unico, sotto questo profilo, diventa un banco di prova della maturità della governance dei dati comunali: chi ha già investito in una mappatura seria si troverà avvantaggiato; chi non l’ha fatto scoprirà che la conformità al DGA non è un esercizio di compilazione di metadati, ma il punto di arrivo di un percorso di conoscenza del proprio patrimonio.
Il secondo ordine di problemi attiene alla titolarità interna del processo. La predisposizione e l’aggiornamento dei metadati richiedono il concorso di figure diverse: il Responsabile per la Transizione al Digitale, cui spetta il presidio strategico della valorizzazione del dato; il Responsabile della Protezione dei Dati, chiamato a verificare che la descrizione e l’eventuale procedura di accesso non si traducano in una compromissione delle tutele a presidio dei dati personali; gli uffici di linea che dei dati sono i custodi operativi. È un lavoro di coordinamento che, nei grandi Comuni dotati di strutture informatiche articolate, può trovare collocazione naturale, ma che nei piccoli enti — ancora la grande maggioranza del tessuto amministrativo italiano — rischia di gravare su organici già sottodimensionati. Su questo terreno sarà decisivo il ruolo delle forme associative, delle Unioni di Comuni e del supporto tecnico delle Regioni e dello stesso ecosistema dati.gov.it, perché l’adempimento non resti sulla carta o non venga eseguito in modo meramente formale.
Vorrei chiudere con una considerazione di metodo. Il DGA, e con esso lo sportello unico, si muove su un crinale sottile: promuovere il riutilizzo dei dati senza svuotare le tutele che ne giustificano la qualificazione come “protetti”. La pubblicazione dei metadati non sospende il GDPR né attenua gli obblighi che gravano sul titolare quando i dati abbiano natura personale; la procedura di accesso indicata nei metadati dovrà sempre essere costruita in modo da garantire una base giuridica adeguata, misure di sicurezza proporzionate e, ove necessario, tecniche di anonimizzazione o di accesso in ambienti protetti. Il rischio da evitare è duplice: da un lato, l’inerzia di chi, per prudenza, non documenta nulla e mantiene opaco il proprio patrimonio; dall’altro, l’eccesso di zelo di chi, attratto dalla logica della valorizzazione, descrive e rende accessibili dati che andrebbero invece trattati con maggiore cautela.
In questa tensione fra apertura e tutela si gioca, in fondo, la qualità della governance informativa di un ente. Lo Sportello unico nazionale dei dati protetti non è soltanto un nuovo adempimento da assolvere su dati.gov.it: è l’occasione perché i Comuni guardino al proprio patrimonio di dati come a una risorsa da conoscere, ordinare e mettere a disposizione in modo responsabile. Sta agli enti decidere se viverlo come l’ennesimo onere burocratico o come la leva di una più matura cultura del dato pubblico. La differenza, come spesso accade, non la farà la norma, ma il modo in cui sapremo organizzarci per applicarla.