|
Il 19 novembre 2025 la Commissione Europea ha presentato il Digital Omnibus, una proposta di modifiche a diversi regolamenti dell’UE, tra cui il GDPR e l'Artificial Intelligence Act.
I sostenitori del Digital Omnibus -- associazioni industriali e imprese oltre ovviamente la Commissione -- ritengono che le modifiche proposte siano necessarie per adeguare il quadro normativo alla realtà tecnologica, ridurre la burocrazia e stimolare la competitività. I contrari -- principalmente la non-profit noyb -- ritengono che le modifiche siano conseguenza delle pressioni delle Big Tech, specialmente riguardo l'accesso a dati per l'addestramento dei sistemi di AI e temono che l'introduzione di criteri soggettivi e la limitazione dei diritti degli interessati indeboliranno l'applicabilità e l'efficacia del GDPR.
Nel febbraio 2026, l'EDPB e l'EDPS hanno pubblicato un parere congiunto sulla proposta, con alcune importanti osservazioni.
Di seguito solo una alcune delle numerose modifiche proposte con le osservazioni dell'EDPB e EDPS e di nyob.
Definizione di dato personale e pseudonimizzazione
Una modifica all'Art. 4.1 relativizza la definizione di dato personale, considerandolo tale per una certa entità solo se questa sia in grado di identificare la persona fisica interessata con i metodi che possa ragionevolmente uutilizzare ("means reasonably likely to be used by that entity"), anche se un possibile successivo destinatario sia invece in grado di farlo.
Con il nuovo articolo 41a la Commissione si riserva il diritto di specificare metodi e criteri per determinare se un dato pseudononimizzato sia un dato personale per certe entità.
La Commissione ritiene che l'approccio sia più aderente alla recente giurisprudenza della Corte di Giustizia e inoltre contribuisca a incoraggiare l'uso della pseudonimizzazione, che riduce i rischi.
Le autorità ritengono invece che non si tratti di un mero "emendamento tecnico" perché la definizione del dato "in negativo" (specificando cosa non è) restringerebbe l'ambito di applicazione del GDPR. Anche il report di noyb sottolinea come questa norma si discosti dalla giurisprudenza consolidata e crei una pericolosa scappatoia legale, permettendo alle aziende (come i data broker) di auto-escludersi dalle tutele dichiarando semplicemente di non avere l'intenzione di identificare gli utenti.
Per quanto rigurda l'Articolo 41a, l'EDPB ritiene che sottrarrebbe competenze essenziali alle autorità indipendenti. noyb osseerva che in questo modo si affiderebbero decisioni sui diritti fondamentali a uno strumento puramente politico.
Trattamento dati per l'AI
I nuovi articoli 9.2.k e 9.5 consentono il trattamento di categorie particolari di dati personali -- p.es. dati biometrici/sensibili -- per lo sviluppo e la gestione di sistemi di AI, a condizione che si adottino misure rigorose per rimuoverli o proteggerli dalla divulgazione.Lo sviluppo e l'uso di sistemi o modelli di AI possono basarsi sul legittimo interesse (nuovo articolo 88c), se appropriato e con adeguate salvaguardie.
La Commissione la ritiene una modifica indispensabile per sostenere l'innovazione europea e la competitività globale in un contesto in cui Stati Uniti e Cina hanno accesso a enormi quantità di dati.
L'EDPB ritiene l'articolo sul legittimo interersse non necessario perché aveva già chiarito che le regole attuali ne permettono l'uso per l'IA. noyb fa notare che la norma legittimerebbe pratiche controverse come il web scraping dei profili social degli utenti, mentre il meccanismo di opposizione previsto lascerebbe l'onere ai cittadini, costringendoli a opporsi a centinaia di aziende, un'operazione inefficace e irrealistica.
Per quanto riguarda i dati sensibili l'EDPB richiede un irrigidimento della norma: l'impossibilità della loro cancellazione deve essere dimostrata oggettivamente e le tutele per impedire che tali dati emergano negli output devono essere garantite lungo l'intero ciclo di vita del sistema IA.
Diritto di accesso ai propri dati
La Commissione propone di limitare il diritto dei cittadini di accedere ai propri dati se la richiesta è fatta per "scopi diversi dalla protezione dei dati" (ad esempio, per raccogliere prove in una controversia di lavoro) e di abbassare l'onere della prova per le aziende per rifiutare le richieste. I motivi suno due: eliminare l'uso delle richieste di accesso per raccogliere prove da utilizzare in contenziosi civili o giuslavoristici e ridurre i costi per le aziende.
L'EDPB ricorda che il GDPR tutela tutti i diritti fondamentali (incluso il diritto alla difesa) e non si può limitare il diritto di accesso alla sola e pura "protezione del dato". Abbassare la soglia probatoria a "ragionevoli motivi per credere" che la richiesta sia eccessiva favorirebbe gli abusi da parte dei titolari del trattamento. noyb fa notare che il diritto di accesso è spesso l'unico strumento per superare l'asimmetria informativa tra datore di lavoro e dipendente (o gigante tecnologico e utente): ostacolarlo paralizzerebbe attività giornalistiche, ricerche legali e di tutela sindacale. |
