Il diritto alla portabilità dei dati: un’autodeterminazione informativa ancora incompresa

Analisi dell’art. 20 GDPR tra linee guida EDPB, difficoltà applicative italiane e nuovi orizzonti disegnati dal Digital Markets Act e dal Data Act europeo

I

Sommario

Tra i diritti che il Regolamento (UE) 2016/679 (GDPR) ha attribuito agli interessati, il diritto alla portabilità dei dati ex art. 20 è probabilmente il meno esercitato e il meno compreso. Mentre il diritto all’oblio, il diritto di accesso e il diritto alla cancellazione hanno conquistato l’attenzione del grande pubblico e una giurisprudenza ormai consolidata, il diritto alla portabilità rimane pressoché sconosciuto alla maggior parte degli utenti digitali, scarsamente azionato nelle sedi amministrative e giudiziarie, e tecnicamente difficile da realizzare anche quando il titolare del trattamento sia disposto a cooperare.

Eppure, il diritto alla portabilità incarna una delle ambizioni più profonde del GDPR: l’autodeterminazione informativa come capacità concreta di governare i propri dati non soltanto in senso negativo — opponendosi al loro trattamento o chiedendone la cancellazione — ma in senso positivo: riappropriandosi fisicamente delle informazioni che si sono generate e trasmettendole a chi si sceglie, abbattendo le barriere di lock-in tecnologico che le grandi piattaforme erigono attorno agli ecosistemi di dati dei propri utenti.

Il presente contributo ricostruisce la disciplina dell’art. 20 GDPR nella sua interezza, distinguendola dal diritto di accesso ex art. 15 con cui viene spesso confusa, analizzando le linee guida dell’EDPB, le principali difficoltà applicative e le più recenti evoluzioni normative: il Digital Markets Act (Reg. UE 2022/1925) che estende obblighi di portabilità rinforzata ai gestori di piattaforme dominanti, e il Data Act (Reg. UE 2023/2854) che porta il principio di portabilità oltre i dati personali, proiettandolo sull’intero ecosistema dei dati generati dalle tecnologie connesse.

II

Principio di diritto

«L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti, qualora: a) il trattamento si basi sul consenso ai sensi dell’articolo 6, paragrafo 1, lettera a), o dell’articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell’articolo 6, paragrafo 1, lettera b); e b) il trattamento sia effettuato con mezzi automatizzati» — art. 20, par. 1, Reg. UE 2016/679 (GDPR).

Il principio si articola attorno a tre caratteristiche essenziali che lo distinguono dagli altri diritti dell’interessato. Prima: la portabilità è un diritto «attivo» — non si limita a consentire all’interessato di controllare o bloccare il trattamento dei propri dati, ma gli consente di riceverli e di trasmetterli a terzi, esercitando una sovranità positiva sul proprio patrimonio informativo. Seconda: il diritto è condizionato dalla base giuridica del trattamento, operando soltanto quando esso si fondi su consenso o contratto, non su legittimo interesse, obbligo legale o interesse pubblico. Terza: il diritto include non soltanto la ricezione dei dati da parte dell’interessato, ma anche la loro trasmissione diretta tra titolari (art. 20, par. 2), «ove tecnicamente fattibile» — formula che ha dato luogo a un dibattito tecnico-giuridico ancora aperto sulla portata dell’obbligo.

Il considerando 68 GDPR chiarisce l’obiettivo sottostante: «per rafforzare ulteriormente il controllo sui propri dati, l’interessato dovrebbe anche avere il diritto, qualora i dati personali siano trattati con mezzi automatizzati, di ricevere in un formato strutturato, di uso comune, leggibile da dispositivo automatico e interoperabile i dati personali che lo riguardano». L’interoperabilità — esplicitamente menzionata nel considerando ma non nel testo dell’articolo — è il principio-guida che illumina l’intera disposizione e che il Digital Markets Act ha trasformato in un obbligo giuridico stringente per i gestori delle piattaforme dominanti.

III

Inquadramento sistematico e terminologico

Le condizioni di applicabilità: un perimetro più ristretto del previsto

L’art. 20 GDPR non si applica a tutti i trattamenti di dati personali, ma soltanto a quelli che soddisfano cumulativamente due condizioni: la base giuridica del trattamento è il consenso (artt. 6, par. 1, lett. a, e 9, par. 2, lett. a) o il contratto (art. 6, par. 1, lett. b); e il trattamento è effettuato con mezzi automatizzati. Questi due requisiti, che operano in modo cumulativo, escludono dall’ambito applicativo della portabilità una quota rilevante di trattamenti.

