Il Digital Omnibus dell'UE nel dettaglio: cosa cambia davvero per il GDPR, e cosa si è appena bloccato

Per gran parte della sua esistenza, il GDPR è stato trattato come un bersaglio fisso: un insieme di regole pubblicate nel 2016, applicate dal 2018, e modificate solo marginalmente da allora. Questo sta ora cambiando — anche se non in modo così lineare come la Commissione europea aveva inizialmente sperato. Nel novembre 2025 la Commissione ha pubblicato il suo pacchetto Digital Omnibus, proponendo l'insieme di modifiche più sostanziale al GDPR dall'entrata in vigore del regolamento. Tre cambiamenti contano più di tutti: un'esenzione molto più ampia dalla tenuta formale dei registri, un banner dei cookie ridisegnato con un'opzione di rifiuto a un clic, e un nuovo testo che conferma che l'interesse legittimo può sostenere il trattamento per l'IA.

Nulla di tutto ciò è ancora legge, e ad agosto 2026 le tre proposte non procedono più alla stessa velocità. L'esenzione dalla tenuta dei registri gode di sostegno istituzionale ed è la parte più probabile a sopravvivere intatta. Il ridisegno del banner dei cookie e il chiarimento sull'interesse legittimo per l'IA hanno incontrato un muro in Consiglio nel giugno 2026 e sono stati eliminati dal testo di lavoro su cui negoziavano gli Stati membri — non affossati, ma bloccati, con il loro destino ora nelle mani di un Parlamento che non dovrebbe definire la propria posizione prima che arrivi uno studio d'impatto atteso per ottobre 2026. Ecco cosa c'è davvero sul tavolo, cosa è bloccato, e cosa fare nel frattempo.

Perché la Commissione agisce ora

Il Digital Omnibus non è nato dal nulla. Dal 2018, una lamentela persistente da parte delle imprese — in particolare quelle di medie dimensioni e in crescita — è che l'onere di conformità del GDPR cresce in modo non uniforme. Un'azienda con 240 dipendenti beneficia di esenzioni significative dagli obblighi formali di tenuta dei registri; la stessa azienda con 260 dipendenti no, pur essendo solo marginalmente più grande. La Commissione ha descritto questo come un problema di «effetto scogliera»: le imprese sbattono contro un muro di nuovi obblighi proprio nel momento in cui stanno cercando di crescere.

Allo stesso tempo, la Commissione ha subito pressioni da un'altra direzione: le lamentele secondo cui i banner di consenso ai cookie sono diventati talmente manipolativi — progettati per rendere «accetta tutto» la via di minor resistenza — da aver smesso di funzionare come autentici meccanismi di consenso. E a sovrapporsi a entrambe le preoccupazioni c'è l'ascesa dell'IA, che ha costretto i regolatori a chiarire come l'interesse legittimo, una delle sei basi giuridiche del GDPR per il trattamento, si applichi a una categoria di trattamento che esisteva a malapena quando il regolamento fu redatto.

Il Digital Omnibus cerca di affrontare tutti e tre gli aspetti contemporaneamente. In realtà si tratta di due proposte di regolamento distinte: un «Digital Omnibus» generale che modifica il GDPR, la direttiva ePrivacy, la NIS2 e il Data Act (a volte chiamato «Data Omnibus» nei commenti giuridici), e un «Digital Omnibus on AI» separato, incentrato sull'AI Act dell'UE. Questa distinzione è importante per la tempistica — la metà relativa all'AI Act ha già superato Consiglio e Parlamento ed entrerà in vigore con la pubblicazione in Gazzetta Ufficiale, prevista per metà 2026. La metà relativa al GDPR non l'ha fatto, ed è l'oggetto di questo articolo.

