L’Europa taglia la burocrazia digitale. E mette mano ai diritti

Il Consiglio dell’Unione europea ha approvato il 21 ottobre 2026 la propria posizione sul Digital Omnibus UE, il pacchetto che propone di semplificare le regole su dati personali, cookie e comunicazioni degli incidenti informatici. L’obiettivo dichiarato è alleggerire gli adempimenti per imprese e amministrazioni senza rinunciare alla tutela dei cittadini. Il testo riguarda anche la circolazione dei dati e alcuni obblighi per le piattaforme. Ma c’è un dettaglio meno adatto agli slogan: non è una legge già entrata in vigore.

Nel comunicato ufficiale pubblicato dal Consiglio, aggiornato il giorno successivo con il mandato negoziale, la semplificazione viene presentata come uno strumento di competitività. Le aziende europee sostengono costi per interpretare norme sovrapposte, compilare notifiche diverse e raccogliere consensi che spesso il cittadino concede pur di togliere un ostacolo dallo schermo. Il problema esiste. La questione è capire quali obblighi siano semplice burocrazia e quali rappresentino invece un costo necessario per impedire abusi.

La promessa politica è seducente: meno moduli, meno finestre da chiudere e più innovazione. Sarebbe difficile trovare qualcuno disposto a votare per avere altri banner cookie. Tuttavia una procedura inutile e una garanzia scomoda possono sembrare identiche a chi deve finanziarle. Il testo del Consiglio prova a distinguere le due cose; sarà il confronto con il Parlamento europeo a stabilire quanta tutela resterà dietro l’etichetta «semplificazione».

Digital Omnibus UE: che cosa ha approvato il Consiglio il 21 ottobre

Il Digital Omnibus è parte del settimo pacchetto di semplificazione proposto dalla Commissione europea. La sua origine normativa risale al novembre 2025, ma il passaggio del 21 ottobre 2026 introduce la posizione con cui il Consiglio intende negoziare il testo sul quadro digitale. Non si tratta di una revisione immediatamente applicabile del GDPR, né di un via libera per le aziende a cambiare dall’oggi al domani i propri sistemi di raccolta dati.

Il pacchetto contiene interventi su più fronti: protezione dei dati personali, direttiva e-privacy, riutilizzo delle informazioni, segreti commerciali e segnalazione degli incidenti cyber. Prevede inoltre modifiche alla normativa sulle relazioni tra piattaforme e imprese. La parte del pacchetto dedicata specificamente alla semplificazione delle regole armonizzate sull’intelligenza artificiale ha seguito un percorso separato, concluso con un atto adottato il 29 giugno 2026. Confondere i due procedimenti significa annunciare novità sull’AI Act dove la notizia riguarda invece soprattutto privacy e dati.

Una volta definita la posizione del Parlamento europeo, il Consiglio potrà avviare i negoziati. Fino all’eventuale approvazione definitiva continuano ad applicarsi le norme vigenti. È una distinzione utile anche per chi gestisce un sito o un’azienda: una proposta di semplificazione non autorizza a disinstallare il banner dei cookie.

GDPR: la definizione di dato personale resta, cambiano alcuni obblighi

Un passaggio importante è ciò che il Consiglio non vuole cambiare. Il mandato mantiene l’attuale definizione di dato personale, respingendo l’idea di risolvere i problemi di conformità riducendo per principio ciò che merita protezione. Introduce invece chiarimenti sulla pseudonimizzazione e sulle condizioni in cui una persona può essere identificata a partire dai dati disponibili. La distinzione conta: dati pseudonimizzati non diventano automaticamente anonimi e privi di tutela.

Il testo propone procedure più semplici in alcuni casi di richieste manifestamente infondate o eccessive, obblighi informativi in situazioni a basso rischio e criteri più uniformi per individuare i trattamenti ad alto rischio. Il Consiglio sostiene anche una definizione di ricerca scientifica basata su principi, accompagnata da esenzioni mirate. L’intenzione è ridurre adempimenti ripetuti e interpretazioni divergenti fra Stati membri, non abolire i diritti di accesso e informazione.

La parte più delicata riguarda i dati sensibili impiegati per verifiche biometriche e nello sviluppo o funzionamento dei sistemi di intelligenza artificiale. Il mandato introduce garanzie per le deroghe proposte e chiarimenti sulla base giuridica dei trattamenti. Il senso concreto di queste modifiche dipenderà dal testo finale: in questo settore la parola «innovazione» può significare ricerca legittima, ma anche maggiori possibilità di elaborare informazioni che identificano o descrivono intimamente le persone. Per questo le condizioni, i limiti e le misure di protezione sono più importanti del titolo politico dell’intervento.

Cookie e banner: meno finestre non vuol dire consenso libero a tutto

La modifica probabilmente più visibile agli utenti riguarda i cookie. Il Consiglio propone di chiarire e ampliare alcune finalità per le quali non sarebbe necessario chiedere il consenso preventivo: ad esempio operazioni necessarie a fornire un servizio, misure di sicurezza del dispositivo o determinate attività di misurazione dell’audience. Lo scopo è ridurre il numero dei banner che interrompono la navigazione e rendere la scelta dell’utente più significativa dove effettivamente è richiesta.

