Ma quali sono, in concreto, i prodotti e gli operatori economici interessati da questa nuova disciplina?

In generale, il CRA si applica agli operatori economici — tra cui fabbricanti, importatori e distributori — che mettono a disposizione sul mercato dell’Unione europea, nell’ambito di un’attività commerciale, prodotti con elementi digitali.

La nozione di prodotto con elementi digitali è ampia e comprende qualsiasi prodotto software o hardware, comprese le relative soluzioni di elaborazione dati da remoto, purché il prodotto sia connesso, direttamente o indirettamente, a un dispositivo o a una rete.

Ne consegue che non è necessario che il prodotto sia direttamente connesso a Internet. È sufficiente che, in base alla sua finalità prevista o al suo uso ragionevolmente prevedibile, esso possa comunicare o interfacciarsi con un altro dispositivo, una rete locale, un sistema industriale, un gateway, un’applicazione mobile, un’infrastruttura cloud o un’altra componente digitale. 

In questa prospettiva, il perimetro applicativo del CRA è particolarmente esteso e deve essere valutato in concreto, tenendo conto delle caratteristiche tecniche del prodotto, delle sue funzionalità e del modo in cui è destinato a essere utilizzato.

Alcuni prodotti di consumo che rientrano nel CRA sono smartphone e tablet, computer portatili e desktop, smart TV, dispositivi di streaming, console di gioco, cuffie e auricolari wireless. Sono inoltre interessati i dispositivi indossabili, come smartwatch e fitness tracker, gli e-reader connessi, gli smart speaker e gli altri dispositivi che comunicano mediante Wi-Fi, Bluetooth, rete mobile o altre interfacce.

Nell’ambito domestico possono rientrare router, modem, ripetitori e altri dispositivi di rete, stampanti connesse, termostati intelligenti, sistemi di allarme, serrature smart, sistemi connessi per il monitoraggio dei neonati, robot aspirapolvere ed elettrodomestici intelligenti. Anche i giocattoli connessi e robot educativi possono rientrare nel CRA.

Il Cyber Resilience Act assume particolare importanza anche nel settore industriale. Possono rientrare nel suo ambito i macchinari dotati di controllori logici programmabili, i PLC commercializzati autonomamente, i sistemi SCADA, i sistemi di controllo industriale, i dispositivi di diagnostica e manutenzione a distanza e le apparecchiature che consentono l’accesso remoto agli impianti.

Rientrano potenzialmente nel perimetro anche numerosi strumenti utilizzati nella logistica e nella gestione delle attività produttive, come tracker GPS per flotte, lettori di codici a barre connessi, terminali mobili, sensori IoT industriali, dispositivi per il monitoraggio delle merci e sistemi di raccolta o trasmissione dei dati installati su macchinari e infrastrutture.

Un aspetto particolarmente rilevante riguarda le soluzioni di elaborazione dati da remoto. Il Cyber Resilience Act considera parte del prodotto anche l’elaborazione a distanza realizzata mediante software progettato e sviluppato dal fabbricante, o sotto la sua responsabilità, quando l’assenza di tale elaborazione impedirebbe al prodotto di svolgere una delle sue funzioni. Possono quindi rientrare nel perimetro di conformità un backend, un’API, una banca dati o una componente cloud necessaria al funzionamento del prodotto.

In ogni caso, non tutti i prodotti digitali o connessi rientrano nel Cyber Resilience Act. 

Sono espressamente esclusi, ad esempio, i prodotti con elementi digitali ai quali si applicano il Regolamento (UE) 2017/745 (“MDR”) sui dispositivi medici, il Regolamento (UE) 2017/746 (“IVDR”) sui dispositivi medico-diagnostici in vitro e il Regolamento (UE) 2019/2144 relativo all’omologazione dei veicoli e dei loro sistemi e componenti. Sono inoltre esclusi i prodotti certificati conformemente al Regolamento (UE) 2018/1139 nel settore dell’aviazione civile e l’equipaggiamento marittimo.

Sono altresì esclusi i prodotti sviluppati o modificati esclusivamente per finalità di sicurezza nazionale o di difesa e quelli specificamente progettati per trattare informazioni classificate. L’esclusione non riguarda, però, qualsiasi prodotto utilizzato da un’amministrazione pubblica o da un soggetto operante nel settore della difesa, ma soltanto i prodotti che presentano le caratteristiche specifiche indicate dal regolamento.

Un’ulteriore esclusione riguarda i pezzi di ricambio messi a disposizione sul mercato per sostituire componenti identici in prodotti con elementi digitali, quando siano fabbricati secondo le medesime specifiche dei componenti sostituiti. L’esenzione non può quindi essere estesa automaticamente a componenti compatibili, aggiornati o modificati che presentino caratteristiche tecniche o funzionali diverse dal pezzo originario.

Vale la pena precisare che le esenzioni settoriali operano su base specifica e non sono automatiche: un prodotto che abbia una qualsiasi connessione con i settori citati non è escluso per ciò solo dall'ambito del CRA, ma occorre verificare che il regime settoriale applicabile garantisca effettivamente un livello di protezione equivalente.

In definitiva, per effettuare una prima valutazione occorre domandarsi se il prodotto sia costituito da hardware o software, o comprenda elementi digitali, se sia fornito sul mercato dell’Unione nel corso di un’attività commerciale e se la sua finalità prevista o il suo uso ragionevolmente prevedibile comprendano una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Occorre poi verificare se trovi applicazione una delle esclusioni previste dal regolamento o dai successivi atti dell’Unione.

Avviare per tempo questa analisi consente di arrivare preparati alle scadenze del CRA, pianificando gli adeguamenti necessari senza dover intervenire in modo affrettato su prodotti già immessi sul mercato.

Dal punto di vista della protezione dei dati personali, un club di dimensioni medio grandi non è più solo “sport + biglietteria”: è un ecosistema fisico e digitale che genera valore con dati e contenuti proprietari.

Qui la privacy non è un adempimento “a margine”: è parte del modello di business, perché abilita fiducia, monetizzazione, valorizzazione del brand e continuità operativa. Il GDPR impone al club di sapere con precisione quali dati entrano, dove sono conservati, chi vi accede, per quale base giuridica sono trattati e per quanto tempo, distinguendo tra le diverse categorie di interessati (tifosi, minori, calciatori, staff tecnico/sanitario, dipendenti, fornitori).

In parallelo, molte società operano ormai come vere e proprie media company: producono e distribuiscono contenuti proprietari, gestiscono canali tematici ufficiali e, in alcuni casi, piattaforme digitali/streaming “club-branded” in ottica D2C (Direct-To-Consumer). 

Tipologie di dati e rischi “ad alto impatto” 

I dati più preziosi dal punto di vista societario sono spesso anche i più rischiosi per i potenziali impatti sui diritti fondamentali degli interessati:

• Dati anagrafici/ di contatto (tesseramenti, badge, accrediti, CRM);

• Dati economico-finanziari (pagamenti, rimborsi, fatturazione);

• Dati relativi alle riprese audio-video (partite, allenamenti, eventi, contenuti editoriali);

• Dati di accesso e sicurezza fisica/digitale (tornelli, access control, log);

• Dati relativi al comportamento digitale degli utenti (app/sito, interazioni, campagne marketing);

• Dati sanitari e relativi alle performance sportive (idoneità, infortuni, wearable/GPS, performance analysis).

Un aspetto “strategico” spesso sottovalutato: molte squadre di alto livello hanno oggi interi team di data analyst (o reparti di analytics) che lavorano su prestazioni, prevenzione infortuni, match analysis e soprattutto scouting/recruitment. 

Quando da dati di performance si ricavano inferenze su salute/condizione fisica o si trattano dati sanitari/biometrici, il trattamento tende a diventare “high risk”: servono basi giuridiche e condizioni di liceità rafforzate, rispetto dei principi di minimizzazione e proporzionalità, segregazione degli accessi e spesso una DPIA (e, se si usa il legittimo interesse, una LIA ben motivata).

Privacy by design e by default (separazione per domini, non per “funzioni”)

In un club strutturato la regola d’oro è progettare domini dati separati e controlli coerenti con le relative finalità/basi giuridiche, evitando archivi informali e “cartelle onnivore”.

In un’ottica di best practice, si potrebbero ipotizzare almeno:

• Un’area medica / relativa alle performance sportive: dati sanitari e di performance;

• Un’area sportiva: contratti, convocazioni, statistiche tecniche non sanitarie;

• Un’area media/marketing: immagini e video per comunicazione, contatti e preferenze, dati di interazione digitale.

Ruoli privacy e filiera fornitori (inclusi broadcaster/media partner)

Di norma il club è titolare per i trattamenti di dati personali legati alle proprie attività sportive e commerciali. Ma la governance concreta dipende dalla catena di fornitori dei servizi rilevanti, quali, a titolo di esempio: ticketing, CRM, cloud, contact center, agenzie digital, wearable tech, produzione e distribuzione di contenuti media.

Qui la conformità “si gioca” su contratti e responsabilità:

• Responsabile del trattamento quando il fornitore tratta dati per conto del club;

• Contitolarità quando finalità e mezzi sono determinati congiuntamente (es. iniziative con sponsor o co-marketing);

• Titolare autonomo quando il partner usa i dati per finalità proprie (scenario non raro nel mondo media/streaming e advertising).

Dal lato “media company”, è utile ragionare anche in termini di perimetri e diritti di distribuzione tra canali del club e servizi digitali di terzi (concetti come “official club platform” vs “third‑party digital service” aiutano a non creare confusione tra governance dei contenuti e governance dei dati personali). 

Basi giuridiche e trasparenza: perché il consenso non è un “jolly”

Un club deve resistere alla tentazione del “consenso universale”:

• per molti trattamenti core (esecuzione del contratto, obblighi legali, sicurezza, gestione sportiva) il consenso non è la base più adatta;

• il consenso diventa cruciale per marketing diretto, profilazione commerciale, cookie e tracking non necessari.

Operativamente, due cose fanno la differenza:

1. Informative multicanale (stadio, ticketing, app, e-commerce, academy), coerenti ma non “una sola per tutto”;

2. Preference & consent management nel CRM: consensi granulari, revoca semplice, allineamento tra canali.

Dimensione digitale delle attività di trattamento

Qui si concentrano rischi tipici: profilazioni poco trasparenti, condivisioni eccessive con terzi, retention “infinita”, trasferimenti extra‑UE non governati.

Le Linee guida del Garante su cookie e strumenti di tracciamento (10 giugno 2021) ribadiscono che, quando richiesto, il consenso deve essere libero, specifico, informato e documentato, e scoraggiano pratiche ingannevoli. 

Per un club che offre all'utente un'esperienza fluida all'interno di un ecosistema interconnesso - tra app, e-commerce, servizi OTT (piattaforme di streaming e contenuti on demand) e altre iniziative digitali - è fondamentale evitare automatismi nel tracciamento trasversale tra i vari touchpoint. Una strategia di valorizzazione dei dati risulta realmente efficace solo se supportata da una solida data governance e se le sue logiche rimangono sempre trasparenti e spiegabili all'utente.

Minori e settore giovanile

Il settore giovanile innalza sensibilmente il livello di rischio, sia per l’età degli interessati sia per la tipologia dei dati trattati, spesso sportivi, scolastici e, in alcuni casi, anche sanitari. 

In Italia, l’età per prestare validamente il consenso digitale ai servizi della società dell’informazione è fissata a 14 anni; al di sotto di tale soglia è necessario il coinvolgimento dei genitori. 

Ciò non significa, però, che vi sia libertà di utilizzo indiscriminato di contenuti e immagini: l’approccio corretto resta quello di minimizzare i dati e distinguere con chiarezza ciò che è necessario per l’attività sportiva da ciò che ha finalità promozionali, prevedendo policy puntuali su uso dell’immagine, canali ufficiali, tempi di conservazione e modalità di revoca.

Lo stadio come “sistema dati”

Anche sistemi di videosorveglianza, controllo accessi, stewarding, crowd management generano flussi continui di dati personali.

La compliance si costruisce con: informative visibili (anche semplificate), finalità determinate (sicurezza/ordine pubblico), retention non eccessiva, accessi limitati alle registrazioni, regole di cooperazione con autorità e chiarezza sui ruoli privacy assunti di volta in volta dalla società.

Sicurezza informatica e gestione dei data breach

Per i club la sicurezza dei dati personali non è solo un tema IT: un data breach sui sistemi di CRM, ticketing, pagamenti o archivi medico-sportivi può avere impatti legali, economici, reputazionali e sportivi.

Serve un processo pronto: rilevazione, contenimento, valutazione del rischio, registrazione, post-incidente e - quando dovuto - notifica all’Autorità entro 72 ore e comunicazione agli interessati. 

Funzione privacy, DPO e governance interna

Quando cresce la complessità, serve una funzione privacy matura e integrata con le altre funzioni societarie:

• DPO quando ricorrono le condizioni (monitoraggio regolare e sistematico su larga scala, categorie particolari su larga scala, ecc.);

• Registro trattamenti costantemente aggiornato;

• Data ownership per domini (Fan/Ticketing, Media/Content, Academy, Player Medical/Performance, Stadium Security): chiarezza su chi decide, chi autorizza, chi risponde;

• Vendor governance: due diligence e audit sui trattamenti critici (es. ticketing, CRM, OTT, wearable, security).