L'esenzione estesa dal registro dei trattamenti

Secondo le regole GDPR attuali, l'art. 30 impone alla maggior parte delle organizzazioni di tenere registri dettagliati delle proprie attività di trattamento — quali dati personali raccolgono, perché, per quanto tempo li conservano e quali misure di sicurezza sono in atto. L'art. 30(5) prevede un'esenzione ristretta per le organizzazioni con meno di 250 dipendenti, a condizione che il loro trattamento non soddisfi determinate condizioni di rischio, incluso qualsiasi trattamento di categorie particolari di dati.

Il Digital Omnibus la amplierebbe considerevolmente, in due modi. Primo, la soglia dei dipendenti salirebbe da meno di 250 a meno di 750 — a condizione che l'organizzazione resti anche sotto i tetti finanziari di 150 milioni di euro di fatturato annuo o 129 milioni di euro di totale di bilancio. Moltissime aziende di medie dimensioni che oggi devono mantenere la piena documentazione ex art. 30 rientrerebbero, con la nuova soglia, nel regime più leggero.

Secondo, la proposta cambia ciò che esclude un'organizzazione dall'esenzione fin da subito. Oggi, qualsiasi trattamento di categorie particolari di dati — informazioni sanitarie, dati biometrici, dati che rivelano opinioni politiche o convinzioni religiose — esclude automaticamente un'organizzazione, indipendentemente dal rischio reale. Il Digital Omnibus sostituirebbe questa esclusione generalizzata con uno standard basato sul rischio: l'esenzione non sarebbe disponibile solo laddove il trattamento sia «suscettibile di comportare un rischio elevato» per gli interessati — la stessa soglia che già oggi fa scattare una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35.

Vale la pena essere precisi su cosa cambia e cosa no. Riduce l'onere documentale; non riduce gli obblighi sottostanti relativi al trattamento lecito, ai diritti degli interessati o alla sicurezza. Le organizzazioni che rientrano nell'esenzione estesa dovranno comunque condurre una DPIA laddove richiesta — la valutazione del rischio usata per determinare l'idoneità all'esenzione è essa stessa un esercizio affine alla DPIA. Questo è l'unico elemento del Digital Omnibus che gode di un sostegno istituzionale chiaro: l'EDPB e l'EDPS hanno accolto con favore la semplificazione della tenuta dei registri in un parere congiunto già a luglio 2025, e hanno ribadito un ampio sostegno a essa — pur sollevando altre preoccupazioni, tra cui il restringimento della definizione di dati personali proposto dall'Omnibus — in un parere congiunto più completo sull'intero pacchetto pubblicato a febbraio 2026.

Il nuovo banner dei cookie — e perché si è appena bloccato

Il secondo filone del Digital Omnibus affronta una delle caratteristiche più criticate dell'attuale panorama del GDPR. Nella sua formulazione originaria, avrebbe imposto ai siti web di consentire agli utenti di rifiutare tutti i cookie non essenziali con un singolo clic, direttamente sul primo livello del banner, con l'opzione di rifiuto dotata della stessa importanza visiva di quella di accettazione — chiudendo così la scappatoia di lunga data per cui «accetta tutto» è un unico pulsante mentre «rifiuta» significa navigare in un pannello di impostazioni e deselezionare gli interruttori uno per uno.

La proposta originaria andava anche oltre: esentando le categorie di cookie a basso rischio dalla necessità di un banner di consenso — la misurazione interna dell'audience, i cookie necessari per fornire un servizio esplicitamente richiesto dall'utente, i cookie di sicurezza e prevenzione delle frodi — e introducendo segnali «automatizzati e leggibili da macchina» a livello di browser, in modo che un utente potesse impostare le proprie preferenze di tracciamento una sola volta e vedersele rispettate automaticamente dai siti. Laddove il consenso fosse comunque richiesto e concesso, i siti avrebbero dovuto rispettare quella scelta per almeno sei mesi prima di richiederlo di nuovo.

Nel testo di compromesso del Consiglio del 10 giugno 2026, gli articoli che introducevano il pulsante di rifiuto a un clic e il meccanismo dei segnali del browser sono stati eliminati del tutto, dopo che gli ambasciatori degli Stati membri non erano riusciti a trovare un accordo due giorni prima. Persino quel compromesso ridimensionato non ha ottenuto la maggioranza qualificata necessaria ed è stato ritirato dall'approvazione formale alla fine di giugno.