Sono esclusi, in particolare: i trattamenti fondati sul legittimo interesse del titolare (art. 6, par. 1, lett. f) — come molte attività di marketing diretto e di profilazione commerciale; i trattamenti fondati su obbligo legale (art. 6, par. 1, lett. c) — come la maggior parte dei trattamenti da parte di pubbliche amministrazioni; i trattamenti fondati su interesse pubblico (art. 6, par. 1, lett. e); e tutti i trattamenti effettuati con mezzi non automatizzati, come gli archivi cartacei.

Il requisito del trattamento automatizzato, per quanto quasi sempre soddisfatto nell’era digitale, svolge ancora una funzione di delimitazione non trascurabile: esclude i casi in cui i dati forniti dall’interessato siano conservati esclusivamente in forma cartacea o in archivi non informatizzati, ipotesi ormai residuali ma non del tutto assenti in alcuni contesti — si pensi ad alcune realtà artigianali o a determinati servizi professionali tradizionali.

I dati «forniti dall’interessato»: il cuore della fattispecie e il suo principale limite

La portabilità riguarda i dati personali «forniti» dall’interessato al titolare del trattamento. Questa formulazione è più restrittiva di quella del diritto di accesso ex art. 15, che copre tutti i dati personali trattati — inclusi quelli derivati, inferiti e generati dal titolare stesso. Le Linee guida sul diritto alla portabilità dei dati del Working Party 29 (ora EDPB), WP242 rev.01 del 5 aprile 2017, distinguono tre categorie di dati:

Dati attivamente forniti dall’interessato: informazioni comunicate deliberatamente e consciamente durante la registrazione a un servizio o durante la sua fruizione (nome, indirizzo e-mail, età, preferenze dichiarate, contenuti caricati). Questi dati rientrano inequivocabilmente nell’ambito della portabilità.

Dati osservati: dati che l’interessato fornisce implicitamente attraverso l’utilizzo del servizio — cronologia di navigazione, posizione GPS, frequenza cardiaca rilevata da uno smartwatch, storico degli acquisti, playlist ascoltate. Anche questi dati rientrano nell’ambito della portabilità, secondo l’interpretazione estensiva dell’EDPB, purché siano stati generati dall’attività dell’interessato sul servizio.

Dati derivati o inferiti: dati generati dal titolare attraverso l’analisi e l’elaborazione dei dati dell’interessato — profili psicografici, punteggi di rischio, raccomandazioni personalizzate, valutazioni creditizie. Questi dati non rientrano nell’ambito della portabilità: l’interessato non ha «fornito» il profilo inferito dall’algoritmo, ma i dati grezzi da cui esso è stato elaborato. Questa esclusione è uno dei punti più critici e discussi della disciplina, poiché proprio i dati derivati sono spesso i più valorosi — e i più gelosi — nel patrimonio informativo dei grandi operatori digitali.

Il formato: strutturato, di uso comune, leggibile da dispositivo automatico

L’art. 20, par. 1, prescrive che i dati vengano forniti in un formato «strutturato, di uso comune e leggibile da dispositivo automatico». Il GDPR non prescrive un formato specifico, rimettendo la scelta al titolare del trattamento, ma esclude i formati proprietari non interoperabili o leggibili soltanto con software specifico del titolare. L’EDPB, nelle Linee guida WP242, indica come formati preferiti quelli aperti e interoperabili (JSON, XML, CSV), precisando che il formato PDF — che è leggibile da un dispositivo ma non sempre «processabile» in modo automatizzato — è accettabile per la trasmissione all’interessato ma non sufficiente per la trasmissione diretta tra titolari.

La trasmissione diretta tra titolari: il nodo tecnico-giuridico più controverso

L’art. 20, par. 2, prevede che l’interessato abbia «il diritto di trasmettere tali dati direttamente da titolare a titolare, ove tecnicamente fattibile». Questa disposizione è la più innovativa dell’art. 20 e al tempo stesso la più difficile da realizzare concretamente: richiede che i due sistemi informativi dei titolari siano sufficientemente interoperabili da consentire il trasferimento diretto, senza che l’interessato debba scaricare i dati dal primo e ricaricarli manualmente sul secondo.

