La Commissione Europea ha pubblicato il nuovo Regolamento UE 2026/699, in vigore dal prossimo 23 giugno, che garantisce e disciplina l’accesso libero e sicuro alle informazioni di bordo e ai dati del veicolo: una svolta per il mondo dell’aftermarket indipendente.

Dopo anni di discussioni, azioni legali e tensioni fra i costruttori auto e il mondo della riparazione indipendente, la Commissione Europea ha redatto un provvedimento che segna una vera svolta nel tema dell’accesso ai dati: il Regolamento UE 2026/699.

In sintesi, il Regolamento modifica l’Allegato X del Regolamento UE 2018/858, e va a disciplinare e aggiornare le regole sull’accesso standardizzato alle informazioni di diagnosi di bordo (OBD) e alle informazioni per la riparazione e la manutenzione dei veicoli (RMI), introducendo al contempo requisiti e procedure per un accesso sicuro alle informazioni OBD.

Pubblicato sulla Gazzetta Ufficiale dell’Unione Europea lo scorso 3 giugno, il nuovo Regolamento entrerà in vigore il prossimo 23 giugno, andando così non solo a fare chiarezza su un tema fondamentale per il mondo dell’autoriparazione, ma anche e sopratutto a rafforzare i diritti degli autoriparatori indipendenti e tutelarli nello svolgimento del loro lavoro, conciliando per la prima volta le misure di cybersicurezza dei veicoli con l’accesso effettivo, non discriminatorio e - di regola - senza corrispettivo alle informazioni OBD.

Come riporta ADIRA, l’associazione di categoria italiana che lavora a stretto contatto con le associazioni e le istituzioni europee, “Il testo nasce per colmare un vuoto: da un lato le norme europee impongono ai costruttori di proteggere i veicoli dagli attacchi informatici, dall’altro le regole sull’accesso ai dati OBD non tenevano sufficientemente conto della cybersicurezza. Il Regolamento stabilisce quindi le condizioni e le procedure che i costruttori possono applicare per garantire un accesso sicuro, senza che queste si traducano in restrizioni eccedenti quanto necessario e proporzionato”.

Tra gli elementi di maggior rilievo ne emergono due: il superamento del “secure gateway”, cioè il blocco all’accesso alla rete software del veicolo, e il passaggio del VIN da dato di “privacy” a “dato tecnico”, con l’obbligatorietà della sua messa a disposizione da parte dei costruttori. 

Le nuove regole per l’accesso ai dati

Il Regolamento UE 2026/699 aggiorna e rinnova tutta la tematica relativa all’accesso ai dati tecnici e rappresenta un passaggio cruciale nell’adeguamento della normativa all’evoluzione tecnologica dei veicoli.
Vediamo più in dettaglio cosa prevede il Regolamento.

Accesso OBD sicuro

Una nuova Appendice 4 definisce condizioni e procedure per l’accesso sicuro alle informazioni OBD. L’autenticazione è graduata in base alla natura dell’intervento (nessuna autenticazione per la sola lettura dei codici di errore o del numero di telaio; autenticazione dell’operatore quando l’accesso comporta modifiche al veicolo; autenticazione del dipendente per la riprogrammazione che ne altera in modo persistente il comportamento). 

I dati relativi all’operatore sono pseudonimizzati a tutela della parità concorrenziale e, di norma, non è dovuto alcun corrispettivo per abilitare l’accesso.

Tutti i canali di accesso

L’accesso bidirezionale al flusso dati di bordo è garantito non solo tramite la porta dati seriale standardizzata, ma anche attraverso connettori Ethernet, pin non standardizzati, interfacce di programmazione (API) per i servizi aftermarket, reti wireless locali e l’accesso da remoto messo a disposizione dal costruttore alla propria rete (punto 2.9).
 
Le stesse condizioni devono valere, in modo non discriminatorio, per tutti gli operatori indipendenti.

Riprogrammazione, variant coding e decoupling

Riprogrammazione delle centraline, variant coding e attivazione dei ricambi devono poter essere eseguiti con hardware non proprietario. I costruttori dovranno mettere a disposizione dei produttori indipendenti di strumenti diagnostici il software, le interfacce o le informazioni necessarie, con scadenze graduate.
 
È inoltre disciplinato il processo di “decoupling” dei componenti, con accesso paritario per tutti gli operatori indipendenti, inclusi remanufacturer e refurbisher.

Batterie di trazione e sistemi ADAS/DCAS

Vengono aggiunti obblighi informativi per la diagnosi e la riparazione delle batterie di trazione, comprese le unità sostituibili, e per la gestione in sicurezza dei rischi elettrici, termici e chimici; le specifiche tecniche per diagnosi e riparazione dei sistemi ADAS/DCAS devono essere fornite anche ai produttori di strumenti diagnostici generici.

Dati e VIN in formato elaborabile

Le informazioni RMI devono essere disponibili in formato elettronico direttamente elaborabile e con lo stesso livello di dettaglio del costruttore; sono previste API, su richiesta, per l’accesso ai pacchetti informativi per numero di telaio (VIN) e per visualizzare e aggiornare la storia elettronica di manutenzione, a partire dal 23 giugno 2027. 

Il database dei ricambi deve essere leggibile automaticamente (VIN, numeri OE, denominazione, attributi di validità e di montaggio).

Equilibrio tra sicurezza e accesso

Il Regolamento, come dicevamo sopra, rappresenta dunque una soluzione che concilia esigenze diverse: da un lato riconosce ai costruttori la possibilità di applicare misure di cybersicurezza efficaci e proporzionate — quali autenticazione, tracciabilità delle operazioni che incidono sul veicolo e, in casi specifici, connessione al proprio server. 
Dall’altro lato stabilisce però che tali misure non possono restringere o ostacolare l’accesso oltre quanto necessario.
 
In caso di incidente di cybersicurezza, abuso grave o responsabilità del costruttore, l’accesso può essere sospeso solo in via temporanea e sotto il controllo dell’autorità di omologazione, che ne riesamina i presupposti entro 10 giorni. 
È inoltre istituito un Forum sull’accesso alle informazioni del veicolo (Forum OBD) per il coordinamento e il monitoraggio dell’attuazione.

L’importanza del lavoro delle associazioni 

Il Regolamento 2026/699 è frutto dell’intenso lavoro delle associazioni di categoria come ADIRA che hanno permesso di sensibilizzare la Commissione Europea su quelle che di fatto erano le criticità del lavoro quotidiano degli operatori dell’aftermarket indipendente.

Il nuovo provvedimento, inoltre, recepisce due importanti sentenze della Corte di Giustizia Europea. La sentenza ATU - CARGLASS contro FCA Italy Spa, che aveva sancito l’illegittimità del cd “secure gateway” che impedisce l’accesso alla rete software del veicolo se non in possesso dei diritti di sblocco acquistati dal costruttore, e la sentenza GVA contro SCANIA, che aveva incluso il dato di VIN tra i dati tecnici oggetto di tutela da parte del REG UE 2018/858, anziché farlo rientrare, come fino a quel momento, tra i dati tutelati ai fini della privacy.

Il Regolamento 2026/699 è dunque anche il risultato del lavoro di tre anni delle associazioni e federazioni europee dell’IAM per l’”enforcement” delle due sentenze. 
Grazie a questo lavoro, l’accesso alla rete software del veicolo sarà gratuito e anonimo attraverso una certificazione “a monte” dell’operatore e il VIN dovrà essere messo a disposizione degli operatori e degli editori di dati in modo standardizzato esattamente come qualsiasi altro dato tecnico.