Questo non significa che oggi il design dei banner dei cookie sia una zona franca. A parte il Digital Omnibus, le linee guida di applicazione già esistenti del GDPR trattano già un pulsante «accetta tutto» più facile da trovare o cliccare rispetto a «rifiuta» come un dark pattern — un difetto di progettazione che i regolatori perseguono in base alle regole attuali, con o senza l'Omnibus. Ciò che è realmente bloccato a Bruxelles è il meccanismo specifico (clic singolo, segnali a livello di browser, le esenzioni per il basso rischio) — non l'aspettativa di fondo secondo cui rifiutare deve essere realmente facile quanto accettare.

Interesse legittimo e trattamento IA — anch'esso bloccato

Il terzo elemento riguarda una delle questioni più controverse nell'attuale prassi in materia di protezione dei dati: l'interesse legittimo, come base giuridica ai sensi dell'art. 6, può sostenere il trattamento di dati personali per addestrare o far funzionare sistemi di IA? Oggi, le organizzazioni che si basano sull'interesse legittimo per il trattamento IA operano in una certa ambiguità — conducendo i propri test di bilanciamento senza un testo GDPR esplicito che confermi la validità di tale approccio.

Il Digital Omnibus, nella sua formulazione originaria, avrebbe aggiunto un testo che riconosce esplicitamente che l'interesse legittimo può sostenere il trattamento IA — in modo condizionato, non incondizionato. Le garanzie esistenti che rendono valido l'interesse legittimo in qualsiasi contesto — necessità, proporzionalità, un autentico test di bilanciamento rispetto ai diritti degli interessati, trasparenza e un diritto di opposizione incondizionato — avrebbero comunque dovuto restare effettivamente intatte. Era concepito come un chiarimento dell'ambito di applicazione, non come un allentamento dello standard.

Quel testo chiarificatore è stato una delle disposizioni rimosse insieme agli articoli sui cookie nel testo di compromesso del Consiglio di giugno 2026. L'effetto pratico per ora: le organizzazioni continuano a non avere una disposizione GDPR esplicita che confermi che l'interesse legittimo copre il trattamento IA. La posizione giuridica di fondo non è cambiata — l'art. 6(1)(f) si applica già se il test di bilanciamento viene effettivamente svolto e documentato — ma la conferma normativa sperata non è più vicina di quanto lo fosse a novembre 2025.

A che punto siamo, in ordine cronologico

1. Novembre 2025 — La Commissione europea pubblica la proposta Digital Omnibus, che riguarda GDPR, ePrivacy, NIS2 e Data Act.
2. Febbraio 2026 — EDPB ed EDPS pubblicano il loro parere congiunto sull'intero pacchetto: sostanzialmente favorevole alla semplificazione della tenuta dei registri, pur sollevando preoccupazioni su altri punti, tra cui la definizione più ristretta di dati personali proposta.
3. 8–10 giugno 2026 — Gli ambasciatori del Consiglio non riescono a trovare un accordo sulle disposizioni relative al consenso ai cookie e all'interesse legittimo per l'IA; il testo di compromesso della presidenza elimina del tutto quegli articoli.
4. Fine giugno 2026 — Anche il testo di compromesso ridimensionato viene ritirato dall'approvazione formale del Consiglio, non raggiungendo la maggioranza qualificata.
5. Ora (agosto 2026) — Il Parlamento europeo sta ancora definendo la propria posizione, con uno studio d'impatto atteso per ottobre 2026. L'adozione finale della metà del pacchetto relativa al GDPR non è prevista prima della fine del 2026, nella migliore delle ipotesi — il che significa che un'attuazione reale è più plausibilmente una storia del 2027, e potrebbe protrarsi ulteriormente a seconda di quanto Parlamento e Consiglio dovranno ancora conciliare.