Conclusione: fiducia come asset, dati come leva strategica

Nel calcio moderno, la fiducia di tifosi, famiglie, atleti, sponsor e investitori passa anche da come il club governa i dati. Un club che tratta i dati personali come un asset (non come un rischio da nascondere) ottiene maggiore continuità operativa, migliore fan engagement e partnership più sostenibili - proprio perché si comporta, nei fatti, anche da media company oltre che da società sportiva. 

Con il Provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile 2026, il Garante per la protezione dei dati personali (“Garante”) ha adottato le prime Linee Guida specificamente dedicate all’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica (“Linee Guida”). 

L’intervento si inserisce in un contesto caratterizzato da una crescente attenzione verso gli strumenti di monitoraggio dei comportamenti online degli utenti e mira a fornire un quadro interpretativo uniforme circa l’applicazione dell’art. 122 del d.lgs. n. 196/2003 (“Codice Privacy”) e della disciplina del Regolamento (UE) 2016/679 (“GDPR”) ai sistemi di tracciamento incorporati nelle e-mail.

Secondo il Garante, i tracking pixel rappresentano strumenti particolarmente invasivi poiché operano in modo non visibile all’interessato. Le Linee Guida muovono infatti dalla constatazione che tali tecnologie consentono al mittente di acquisire informazioni sull’apertura del messaggio, sul numero di visualizzazioni, sul dispositivo utilizzato e, in alcuni casi, anche su ulteriori dati tecnici relativi al destinatario.

2. Contenuti principali del provvedimento in esame

2.1. La qualificazione dei tracking pixel come strumenti soggetti all’art. 122 del Codice Privacy

Uno dei principali chiarimenti forniti dal Garante riguarda la natura giuridica del tracking pixel.

Il Garante afferma che l’inserimento del pixel e la successiva raccolta delle informazioni generate dalla sua attivazione costituiscono operazioni riconducibili all’ambito di applicazione dell’art. 122 del Codice Privacy, in quanto integrano sia una forma di “archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente” sia un successivo “accesso a informazioni già archiviate”. 

Particolarmente rilevante è il passaggio nel quale il Garante precisa che i tracking pixel devono essere considerati strumenti di tracciamento occulti, poiché la loro presenza non è normalmente percepibile dall’utente e il loro funzionamento avviene in maniera automatica e invisibile.

Le Linee Guida individuano inoltre una pluralità di soggetti potenzialmente coinvolti nell’impiego dei tracking pixel, tra cui il mittente del messaggio, il fornitore di servizi di invio e-mail (emailing), il fornitore di servizi di noleggio di liste di distribuzione, il fornitore della tecnologia di tracciamento e il content creator. Il Garante precisa che ciascuno di tali soggetti è tenuto, caso per caso e in ossequio al principio di accountability, a definire il proprio ruolo rilevante ai fini della normativa in materia di protezione dei dati personali.

Il provvedimento distingue altresì tra diverse tipologie di messaggi e-mail rilevanti ai fini dell’applicazione della disciplina: (i) newsletter, ossia comunicazioni periodiche a contenuto informativo; (ii) DEM (Direct E-mail Marketing), comunicazioni di natura prevalentemente promozionale o commerciale; (iii) e-mail transazionali e messaggi automatici, inviati in relazione a specifiche azioni dell’utente o a transazioni in corso; e (iv) e-mail di servizio, caratterizzate da contenuti funzionali a specifiche esigenze del singolo o della collettività. Tale classificazione rileva ai fini dell’individuazione della base giuridica applicabile al trattamento connesso all’impiego dei tracking pixel.

2.2. L’obbligo di informativa preventiva

Le Linee Guida attribuiscono particolare importanza alla trasparenza.

Secondo il Garante, difatti, l’impiego di tracking pixel nelle e-mail deve essere preventivamente reso noto al destinatario della e-mail, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente.

L’Autorità evidenzia inoltre che l’impiego dei pixel di tracciamento impone a tutti i titolari che già ne fanno o che intendano farne uso di informarne adeguatamente gli interessati, richiamando i principi di correttezza e trasparenza previsti dal GDPR.

Sul piano operativo, il provvedimento ammette modalità informative semplificate e multilivello, consentendo ad esempio l’utilizzo di informative sintetiche accompagnate da link a documentazione di dettaglio, nonché il ricorso a strumenti digitali quali chatbot, pop-up, assistenti virtuali o altri canali di comunicazione.

2.3. Quando è necessario il consenso

Il tema centrale delle Linee Guida riguarda l’individuazione dei casi in cui l’utilizzo del tracking pixel richiede il consenso dell’utente.

Il Garante ribadisce che l’art. 122, comma 2-bis, del Codice Privacy introduce un divieto generalizzato di utilizzo di una rete di comunicazione elettronica per accedere a informazioni archiviate nel terminale dell’utente, per archiviare informazioni o per monitorare le operazioni dell’utente, derogabile soltanto in presenza delle specifiche condizioni previste dal comma 1 della medesima disposizione.

Tra le principali ipotesi nelle quali il consenso può non essere necessario rientrano:

• i trattamenti finalizzati esclusivamente alla misurazione statistica aggregata delle aperture delle e-mail, purché siano adottate adeguate tecniche di anonimizzazione;

• le attività necessarie a garantire la sicurezza di processi di autenticazione o gestione degli account;

• le comunicazioni di servizio o istituzionali per le quali il mittente abbia un obbligo giuridico di invio o sussistano particolari esigenze di tutela degli utenti. Il Garante menziona, a titolo esemplificativo, i messaggi recanti indicazioni utili su come prevenire azioni di phishing o frodi, le comunicazioni relative a modifiche contrattuali ovvero logistico-organizzative, le notifiche relative a incidenti di sicurezza, le campagne istituzionali informative, nonché i reminder su scadenze e adempimenti contrattuali o contributivi.

Diversamente, il consenso diviene necessario quando il tracking viene utilizzato per finalità di marketing, profilazione o ottimizzazione individuale delle campagne promozionali.

Il provvedimento richiama espressamente i casi in cui la misurazione individuale e l’analisi del tasso di apertura delle e-mail siano utilizzate per valutare e migliorare la performance delle campagne promozionali sulla base dei comportamenti osservati oppure quando il dato di apertura venga utilizzato per ricavarne informazioni presunte circa i potenziali gusti, gli interessi e le preferenze attribuibili all’utente allo scopo di creare dei profili commerciali.

2.4. Il consenso unico e il diritto di revoca granulare

Tra gli aspetti più innovativi delle Linee Guida vi è il tentativo di conciliare esigenze di tutela e semplificazione.

Il Garante riconosce infatti che il consenso alla ricezione di comunicazioni promozionali e quello all’utilizzo dei tracking pixel possono essere raccolti con un’unica manifestazione di volontà.

Tale semplificazione è tuttavia accompagnata da un’importante garanzia per l’interessato: la possibilità di revocare successivamente il consenso anche in modo selettivo.

Le Linee Guida richiedono infatti che l’utente possa revocarlo solo parzialmente, con esclusivo riguardo soltanto al tracciamento connesso alla ricezione di tracking pixel, continuando eventualmente a ricevere le comunicazioni e-mail prive di strumenti di monitoraggio.

Il Garante richiama inoltre l’attenzione sull’obbligo per il titolare di registrare debitamente tutte le scelte espresse dall’interessato, ivi comprese le eventuali revoche parziali, anche ai fini della dimostrazione del consenso cui il titolare potrebbe essere chiamato ai sensi dell’art. 7, par. 1, del GDPR.

2.5. Privacy by design e minimizzazione

Il provvedimento dedica inoltre attenzione alle misure tecniche che i titolari dovrebbero adottare per ridurre i rischi derivanti dal tracciamento.

Tra le soluzioni suggerite vi è l’utilizzo di identificativi pseudonimizzati e non sequenziali, mantenendo separata la corrispondenza tra tali identificativi e gli indirizzi e-mail dei destinatari.

Secondo il Garante, tali accorgimenti consentono di ridurre l’esposizione dell’indirizzo e-mail minimizzando il rischio di identificabilità dei dati che transitano nella rete.

3. Conseguenze pratiche

Le nuove Linee Guida avranno un impatto significativo su tutti gli operatori che utilizzano campagne e-mail, piattaforme di marketing automation, newsletter e sistemi di direct e-mail marketing.

In particolare, le organizzazioni dovranno:

• verificare se i tracking pixel impiegati rientrino nelle ipotesi di esenzione individuate dal Garante o richiedano invece la raccolta del consenso;

• aggiornare le informative sul trattamento dei dati personali/le privacy policy, le cookie policy e le procedure di raccolta del consenso;

• implementare meccanismi che consentano agli utenti di revocare il consenso al tracciamento in maniera semplice e granulare;

• riesaminare i rapporti contrattuali con provider di servizi e-mail, piattaforme di marketing automation e fornitori di tecnologie di tracking;

• valutare l’adozione di misure tecniche conformi ai principi di privacy by design e privacy by default.

Particolarmente rilevante è inoltre il regime transitorio previsto dal provvedimento. Il Garante ha riconosciuto la complessità degli adeguamenti richiesti, concedendo agli operatori un termine pari a 6 mesi dalla pubblicazione in Gazzetta Ufficiale. Le Linee Guida distinguono, al riguardo, tra nuovi trattamenti, per i quali il consenso dovrà essere raccolto preventivamente al momento dell’acquisizione dell’indirizzo di posta elettronica, e trattamenti già in corso, per i quali il titolare dovrà tempestivamente assolvere ai propri obblighi informativi con il primo invio utile e implementare un meccanismo di revoca anche granulare del consenso, individuando soluzioni improntate alla massima riconoscibilità, visibilità e facilità d’uso a beneficio dell’interessato. Il Garante precisa che tale regime transitorio è destinato ad essere progressivamente dismesso via via che nuovi trattamenti verranno intrapresi e saranno assoggettati alla regola della preventiva acquisizione del consenso.

4. Conclusioni

Le nuove Linee Guida segnano un passaggio importante nell’evoluzione della disciplina italiana in materia di tecnologie di tracciamento.

Il Garante conferma un orientamento sostanzialmente rigoroso, qualificando i tracking pixel come strumenti soggetti alla disciplina speciale prevista dall’art. 122 del Codice Privacy e riaffermando la centralità dei principi di trasparenza e controllo da parte dell’interessato.

Allo stesso tempo, l’Autorità introduce alcune semplificazioni operative - come il consenso unico per comunicazioni promozionali e tracking - e individua specifiche ipotesi di esenzione che consentono di preservare l’efficienza di determinati servizi.

Per imprese, enti pubblici, provider tecnologici e operatori del marketing digitale, il semestre di adeguamento previsto dal provvedimento rappresenta pertanto un’occasione per riesaminare processi, strumenti e basi giuridiche dei trattamenti connessi all’invio di comunicazioni elettroniche, alla luce di un quadro regolatorio che pone sempre più al centro la trasparenza e la consapevolezza dell’utente.

Software, hardware, dispositivi connessi e, più in generale, prodotti con elementi digitali dovranno essere progettati, sviluppati e mantenuti tenendo conto della cybersicurezza lungo tutto il loro ciclo di vita.

Il Cyber Resilience Act è entrato in vigore il 10 dicembre 2024, ma i suoi effetti inizieranno a prodursi nei prossimi mesi. 

È infatti prevista un’applicazione graduale del CRA, con alcune disposizioni che entreranno in vigore già nel 2026, mentre il quadro normativo sarà pienamente applicabile a partire dall’11 dicembre 2027.

Le prime scadenze sono già fissate: dall’11 giugno 2026 si applicano le norme relative agli organismi di valutazione della conformità; dall’11 settembre 2026, invece, scatteranno gli obblighi di segnalazione a carico dei fabbricanti in caso di vulnerabilità attivamente sfruttate o di incidenti gravi che incidano sulla sicurezza dei prodotti.

A chi si applica e quali sono i prodotti con elementi digitali interessati

Le disposizioni del Cyber Resilience Act si rivolgono principalmente ai fabbricanti di prodotti con elementi digitali, ma coinvolgono anche gli altri operatori economici della catena di fornitura, tra cui importatori, distributori, rappresentanti autorizzati e, nei casi previsti, gestori di software open source. In alcuni casi, gli obblighi del fabbricante possono ricadere anche su importatori o distributori, ad esempio quando commercializzano un prodotto con il proprio nome o marchio oppure modificano il prodotto in modo sostanziale.

Con riferimento all’ambito oggettivo di applicazione, il Cyber Resilience Act si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell’Unione europea. Si tratta, in termini generali, di prodotti software o hardware, incluse le relative soluzioni di elaborazione dati da remoto, quando la loro finalità prevista o il loro uso ragionevolmente prevedibile comportino una connessione dati, logica o fisica, diretta o indiretta, a un dispositivo o a una rete.

Rientrano quindi nell’ambito del Cyber Resilience Act, a titolo esemplificativo, dispositivi IoT, router, sistemi operativi, applicazioni, software gestionali, componenti hardware e software, prodotti smart home, dispositivi indossabili e, più in generale, prodotti digitali o connessi destinati a essere distribuiti o utilizzati nel mercato europeo.

