Semplificare le regole, ridurre gli adempimenti, rendere la vita più facile alle imprese: è la promessa con cui, nel novembre 2025, la Commissione ha presentato il Digital Omnibus. Il compromesso approvato dal Consiglio il 21 ottobre 2026 racconta però una storia diversa.
La riforma non viene accantonata. Restano numerose modifiche, alcune anche importanti. Ma proprio dove la Commissione prospettava i cambiamenti più incisivi, il Consiglio spesso fa marcia indietro: conserva le regole esistenti, restringe le deroghe, aggiunge condizioni o sposta a un momento successivo le decisioni più difficili.
Il punto, dunque, non è quanti articoli cambieranno, ma se chi deve rispettarli avrà davvero meno obblighi, meno incertezze e procedure più chiare.
Dati personali: la semplificazione più ambiziosa viene fermata
La Commissione voleva chiarire direttamente nella definizione di dato personale che la stessa informazione può essere personale per un soggetto e non per un altro, a seconda della sua effettiva possibilità di identificare l’interessato. La modifica avrebbe potuto restringere in modo significativo l’applicazione del GDPR, soprattutto nella circolazione di dati pseudonimizzati.
Il Consiglio fa marcia indietro. La definizione resta invariata; la possibile esclusione dal GDPR viene disciplinata in modo più circoscritto, per i terzi che ricevono dati pseudonimizzati senza disporre di mezzi ragionevoli per identificare le persone. Chi pseudonimizza i dati e chi li tratta per suo conto resta invece soggetto al GDPR.
Dalla promessa di una regola generale più semplice si passa, quindi, a una valutazione concreta, soggetto per soggetto, dei mezzi di reidentificazione. La flessibilità non scompare, ma va dimostrata e documentata.
Ricerca scientifica: sì all’innovazione, ma con più verifiche
La Commissione proponeva una nozione ampia di ricerca scientifica, aperta anche alle attività commerciali e di sviluppo tecnologico, e facilitava il riutilizzo dei dati per finalità di ricerca.
Il Consiglio restringe la definizione di “ricerca scientifica” prevedendo ulteriori e specifici requisiti la cui esistenza deve essere dimostrata da chi effettua il trattamento per poter accedere al regime meno stringente previsto per la ricerca scientifica.
Dati particolari e intelligenza artificiale: una deroga molto più stretta
La Commissione voleva facilitare lo sviluppo e l’uso dell’AI anche quando nel trattamento fossero coinvolti dati particolari, prevedendo misure di protezione e rimozione.
Il Consiglio limita la deroga ai dati particolari che compaiono incidentalmente e in modo residuale: non autorizza a inserire deliberatamente tali dati nei dataset di addestramento. Chiede inoltre di prevenirne la raccolta, cancellarli tempestivamente quando emergono e, se non è possibile, impedirne qualsiasi uso ulteriore.
Dalla flessibilità attesa per lo sviluppo dell’AI, quindi, si passa a un’eccezione molto più limitata, accompagnata da precisi controlli operativi.
Richieste di accesso abusive: difendersi resta complicato
La Commissione intendeva offrire alle organizzazioni uno strumento per respingere o assoggettare a un contributo le richieste di accesso usate in modo strumentale, anziché per conoscere come vengono trattati i propri dati.
Il Consiglio mantiene questa possibilità, ma rende centrale la prova dell’intenzione abusiva. Non basta che le richieste siano numerose o ripetute: il titolare deve dimostrare, alla luce delle circostanze, perché la domanda sia manifestamente infondata, eccessiva o abusiva.
Informative privacy: meno documenti, ma solo in casi limitati
La Commissione voleva evitare informative ridondanti in rapporti semplici, quando le persone conoscono già le informazioni essenziali e il trattamento presenta caratteristiche poco invasive.
Il Consiglio conserva l’esenzione, ma la condiziona a una serie di requisiti cumulativi: conoscenza delle informazioni principali, assenza di determinate comunicazioni e trasferimenti, niente decisioni automatizzate rilevanti e assenza di rischi elevati. Restano fuori i trattamenti complessi, con grandi quantità di dati o con dati particolarmente delicati.
Decisioni automatizzate: una apertura, non un via libera
La Commissione voleva chiarire che una decisione automatizzata necessaria per un contratto potesse essere utilizzata anche se, in astratto, sarebbe stato possibile adottarla con intervento umano. Ciò avrebbe facilitato processi digitali come onboarding, verifiche antifrode e valutazioni automatizzate.
Il Consiglio mantiene questa apertura, ma ribadisce il diritto a non subire decisioni esclusivamente automatizzate con effetti rilevanti, salvo le eccezioni previste, e ripristina garanzie espresse per le decisioni fondate su dati sensibili.
Data breach: più tempo per notificare, ma nessun vero sportello unico europeo
Qui la Commissione proponeva due interventi: notificare le violazioni di dati personali entro 96 ore, anziché 72, e soltanto nei casi di rischio elevato; usare inoltre un unico canale europeo per gli incidenti soggetti a diverse normative.
Il Consiglio conferma le 96 ore e la soglia del rischio elevato: è una semplificazione reale. Cambia invece il progetto infrastrutturale. Al posto di una piattaforma europea unica prevede punti di ingresso nazionali, configurati dagli Stati membri, con un ruolo di orientamento e supporto dell0ENISA. E il termine previsto per l’operatività dei punti di ingresso nazionali si allunga da 18 a 30 mesi.
Si alleggerisce, quindi, l’obbligo di notifica, ma la promessa di un unico interlocutore europeo si attenua. Le imprese che operano in più Paesi dovranno continuare a confrontarsi con regole, autorità e canali nazionali.