La formula «ove tecnicamente fattibile» è stata progressivamente interpretata dall’EDPB in senso restrittivo nei confronti dei titolari: non è sufficiente che la trasmissione diretta sia tecnicamente complessa o onerosa per il titolare; è necessario che sia oggettivamente impossibile o che richiederebbe un impegno tecnico sproporzionato. L’inapplicabilità dell’eccezione non può essere invocata come alibi per evitare il necessario investimento in soluzioni di interoperabilità.

IV

La fattispecie: casi concreti e applicazioni settoriali

1. L’open banking come modello di portabilità riuscita

Il settore in cui il diritto alla portabilità dei dati ha trovato la sua applicazione più compiuta e operativamente efficace è quello bancario, grazie alla Direttiva PSD2 (Dir. UE 2015/2366), recepita in Italia con il D.Lgs. 15 dicembre 2017, n. 218. La PSD2 ha imposto alle banche l’obbligo di rendere accessibili i dati dei propri clienti — mediante API standardizzate — ai prestatori di servizi di pagamento di terze parti autorizzati (Account Information Service Providers, AISP, e Payment Initiation Service Providers, PISP). Questo meccanismo è la forma più concreta ed efficiente di portabilità finanziaria: il cliente può autorizzare un’app di gestione del budget o un’altra banca a ricevere direttamente il flusso dei propri movimenti contabili, senza dover scaricare e ricaricare manualmente estratti conto.

La nuova Proposta di Regolamento sui servizi di pagamento (PSR, in corso di adozione al momento della redazione), che dovrà sostituire la PSD2, rafforza ulteriormente questi obblighi, estendendo l’obbligo di interoperabilità e introducendo standard tecnici uniformi a livello europeo. Il modello open banking dimostra che la portabilità è tecnicamente realizzabile su larga scala quando esiste una normativa settoriale che ne impone l’implementazione attraverso standard condivisi.

2. Il Fascicolo Sanitario Elettronico e la portabilità dei dati sanitari

In ambito sanitario, il Fascicolo Sanitario Elettronico (FSE), riformato dal D.Lgs. 19 dicembre 2022, n. 209 (decreto PNRR), rappresenta il tentativo più ambizioso di realizzare la portabilità dei dati sanitari a livello nazionale. Il FSE 2.0 è concepito come un sistema di raccolta, conservazione e condivisione dei dati sanitari del cittadino — referti, diagnosi, terapie, vaccinazioni, prescrizioni — accessibile digitalmente sia al paziente sia agli operatori sanitari abilitati.

Il paziente può visualizzare il proprio FSE, scaricarne i contenuti e decidere quali dati rendere accessibili a quali operatori: questo meccanismo è concettualmente un’attuazione del diritto di portabilità ex art. 20 GDPR nel settore sanitario, anche se tecnicamente la sua base giuridica è più ampia (interesse pubblico ex art. 6, par. 1, lett. e, GDPR e normativa speciale). La portabilità transfrontaliera dei dati sanitari nell’Unione europea è oggetto dello Spazio Europeo dei Dati Sanitari (EHDS, proposta di Regolamento in corso di adozione), che mira a consentire al cittadino europeo di accedere ai propri dati sanitari e di condividerli con operatori in qualsiasi Stato membro.

3. I servizi di social media e le implementazioni pratiche di Google Takeout e Instagram

Le grandi piattaforme di social media hanno risposto al diritto di portabilità con la creazione di strumenti di scaricamento dei dati («download your data»): Google offre il servizio Google Takeout, che consente di scaricare in formato ZIP i dati di oltre 50 servizi Google (Gmail, Foto, Maps, YouTube, Drive); Meta offre analoghi strumenti per Facebook e Instagram; Twitter/X, LinkedIn e TikTok propongono soluzioni simili. Tuttavia, questi strumenti presentano importanti limiti dal punto di vista della conformità all’art. 20 GDPR: i formati utilizzati non sono sempre interoperabili con i sistemi concorrenti; i file scaricabili spesso includono solo una parte dei dati effettivamente «forniti» dall’interessato; e la trasmissione diretta tra titolari — prevista dall’art. 20, par. 2 — è generalmente assente.