Sono previste tuttavia alcune esclusioni, ad esempio per prodotti già regolati da normative settoriali specifiche, per prodotti sviluppati esclusivamente per finalità di sicurezza nazionale o difesa, nonché per alcune ipotesi relative al software libero e open source non fornito nell’ambito di un’attività commerciale. 

L’applicazione concreta del Cyber Resilience Act richiede quindi una valutazione caso per caso, tenendo conto sia del prodotto e del suo modello di distribuzione, sia del ruolo svolto dall’operatore economico.

Gli obblighi principali

Il Cyber Resilience Act impone ai fabbricanti di integrare la cybersicurezza lungo l’intero ciclo di vita dei prodotti con elementi digitali. Tali prodotti dovranno quindi essere progettati, sviluppati, realizzati e mantenuti in modo da garantire un livello di sicurezza adeguato ai rischi.

Prima dell’immissione sul mercato, il fabbricante dovrà effettuare una valutazione dei rischi di cybersicurezza associati al prodotto e tenerne conto in tutte le fasi rilevanti, dalla progettazione allo sviluppo, dalla produzione alla consegna, fino alla manutenzione. Il prodotto dovrà inoltre rispettare specifici requisiti di sicurezza, tra cui la riduzione delle vulnerabilità sfruttabili, la configurazione sicura per impostazione predefinita, la protezione da accessi non autorizzati, la tutela della riservatezza, dell’integrità e della disponibilità dei dati, nonché la possibilità di ricevere aggiornamenti di sicurezza.

Il fabbricante sarà inoltre tenuto a predisporre la documentazione tecnica, svolgere la procedura di valutazione della conformità applicabile, redigere la dichiarazione UE di conformità e apporre la marcatura CE. Per molti prodotti potrà essere sufficiente l’autovalutazione, mentre per quelli considerati importanti o critici sotto il profilo della cybersicurezza potranno essere richieste procedure più rigorose, anche con l’intervento di organismi notificati.

Gli obblighi del fabbricante non si esauriscono con l’immissione del prodotto sul mercato. Il CRA richiede infatti l’adozione di processi idonei a individuare, correggere e documentare le vulnerabilità anche nella fase successiva alla commercializzazione.

A partire dall’11 settembre 2026, i fabbricanti dovranno inoltre notificare le vulnerabilità attivamente sfruttate contenute nel prodotto e gli incidenti gravi che incidano sulla sua sicurezza. Per le vulnerabilità attivamente sfruttate è prevista una prima comunicazione entro 24 ore dal momento in cui il fabbricante ne viene a conoscenza, seguita da una notifica vera e propria entro 72 ore e da una relazione finale. Obblighi analoghi sono previsti per gli incidenti gravi, secondo tempistiche specifiche per la comunicazione e la relazione finale.

Anche importatori e distributori sono destinatari di specifici obblighi. Prima di immettere o mettere a disposizione un prodotto sul mercato, dovranno verificare che il fabbricante abbia rispettato gli adempimenti richiesti, che il prodotto sia accompagnato dalla documentazione necessaria e che rechi la marcatura CE. Qualora abbiano motivo di ritenere che un prodotto non sia conforme o presenti un rischio di cybersicurezza, non dovranno immetterlo né renderlo disponibile sul mercato.

Cosa fare ora

Alla luce delle tempistiche previste dal Cyber Resilience Act, occorre avviare per tempo una valutazione dei prodotti, dei processi interni e dei rapporti con fornitori e partner commerciali. Prepararsi in anticipo sarà quindi essenziale per individuare eventuali gap di conformità e affrontare le prossime scadenze con maggiore consapevolezza.

Ma non sempre è un luogo sicuro. Amplifica fenomeni di odio e disinformazione, facilita pratiche come il cyberbullismo e la diffusione non consensuale di contenuti sessuali o espliciti e può alimentare dinamiche di isolamento o dipendenza. L'intelligenza artificiale accentua ulteriormente questi rischi: rende possibile la creazione di deepfake e immagini generate senza il consenso della persona ritratta, consente l'impiego di chatbot in grado di condizionare le scelte e i comportamenti dei minori e permette di calibrare i contenuti proposti sulle specifiche vulnerabilità cognitive di ciascun utente.

Sulla necessità di proteggere i minori online esiste ormai un consenso diffuso. Molto meno chiaro è come si possa realizzare una tutela effettiva. 

In Italia, come nel resto d'Europa, il quadro normativo è frammentato e in piena evoluzione e molte delle questioni centrali restano aperte.

Il quadro normativo

Non esiste, in Italia, una disciplina organica dedicata ai minori nella dimensione digitale. 

Il quadro normativo si compone di atti normativi diversi che operano su piani distinti ma complementari e che richiedono, spesso, una lettura sistematica.

Le principali fonti oggi rilevanti sono:

• il Regolamento (UE) 2016/679 (“GDPR”) e il d.lgs. n. 196/2003 (“Codice Privacy”), applicabili a qualsiasi titolare che tratti dati personali di minori;

• il Regolamento (UE) 2022/2065 (“Digital Services Act” o “DSA”), le Linee guida della Commissione europea adottate ai sensi dell'articolo 28(4) del DSA e la Raccomandazione (UE) 2026/1035 della Commissione relativa all'istituzione di un quadro comune per le tecnologie di verifica dell'età, applicabili ai fornitori di servizi intermediari;

• la Direttiva 2010/13/UE, come modificata dalla Direttiva (UE) 2018/1808 (“Direttiva SMAV”), recepita in Italia dal d.lgs. n. 208/2021 (“Testo Unico dei Servizi di Media Audiovisivi” o “TUSMA), applicabili ai fornitori di piattaforme di condivisione video;

• il decreto-legge n. 123/2023, convertito con la Legge n. 159/2023 (“Decreto Caivano”) e la Delibera AGCOM n. 96/25/CONS, applicabili ai fornitori di servizi che distribuiscono contenuti pornografici ma sempre più rilevanti come riferimento tecnico in materia di verifica dell'età; e

• la Legge n. 132/2025 (“Legge Italiana sull’Intelligenza Artificiale”), che dedica una disposizione all’uso da parte dei minori ai sistemi di intelligenza artificiale.

A queste fonti si aggiungono, poi, i Principi comuni del G7 per uno spazio digitale più sicuro e protetto per i minori, adottati dai Ministri del Digitale e della Tecnologia del G7 nel 2026, che definiscono un quadro di riferimento condiviso in materia di garanzia dell'età, progettazione sicura, protezione da contenuti illegali, strumenti di controllo parentale, alfabetizzazione digitale e gestione dei rischi, nonché il disegno di legge n. 1136 (“DDL 1136”), attualmente all'esame del Parlamento, che introduce disposizioni specifiche in materia di accesso dei minori ai social network e alle piattaforme di condivisione video, nonché in materia di verifica dell'età e di consenso digitale.

Tre questioni centrali

Al di là delle norme, sono tre i temi su cui oggi si concentra il dibattito politico e regolatorio a livello nazionale ed europeo.

Il divieto di accesso ai social network

Una delle questioni che oggi domina il dibattito sulla protezione dei minori online riguarda l'introduzione di un'età minima per l'accesso dei minori ai social network.

L'Australia ha introdotto nel 2024 un divieto per gli under 16; Francia, Danimarca e Spagna stanno valutando soluzioni analoghe; in Italia, il DDL 1136 propone di vietare ai minori di 15 anni l’apertura di account sui social network (oltre che sulle piattaforme di condivisione video).

Si tratta di misure che rispondono a preoccupazioni reali. Il rischio, tuttavia, è quello di concentrare l'attenzione esclusivamente sulla soglia di accesso, trascurando le caratteristiche dei servizi una volta che il minore vi accede. Il confronto con modelli regolatori più maturi è significativo. L'Age Appropriate Design Code britannico e il California Age-Appropriate Design Code Act non si limitano a fissare limiti anagrafici, ma impongono requisiti di progettazione responsabile, valutazione dei rischi e accountability del fornitore. In questa prospettiva, la tutela dei minori non dipende soltanto da chi possa accedere al servizio, ma anche da come il servizio è progettato.

L’età per il consenso digitale

Strettamente connessa alla questione dell'accesso dei minori ai social network è quella del consenso del minore al trattamento dei suoi dati personali.

L'art. 8 del GDPR fissa a 16 anni l’età per il consenso (autonomo) del minore, lasciando agli Stati membri la facoltà di prevedere soglie più basse, in ogni caso non inferiori ai 13 anni. L'Italia si è avvalsa di questa facoltà, fissando l’età per il consenso del minore a 14 anni.

Se approvato nella formulazione attuale, il DDL 1136 riporterebbe, invece, l’età per il consenso del minore a 16 anni.

La questione si complica ulteriormente perché le soglie di età non sono uniformi nemmeno all'interno dello stesso ordinamento. La Legge Italiana sull’Intelligenza Artificiale consente ad esempio al minore di accedere e utilizzare in autonomia i sistemi di AI a partire dai 14 anni. Ne consegue che un operatore che gestisca un servizio con componenti sociali e funzionalità basate sull'AI potrebbe trovarsi ad applicare regole differenti alla medesima platea di utenti.

La progettazione dei servizi e il funzionamento degli algoritmi

Il terzo fronte del dibattito — probabilmente il più delicato — riguarda la progettazione dei servizi digitali e il funzionamento dei sistemi algoritmici. 

Sotto questo profilo, il dibattito regolatorio si sta progressivamente spostando dal controllo dei contenuti alla responsabilità per le scelte di progettazione che incentivano un utilizzo compulsivo dei servizi. Rientrano in questa categoria lo scrolling infinito, le notifiche artificialmente calibrate per richiamare l'attenzione dell'utente, i sistemi di raccomandazione ottimizzati per massimizzare il tempo di permanenza, le funzionalità di autoplay e i meccanismi di ricompensa intermittente. Le Linee guida della Commissione europea adottate ai sensi dell'articolo 28(4) del DSA qualificano espressamente queste tecniche come incompatibili con un elevato livello di protezione dei minori. È il principio del cosiddetto safety by design, che impone di integrare la protezione dei minori fin dalla fase di sviluppo del servizio, e non di intervenire soltanto a valle, sui singoli contenuti.

L'intensità di questi obblighi varia, tuttavia, sulla base del tipo di servizio fornito. Gli obblighi di trasparenza sui sistemi di raccomandazione e il divieto di pubblicità basata sulla profilazione si applicano a tutti i fornitori di piattaforme online. Gli obblighi di valutazione e mitigazione dei rischi sistemici gravano invece in misura rafforzata sulle piattaforme online di dimensioni molto grandi (“VLOP”) e sui motori di ricerca online di dimensioni molto grandi (“VLOSE”), che sono tenuti a condurre valutazioni periodiche del rischio e ad adottare misure di attenuazione ragionevoli, proporzionate ed efficaci.

La verifica dell'età 

Ma la previsione di una soglia di età minima per l’accesso ai social network e per il consenso digitale rischia di rimanere lettera morta in assenza di strumenti (realmente) affidabili di verifica dell’età.

Da questo punto di vista, la Raccomandazione (UE) 2026/1035 della Commissione ha definito un quadro comune per le tecnologie di verifica dell'età, fondato su un modello interoperabile, rispettoso della privacy e basato su identità digitali e protocolli crittografici avanzati. Il sistema — sviluppato dalla Commissione europea come soluzione open source e già in fase di sperimentazione con alcuni Stati membri, tra cui l'Italia — si fonda sulla tecnologia zero-knowledge proof: l'utente scarica un'applicazione, certifica la propria età tramite un documento di identità elettronico o un'app bancaria preinstallata, e ottiene un attestato digitale che può presentare alle piattaforme online. L'obiettivo è consentire la verifica del superamento di una determinata soglia di età senza comunicare ulteriori informazioni sull'identità dell'utente: la piattaforma riceve esclusivamente una risposta di tipo vero/falso (ad esempio, "età superiore a 18 anni: sì"), senza accedere al nome, alla data di nascita o ad altri dati personali. Una volta completata la certificazione, il collegamento tra l'utente e il fornitore dell'attestato si interrompe, impedendo qualsiasi tracciamento delle attività online. Quanto all’Italia, il DDL 1136 prevede un sistema di verifica fondato su un mini-portafoglio digitale nazionale che costituisce un'implementazione nazionale della soluzione europea: non un sistema alternativo o parallelo, ma un'applicazione personalizzata del medesimo blueprint tecnico reso disponibile dalla Commissione in open source, coerente con i requisiti della Raccomandazione e con il calendario di attuazione da essa previsto.

Gli obblighi per le imprese

Quindi, in attesa che si sciolgano questi nodi e che il quadro normativo si definisca, cosa devono fare le imprese che forniscono servizi della società dell’informazione che si rivolgono a minori o che comunque sono accessibili ai minori?

Dipende ovviamente dal tipo di servizio fornito, oltre che dalle dimensioni dell’impresa che lo fornisce.

I fornitori di piattaforme online (tra cui rientrano anche i fornitori di social network e i fornitori di piattaforme di condivisione video), oltre a rispettare il divieto di mostrare pubblicità basata sulla profilazione online dei minori, devono progettare le proprie piattaforme in maniera tale che sia assicurata ai minori una protezione effettiva. Ciò implica, tra l'altro, l'adozione di impostazioni predefinite protettive per i minori, la configurazione di sistemi di raccomandazione che non massimizzino l'attenzione e il coinvolgimento degli utenti, l'eliminazione di funzionalità che inducano comportamenti compulsivi e la predisposizione di strumenti di controllo parentale. In più, le VLOP e le VLOSE devono identificare, analizzare e valutare i rischi sistemici che i propri servizi possono generare per i minori e adottare misure di attenuazione ragionevoli, proporzionate ed efficaci, che possono includere l'adeguamento dei sistemi algoritmici, l'introduzione di strumenti di verifica dell'età e misure specifiche di moderazione dei contenuti.

