Due cose sono vere per il GDPR allo stesso tempo nel 2026. L'applicazione della norma non è mai stata così intensa — le autorità comminano sanzioni più rapidamente, in modo più ampio e su imprese più piccole rispetto a qualsiasi momento dall'entrata in vigore della legge nel 2018. E la norma stessa è, per la prima volta, davvero in fase di revisione, con un pacchetto di riforma di Bruxelles che potrebbe riscrivere consenso ai cookie, notifica delle violazioni e valutazioni d'impatto.
Nessuna delle due cose si è ancora conclusa. Questa combinazione — applicazione record delle regole così come esistono oggi, sovrapposta a una riforma non ancora finalizzata — è esattamente la situazione che coglie impreparate le aziende non pronte. Ecco cosa è davvero cambiato quest'anno, e cosa è ancora solo una proposta.
L'applicazione è diventata una macchina ad alto volume
Le sanzioni GDPR hanno superato 7,1 mld € cumulati dal 2018, con oltre 600 mln € comminati solo nel primo semestre 2026. Non è più una storia fatta di poche sanzioni eclatanti contro i big della tecnologia — è uno schema di applicazione costante e ad alto volume che ormai raggiunge in profondità le piccole e medie imprese.
Quest'ultimo dato merita attenzione. Le notifiche giornaliere di violazione nell'UE sono salite a 443 al giorno — un balzo del 22% su base annua, e la prima volta che questo numero supera 400 dall'entrata in vigore del GDPR. Ognuna di quelle notifiche è un'azienda che ha appena avuto una brutta settimana, e un'autorità di controllo che ora decide se è stata anche negligente.
È cambiata anche la geografia dell'applicazione. La Francia ha superato il Lussemburgo nel 2025, diventando il secondo maggior organo sanzionatore dell'UE per totale di sanzioni comminate, dietro solo all'Irlanda — gli unici due paesi ad aver superato 1 mld € di sanzioni GDPR cumulate. Anche l'AEPD spagnola è passata dal vecchio schema di reclami dei consumatori ad alto volume e basso valore a casi strategici deliberati e ad alto valore.
Un caso recente ricorda utilmente quanto sia diventato ordinario il fattore scatenante di una sanzione: Yoti Ltd è stata multata per 950.000 € nel marzo 2026 per tre violazioni distinte, tra cui il trattamento di dati biometrici senza una base giuridica valida e una trasparenza inadeguata sull'uso di tali dati. Nessuna mega-violazione, nessuno scandalo da dark pattern — solo trattamento biometrico e un'informativa che non diceva abbastanza. Esattamente il tipo di lacuna che un audit di routine intercetta.
La priorità dell'EDPB per il 2026: la tua informativa privacy, non solo la risposta alle violazioni
Ogni anno il Comitato europeo per la protezione dei dati (EDPB) sceglie un tema comune per il proprio quadro di applicazione coordinata — un argomento che ogni autorità nazionale indaga in parallelo. Per il 2026 quel tema è la trasparenza e gli obblighi informativi ai sensi degli articoli 12–14: se le tue informative privacy dicono davvero alle persone, in linguaggio chiaro, cosa fai dei loro dati.
Un obiettivo deliberatamente poco appariscente, ed è proprio questo il punto. Le informative sulla trasparenza sono il documento GDPR che la maggior parte delle aziende ha scritto una volta nel 2018, mai più rivisto, e che ormai non corrisponde più a ciò che il sito, gli strumenti o le funzioni IA fanno realmente. Se la tua informativa privacy è stata aggiornata l'ultima volta per cookie e newsletter e non ha tenuto il passo con il tuo CRM, il tuo stack di analytics o qualunque cosa legata all'IA, questo è l'anno in cui un'autorità ha più probabilità del solito di accorgersene.
Il Digital Omnibus: la prima vera riscrittura del GDPR dal 2018
Nel novembre 2025 la Commissione europea ha proposto il «Digital Omnibus» — un pacchetto che modificherebbe sia il GDPR sia la direttiva ePrivacy. Non è ancora legge. A metà 2026 i negoziati in Consiglio restano irrisolti: la presidenza cipriota ha ritirato il proprio testo di compromesso dall'approvazione formale in COREPER II a fine giugno, dopo che è emerso chiaramente che non godeva del sostegno di una maggioranza qualificata degli Stati membri. È probabile che la questione continui a evolversi per il resto del 2026 invece di chiudersi in un colpo solo.
