Fine del Contratto con il Fornitore SaaS: l'Obbligo di Restituire i Dati del Cliente in Formato Leggibile

Il momento in cui si scopre chi è davvero un fornitore

La disdetta di un gestionale, o la fine naturale di un rapporto contrattuale, per cambio di sistema, insoddisfazione, o anche solo perché il fornitore cessa l'attività, è il momento in cui si scopre se un fornitore software è stato, per tutta la durata del rapporto, davvero un custode dei dati del Cliente, o se di fatto li ha resi ostaggio. Non è solo una questione di correttezza commerciale: è un obbligo previsto dalla legge, con due basi normative distinte e complementari.

Di chi sono, davvero, i dati inseriti nel gestionale

Nel linguaggio comune si parla spesso di dati "di proprietà del Cliente", ed è la sostanza delle cose: il fornitore del software non acquisisce mai un diritto proprio sui dati che il Cliente inserisce per gestire la propria attività. Nel linguaggio giuridico preciso, però, il concetto non passa dalla proprietà in senso di diritto civile, i dati non sono un bene materiale, e la loro qualificazione come oggetto di proprietà è tuttora discussa, ma da due categorie diverse:

• per i dati personali dei pazienti, lo studio è il Titolare del Trattamento ai sensi del GDPR: decide finalità e mezzi del trattamento. Il fornitore del gestionale è il Responsabile del Trattamento (art. 28 GDPR): tratta quei dati solo per conto dello studio, su sue istruzioni, e non ne diventa mai titolare;
• per l'insieme dei dati della gestione, compresi quelli non qualificabili come dati personali in senso stretto, il Cliente è l'utente del servizio cloud/SaaS, e il Data Act gli riconosce un diritto specifico alla portabilità quando cambia fornitore.

In entrambi i casi il punto di partenza è lo stesso: il fornitore gestisce i dati, non ne è titolare, e quando il rapporto finisce quei dati tornano nella piena disponibilità di chi li ha generati.

La prima base normativa: l'articolo 28 del GDPR, in vigore dal 2018

Non è una novità recente: dal 25 maggio 2018 il GDPR impone, all'articolo 28 comma 3 lettera g, che il contratto tra Titolare e Responsabile del Trattamento preveda che, al termine della prestazione dei servizi, il Responsabile cancelli o restituisca tutti i dati personali, a scelta del Titolare, e cancelli le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri non ne imponga la conservazione, com'è il caso, ad esempio, degli obblighi di conservazione fiscale sui documenti contabili.

Le violazioni degli obblighi previsti dall'art. 28 GDPR rientrano tra quelle sanzionabili ai sensi dell'art. 83 del Regolamento, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore.

La seconda, più recente e più specifica: il Data Act, dal 12 settembre 2025

Il GDPR, però, protegge solo i dati personali: non copre, ad esempio, listini, configurazioni o storici puramente amministrativi che non riguardano una persona identificabile. Per colmare questo vuoto, e soprattutto per contrastare il fenomeno del vendor lock-in, diventato abbastanza diffuso nel mercato cloud da richiedere una norma dedicata, l'Unione Europea ha approvato il Data Act (Regolamento UE 2023/2854), entrato in vigore l'11 gennaio 2024 e pienamente applicabile in tutti gli Stati membri, senza bisogno di un recepimento nazionale, dal 12 settembre 2025.

Il Capitolo VI del Regolamento, articoli 23-31, disciplina proprio il cambio di fornitore di servizi di elaborazione dati, categoria che comprende il cloud e i servizi SaaS come un gestionale. In sintesi, il fornitore deve:

• rimuovere ostacoli contrattuali, economici e tecnici che rendano difficile il cambio di fornitore;
• indicare nel contratto, in modo dettagliato e analitico, tutte le categorie di dati esportabili;
• rendere disponibili, per i servizi PaaS e SaaS, interfacce aperte per l'esportazione;
• esportare i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico, tramite standard aperti dove disponibili;
• rispettare un percorso a tre fasi: un preavviso di durata massima di due mesi, un periodo di transizione di norma di 30 giorni, estendibile fino a 7 mesi se tecnicamente necessario con comunicazione motivata entro 14 giorni lavorativi, e un periodo di recupero dati di almeno 30 giorni prima della cancellazione definitiva.

Il Regolamento prevede anche l'azzeramento progressivo dei costi di switching, fino alla loro completa eliminazione dal 12 gennaio 2027.

Cosa significa davvero "formato leggibile"

Restituire qualcosa a fine rapporto non basta. Un'esportazione che rispetti lo spirito, e la lettera, della normativa deve essere:

• in un formato strutturato e documentato, non un dump del database interno privo di qualunque spiegazione;
• leggibile senza dover ripagare il fornitore per uno strumento di lettura dedicato;
• completa, non limitata alle sole anagrafiche mentre restano fuori cartelle cliniche, piani di cura o storico contabile;
• consegnata entro tempi definiti, non quando il fornitore trova il tempo di occuparsene.

Perché non è un caso isolato

Il fatto che l'Unione Europea abbia sentito il bisogno di scrivere una normativa specifica, il Data Act, proprio per contrastare il lock-in nei servizi cloud, dice molto su quanto il fenomeno fosse diffuso: se ogni fornitore avesse già restituito i dati senza attriti, probabilmente non ci sarebbe stato bisogno di una legge dedicata. Nel settore dei gestionali non è raro imbattersi in racconti di studi che, a fine rapporto, ricevono un'esportazione parziale, in un formato utilizzabile solo con il software originale, o solo dopo settimane di richieste e solleciti.

Cosa verificare prima di firmare, con qualunque fornitore

Prima di scegliere un gestionale, vale la pena chiedere esplicitamente, e farsi mettere per iscritto nel contratto, le risposte a queste domande:

Come funziona con I-Med

Sui dati personali dei pazienti, I-Med opera come Responsabile del Trattamento per conto dello studio, il Titolare, nell'ambito dell'accordo previsto dall'art. 28 GDPR, con l'obbligo contrattuale di cancellare o restituire i dati a fine rapporto, a scelta dello studio. Il know-how che I-Med impiega per la conversione dei dati da un vecchio gestionale, anagrafiche, cartelle cliniche, sbilanci, piani di cura, è lo stesso, applicato in senso inverso, che rende possibile un'esportazione completa quando è lo studio a cambiare fornitore.

I dati devono restare accessibili, non chiusi in un formato che ne impedisce la lettura fuori dal software originale

Se un aspetto specifico della clausola di restituzione dati, formato esatto, tempistiche puntuali, non è ancora dettagliato nel contratto che lo studio firma, è un punto che vale la pena chiedere esplicitamente al proprio referente commerciale prima della sottoscrizione, così da averlo nero su bianco, con qualunque fornitore si stia valutando, I-Med compreso.

Dati restituiti in un formato realmente utilizzabile dal Cliente, non un dump illeggibile

Conclusione

Il diritto di riavere i propri dati, in un formato che si possa davvero usare, non è un gesto di cortesia commerciale: è un obbligo di legge, rafforzato negli ultimi mesi da una normativa europea scritta apposta per il settore cloud e SaaS. Prima di firmare con un fornitore, gestionale incluso, chiedere come e in che formato verranno restituiti i dati a fine rapporto non è un dettaglio da rimandare: è una delle domande più importanti da fare, proprio perché è quella a cui si pensa quasi sempre troppo tardi.

Domande Frequenti