Attenzione. Dichiarare nei propri termini e condizioni che la piattaforma è riservata agli adulti non vale ad escludere l'applicabilità di questi obblighi. Se non vengono adottate misure effettive per impedire l'accesso dei minori, il servizio si considera accessibile ai minori.

Oltre agli obblighi applicabili a tutti i fornitori di piattaforme online, i fornitori di piattaforme di condivisione video soggetti alla giurisdizione italiana sono tenuti anche, ai sensi del TUSMA, a predisporre sistemi di verifica dell'età per i contenuti che possono nuocere allo sviluppo fisico, mentale o morale dei minori, nonché strumenti di controllo parentale. Per i fornitori di piattaforme video (e i gestori di siti web) che distribuiscono contenuti pornografici in Italia vige, inoltre, il divieto di accesso dei minori di anni 18 ai contenuti pornografici distribuiti e l’obbligo di verificare la maggiore età degli utenti, secondo le modalità stabilite dall’AGCOM. 

Se, poi, il DDL 1136 venisse approvato, i fornitori di social network e i fornitori di piattaforme di condivisione video sarebbero soggetti a due obblighi aggiuntivi rispetto a quelli di cui sopra.

Il primo riguarda il divieto di apertura di account per i minori di 15 anni, con conseguente nullità dei contratti già conclusi con minori che non abbiano ancora compiuto tale età alla data di entrata in vigore della legge. Il secondo consiste nell'obbligo di verificare l'età degli utenti mediante un mini-portafoglio digitale nazionale che attua la soluzione europea di verifica dell'età, sempre secondo le modalità stabilite dall'AGCOM.

E chi fornisce servizi della società dell’informazione diversi dalle piattaforme online (ad esempio servizi di commercio elettronico) o semplicemente tratta dati personali di minori? Per questi soggetti non esiste, allo stato, un obbligo espresso di verifica dell'età. La normativa in materia di protezione dei dati personali richiede di adottare misure adeguate a garantire che il consenso del minore sia valido, ma non prescrivono uno specifico sistema di accertamento dell'età né definiscono le modalità tecniche con cui tale verifica deve essere condotta. In assenza di un obbligo espresso, costituisce tuttavia buona prassi effettuare un risk assessment — analogo, nella sua logica, a quello prevista dalle Linee guida della Commissione per i fornitori di piattaforme online — al fine di determinare se, in ragione della natura del servizio offerto, della tipologia di dati trattati e della plausibile presenza di minori tra gli utenti, sia opportuno adottare meccanismi di verifica dell'età conformi alla soluzione tecnica europea o a standard equivalenti.

Il Digital Omnibus — il pacchetto normativo con cui Bruxelles sta razionalizzando le regole digitali dell'UE — spinge nella stessa direzione da anni: più condivisione, più portabilità, meno silos. Un obiettivo legittimo, ma con un effetto collaterale che molte imprese non hanno ancora messo a fuoco: ogni obbligo di data sharing è una finestra in più da cui può uscire il know-how che non si è scelto o che non si può brevettare.

Il pacchetto comprende due testi principali: uno che interviene sulle regole esistenti in materia di dati, cybersicurezza e privacy (il digital acquis), ancora in negoziato; e uno sull'intelligenza artificiale, su cui è stato raggiunto un accordo politico provvisorio il 7 maggio 2026. Le date di pubblicazione ufficiale restano soggette al completamento del processo formale.

Cosa cambia concretamente

Le modifiche al digital acquis più rilevanti per chi gestisce informazioni sensibili:

• Dati pubblici e grandi operatori. Le pubbliche amministrazioni potranno applicare condizioni speciali alle Very Large Enterprises e ai gatekeeper DMA che riusano dati pubblici, per evitare che l'accesso privilegiato ai dati consolidi posizioni già dominanti.

• Intermediari dati. Il regime obbligatorio del Data Governance Act diventerebbe volontario, con requisiti di separazione più leggeri. Più attori nella catena, più punti di contatto.

• Cloud switching. Regimi semplificati per alcune categorie, ma con salvaguardie esplicite su trade secrets e rischi di esposizione verso giurisdizioni terze.

• Smart contract per il data sharing. Eliminati i requisiti essenziali dell'art. 36 del Data Act: meno vincoli tecnici, più peso alla governance contrattuale.

Il punto di partenza: il Data Act

Già in vigore dal 12 settembre 2025, il Data Act dà agli utenti di dispositivi connessi il diritto di far condividere i propri dati con terze parti. Per i produttori, questo espone un perimetro delicato: i dati possono contenere logiche operative, parametri di configurazione, prestazioni, tutto ciò che compone il know-how senza mai essere stato etichettato come tale. E il Data Act disapplica la protezione sui generis sui database in questo contesto, spostando il peso della tutela verso i segreti commerciali.

Pensiamo ad un caso concreto. Un produttore di impianti industriali connessi riceve da un cliente la richiesta di condividere 18 mesi di log operativi con un fornitore di manutenzione indipendente che è concorrente diretto del suo servizio post-vendita. Quei log contengono parametri di calibrazione e sequenze di controllo sviluppate in anni di R&D, mai brevettate. Il Data Act non ammette un rifiuto generalizzato, ma consente al produttore di richiedere misure tecniche proporzionate prima di condividere (art. 4, par. 6): NDA con clausola anti-reverse-engineering, dati sensibili solo in forma aggregata, divieto contrattuale di usare i dati per sviluppare servizi concorrenti (art. 6, par. 2, lett. e). Se il terzo rifiuta le misure, il produttore può bloccare la condivisione, ma deve motivarlo per iscritto e notificare l'autorità competente. Questi due passi non sono facoltativi: sono la condizione formale perché il rifiuto sia legittimo.

Il Regolamento prevede anche la possibilità di rifiutare la condivisione quando essa renderebbe altamente probabile un serio danno economico. La soglia è alta, e il problema pratico è che quel danno va dimostrato prima che la divulgazione avvenga, su dati che non sono ancora usciti. Chi non ha documentato il valore dei propri segreti si troverà senza argomenti nel momento in cui servono.

La novità del Digital Omnibus: il fattore giurisdizionale

Se approvata nella forma proposta, la modifica al Data Act introdurrebbe una nuova base di rifiuto alla condivisione: il rischio di acquisizione illecita da parte di soggetti operanti in Paesi terzi con tutele insufficienti  o con tutele formalmente equivalenti ma prive di enforcement reale.

È un cambiamento di prospettiva concreto. Oggi molti leak non nascono da attacchi informatici o dipendenti infedeli: nascono dal fatto che un dato condiviso legittimamente arriva a un destinatario corretto, che però opera in una giurisdizione dove un'autorità locale può richiedergli di divulgarlo e dove ottenere un'ingiunzione è lento o impossibile. Il segreto si perde per struttura sistemica, non per dolo. La proposta prova a trasformare questa asimmetria in una leva giuridica: il rifiuto è legittimo, ma deve essere motivato per iscritto e notificato all'autorità competente.

Cinque cose da fare adesso

• Mappare i dati in senso competitivo. Non ai fini GDPR: quali dataset, se analizzati, rivelano processi o logiche proprietarie? Quali rientrano nel perimetro del Data Act?

• Costruire un trade secret registry. Un segreto commerciale esiste se è non noto, ha valore economico proprio perché segreto, ed è protetto con misure ragionevoli. NDA, controlli di accesso, audit log, policy interne: tutto documentato e aggiornato.

• Strutturare la risposta alle richieste di data sharing. Serve un processo, non una valutazione caso per caso. Con criteri chiari su quando opporre un rifiuto, come motivarlo e come notificarlo.

• Fare l'assessment giurisdizionale dei flussi dati. Chi riceve i dati? Dove opera? Dove sono i suoi sub-fornitori? Qual è l'enforcement reale in quelle giurisdizioni?

• Monitorare l'iter normativo. Il Digital Omnibus per il digital acquis cambierà. Chi lavora con dati sensibili deve sapere come, e quando.

* * *

La direzione del Digital Omnibus non cambierà: più circolazione, più portabilità. Ma le imprese che hanno costruito il loro vantaggio su dati e processi non brevettati non possono aspettare che la normativa si stabilizzi. Il segreto che resiste è quello che è già stato strutturato come tale prima che qualcuno chieda di condividerlo.

L’Agenzia per la Cybersicurezza Nazionale (“ACN”) ha pubblicato oggi la Determinazione ACN n. 155238/2026 (“Determinazione”), recante le categorie di rilevanza nonché il processo, le modalità e i criteri per l'elencazione, caratterizzazione e categorizzazione delle attività e dei servizi. 

La Determinazione adotta il modello di categorizzazione meglio definito agli allegati 1 e 2 della stessa Determinazione. Entrambi i modelli sono articolati in dieci macro-aree, per ciascuna delle quali sono indicate la denominazione, la descrizione e la categoria di rilevanza pre-assegnata. Le quattro categorie di rilevanza individuate dalla determinazione sono: impatto alto, impatto medio, impatto basso e impatto minimo. 

Sotto il profilo contenutistico, i due allegati individuano le medesime macro-aree, che si distinguono per la categoria di rilevanza loro attribuita.

Quanto all’ambito di applicazione, l’Allegato 1 si applica ai soggetti NIS riconducibili alle tipologie di soggetto riconducibili ai settori: energia; trasporti; sanitario; acqua potabile; acque reflue; spazio; servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di sostanze chimiche; produzione, trasformazione e distribuzione di alimenti; fabbricazione; e ai soggetti che forniscono servizi di trasporto pubblico locale. L’Allegato 2 si applica a tutti gli altri soggetti NIS non riconducibili a tali settori. 

Sul piano operativo, la Determinazione stabilisce che i soggetti NIS, tramite il Portale ACN, devono procedere all’elencazione e alla categorizzazione di tutte le attività svolte e di tutti i servizi erogati, sia internamente sia esternamente, suddividendoli nelle macro-aree del modello di cui all’allegato rilevante. Per ogni attività o servizio devono indicare tre elementi: la macro-area corrispondente, la denominazione e descrizione, e la categoria di rilevanza. 

È previsto anche un margine di valutazione autonoma. Il soggetto NIS può infatti attribuire a una specifica attività o a un servizio una categoria diversa da quella pre-assegnata alla macro-area, ma solo sulla base di una propria valutazione dell’impatto che una possibile compromissione avrebbe sulla capacità di svolgere correttamente le attività e i servizi NIS. In questo caso, il soggetto deve conservare la documentazione che giustifica tale valutazione. Se invece non svolge attività o non eroga servizi riconducibili a una o più macro-aree, non è tenuto a indicarle. 

La Determinazione prevede poi due regole di coordinamento. La prima riguarda i soggetti che hanno già svolto la classificazione dei dati e dei servizi per la Pubblica Amministrazione ai sensi del Decreto Direttoriale ACN n. 21007/24: per tali soggetti si applica quel modello, in luogo del modello della presente determinazione. La seconda riguarda le attività e i servizi soggetti alla disciplina del perimetro di sicurezza nazionale cibernetica, per cui la categoria di rilevanza è predeterminata come “impatto alto”, senza applicare il procedimento ordinario. 

Infine, per quanto non espressamente previsto dalla Determinazione, si applicano le Disposizioni del Decreto NIS. Tale Determinazione si applica a decorrere dal 1° maggio 2026.

• la Determinazione ACN n. 127437 del 13 aprile 2026, che aggiorna e sostituisce la precedente Determinazione ACN n. 379887 del 19 dicembre 2025 e introduce l’obbligo di svolgere il nuovo processo di elencazione e categorizzazione delle attività e dei servizi ed elencare i fornitori rilevanti NIS durante l’aggiornamento annuale delle informazioni;
• la Determinazione ACN n. 127434 del 13 aprile 2026, che stabilisce i termini entro cui i soggetti iscritti per la prima volta nell’elenco NIS nel corso del 2026 dovranno adempiere agli obblighi di notifica degli incidenti significativi e di adozione delle misure di sicurezza.

Elencazione dei fornitori rilevanti NIS

La Determinazione ACN n. 127437/2026 introduce l’obbligo di indicare i fornitori rilevanti NIS nell’ambito del più ampio processo di aggiornamento annuale delle informazioni.

Un fornitore rilevante NIS è il soggetto che fornisce servizi o prodotti a un soggetto NIS e che soddisfa almeno uno dei seguenti criteri:

1. la fornitura è riconducibile alle attività o ai servizi di cui all’allegato I, punti 8 e 9, del Decreto NIS, tra cui rientrano i fornitori di servizi DNS, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi cloud, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti (CDN), nonché i fornitori di servizi gestiti e i fornitori di servizi di sicurezza gestiti;
2. l’interruzione o la compromissione della fornitura comporterebbe un impatto significativo sulla capacità del soggetto NIS di erogare le attività o i servizi per cui rientra nell’ambito NIS, anche perché non sono disponibili fornitori alternativi adeguati (fornitori non fungibili).