EDPB – Linee guida WP242 rev.01 – 5 aprile 2017 – Esempi pratici di portabilità

Le Linee guida del Working Party 29 (ora EDPB) forniscono esempi pratici dei dati che rientrano nell’ambito della portabilità: i dati di attività fisica registrati da uno smartwatch (passi, frequenza cardiaca, distanza percorsa); la cronologia degli acquisti su una piattaforma di e-commerce; le playlist create su un servizio di streaming musicale; i messaggi inviati su un servizio di messaggistica; le voci inserite in un calendario digitale; le preferenze impostate su un servizio di notizie. Viceversa, non sono portabili i profili di rischio generati da compagnie assicurative, le valutazioni sulla solvibilità creditizia prodotte dalle banche, i punteggi di reputazione generati dalle piattaforme di sharing economy, né le analisi comportamentali elaborate dagli algoritmi di profilazione.

4. Il Digital Markets Act e la portabilità rafforzata per i gatekeepers

Reg. UE 2022/1925 (Digital Markets Act) – Art. 6, par. 9 – Obblighi di portabilità per i gatekeepers

Il Digital Markets Act, in vigore dal 2 maggio 2023 e pienamente applicabile dal 7 marzo 2024, introduce obblighi di portabilità significativamente più stringenti di quelli del GDPR per i gestori di piattaforme digitali di importanza sistemica (gatekeepers): Alphabet/Google, Amazon, Apple, Bytedance/TikTok, Meta, Microsoft. L’art. 6, par. 9, obbliga i gatekeepers a fornire agli utenti finali e ai professionisti «strumenti di portabilità dei dati efficaci e gratuiti», inclusa la portabilità in tempo reale e in formato accessibile e interoperabile tramite API standardizzate. Questo va ben oltre quanto richiesto dall’art. 20 GDPR: non soltanto la portabilità deve essere concretamente accessibile (non solo formalmente disponibile), ma deve anche essere continua e non solo «su richiesta».

La Commissione europea ha già avviato procedimenti nei confronti di alcuni gatekeepers per il mancato rispetto degli obblighi di portabilità del DMA, segnalando che questo fronte del diritto sarà oggetto di enforcement intenso nei prossimi anni.

5. Il Data Act: portabilità oltre i dati personali

Il Regolamento (UE) 2023/2854 (Data Act), adottato il 13 dicembre 2023 e applicabile a partire dal 12 settembre 2025, estende il principio di portabilità al di là dei dati personali, abbracciando i dati generati da qualsiasi oggetto connesso (Internet of Things) o servizio correlato — dai veicoli connessi ai sistemi di domotica, dagli elettrodomestici intelligenti ai macchinari industriali. Il Data Act attribuisce agli utenti di questi dispositivi e servizi il diritto di accedere ai dati generati dal loro utilizzo e di condividerli con terze parti di fiducia — ad esempio, per far eseguire la manutenzione del proprio veicolo connesso da un officina indipendente anziché dal dealer autorizzato dalla casa madre.

Il Data Act completa il quadro disegnato dal GDPR e dal DMA, creando un sistema di portabilità a più livelli: personale (GDPR), competitivo (DMA), e industriale (Data Act). La convergenza di questi tre strumenti delinea una visione europea dell’economia dei dati in cui la portabilità è un principio trasversale, non un’eccezione limitata a specifici settori.

V

Il percorso argomentativo delle autorità e delle corti

L’interpretazione del sintagma «dati forniti dall’interessato»: un dibattito aperto

La questione interpretativa più rilevante riguarda l’ampiezza della nozione di dati «forniti» dall’interessato. L’EDPB, con le Linee guida WP242, ha adottato un’interpretazione intermedia: include i dati attivamente comunicati e i dati «osservati» dall’attività dell’interessato sul servizio, ma esclude i dati derivati e inferiti dall’elaborazione algoritmica. Questa posizione è stata criticata da una parte della dottrina come eccessivamente restrittiva: se l’obiettivo della portabilità è consentire all’interessato di cambiare piattaforma senza perdere il valore accumulato nel servizio, limitarla ai dati grezzi e non al «profilo arricchito» potrebbe rendere il diritto inutile nella pratica, poiché è proprio il profilo inferito — non i dati grezzi — ciò che il servizio ha elaborato sulla base dell’attività dell’interessato.