Valutazioni d’impatto: criteri più uniformi, non meno responsabilità
La Commissione puntava a superare la frammentazione nazionale con elenchi comuni dei trattamenti che richiedono, o non richiedono, una valutazione d’impatto e con un metodo uniforme per svolgerla.
Il Consiglio conferma l’armonizzazione, ma affida all’EDPB (e non più alla Commissione) la pubblicazione degli elenchi. Le liste nazionali resteranno applicabili fino alla sostituzione con quelle comuni; il modello e la metodologia uniformi seguiranno un percorso distinto.
Cookie: la rivoluzione del consenso si ferma
La proposta della Commissione puntava a spostare nel GDPR le principali regole sui cookie e gli altri strumenti di tracciamento e a far riconoscere automaticamente dai siti le preferenze espresse attraverso browser e segnali standardizzati. L’obiettivo era ridurre la ripetizione delle richieste di consenso e semplificare un quadro frammentato.
Il Consiglio sceglie invece di mantenere la disciplina nella normativa ePrivacy. Conferma il rifiuto con un solo clic e limita la riproposizione della stessa richiesta per quattro mesi. Introduce eccezioni al consenso per alcune attività specifiche, tra cui determinate misurazioni dell’audience e della pubblicità contestuale. Elimina però gli obblighi sui segnali automatici del browser, rinviando a una possibile futura iniziativa.
AI e legittimo interesse: una possibilità da valutare, non una base automatica
La Commissione voleva chiarire che lo sviluppo e l’uso di sistemi di AI possono, in determinate circostanze, poggiare sul legittimo interesse, con garanzie specifiche inserite direttamente nella norma.
Il Consiglio conserva il riferimento al legittimo interesse, ma precisa che vale solo quando appropriato e salvo norme che richiedano il consenso o interessi e diritti prevalenti delle persone. Diverse garanzie dettagliate vengono spostate nei considerando, mentre la disposizione fa riferimento più in generale alle misure adeguate e al diritto di opposizione.
Piccole imprese: la vera semplificazione viene rinviata
Il Consiglio aggiunge un elemento che non figurava nella proposta della Commissione: un futuro esame degli obblighi GDPR a carico delle piccole e medie imprese e delle organizzazioni non commerciali che effettuano trattamenti a basso rischio.
L’iniziativa può essere importante, perché è proprio per queste realtà che alcuni adempimenti possono risultare sproporzionati. Ma il compromesso non li alleggerisce subito: chiede alla Commissione una relazione con raccomandazioni e possibili modifiche.
Data Act: alcune semplificazioni restano concrete
Non tutto viene ridimensionato. Sulle regole di accesso e condivisione dei dati industriali il Consiglio conferma largamente l’impostazione della Commissione: maggiore tutela dei segreti commerciali in situazioni di rischio, accesso ai dati da parte delle autorità pubbliche ricondotto alle emergenze, alleggerimenti mirati per il cambio di fornitore cloud ed eliminazione di requisiti specifici per gli smart contract.
Queste modifiche incidono su obblighi operativi definiti e, in alcuni casi, possono ridurre costi o incertezze. Restano comunque condizioni da verificare, soprattutto quando si invocano eccezioni a tutela dei segreti commerciali.
Regole sui dati: meno testi, ma non automaticamente meno complessità
La Commissione proponeva di riunire nel Data Act diverse discipline oggi separate, riducendo il numero di atti da consultare e semplificando, tra l’altro, i regimi per gli intermediari dei dati e per l’altruismo dei dati.
Il Consiglio mantiene nelle linee essenziali il progetto: regime volontario per gli intermediari, requisiti organizzativi meno rigidi, strumenti europei comuni e procedure alleggerite per l’altruismo dei dati. Conserva anche il principio della libera circolazione dei dati non personali.
La conclusione: cambiano le regole, non sempre il lavoro necessario per rispettarle
Il compromesso del Consiglio non cancella il Digital Omnibus e non equivale a un ritorno puro e semplice al passato. Conferma semplificazioni rilevanti, come quelle sui data breach e su alcuni aspetti del Data Act, e conserva spazi di flessibilità per ricerca, decisioni automatizzate e intelligenza artificiale.
Eppure, nelle materie più vicine alla compliance quotidiana, il divario tra annuncio e risultato resta evidente. La ridefinizione del dato personale scompare; l’esenzione dall’informativa è strettamente condizionata; le richieste di accesso abusive richiedono prove; il canale unico degli incidenti diventa nazionale; l’automazione delle preferenze sui cookie viene accantonata; gli alleggerimenti per le imprese più piccole sono rinviati a un’altra iniziativa.
Ne emerge un paradosso: molte semplificazioni non eliminano il lavoro di compliance, ma lo trasformano. Al posto di una regola uniforme arrivano valutazioni caso per caso; al posto di un adempimento eliminato, un’esenzione da motivare; al posto di una procedura unica, nuovi passaggi nazionali o strumenti ancora da adottare.
Questo non rende il compromesso privo di valore. Riportare alcune proposte entro garanzie consolidate può essere una scelta giustificata. Ma la tutela dei diritti e la riduzione della burocrazia sono questioni distinte: il problema è misurare con precisione dove la riforma riduce davvero il carico amministrativo e dove si limita a riscriverne le condizioni.
Il negoziato con il Parlamento potrebbe ancora modificare questo equilibrio. Per ora, la fotografia è quella di una riforma molto estesa sulla carta, ma selettiva nei benefici pratici. Cambiare tutto per non cambiare niente? Non proprio. Cambiare molto, per semplificare meno di quanto promesso? Questo sì.