Per adempiere a questo obbligo, i soggetti NIS devono utilizzare il “Servizio NIS/Aggiornamento annuale informazioni” sul Portale ACN e indicare, per ciascun fornitore rilevante:

• la denominazione;
• il codice fiscale;
• il Paese in cui ha sede legale;
• i codici CPV (Common Procurement Vocabulary) relativi alle forniture di cui il soggetto NIS beneficia;
• il criterio di rilevanza utilizzato.

Elencazione e categorizzazione delle attività e dei servizi

Una delle principali novità operative riguarda l’obbligo, per i soggetti NIS, di comunicare l’elenco delle proprie attività e dei propri servizi, attribuendo a ciascuno la relativa categoria di rilevanza. Il d.lgs. n. 138/2024 (“Decreto NIS”) prevede che questo adempimento sia svolto dal 1° maggio al 30 giugno di ogni anno, tramite la piattaforma digitale ACN, a partire dalla ricezione della prima comunicazione di inserimento nell’elenco dei soggetti NIS.

La Determinazione ACN n. 127437/2026 precisa che tale attività deve essere svolta tramite il “Servizio NIS/Categorizzazione” del Portale ACN. In concreto, il Punto di Contatto deve compilare l’elenco delle attività e dei servizi dell’organizzazione e attribuire a ciascuno la categoria di rilevanza secondo il modello che verrà stabilito dall’ACN nei prossimi giorni, con la pubblicazione della determinazione con il modello di categorizzazione, insieme a materiale informativo per supportare nello svolgimento di una analisi di impatto (BIA) semplificata.

È importante sottolineare che, decorso il termine del 30 giugno, l’elenco categorizzato delle attività e dei servizi si intende definitivamente acquisito e non più modificabile, salvo i casi di ritardo dovuti a documentate criticità tecnico-operative non imputabili al soggetto. 

Inoltre, le entità finanziarie soggette al Regolamento DORA e rientranti anche nell’ambito NIS sono esentate da questo specifico adempimento, ferma restando la possibilità di aderirvi volontariamente.

L’elenco categorizzato delle attività e dei servizi trasmesso dai soggetti NIS potrà essere sottoposto a verifiche di conformità da parte dell’ACN, effettuate a campione e anche mediante confronto con i dati comunicati da soggetti comparabili. L’ACN dovrà fornire un riscontro entro 90 giorni dalla trasmissione, termine prorogabile una sola volta fino a ulteriori 60 giorni in caso di approfondimenti. Qualora siano richieste integrazioni, chiarimenti o modifiche, il soggetto NIS dovrà rispondere entro 30 giorni; in caso di mancato o tardivo riscontro, l’elenco potrà essere rigettato. In assenza di un esito negativo comunicato nei termini previsti, l’elenco si intende convalidato.

Termini per i soggetti inseriti nell’elenco NIS per la prima volta nel 2026

La Determinazione ACN n. 127434/2026 riguarda invece i soggetti che sono stati inseriti per la prima volta nell’elenco dei soggetti NIS nel corso del 2026. Per questi soggetti, ACN ha fissato i termini per l’adempimento degli obblighi in materia di misure di sicurezza e di notifica. In particolare: 

• il termine per l’adozione delle misure di sicurezza previste dagli allegati 1 e 2 della Determinazione ACN n. 379907/2025 scade il 31 luglio 2027;
• l’obbligo di notifica degli incidenti significativi descritti negli allegati 3 e 4 della Determinazione ACN n. 379907/2025 decorre dal 1° gennaio 2027.

Un’ulteriore previsione riguarda i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio inseriti nell’elenco NIS nel corso del 2026. Per questi soggetti, la Determinazione ACN n. 127434/2026 stabilisce che gli obblighi richiamati dall’articolo 4(1) della Determinazione ACN n. 379907/2025 devono essere adempiuti entro il 31 luglio 2027.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.

Il Referente CSIRT, la cui designazione è prevista dalla Determinazione ACN n. 250916 del 19 settembre 2025, è colui o colei che ha il compito di gestire le interlocuzioni con il CSIRT Italia (Computer Security Incident Response Team nazionale) e di trasmettere le notifiche di incidenti significativi (come definiti dalla Determinazione ACN n. 164179) e le notifiche volontarie di informazioni rilevanti sulla cybersicurezza.

Le FAQ precisano che il Referente CSIRT può essere qualsiasi persona fisica che disponga di competenze di base in materia di cybersicurezza e gestione degli incidenti informatici, nonché di un’adeguata conoscenza dei sistemi e delle reti dell’organizzazione. 

In tale prospettiva, è ammessa anche la designazione di professionisti esterni, quali il responsabile di un SOC/CERT o il gestore di un’infrastruttura IT esternalizzata.

È inoltre previsto che, limitatamente alle organizzazioni di dimensioni contenute, i ruoli di Punto di Contatto e Referente CSIRT possano coincidere.

Le FAQ chiariscono anche che non esistono limitazioni relative alla cittadinanza del Referente CSIRT e che il dialogo con lo CSIRT Italia può avvenire anche in lingua inglese.

Un ulteriore chiarimento riguarda la natura della designazione: essa configura una delega esclusivamente operativa e non implica alcun trasferimento di responsabilità, che restano in capo agli organi di amministrazione e direzione del soggetto NIS. 

Inoltre, viene specificato che i Sostituti del Referente CSIRT devono essere in possesso dei medesimi requisiti del Referente CSIRT e sono soggetti alle medesime previsioni operative.

Le FAQ indicano poi che la notifica degli incidenti può essere effettuata, oltre che dal Referente CSIRT e dai suoi sostituti, anche dal Punto di Contatto e dal Sostituto Punto di Contatto.

Infine, con riferimento alla procedura di designazione, viene specificato che il Punto di Contatto deve inserire nel Portale dei Servizi ACN il codice fiscale e l’indirizzo e-mail del Referente CSIRT e degli eventuali sostituti. Successivamente, il Referente CSIRT (e i suoi sostituti) devono accedere al Portale tramite SPID o CIE e completare il censimento della propria utenza, senza necessità di caricare alcuna documentazione di supporto.

The law includes 28 articles that define how AI can be used in different sectors. It also introduces rules for protecting minors under 14, requiring parental consent before any data linked to them can be processed. Italian lawmakers say the goal is to make AI systems fair and safe for citizens while allowing companies to keep innovating responsibly.

According to Giulio Uras:

“The Italian government’s effort has been both remarkable and, for once, genuinely timely. It sets a clear benchmark for EU countries aiming to complement the AI Act at the national level. Its approach is founded on three key pillars: innovation, transparency, and criminal protection. 

On innovation, the Italian law conveys a clear and forward-looking policy direction. By authorising the secondary use of pseudonymised personal data for research purposes, it adopts a functional and proportionate regulatory model designed to foster scientific and technological development. This approach implicitly acknowledges that Europe’s ability to compete in the global AI landscape depends on avoiding an overly dogmatic interpretation of fundamental rights (particularly in the field of data protection) that could unduly restrict legitimate research and innovation. 

As for transparency, the Italian law is more debatable. The law extends disclosure obligations across several sectors (including employment and intellectual professions) without following the AI Act’s risk-based approach. Such a broad rule may overburden low-risk systems and, paradoxically, stifle innovation.

The criminal protection provisions yield mixed results. The new offense addressing deepfakes(Art. 612-quater of the Italian Criminal Code) effectively targets a growing threat. More broadly, introducing criminal law safeguards was undoubtedly necessary, as it reinforces protection against the unlawful use of AI to obtain unfair profits or inflict harm. However, criminal provisions are effective only when they can be concretely enforced. In this regard, the drafting technique adopted for the new aggravating circumstance (Art. 61, no. 11-decies of the Italian Criminal Code) raises issues of legal clarity and operational effectiveness, which may ultimately limit its enforceability in practice.

The real challenge for EU Member States that wish to follow Italy’s example will be to do so without adding unnecessary layers of bureaucracy or new burdens on businesses. Otherwise, the drive for innovation risks being lost in translation.” 

Full article published in TechRound. 
 

La novità più rilevante è l’introduzione della figura del Referente CSIRT.

Ma chi è il Referente CSIRT? 

Il Referente CSIRT è colui o colei che ha il compito di gestire le interlocuzioni con il CSIRT Italia (Computer Security Incident Response Team nazionale) e di trasmettere le notifiche di incidenti significativi (come definiti dalla Determinazione ACN n. 164179) e le notifiche volontarie di informazioni rilevanti sulla cybersicurezza.

Per assicurare tempestività e continuità alle comunicazioni con il CSIRT, la normativa prevede la possibilità di nominare uno o più sostituti del Referente CSIRT, che lo affiancano nello svolgimento delle sue funzioni e che possono operare in sua vece in caso di assenza o impedimento.

A differenza del Punto di Contatto e del Sostituto Punto di Contatto, può essere designata quale Referente CSIRT (e come suo sostituto) anche una persona fisica esterna all’organizzazione (un consulente, ad esempio).

In ogni caso, è richiesto che le persone designate possiedano competenze di base in materia di sicurezza informatica e gestione degli incidenti e una conoscenza approfondita dei sistemi informativi e delle reti del soggetto NIS per il quale operano.

La designazione deve essere effettuata dal Punto di Contatto tramite una procedura apposita. La procedura di designazione sarà attiva dal 20 novembre 2025 e dovrà essere completata entro il 31 dicembre 2025, attraverso il portale dei servizi accessibile tramite il sito web dell’ACN.

A prima vista, l’introduzione della figura del Referente CSIRT rappresenta per i soggetti NIS un importante strumento di supporto, in quanto consente di affidare la gestione delle notifiche di incidenti anche a persone esterne all’organizzazione, dispensando i soggetti NIS da attività particolarmente gravose, time consuming e per cui è preferibile ricorrere alle competenze di consulenti esterni. 

Ciò risulta utile, in particolare, per:

• quei soggetti NIS che non dispongono di strutture o risorse interne adeguate per fare fronte agli adempimenti connessi alla notifica degli incidenti;

• le organizzazioni estere soggette alla giurisdizione nazionale (ad esempio, i fornitori di reti pubbliche di comunicazione elettronica e i servizi di comunicazione elettronica accessibili al pubblico) che possono incontrare difficoltà legate a barriere linguistiche o differenze di fuso orario.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS clicca qui

Il Regolamento (UE) 2022/2554 (Dora) ha introdotto un nuovo framework normativo in tema di resilienza operativa digitale, al quale tutte le entità finanziarie europee, a partire dal 17 gennaio 2025, devono adeguarsi. Dora ha un impatto non solo sulla struttura di back office delle financial entities, ma anche sull’operatività dei private banker e dei consulenti finanziari quando utilizzano i servizi Ict o servizi aventi sottostanti servizi Ict.

Leggi l'articolo completo a cura di Fabio Coco su Citywire
 

Le Linee Guida perseguono una duplice finalità: da una parte, garantire la certezza del diritto e la prevedibilità del quadro normativo applicabile ai fornitori di servizi intermediari ai sensi del DSA e; dall’altra, salvaguardare i diritti e le libertà delle persone fisiche con particolare riguardo al diritto alla protezione dei dati personali, sancito dall'art. 8 della Carta dei Diritti Fondamentali dell'Unione Europea e dall'art. 16 del Trattato sul Funzionamento dell'Unione Europea (“TFUE”).

In via preliminare, l’EDPB chiarisce che il DSA non deroga né prevale sul GDPR, non configurandosi quale lex specialis ai sensi dell’art. 2(4) del DSA. In conformità alla consolidata giurisprudenza della Corte di Giustizia dell'Unione Europea, i due regolamenti devono essere interpretati e applicati in modo da garantirne la reciproca compatibilità e coerenza sistemica, costituendo due atti giuridici di pari rango gerarchico.

Rimozione di contenuti illegali

L’EDPB entra quindi nel merito affrontando innanzitutto il regime giuridico applicabile alle attività di indagine volontaria (voluntary own-initiative investigations) finalizzate all'individuazione e rimozione di contenuti illegali, poste in essere dai fornitori di servizi intermediari ai sensi dell'art. 7 del DSA. In relazione al trattamento di dati personali connesso allo svolgimento di questa attività, le Linee Guida individuano nell'art. 6(1)(f) del GDPR (e cioè nel legittimo interesse del titolare del trattamento o di terzi) la base giuridica del trattamento (almeno nella generalità dei casi). L'EDPB precisa, tuttavia, che spetta al fornitore di servizi intermediari dimostrare la sussistenza delle condizioni che legittimano il ricorso al legittimo interesse, segnatamente: la legittimità dell'interesse perseguito, la necessità del trattamento per il conseguimento di tale interesse e la prevalenza dello stesso rispetto ai diritti e alle libertà dell'interessato. Questa valutazione deve essere documentata attraverso un Legitimate Interest Assessment (LIA) che fornisca evidenza del bilanciamento effettuato dal titolare tra gli interessi contrapposti, conformemente ai principi di necessità e proporzionalità. Va da sé che qualora la rimozione dei contenuti non derivi dall'esercizio di facoltà discrezionali del fornitore di servizi intermediari ma costituisca adempimento di un obbligo di legge, la base giuridica del trattamento è quella prevista dall'art. 6(1)(c) del GDPR (e cioè adempimento di obblighi di legge). 