Un’altra dottrina, invece, sostiene che includere i dati derivati nella portabilità comporterebbe il rischio di obbligare il titolare a portare con sé il frutto del proprio investimento intellettuale e tecnologico, violando la tutela del segreto commerciale e creando incentivi perversi contro l’innovazione. Il dibattito rimane aperto, e nessuna autorità garante europea ha ancora adottato una posizione definitiva sulla portabilità dei dati derivati.

La portabilità e i diritti dei terzi: il caso dei dati relazionali

Una delle limitazioni più importanti del diritto alla portabilità — esplicitata dall’art. 20, par. 4, GDPR — è che essa «non deve ledere i diritti e le libertà altrui». Questa clausola ha particolare rilevanza per i dati relazionali: la rubrica telefonica di un’app di messaggistica, la lista degli amici di un social network, la cronologia delle conversazioni con altri utenti. In questi casi, la portabilità dei propri dati comporta necessariamente il trasferimento di dati di terzi — i contatti, gli amici, gli interlocutori — che non hanno prestato il consenso al trasferimento verso la nuova piattaforma.

L’EDPB non ha fornito indicazioni operative dettagliate su come conciliare questi interessi contrapposti. La soluzione più prudente — adottata da alcune piattaforme — è quella di anonimizzare o aggregare i dati dei terzi nella copia portabile, fornendo all’interessato informazioni sui propri scambi (es. numero di messaggi, frequenza delle comunicazioni) senza includere le informazioni identificative degli interlocutori. Questa soluzione è sub-ottimale dal punto di vista della portabilità, ma è quella più rispettosa dei diritti altrui.

La dimensione concorrenziale: portabilità come antidoto al lock-in

Il diritto alla portabilità dei dati è uno degli strumenti più importanti nella «cassetta degli attrezzi» del diritto della concorrenza digitale. I mercati digitali tendono a essere fortemente concentrati attorno a poche piattaforme dominanti, anche perché i costi di switching — i costi sostenuti dall’utente per cambiare fornitore di servizio — sono elevati: perdere le proprie foto, i propri contatti, la propria cronologia musicale o la propria rete professionale è un deterrente potente che spinge gli utenti a restare con il fornitore attuale anche quando siano insoddisfatti del servizio.

La portabilità è progettata per ridurre questo lock-in, abbassando i costi di switching e aumentando la pressione competitiva sui fornitori di servizi. Il DMA ha inteso rafforzare questa funzione pro-concorrenziale della portabilità imponendola in modo obbligatorio, immediato e continuo ai gatekeepers: le grandi piattaforme non possono limitarsi a fornire un’esportazione statica dei dati una volta all’anno, ma devono garantire un accesso continuo via API che consenta di mantenere i dati sincronizzati tra il servizio originale e quello di destinazione.

⚠  Tre errori frequenti nella comprensione del diritto alla portabilità

Errore n. 1 — Confondere portabilità e accesso. Il diritto di accesso (art. 15 GDPR) e il diritto alla portabilità (art. 20 GDPR) si applicano in condizioni diverse e hanno finalità diverse. Non tutti i dati accessibili sono anche portabili (es. i dati trattati su base legittimo interesse, i dati derivati); non tutti i dati portabili richiedono le stesse modalità di risposta del diritto di accesso (es. il formato obbligatoriamente strutturato).

Errore n. 2 — Ritenere che la portabilità si applichi ai dati inferiti dall’algoritmo. I profili psicografici, i punteggi di rischio, le raccomandazioni personalizzate generate dall’elaborazione algoritmica non sono portabili ai sensi dell’art. 20 GDPR: la portabilità copre i dati «forniti» dall’interessato — attivamente o per osservazione — non i dati che il titolare ha elaborato da quelli.

Errore n. 3 — Credere che la clausola «tecnicamente fattibile» consenta di rifiutare sistematicamente la trasmissione diretta. La clausola «ove tecnicamente fattibile» dell’art. 20, par. 2, non è una via di fuga generale: non è sufficiente che la trasmissione diretta sia costosa o complessa per il titolare. Il titolare deve poter dimostrare l’oggettiva impossibilità tecnica della trasmissione diretta, non la sua semplice scomodità organizzativa.