Non equivale a una liberalizzazione generale della profilazione pubblicitaria. La direttiva e-privacy e le regole sui tracciamenti restano il quadro di riferimento, mentre le nuove eccezioni devono ancora essere negoziate e definite. Non basta chiamare una tecnologia «analytics» per concludere che ogni raccolta di dati, qualunque sia la sua finalità, potrà avvenire senza consenso.

C’è anche un paradosso da riconoscere. I cookie banner sono nati per rendere visibili le scelte sulla privacy, ma anni di pulsanti, preferenze stratificate e interfacce studiate per ottenere il clic più comodo li hanno spesso trasformati in un ostacolo rituale. Una richiesta di consenso meno frequente può rafforzare il diritto a decidere; una richiesta eliminata nel contesto sbagliato può ridurlo. Il parametro utile non è il numero di finestre scomparse, ma quanto controllo rimane realmente all’utente sul tracciamento.

Cybersecurity: uno sportello nazionale per gli incidenti, non uno solo europeo

Le aziende sono soggette a obblighi di notifica previsti da regole diverse. Lo stesso evento può richiedere comunicazioni a più autorità, con tempi e moduli non sempre coincidenti. Il Digital Omnibus vuole semplificare questi percorsi, e il Consiglio propone di estendere anche il termine previsto per la notifica delle violazioni dei dati personali. Questo allungamento è ancora una proposta, non un nuovo termine già applicabile.

Sul coordinamento degli incidenti cyber emerge però una scelta significativa. La proposta iniziale prevedeva un punto di ingresso unico a livello UE. Il mandato del Consiglio preferisce invece un punto di accesso nazionale in ogni Stato membro, affiancato da un punto informativo europeo e da norme più armonizzate per i casi transfrontalieri. L’obiettivo dichiarato è rendere più facile comunicare senza sovrapporre canali e obblighi.

La differenza non è un dettaglio tecnico. Un ingresso europeo unico centralizzerebbe maggiormente il processo; una rete di punti nazionali conserva un ruolo operativo agli Stati e richiede coordinamento fra amministrazioni. Quale assetto ridurrà davvero le duplicazioni dipenderà dall’attuazione e dall’interoperabilità dei sistemi. Terza Pillola ha già raccontato la logica degli obblighi tempestivi nel Cyber Resilience Act: qui la questione non è eliminare le segnalazioni, ma evitare che la stessa emergenza diventi un percorso a ostacoli burocratico.

Dati pubblici e Big Tech: l’Europa vuole tariffe diverse per i gatekeeper

Il Consiglio interviene inoltre sull’insieme delle norme europee che disciplinano intermediazione, altruismo e riutilizzo dei dati. La proposta punta a rendere più coerenti gli obblighi e a semplificare l’accesso alle informazioni del settore pubblico. Contemporaneamente introduce la possibilità per gli enti pubblici di fissare condizioni differenti e tariffe più elevate quando i dati sono riutilizzati da imprese molto grandi, in particolare dai soggetti designati come gatekeeper.

È un elemento economicamente meno appariscente dei cookie, ma racconta bene il conflitto. Rendere i dati disponibili può aiutare ricerca, servizi e concorrenza. Significa anche permettere a chi possiede infrastrutture, capitale e capacità di calcolo di trasformare risorse prodotte dalla collettività in nuovi vantaggi commerciali. Applicare le stesse condizioni a un piccolo soggetto e a un intermediario dominante non produce sempre la stessa libertà di mercato.

Il mandato rafforza anche le cautele sui segreti commerciali, prevedendo misure di protezione prima che certe informazioni siano divulgate. Su questo terreno si intrecciano apertura e tutela dell’innovazione. È un equilibrio già riconoscibile nel Data Act e nel diritto di accedere ai dati prodotti dai dispositivi: la difficoltà non consiste soltanto nel dire a chi appartiene un file, ma nello stabilire chi può usarlo, a quali condizioni e con quali poteri di mercato.

La semplificazione europea deve ancora passare dal Parlamento

Il Consiglio presenta il proprio mandato come un compromesso fra competitività e diritti. Le imprese potrebbero ottenere regole più comprensibili e costi di conformità inferiori; cittadini e organizzazioni della società civile dovranno valutare se le nuove eccezioni preservino un controllo effettivo sui dati. Non esiste una risposta seria senza distinguere norma per norma. Un modello unico per le notifiche può essere un miglioramento amministrativo; una deroga ai trattamenti sensibili richiede invece una valutazione molto più rigorosa.

Nel quadro già affrontato da Terza Pillola sulla sovranità digitale europea, il problema non è semplicemente avere più o meno regolamenti. È capire se il mercato europeo riesca a stabilire regole applicabili anche a chi controlla infrastrutture, piattaforme e grandi quantità di dati. E se queste regole siano comprensibili e realmente esigibili anche da chi non possiede un ufficio legale.

Il prossimo passaggio spetta al Parlamento europeo e ai negoziati fra istituzioni. Per il momento il Digital Omnibus è un mandato, non una nuova disciplina in vigore. L’Europa prova a togliere qualche modulo dal tavolo delle imprese. Sarà utile verificare che, nel riordinare la scrivania, non finisca nel cestino anche qualche diritto del cittadino.