Meccanismi di notice and action

Le Linee Guida esaminano, poi, le implicazioni dei meccanismi di notifica e azione (notice and action) di cui agli artt. 16 e 17 del DSA, con particolare riguardo al trattamento dei dati personali del soggetto segnalante (notifier) e del destinatario del servizio interessato dal provvedimento restrittivo. Con riguardo al trattamento dei dati del segnalante, l'EDPB stabilisce che i fornitori di servizi di hosting devono applicare il principio di minimizzazione di cui all'art. 5(1)(c) del GDPR, limitando la raccolta alle sole informazioni strettamente necessarie per l'espletamento della procedura (segnatamente le generalità e l’indirizzo e-mail del segnalante). Il meccanismo di notifica deve in particolare essere configurato in modo tale da consentire (ma senza imporre obbligatoriamente) l'identificazione del soggetto segnalante, fatta salva l'ipotesi in cui tale identificazione risulti indispensabile per la valutazione dell'illegittimità del contenuto oggetto di segnalazione. Quanto alla comunicazione dell'identità del segnalante al destinatario del servizio, l'art. 17(3)(b) del DSA prescrive che tale comunicazione possa avvenire esclusivamente se strettamente necessaria per l'esercizio dei diritti di difesa. In tal caso, il fornitore dei servizi intermediari è tenuto ad adempiere preventivamente agli obblighi informativi di cui all'art. 13 del GDPR nei confronti del segnalante, specificando le finalità e la base giuridica della comunicazione a terzi dei suoi dati personali.

Processi decisionali automatizzati

L'EDPB rileva poi che le determinazioni relative alla rimozione di contenuti possono configurare, ricorrendone i presupposti, un processo decisionale automatizzato ai sensi dell'art. 22 del GDPR. Qualora tale processo si svolga in assenza di intervento umano, trovano applicazione le condizioni, i requisiti e gli obblighi previsti dall’art. 22 del GDPR, compresi il diritto dell'interessato di ottenere l'intervento umano, esprimere la propria opinione e contestare la decisione assunta, nonché l'obbligo per il titolare di attuare misure appropriate per tutelare i diritti e le libertà dell'interessato.

Reclami e sospensione

Con riguardo alle disposizioni di cui agli artt. 20 e 23 del DSA, relative rispettivamente ai meccanismi interni di gestione dei reclami (internal complaint-handling systems) e i provvedimenti di sospensione per utilizzo manifestamente illegale o abusivo dei servizi offerti attraverso le piattaforme online, l'EDPB chiarisce che l'operatività di tali strumenti procedurali lascia impregiudicato l'esercizio dei diritti e l'esperimento dei rimedi riconosciuti agli interessati dal GDPR. Le Linee Guida evidenziano, inoltre, la necessità inderogabile di conformarsi ai principi generali sanciti dall'art. 5 del GDPR e, in particolare, ai principi di minimizzazione dei dati, esattezza, trasparenza e limitazione della conservazione. I fornitori di piattaforme online sono pertanto tenuti a garantire che le attività di trattamento effettuate nell'ambito delle procedure di reclamo e sospensione rispettino integralmente tali principi, documentando adeguatamente le misure tecniche e organizzative adottate a tal fine. Con specifico riferimento all'art. 23 del DSA, l'EDPB specifica che l'adozione di misure sospensive nei confronti di un destinatario del servizio non può in alcun modo compromettere o limitare l'esercizio dei diritti riconosciuti dal GDPR. In particolare, rimane pienamente azionabile il diritto alla portabilità dei dati di cui all'art. 20 del GDPR, atteso che il fornitore della piattaforma online mantiene la qualifica di titolare e continua a trattare i dati personali dell'interessato anche durante il periodo di vigenza della sospensione. 

Dark patterns

Un ulteriore profilo di particolare rilevanza concerne la disciplina dei modelli di progettazione ingannevoli (deceptive design patterns o dark patterns). L'art. 25 del DSA introduce un divieto generale per i fornitori di piattaforme online e di motori di ricerca online di progettare, organizzare o gestire le proprie interfacce online in modo tale da ingannare o manipolare i destinatari dei loro servizi, ovvero da compromettere o limitare in misura sostanziale la capacità degli stessi di assumere decisioni libere e informate. A questo riguardo, le Linee Guida delineano con precisione i criteri sulla base dei quali trovi applicazione il regime sanzionatorio previsto dal DSA ovvero quello previsto dal GDPR, stabilendo che una pratica di progettazione ingannevole ricade nell'ambito di applicazione del GDPR, con conseguente attribuzione della competenza sulla vigilanza e sulle sanzioni alle autorità per la protezione dei dati personali, qualora sussistano cumulativamente i seguenti presupposti: (i) la pratica in questione comporti il trattamento di dati personali e; (ii) il comportamento dell'utente che il modello di progettazione intende influenzare, manipolare o compromettere riguardi specificamente decisioni relative al trattamento dei propri dati personali. Tale seconda condizione ricorre tipicamente nelle ipotesi in cui l'interfaccia ingannevole sia finalizzata a indurre l'interessato a fornire dati personali ulteriori rispetto a quelli necessari per l'erogazione del servizio, ovvero a prestare un consenso al trattamento non genuinamente libero e informato.

Pubblicità online e profilazione

Merita particolare attenzione anche l'interpretazione fornita dall'EDPB in ordine alla portata applicativa dell'art. 26(3) del DSA, che vieta la presentazione di pubblicità basata su profilazione realizzata mediante l'utilizzo di categorie particolari di dati personali di cui all’art. 9(1) del GDPR. L'EDPB sottolinea che tale disposizione introduce un divieto assoluto e incondizionato che opera ancora una volta in via complementare rispetto al regime del GDPR, precludendo tale attività di trattamento anche in presenza del consenso esplicito dell'interessato ex articolo 9(2)(a) del GDPR.

Sistemi di raccomandazione dei contenuti

Con riferimento alla disciplina dei sistemi di raccomandazione, l'EDPB fornisce un'interpretazione qualificatoria di particolare rilievo, stabilendo che la presentazione di contenuti personalizzati agli utenti mediante algoritmi di raccomandazione integra profilazione ai sensi dell'articolo 4(4) del GDPR. Le Linee Guida evidenziano inoltre che la presentazione algoritmica di contenuti specifici può costituire una “decisione che incide in modo analogo significativo” sull'interessato ai sensi dell'articolo 22(1) del GDPR. Questa qualificazione trova applicazione segnatamente nelle ipotesi in cui i contenuti raccomandati possano produrre conseguenze significative per gli individui, quali effetti economici o sociali rilevanti, ovvero influenzare in modo duraturo o permanente le loro scelte comportamentali. Per le piattaforme online di dimensioni molto grandi ("VLOPs") e i motori di ricerca online di dimensioni molto grandi ("VLOSEs"), l'art. 38 del DSA impone l'obbligo di fornire almeno un sistema di raccomandazione non basato sulla profilazione. L'esercizio di tale opzione da parte dell'utente comporta il divieto assoluto per i VLOPs e VLOSEs di procedere alla raccolta e al trattamento dei dati personali dell’utente medesimo per finalità di profilazione.

Tutela dei minori

Anche per quanto riguarda la tutela dei minori, le Linee Guida riaffermano l'applicabilità integrale dei principi fondamentali sanciti dal GDPR, con particolare riguardo all'implementazione dei sistemi di verifica e accertamento dell'età (age assurance mechanisms). L'EDPB sottolinea che tali meccanismi devono essere progettati e implementati nel rispetto dei principi di necessità, minimizzazione, proporzionalità e protezione dei dati fin dalla progettazione (privacy by design) di cui all'art. 25 del GDPR. In concreto, le Linee Guida consigliano l’adozione di quei sistemi che non comportino l'identificazione univoca degli utenti né la conservazione permanente dei dati relativi all'età o alla fascia d'età degli interessati.

Rischi sistemici

Con riguardo alla gestione dei rischi sistemici, gli artt. 34 e 35 del DSA introducono per i fornitori di VLOPs e VLOSEs obblighi specifici di valutazione e mitigazione che presentano significative interconnessioni con il quadro normativo in materia di protezione dei dati personali. Le Linee Guida chiariscono che, allorquando vengano identificati rischi sistemici concernenti i diritti fondamentali di protezione dei dati personali che non siano limitati a singoli utenti, l'effettuazione di una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 del GDPR risulterà con ogni probabilità necessaria.

Cooperazione tra autorità

Infine, l’EDPB conclude la sua analisi con alcune indicazioni generali in materia di governance e di enforcement del quadro normativo integrato DSA-GDPR. In applicazione del principio di leale cooperazione di cui all'articolo 4(3) del TFUE, le Linee Guida stabiliscono l'obbligo per le autorità competenti per l'applicazione del DSA e le autorità per la protezione dei dati Personali di istituire meccanismi strutturati di consultazione e cooperazione reciproca nelle materie di competenza concorrente, anche per la promulgazione di appositi codici di condotta. Nell'ordinamento italiano, tale modello cooperativo ha trovato già parziale applicazione mediante strumenti di coordinamento quali il Protocollo d'Intesa sottoscritto in data 12 aprile 2023 tra l'Autorità per le Garanzie nelle Comunicazioni e il Garante per la Protezione dei Dati Personali, nonché tramite l'istituzione di tavoli tecnici congiunti permanenti.

Nel provvedimento in esame, il Garante ha ribadito che i metadati generati dai sistemi di gestione della posta elettronica e i log di navigazione Internet sono dati personali e che la loro raccolta generalizzata, in quanto consente il controllo a distanza dell'attività lavorativa, impone al datore di lavoro, ricorrendo determinate circostanze, di esperire le procedure previste dall'articolo 4(1) dello Statuto dei lavoratori. 

Il Documento di indirizzo del Garante del 6 giugno 2024 aveva del resto già cristallizzato questo orientamento, precisando che i metadati generati dai sistemi di gestione della posta elettronica dei dipendenti possono essere conservati per periodo limitati, di regola non superiori a 21 giorni. In caso di conservazione oltre i 21 giorni, è necessario – secondo il Garante – esperire le procedure previste dall'articolo 4(1) dello Statuto dei lavoratori. Ciò a meno che il titolare non sia in grado di dimostrare la sussistenza in concreto di particolari ragioni di natura tecnica o organizzativa (connesse ad esempio alla sicurezza informatica del servizio di posta elettronica) che rendano necessaria l’estensione della conservazione oltre i 21 giorni. 

Tali ragioni non sono state rinvenute nel caso di specie.

La Regione, peraltro, mediante tre fornitori esterni, era in grado di combinare indirizzi IP, indirizzi MAC e identità dei dipendenti, avendo così piena disponibilità di informazioni che consentivano una potenziale profilazione e un controllo individuale dei dipendenti. Il Garante ha giudicato sproporzionato e eccedente i principi di minimizzazione e limitazione della conservazione tale trattamento e ha imposto, tra l'altro, l'anonimizzazione dei tentativi di accesso ai siti web blacklistati, la riduzione della conservazione dei log di navigazione Internet da 365 a 90 giorni (con possibilità di conservazione oltre tale termine solo previa anonimizzazione dei dati), la limitazione degli accessi ai dati al solo personale espressamente autorizzato e la cifratura dei dati che permettono l'associazione tra dispositivo e dipendente.

Il Garante ha altresì chiarito che, in considerazione del fatto che il trattamento dei metadati generati dai sistemi di gestione della posta elettronica dei dipendenti comporta, almeno potenzialmente, "rischi elevati" per i diritti e le libertà degli interessati (in quanto comporta il monitoraggio sistematico di soggetti – i dipendenti – considerati vulnerabili in ragione della loro subordinazione al datore di lavoro), effettuare una DPIA è obbligatorio e non effettuarla configura una violazione dell'articolo 35 del GDPR.

L'orientamento del Garante è quindi chiaro: la conservazione dei metadati non dovrebbe eccedere i 21 giorni e conservarli oltre i 21 giorni, senza esperire le procedure previste dall’art. 4(1) dello Statuto dei Lavoratori, è legittimo solo in presenza di comprovate ragioni di natura tecnica connesse al funzionamento e alla sicurezza informatica del servizio (le quali in ogni caso non possono consistere in generiche ragioni connesse alla sicurezza informatica delle reti e dei sistemi informativi del datore di lavoro). Nel caso in cui tali ragioni non sussistano, è necessario, a seconda dei casi, raggiungere un accordo con le rappresentanze sindacali o ottenere l’autorizzazione del competente Ispettorato del Lavoro. In ogni caso è sempre necessario effettuare e documentare una DPIA e un Legitimate Impact Assessment (LIA), aggiornare le informative sul trattamento dei dati personali rilevanti e le policy e procedure interne e adottare adeguate misure tecniche e organizzative per garantire un livello adeguato di protezione ai dati personali trattati.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi connessi alla raccolta e conservazione dei metadati generati dai sistemi di gestione della posta elettronica aziendale, rivolgiti ai tuoi professionisti di riferimento. 

Fonti normative di riferimento

• Decreto Legislativo 82/2022: recepisce la Direttiva (UE) 2019/882 (European Accessibility Act), che introduce obblighi specifici per l’accessibilità di prodotti e servizi digitali anche nel settore privato.
• Legge 4/2004 e s.m.i. (Legge Stanca): prima disciplina sull’accessibilità digitale per le pubbliche amministrazioni.
• Legge 120/2020: ha esteso l’ambito soggettivo della Legge Stanca, includendo anche imprese private che erogano servizi essenziali di interesse generale tramite canali digitali.  