Nel frattempo, la metà del pacchetto Digital Omnibus dedicata all'AI Act — una proposta separata, indipendente dalla questione dell'interesse legittimo di cui sopra — ha già superato sia il Consiglio sia il Parlamento ed entra in vigore con la pubblicazione in Gazzetta Ufficiale. È facile confondere le due metà del Digital Omnibus; solo una delle due è effettivamente arrivata a destinazione.

Prepararsi ora a regole non ancora definitive

Questa incertezza non è un motivo per aspettare, ma è un motivo per essere selettivi su dove investire gli sforzi.

1. Tieni traccia della soglia RoPA, ma non agire ancora di conseguenza. Se la tua organizzazione si colloca tra i 250 e i 750 dipendenti, l'esenzione estesa potrebbe modificare in modo sostanziale il tuo carico di conformità — ma la soglia, e i tetti finanziari a essa collegati, sono ancora oggetto di negoziazione. Sappi dove ti collocheresti, e mantieni i tuoi registri attuali ex art. 30 in perfetto ordine finché il testo definitivo non sarà stabilito.
2. Non ridisegnare il tuo banner dei cookie intorno a un meccanismo attualmente eliminato dal testo negoziale. Costruire un flusso di rifiuto a un clic attorno a un articolo specifico su cui i membri del Consiglio non sono riusciti ad accordarsi a giugno è prematuro. Ciò che non è prematuro: assicurarsi che la tua opzione di «rifiuto» attuale sia realmente facile da trovare e cliccare quanto quella di «accettazione» — questa è già oggi un'aspettativa di applicazione del GDPR, indipendentemente dall'Omnibus.
3. Continua a documentare i tuoi test di bilanciamento sull'interesse legittimo per il trattamento IA come se il chiarimento non stesse per arrivare a breve — perché al momento non sta arrivando. Le garanzie (necessità, proporzionalità, una vera valutazione di bilanciamento, trasparenza, il diritto di opposizione) sono ciò che rende difendibile l'interesse legittimo oggi, con o senza una disposizione IA esplicita nel testo.
4. Ritorna su questo tema a ottobre 2026, quando è atteso lo studio d'impatto del Parlamento e la sua posizione negoziale dovrebbe iniziare a consolidarsi. Quello sarà il prossimo momento in cui la forma del testo definitivo — anziché la proposta di novembre 2025 — diventerà più chiara.

In sintesi

Il Digital Omnibus resta un tentativo autentico di risolvere tre problemi reali del GDPR così come funziona oggi — ma, ad agosto 2026, procede a tre velocità diverse. La semplificazione della tenuta dei registri ha il sostegno di EDPB ed EDPS ed è la parte più probabile a diventare legge vicino alla sua forma attuale. Il ridisegno del banner dei cookie e il chiarimento sull'interesse legittimo per l'IA sono entrambi bloccati, eliminati dal testo di lavoro del Consiglio dopo che gli Stati membri non sono riusciti a trovare un accordo, con la posizione del Parlamento attesa solo per ottobre. Considera l'esenzione RoPA come qualcosa da monitorare con attenzione, e gli altri due elementi come rumore di fondo finché non ci sarà un testo a cui reagire davvero.

Prenota una consulenza gratuita con GDPRGard →

Fonti

• EDPB — Digital Omnibus: EDPB and EDPS support simplification and competitiveness while raising key concerns (Feb 2026)
• EDPB — Targeted modifications of the GDPR: record-keeping simplification (July 2025)
• Noerr — Proposal for simplification of GDPR record-keeping for organisations under 750 employees
• Secure Privacy — What Article 88a Changes for Cookie Consent (2026)
• Addleshaw Goddard — EU Digital Omnibus on AI: Council and Parliament agreed positions

Leggi anche:

• GDPR nel 2026: sanzioni record, una riforma in corso, e cosa fare ora
• I 5 errori più comuni nei banner dei cookie — e come correggerli
• La scusa «era pubblico» non regge più: il GDPR ora copre formalmente i dati di addestramento dell'IA