Digital Omnibus: la grande riforma europea tra semplificazione, innovazione e nuove sfide per la privacy

Di seguito una panoramica delle principali novità trasversali proposte dal Digital Omnibus, con impatti sull’intero ecosistema normativo digitale europeo.

Ridefinizione del concetto di “Dato personale”

Una delle novità più rilevanti riguarda la proposta di revisione dell’art. 4, par. 1 del GDPR, con una ridefinizione del concetto di “dato personale”. In base alla nuova formulazione, un’informazione verrebbe considerata “dato personale” solo quando il titolare del trattamento è effettivamente in grado di identificare l’interessato, tenendo conto dei mezzi ragionevolmente disponibili. 

Questo criterio, in linea con la giurisprudenza della Corte di Giustizia UE, mira a rendere più proporzionato l’ambito di applicazione del GDPR, ma solleva interrogativi sul possibile restringimento delle tutele per gli interessati.

Nuove eccezioni al divieto di trattamento di dati particolari

In base alla proposta di regolamento, il Digital Omnibus introduce due eccezioni aggiuntive al divieto generale di trattare dati particolari:

• per finalità di sviluppo e addestramento di sistemi di intelligenza artificiale,a condizione che vengano adottate misure rigorose di minimizzazione, pseudonimizzazione e rimozione dei dati non necessari.
• il trattamento di dati biometrici ai fini di autenticazione, ammesso in circostanze limitate e sicure, purché siano garantite misure tecniche e organizzative che ne impediscano l’uso per finalità diverse e proteggano i dati da accessi non autorizzati.

Tracciamento online: verso un regime più lineare

Per quanto riguarda le tecnologie di tracciamento, la riforma propone una distinzione più netta tra:

• il trattamento dei dati raccolti tramite tecnologie di tracciamento (ad esempio cookie) sarebbe consentito senza consenso esplicito solo per finalità tecniche, di sicurezza, di erogazione dei servizi richiesti dall’utente o per statistiche interne. 
• Il consenso resterebbe necessario per attività di profilazione e marketing, con l’obbligo per i titolari di rispettare la scelta dell’utente per almeno sei mesi, evitando richieste ripetitive.

Rafforzamento del "legittimo interesse"

Il Digital Omnibus propone di rafforzare il “legittimo interesse” come base giuridica per il trattamento dei dati, in particolare per lo sviluppo e l’addestramento di sistemi di intelligenza artificiale, a condizione che siano adottate misure tecniche e organizzative adeguate, come pseudonimizzazione e minimizzazione, e che sia garantita la trasparenza verso gli interessati.

Semplificazioni su Data Breach e Sportello Unico Europeo

Un ulteriore pilastro del Digital Omnibus è la razionalizzazione degli obblighi di notifica previsti dalle normative europee: 

• previsto un punto di accesso unico per segnalare incidenti e violazioni, gestito dall’European Union Agency for Cybersecurity (ENISA), con l’obiettivo di evitare notifiche multiple alle diverse autorità nazionali. 
• le notifiche di Data Breach potrebbero essere effettuate in un termine più esteso di 96 ore (attualmente pari a 72 ore). 
• l’EDPB (European Data Protection Board) predisporrebbe modelli e liste comuni per notifiche e valutazioni d’impatto, che la Commissione Europea adotterebbe per garantire armonizzazione e semplificazione.

Data Act come “spina dorsale” del nuovo quadro normativo

Il Digital Omnibus rafforza il ruolo del Data Act, che viene ampliato e coordinato con altre normative europee sui dati. In particolare, la proposta prevede l’integrazione nel Data Act di disposizioni attualmente contenute in:

• Data Governance Act, 
• Free Flow of Non-Personal Data Regulation,
• Open Data Directive

L’obiettivo è realizzare un quadro unico e più coerente per l’accesso, la condivisione e il riutilizzo dei dati.