Soggetti obbligati

Gli obblighi di accessibilità si applicano a:

• Soggetti privati rientranti nella legge Stanca: si tratta di soggetti con un fatturato medio, negli ultimi tre anni di attività, superiore a 500 milioni di euro che offrono servizi essenziali fruibili da persone con disabilità attraverso siti web o attraverso applicazioni mobili (quali, ad esempio, fornitori di energia, banche, assicurazioni, compagnie di trasporto, servizi sanitari, servizi delle comunicazioni elettroniche, servizi di raccolta dei rifiuti, servizi di commercio elettronico, etc.).
• Operatori economici (fabbricanti, rappresentanti autorizzati, importatori, distributori e fornitori di servizi) che offrono servizi digitali e prodotti al pubblico.
  • In relazione ai servizi digitali, il d.lgs. 82/2022, si applica a:
    • servizi di comunicazione elettronica;
    • servizi che forniscono accesso a servizi di media audiovisivi;
    • servizi di trasporto passeggeri;
    • servizi bancari per consumatori;
    • libri elettronici; e
    • servizi di commercio elettronico.
  • In relazione ai prodotti, il d.lgs. 82/2022, si applica a:
    • sistemi hardware e sistemi operativi informatici (es., pc, notebook, smartphone, tablet, etc.);
    • terminali self-service di pagamento (es., sportelli automatici, macchine per l’emissione di biglietti, terminali per il check-in, etc.);
    • terminali con capacità informatiche interattive utilizzate per i servizi di comunicazione elettronica;
    • terminali per accedere a servizi di media audiovisivi; e
    • lettori di libri elettronici.

Vigilanza e sanzioni

La vigilanza sull’applicazione della normativa è affidata all’Agenzia per l’Italia Digitale (AgID) per quanto riguarda i servizi digitali e al Ministero delle Imprese e del Made in Italy (MIMiT) per quanto riguarda i prodotti. Tali autorità possono:

• Effettuare accertamenti e ispezioni;
• Emettere diffide con termine per la regolarizzazione;
• Applicare sanzioni pecuniarie:
  • Fino al 5% del fatturato medio annuo per violazioni gravi da parte dei soggetti privati, con fatturato superiore a 500 milioni di euro negli ultimi tre anni di attività, che rientrano nella Legge Stanca;
  • Da 5.000 a 40.000 euro per gli altri soggetti, valutando gravità, numero di utenti coinvolti e portata dei servizi non accessibili;
  • Da 2.500 a 30.000 euro per mancata ottemperanza alle diffide o ostacolo alle ispezioni.
• Adottare misure inibitorie, con forti impatti reputazionali, tra cui:
  • Oscuramento del sito web o rimozione dell’app dagli store digitali;
  • Divieto di accesso, temporaneo o definitivo, ai servizi digitali non conformi. 

Sintesi operativa

• Dal 28 giugno 2025, i prodotti e servizi digitali potranno essere immessi sul mercato solo rispettando i requisiti di accessibilità previsti dalla normativa europea e nazionale.
• Le imprese sono chiamate ad adeguare siti web, app, dispositivi e servizi digitali agli standard tecnici di accessibilità, pena l’applicazione di sanzioni, danni reputazionali e misure restrittive da parte di AgID e MIMiT.

In ottemperanza alla Legge Stanca, le imprese con un fatturato medio, negli ultimi tre anni di attività, superiore a 500 milioni di euro, già oggi sono obbligate ad adeguare siti, app e touchpoint digitali agli standard di accessibilità. Per queste imprese, le sanzioni in caso di violazione possono arrivare fino al 5% del fatturato. 

Dal 28 giugno 2025, l’obbligo di accessibilità digitale si estende a tutte le medie e piccole imprese (cioè le aziende sopra i 2 milioni di euro di fatturato annuo o più di 10 dipendenti) che offrono prodotti e servizi digitali ai consumatori con sanzioni fino a 40.000 Euro. Sono escluse solo le microimprese.

Gli accordi di condivisione sono disciplinati dall’art. 17 del d.lgs. n. 138/2024 e hanno ad oggetto la condivisione (volontaria e facoltativa) tra soggetti NIS o tra soggetti NIS e altri soggetti (ad esempio, fornitori di soggetti NIS) di informazioni relative alla sicurezza informatica, come minacce informatiche, quasi-incidenti, vulnerabilità, tecniche e procedure, allarmi di sicurezza, etc. Tali accordi sono funzionali alla prevenzione degli incidenti, nonché alla gestione, al contenimento e alla mitigazione delle loro conseguenze e contribuiscono all’innalzamento degli standard di sicurezza informatica collettiva.

La partecipazione di un soggetto NIS a uno o più accordi di condivisione deve essere comunicata all’ACN tramite il portale dei servizi, fornendo il testo dell’accordo e indicando la denominazione dello stesso e l’elenco dei soggetti che vi partecipano.

Riguardo ai termini di notifica, per gli accordi stipulati dopo l’entrata in vigore del d.lgs. 138/2024 (e cioè successivamente al 16 ottobre 2024), la notifica deve essere effettuata tempestivamente e quindi contestualmente o immediatamente dopo la conclusione dell’accordo​. In ogni caso, gli accordi di condivisione sottoscritti prima dell’entrata in vigore del d.lgs. 138/2024 (e ancora in corso al 31 maggio 2026) devono essere notificati entro il 31 maggio 2026​.

L’elenco degli accordi di condivisione a cui il soggetto NIS partecipa notificato all’ACN deve essere sempre verificato e aggiornato nel tempo: in particolare, ai sensi della Determinazione 136118, qualsiasi modifica (ad esempio, la sottoscrizione di un nuovo accordo, la risoluzione di un accordo esistente o modifiche al testo o ai partecipanti all’accordo), deve essere comunicata all’ACN entro 14 giorni dalla data della modifica.

In ogni caso, l’elenco degli accordi di condivisione deve essere aggiornato almeno una volta all’anno: tra il 15 aprile e il 31 maggio di ciascun anno, i soggetti NIS devono aggiornare, sempre tramite il portale, l’elenco degli accordi di condivisione di cui fanno parte. 

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.

L’espressione “di base” associata alle misure di sicurezza e agli obblighi di notifica è impiegata per indicare che essi riguardano la fase di prima implementazione della disciplina NIS. Ulteriori misure e obblighi di notifica si aggiungeranno al termine dell’attività di categorizzazione delle attività e dei servizi che sarà condotta a partire dal 2026.

Le misure di sicurezza, elencate e descritte negli allegati 1 (per i soggetti importanti) e 2 (per i soggetti essenziali) alla Determinazione, sono state definite sulla base del “Framework Nazionale per la Cybersecurity e la Data Protection”, edizione 2025 (derivato dal Cyber Security Framework del National Institute of Standards and Technology).

Sono organizzate in funzioni (governo, identificazione, protezione, rilevamento, risposta e ripristino), categorie, sottocategorie e requisiti e comprendono sia misure di natura organizzativa (che richiedono, ad esempio, l’elaborazione di piani, l’adozione di politiche e procedure, la tenuta e l’aggiornamento di elenchi, inventari e registri, etc.) sia misure di natura tecnica (che richiedono, invece, l’implementazione di meccanismi di cifratura, sistemi di autenticazione multifattore, backup, firewall, etc.). Il contenuto dei due allegati è, in gran parte, coincidente ma a carico dei soggetti essenziali sono previsti requisiti aggiuntivi o più rigorosi.

Come previsto, tra le misure di sicurezza di base figura anche la valutazione della cybersecurity della catena di fornitura. Ciò avrà, inevitabilmente, un impatto anche su quei soggetti che, pur non rientrando nell’ambito di applicazione del d.lgs. n. 138/2024, forniscono beni o servizi rilevanti per la sicurezza dei sistemi informativi e di rete dei soggetti NIS. Questi ultimi dovranno, in particolare, censire i fornitori rilevanti (e i rispettivi contratti), tenere un inventario dei servizi erogati e richiedere ai fornitori il possesso di una serie di requisiti in termini di cybersecurity (di cui deve essere verificata periodicamente la sussistenza nel tempo).

Per quanto riguarda gli obblighi di base in materia di notifica agli incidenti, gli allegati 3 e 4 identificano le tipologie di incidenti significativi che devono essere notificati (l’allegato 3 per i soggetti importanti e l’allegato 4 per i soggetti essenziali).

I termini per la notifica restano quelli indicati dal d.lgs. n. 138/2024. Nello specifico, la notifica deve avvenire senza ingiustificato ritardo e comunque:

• entro 24 ore dalla scoperta, deve essere trasmessa una pre-notifica che indichi, almeno, se l’incidente è il risultato di atti illegittimi o malevoli o se può avere un impatto transfrontaliero;

• entro 72 ore dalla scoperta, deve essere trasmessa la notifica vera e propria che deve riportare informazioni aggiornate sull’incidente, una valutazione iniziale dello stesso e gli indicatori di compromissione;

• entro un mese dalla notifica, deve essere trasmessa una relazione finale che contenga almeno una descrizione dettagliata dell’incidente, comprensiva della sua gravità e del suo impatto, il tipo di minaccia o la causa originale (root cause) che ha probabilmente innescato l’incidente, le misure di attenuazione adottate e in corso e, ove noto, impatto transfrontaliero dell’incidente.

Il termine entro il quale i soggetti NIS dovranno adottare le misure di sicurezza di base definite dagli allegati 1 e 2 alla Determinazione è fissato in diciotto mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS (quindi, assumendo che la comunicazione sia stata ricevuta il 15 aprile 2025, le misure di sicurezza dovranno essere adottate entro il 15 ottobre 2026). Gli obblighi di base in materia di notifica degli incidenti significativi scattano, invece, decorsi nove mesi dalla ricezione della comunicazione (quindi, assumendo che la comunicazione sia stata ricevuta il 15 aprile 2025, gli obblighi di base in materia di notifica degli incidenti significativi scattano dal 15 gennaio 2026).

La descrizione di dettaglio delle misure di sicurezza e delle tipologie di incidenti significativi sono disponibili a questo link, per quanto riguarda i soggetti importanti, e a questo link, per quanto riguarda i soggetti essenziali.

Da ultimo, segnaliamo che la Determinazione prescrive obblighi specifici a carico dei gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio nonché dei soggetti ricompresi nel Perimetro di Sicurezza Nazionale Cibernetica.

Prevede, inoltre, un regime transitorio per gli operatori di servizi essenziali (c.d. OSE), che continuano ad applicare le previsioni in materia di misure di sicurezza e notifica di incidenti di cui al d.lgs. n. 65/2018 (di recepimento della Direttiva NIS1) e per gli operatori telco, che continuano ad applicare le previsioni di cui al Decreto del Ministero dello Sviluppo Economico del 12 dicembre 2018.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento. 

• la determinazione ACN n. 136117 del 10 aprile 2025 - Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all'articolo 7 del decreto NIS (“Determinazione 136117”);

• la determinazione ACN n. 136118 del 10 aprile 2025 – Notifica degli accordi di condivisione delle informazioni sulla sicurezza informatica di cui all'articolo 17 del decreto NIS (“Determinazione 136118”); e

• la determinazione ACN n. 164179 del 10 aprile 2025 – Specifiche di base per l'adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS (“Determinazione 164179”).

La Determinazione 136117, che aggiorna e sostituisce la determinazione ACN n. 38565 del 26 novembre 2024, disciplina l’accesso al portale dei servizi e le modalità per la registrazione e l’aggiornamento delle informazioni nonché la designazione del punto di contatto e delle altre persone abilitate ad operare sul portale dei servizi dell’ACN per conto dei soggetti NIS.

Le novità introdotte dalla Determinazione 136117 riguardano in particolare:

• il sostituto punto di contatto;

• la segreteria;

• gli operatori; e

• il processo per l’aggiornamento annuale delle informazioni.

Il sostituto punto di contatto è una persona fisica, diversa dal punto di contatto, designata dal soggetto NIS ai sensi dell’art. 7(4)(d) del d.lgs. n. 138/2024 a cui è affidato il compito di supportare il punto di contatto nell’esercizio delle proprie funzioni (fatta eccezione per la registrazione che compete unicamente al punto di contatto).

La segreteria è, invece, la persona fisica che supporta il punto di contatto e il sostituto punto di contatto nelle interlocuzioni con l’ACN.

Infine, gli operatori sono coloro che svolgono funzioni di supporto al punto di contatto e al sostituto punto di contatto operando sul portale.

Come per il punto di contatto, le funzioni di sostituto punto di contatto possono essere assunte solo dal rappresentante legale, da un procuratore generale (censito nel registro delle imprese) ovvero da un dipendente delegato dal rappresentante legale. Non è chiaro invece se ciò valga anche per la segreteria e gli operatori. 

Per poter operare sul portale, il sostituto punto di contatto, la segreteria e gli operatori devono essere invitati dal punto di contatto, effettuare il censimento e associare la propria utenza a quella del soggetto NIS. Segreteria e operatori non possono tuttavia, tramite il portale, trasmettere all’ACN comunicazioni relative all’adempimento degli obblighi di cui al d.lgs. n. 138/2024. Il ruolo di segreteria può essere assunto da un solo utente.