Sul tavolo ci sono cinque aree di conformità: il registro delle attività di trattamento, le DPIA, la notifica delle violazioni, l'ambito di applicazione dell'obbligo di nominare un DPO, e i diritti degli interessati. Le proposte più avanzate:
| Area | Oggi | Proposta del Digital Omnibus |
|---|---|---|
| Consenso ai cookie | Consenso richiesto per praticamente tutti i cookie non essenziali | Si stima che il 60% dei cookie non richiederebbe più il consenso; sarebbe obbligatorio un pulsante a un clic «accetta/rifiuta tutto» ovunque il consenso sia ancora richiesto |
| Dati personali | In generale, qualsiasi dato che potrebbe identificare una persona, dal punto di vista di chiunque | Limitato ai dati per cui un soggetto specifico dispone di «mezzi ragionevolmente idonei a essere utilizzati» per identificare una persona — un criterio relativo, non assoluto |
| Notifica delle violazioni | Finestra di 72 ore per notificare l'autorità di controllo per praticamente ogni violazione | Possibili modifiche alla finestra di 72 ore più nuove soglie di rilevanza, cosicché le violazioni minori potrebbero non far più scattare la notifica formale |
| Ambito registro / DPIA / DPO | Soglie fissate nel 2018, rimaste in gran parte invariate da allora | Oggetto di rinegoziazione attiva — dovrebbe cambiare chi è tenuto a mantenere registri formali, condurre valutazioni d'impatto o nominare un DPO |
Nulla di tutto ciò è ancora in vigore. Ridisegnare il banner dei cookie o il processo di notifica intorno a una proposta che può ancora cambiare nei negoziati del Consiglio è prematuro — ma non seguirla affatto significa che un cambiamento reale delle regole potrebbe arrivare su un programma di conformità ancora costruito per il 2018.
Modello di DPA editabile, kit per la gestione delle richieste di accesso (SAR) e registro delle attività di trattamento ex art. 30 — i documenti che le autorità chiedono per primi. 39–59 € ciascuno o 99 € per tutti e tre, download immediato.
Cosa fare davvero adesso
I due filoni — un'applicazione più severa delle regole di oggi, e una riforma ancora in movimento per domani — portano alla stessa risposta pratica.
- Verifica la tua informativa privacy rispetto agli articoli 12–14, in modo specifico quest'anno. È la priorità dichiarata dall'EDPB per il 2026, ed è anche la lacuna più facile da avere senza saperlo — l'informativa di solito sembra corretta, finché non la confronti con ciò che il tuo sito fa davvero oggi.
- Non costruire in anticipo sul Digital Omnibus. Se il tuo banner dei cookie, il processo di notifica o le soglie DPIA sono conformi oggi, lasciali così come sono. Reagisci al testo finale una volta che Consiglio e Parlamento avranno trovato un accordo, non a una proposta che ha già attraversato un compromesso fallito.
- Verifica che ogni trattamento biometrico, con IA o basato su decisioni automatizzate abbia una base giuridica documentata e una spiegazione in linguaggio chiaro. Il caso Yoti è lo schema da tenere d'occhio: non una violazione catastrofica, ma trattamento ordinario privo della documentazione che dovrebbe sostenerlo.
- Se non esegui già un autocontrollo GDPR periodico, inizia ora invece di aspettare che arrivi una notifica. Il nostro audit gratuito di 30 secondi verifica i dieci requisiti più comunemente trascurati — le stesse categorie che emergono ripetutamente nelle azioni di applicazione del 2026.
In sintesi
I titoli sulla riforma possono far sembrare il GDPR un bersaglio mobile, ma i dati sull'applicazione dicono il contrario: le autorità stanno diventando più veloci e più coerenti nell'applicare le regole esattamente come sono scritte oggi. La conformità al GDPR attuale — non una scommessa su cosa dirà infine il Digital Omnibus — è ciò che ti protegge nel 2026. Tratta la riforma come qualcosa da monitorare, e i numeri di applicazione di quest'anno come qualcosa su cui agire.
Prenota una consulenza gratuita con GDPRGard →
Fonti
- CMS GDPR Enforcement Tracker
- Comitato europeo per la protezione dei dati (EDPB) — News & Coordinated Enforcement Framework
- Kiteworks — GDPR Fines Hit €7.1 Billion: Enforcement Trends in 2026
- Uniconsent — GDPR Enforcement and Fines 2026
- Privacy Next — Digital Omnibus Negotiations (GDPR), July 2026 Update
Leggi anche:
- Il regolamento IA si applica ai sistemi ad alto rischio: ora hai due autorità
- I 5 errori più comuni nei banner dei cookie — e come correggerli
- Perché ogni azienda SaaS ha bisogno di una DPIA prima delle funzioni IA