VI

Consigli operativi

Le indicazioni operative che seguono si rivolgono sia all’interessato che voglia esercitare il proprio diritto alla portabilità — per cambiare fornitore di servizio o per recuperare i propri dati — sia al titolare del trattamento che voglia verificare la propria conformità all’art. 20 GDPR.

Per l’interessato — 1. Verificare la base giuridica del trattamento

Prima di esercitare il diritto alla portabilità, verificare che il trattamento si fondi su consenso o contratto: controllare la privacy policy del titolare o chiedere conferma. Se il trattamento è fondato su legittimo interesse, la portabilità non si applica — ma si applica il diritto di accesso ex art. 15 GDPR.

Per l’interessato — 2. Formulare la richiesta per iscritto

Presentare la richiesta di portabilità per iscritto (e-mail o PEC) al titolare del trattamento, indicando: la specifica categoria di dati per cui si chiede la portabilità; il formato richiesto (JSON, CSV, XML o altro formato strutturato); se si richiede la copia diretta o la trasmissione a un altro titolare (indicandone l’identità). Il titolare deve rispondere entro 30 giorni.

Per l’interessato — 3. Impugnare il diniego

In caso di diniego ingiustificato o di risposta tardiva, presentare reclamo al Garante per la protezione dei dati personali ex art. 77 GDPR. Il Garante può ordinare al titolare di ottemperare alla richiesta e irrogare sanzioni. In parallelo, è esperibile il ricorso all’autorità giudiziaria ex art. 79 GDPR per ottenere tutela urgente.

Per i titolari — 4. Implementare un processo strutturato

Predisporre un processo formale per la gestione delle richieste di portabilità: un punto di contatto dedicato (preferibilmente il DPO), procedure documentate per l’identificazione dei dati portabili, un sistema di esportazione in formato strutturato e leggibile da dispositivo, e un log delle richieste ricevute e gestite ai fini dell’accountability ex art. 5, par. 2, GDPR.

Per i titolari — 5. Verificare la conformità del formato

Il formato di esportazione dei dati deve essere effettivamente strutturato e leggibile da dispositivo automatico: verificare che il sistema non produca soltanto file PDF (accettabili per la sola copia all’interessato, non per la trasmissione tra titolari) e che i campi dati siano correttamente etichettati e strutturati in modo da consentire l’importazione in sistemi di destinazione.

Per i titolari di grandi piattaforme — 6. Verificare gli obblighi DMA

Se la piattaforma è qualificata come gatekeeper ai sensi del DMA, verificare la conformità agli obblighi rafforzati di portabilità dell’art. 6, par. 9: strumenti gratuiti, disponibili in tempo reale, tramite API standardizzate. La non conformità espone a sanzioni fino al 10% del fatturato mondiale e, in caso di violazioni reiterate, fino al 20%.

VII

Considerazioni conclusive

Il diritto alla portabilità dei dati è rimasto per troppo tempo il «parente povero» del catalogo di diritti del GDPR — formalmente riconosciuto, scarsamente praticato, tecnicamente difficile da realizzare. Questa situazione sta rapidamente cambiando. Il Digital Markets Act ha imposto agli attori più potenti del mercato digitale obblighi di portabilità immediati, continui e sanzionabili, trasformando ciò che era un diritto teorico in un obbligo giuridico concretamente esigibile. Il Data Act ha esteso il principio al di là dei dati personali, anticipando un futuro in cui la portabilità sarà la norma per qualsiasi categoria di dati generata dall’attività degli individui e delle imprese.

Il quadro che emerge è quello di un ecosistema normativo europeo che si sta muovendo con determinazione verso la realizzazione pratica dell’autodeterminazione informativa: non soltanto come diritto di protezione — il diritto di opporsi, di cancellare, di limitare — ma come diritto di empowerment positivo: il diritto di portare i propri dati dove si vuole, di condividerli con chi si sceglie, di rompere i vincoli del lock-in tecnologico senza perdere il valore della propria esperienza digitale accumulata.

Per il singolo utente, la conoscenza di questo diritto è la premessa per esercitarlo: chi cambia banca, chi vuole migrare da un social media a un altro, chi vuole portare i propri dati sanitari da uno studio medico a un altro ha il diritto — oggi — di pretendere che quei dati gli vengano consegnati in un formato che possa essere effettivamente riutilizzato. Esercitarlo è anche un modo per segnalare al mercato che la libertà di scelta è un valore che si intende difendere.