Si noti, in ogni caso, che mentre la designazione del sostituto punto di contatto è obbligatoria, il coinvolgimento di segreterie e operatori è meramente eventuale.   

Con riguardo al processo di aggiornamento delle informazioni, la Determinazione 136117 richiede che dal 15 aprile al 31 maggio di ogni anno siano trasmesse, tramite la sezione del portale denominata “Servizio NIS/Aggiornamento annuale”, le informazioni richieste dall’art. 7(4 e 5) del d.lgs. n. 138/2024.

In particolare, tutti i soggetti NIS devono, a seconda dei casi, fornire o verificare l’aggiornamento delle seguenti informazioni:

• dati anagrafici e di contatto del punto di contatto e, ove applicabile, dati contenuti nella delega conferita dal rappresentante legale;

• dati anagrafici e di contatto del sostituto punto di contatto e, ove applicabile, dati contenuti nella delega conferita dal rappresentante legale;

• dati anagrafici e di contatto della segreteria;

• dati anagrafici e di contatto del soggetto NIS (devono essere forniti almeno codice fiscale, denominazione, indirizzo della sede legale, indicazione del rappresentante legale, elenco dei procuratori generali, numero di telefono, domicilio digitale e indirizzo di posta elettronica ordinaria);

• elenco dei componenti degli organi di amministrazione e direttivi, da identificare sulla base dell’art. 38(5) del d.lgs. n. 138/2024 (devono essere forniti almeno nome e cognome, codice fiscale e indirizzo PEC);

• elenco dei servizi ricompresi nell’ambito di applicazione del d.lgs. n. 138/2024 che sono forniti dal soggetto NIS, con indicazione degli Stati membri dell’UE in cui sono forniti;

• spazio di indirizzamento IP pubblico in uso o nella disponibilità del soggetto NIS (e cioè gli indirizzi IP pubblici e statici che un soggetto NIS utilizza o ha nella propria disponibilità in forza di contratti o accordi con fornitori di servizi Internet, Registri Internet Regionali o altre organizzazioni deputate alla fornitura di indirizzi IP sulla base delle normative e degli accordi nazionali, europei e internazionali vigenti);

• nomi di dominio in uso o nella disponibilità del soggetto NIS (e cioè i nomi di dominio che un soggetto NIS utilizza o ha nella propria disponibilità in forza di contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni deputate loro fornitura di nomi di dominio sulla base delle normative e degli accordi nazionali, europei e internazionali vigenti); e

• elenco degli accordi di condivisione delle informazioni (e cioè le intese volontarie tra soggetti NIS per scambiare informazioni rilevanti sulla cybersicurezza di cui all’art. 17 del d.lgs. n. 138/2024).

Fornitori di servizi di sistema dei nomi di dominio, gestori di registri dei nomi di dominio di primo livello, fornitori di servizi di registrazione dei nomi di dominio, fornitori di servizi di cloud computing, fornitori di servizi di data center, fornitori di reti di distribuzione dei contenuti, fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti, fornitori di mercati online, fornitori di motori di ricerca online e fornitori di piattaforme di social network devono inoltre, a seconda dei casi, fornire o verificare l’aggiornamento delle informazioni relative alle proprie sedi nell’UE. Se poi, questi sono stabiliti al di fuori del territorio nazionale e hanno designato il loro rappresentante in Italia forniscono e verificano l’aggiornamento anche dei dati di contatto e anagrafici del rappresentante in Italia.

Le analisi di dettaglio della Determinazione 136118 e della Determinazione 164179 saranno disponibili a breve.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.   

Il d.lgs. n. 138/2024 si applica, di regola, a medie e grandi imprese rientranti in 17 settori critici e altamente critici (oltre a pubbliche amministrazioni e talune ulteriori tipologie di soggetti identificati direttamente dall’Agenzia per la Cybersicurezza Nazionale) e prevede a carico dei soggetti NIS obblighi riconducibili alle seguenti categorie:   

• obblighi di registrazione e aggiornamento delle informazioni: ogni anno i soggetti NIS devono registrarsi o aggiornare la registrazione già effettuata sul portale web dell’ACN, indicando il punto di contatto e fornendo una serie di informazioni relative, tra l’altro, alle attività svolte e ai servizi forniti;

• obblighi in materia di misure di sicurezza: ai soggetti NIS è richiesta l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete utilizzati nelle loro attività o nella fornitura dei loro servizi;

• obblighi in materia di notifica degli incidenti: i soggetti NIS devono notificare al CSIRT, per fasi ed entro termini temporali stringenti, gli incidenti di sicurezza che hanno un impatto significativo sulla fornitura dei loro servizi;

• obblighi a carico degli organi amministrativi e direttivi: gli organi amministrativi e direttivi, che sono responsabili per le violazioni della disciplina NIS, sono tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere l’offerta periodica di formazione in materia di sicurezza informatica ai propri dipendenti.

Se la tua organizzazione è un soggetto NIS o presumi che lo diventerà nel corso di quest’anno, trovi di seguito un calendario con le date da tenere a mente per assicurare la conformità al d.lgs. n. 138/2024.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.   

Quello digitale è certamente il settore in cui si è registrata la produzione normativa più sostenuta degli ultimi anni. L’Artificial Intelligence Act è solo l’ultimo dei numerosi atti legislativi adottati dall’Unione Europea in questo ambito: dal GDPR al Data Act, dal Digital Services Act al Digital Markets Act, dalle Direttive NIS al DORA al Cyber Resilience Act, il quadro normativo è complesso e in continua evoluzione.

Comprendere ambito di applicazione e contenuti di ciascuna normativa, quindi, è fondamentale per chi, come il Compliance Officer, è chiamato a garantire la conformità normativa all’interno dell’organizzazione aziendale e a sovraintendere alle attività che si rendono necessarie per raggiungerla.

Cominciamo, quindi, dall’esame delle normative che, in un tentativo di razionalizzazione, abbiamo ricondotto ai seguenti cinque ambiti: dati personali, data economy, mercati e servizi digitali, cybersecurity e intelligenza artificiale.

Clicca qui per il documento integrale

Come sostenuto nelle Linee guida, dal momento che i dati pseudonimizzati costituiscono informazioni relative a una persona fisica identificabile, essi rimangono a tutti gli effetti dati personali e, come tali, sono soggetti alle disposizioni di cui al GDPR. 

A questo riguardo, l’EDPB pare adottare una nozione molto ampia di dati personali, in contrasto con le recenti conclusioni dell'Avvocato Generale Dean Spielmann nella causa C-413/23 P del 6 febbraio 2025. Infatti, adottando un approccio più restrittivo, l’Avvocato Generale sottolinea che, al fine di determinare se i dati pseudonimizzati siano da considerarsi dati personali e dunque rientrino nell’ambito di applicazione oggettivo del GDPR, si debba tenere conto della ragionevole probabilità che le informazioni aggiuntive possano essere utilizzate dal destinatario dei dati per identificare l’interessato, non essendo sufficiente la mera teorica identificabilità dello stesso.

Tornando alle Linee guida, concetto fondamentale introdotto dall’EDPB è quello di “pseudonomysation domain”, definibile come l’insieme di individui e sistemi autorizzati che possono avere accesso ai dati pseudonimizzati. All’interno di questo dominio, che sarà onere del titolare/responsabile determinare, i dati pseudonimizzati possono essere trattati minimizzando i rischi di re-identificazione degli interessati. Ciò comporta, come logico corollario, che gli pseudonomysation secrets dovranno essere conservati al di fuori del dominio di pseudonimizzazione. 

Sempre in un’ottica di accountability, il titolare è tenuto a valutare, anche attraverso risk assessment periodici, la probabilità di re-identificazione all'interno del dominio di pseudonimizzazione, in modo da garantire che il rischio rimanga trascurabile per tutto il periodo di trattamento.

D’altra parte, le Linee guida costituiscono anche un utile indirizzo operativo per le imprese e gli operatori, presentando alcuni esempi di misure tecniche adeguate per procedere alla pseudonimizzazione, tra cui si segnalano:

• tecniche di crittografia avanzata, come le funzioni di Hash SHA-3, che possono essere utilizzate per creare dati pseudonimizzati. Per aumentare la sicurezza del procedimento, è possibile combinare queste funzioni con un salt, ossia una stringa di dati casuali generata in modo sicuro;

• misure di sicurezza relative all’infrastruttura informatica, come la limitazione degli accessi agli pseudonomysation secrets (in concreto, si potrebbero limitare gli accessi ai soli amministratori di sistema, applicando anche ad essi il principio del privilegio minimo);

• l’utilizzazione di strumenti di data protection engineering, sui cd. quasi identificatori (cioè quelle informazioni che, se combinate tra loro, possono identificare indirettamente un individuo), incluse tecniche come la generalizzazione e soppressione, che modificano il livello di dettaglio dei dati o eliminano quelli altamente rischiosi per ridurre il rischio di re-identificazione.

In conclusione, emerge dall’analisi delle Linee guida il ruolo fondamentale che la pseudonimizzazione può giocare per l’applicazione del principio di privacy by design oltre che in alcune aree di attività aziendali, assai sensibili dal punto di vista data protection, come la gestione dei canali whistleblowing e i trasferimenti di dati personali extra UE. Come chiarito dalle stesse Linee guida, la pseudonimizzazione può inoltre facilitare l’utilizzo di basi giuridiche come il legittimo interesse di cui all’art. 6(1)(f) del GDPR per il trattamento dei dati personali - un approccio certamente utile quando si deve cercare un’alternativa al consenso e il bilanciamento tra gli interessi delle aziende e i diritti degli individui - e favorire la compatibilità dei dati trattati da eventuali destinatari con la valutazione della finalità originaria del trattamento, ai sensi dell’art. 6(4) GDPR. 

Una recente decisione della Corte di Giustizia dell’Unione Europea ha fornito una serie di chiarimenti generali riguardo all’applicazione del Regolamento Gdpr

Una recente decisione della Corte di Giustizia dell’Unione Europea ha fornito una serie di chiarimenti generali riguardo all’applicazione del Regolamento Generale sulla Protezione dei Dati Personali (Gdpr) ed i limiti entro i quali possono aver luogo la richiesta e la divulgazione di informazioni personali di soci di un fondo di investimento, soprattutto nel caso in cui la partecipazione sia indiretta, in quanto detenuta tramite una società fiduciaria.

La decisione è stata resa a seguito di rinvio pregiudiziale disposto dall’Amtsgericht München (Tribunale circoscrizionale, Monaco di Baviera, Germania) e verteva sull’interpretazione dell’articolo 6, par. 1, comma primo lettere b), c) ed f) del Gdpr. All’origine del contenzioso vi era l’azione promossa da alcuni soci che avevano adito l’autorità per ottenere informazioni sugli altri partecipati al fondo (con l’interesse di entrare in contatto e negoziare con loro il
riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci) e, ovviamente, un contrasto applicativo tra Gdpr e diritto tedesco.

La Cgue giunge ad affermare che, in applicazione ai limiti imposti dal Gdpr, la richiesta di altri detentori di partecipazioni in un fondo ad azionariato diffuso di comunicare i dati sui soci con partecipazioni indirette tramite società fiduciaria può avvenire se ciò è necessario all’esecuzione di un contratto, ovvero sia indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato.

Tuttavia, tale previsione non può trovare applicazione nel caso in cui i contratti di
partecipazione e fiduciari, in forza dei quali sono state acquistate partecipazioni indirette nei fondi di investimento, prevedono espressamente il divieto di comunicare i dati relativi agli investitori indiretti ad altri detentori di partecipazioni. D’altro canto, osserva la Cgue, la caratteristica essenziale dell’acquisto di una partecipazione indiretta, tramite una società fiduciaria, in un fondo di investimento ad azionariato diffuso è precisamente l’anonimato dei
soci, ivi incluso nei rapporti tra i soci stessi.

In altri termini, è tenendo conto del trattamento riservato dei loro dati da parte del fondo di investimento che le persone optano per un investimento finanziario in un siffatto fondo sotto forma di partecipazione detenuta tramite una società fiduciaria.

In linea teorica, osserva la Corte, potrebbe la richiesta di informazioni trovare positivo riscontro se essa è necessaria per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ma a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali. Nel caso in esame, in termini
molto pragmatici, viene escluso che tale deroga possa trovare applicazione, in quanto il socio del fondo di investimento potrebbe chiedere direttamente al fondo o alla società fiduciaria di trasmettere la sua richiesta al socio interessato, allo scopo di fare conoscenza o discutere con quest’ultimo, lasciandogli così la libertà di rimanere anonimo oppure avviare un dialogo con l’altro socio.

Infine, viene vagliata dalla Corte l’ultima condizione che legittimerebbe la diffusione dei dati del socio, ovvero quando sia necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. In tale situazione è legittimo il trattamento dei dati quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato (anche per effetto di posizione giurisprudenziale, alla condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo
di interesse pubblico e sia proporzionata a quest’ultimo).

Spetterà quindi al Tribunale valutare i principi di diritto interpretativi del Gdpr e valutare se i soci hanno, o meno, diritto ad ottenere i nominativi degli altri soci indiritti dal fondo o dalle società fiduciarie.