Digital Omnibus, in arrivo (forse) semplificazioni per cookie e GDPR

L'Unione Europea ha lanciato una nuova e ambiziosa iniziativa legislativa: il Digital Omnibus. Si tratta di una proposta di Regolamento presentata dalla Commissione Europea che mira a fare ordine nel complesso ecosistema delle norme digitali (GDPR, Data Act, NIS2, ecc.), con l'obiettivo dichiarato di ridurre gli oneri amministrativi per le imprese e migliorare la competitività.

Per le aziende, i DPO e i gestori di siti web, le novità contenute in questa proposta sono sostanziali. Analizziamo i punti salienti che potrebbero presto diventare legge.

Siti Web e Cookie: Stop alla "Banner Fatigue"?

Una delle novità più tangibili per utenti e gestori di siti web riguarda la gestione dei cookie e dei tracciatori. La proposta mira a risolvere il problema della "fatica del consenso" (la continua comparsa di banner fastidiosi) e a fare chiarezza normativa.

• Integrazione nel GDPR: Le regole sull'accesso ai terminali degli utenti (cookie e simili), attualmente nella Direttiva ePrivacy, verrebbero spostate direttamente nel GDPR tramite l'inserimento di un nuovo Articolo 88a. Questo elimina il doppio regime normativo che ha creato confusione negli anni passati.

   

• La regola dei 6 mesi: Se un utente rifiuta il consenso ai cookie tramite il banner, il sito web non potrà richiedere nuovamente il consenso per lo stesso scopo per almeno 6 mesi. Questo impedirà ai siti di riproporre il banner ad ogni visita successiva per "sfiancare" l'utente.

   

• Segnali automatizzati: La proposta apre la strada a standard tecnici che permetteranno agli utenti di esprimere le proprie scelte privacy direttamente tramite le impostazioni del browser o altri software. Se un sito rileva questo segnale automatizzato, dovrà rispettarlo senza mostrare ulteriori richieste.

   

• Nuove esenzioni dal consenso: Non sarà più necessario il consenso per cookie utilizzati per la misurazione dell'audience (analytics) se effettuata dal titolare per proprio uso, per garantire la sicurezza del servizio o per fornire un servizio esplicitamente richiesto dall'utente.

Nuovi standard: il browser parla con il sito

La vera svolta nell'approccio ai cookie non sarà solo la regola dei 6 mesi, ma l'introduzione di standard tecnici vincolanti. La Commissione Europea darà mandato agli organismi di normalizzazione europei per definire parametri precisi che permettano ai siti web di "leggere" in automatico le scelte sulla privacy espresse dall'utente.

Si parla di segnali automatizzati che proverranno direttamente dal browser (come un moderno "Do Not Track" ma con valore legale) o anche da software di gestione personale, come i futuri "personal assistant" o le "agentic AI". Per i gestori di siti, questo implicherà l'adeguamento delle piattaforme di gestione del consenso (CMP) per interpretare questi segnali senza la necessità di mostrare il banner o richiedere ulteriori click.

Questa semplificazione, tuttavia, prevede una specifica e importante eccezione per il settore media. I fornitori di servizi media (come giornali online e testate giornalistiche) non saranno obbligati a rispettare incondizionatamente questi segnali automatizzati. Questa deroga mira a tutelare il loro modello di business, spesso interamente basato sulla pubblicità, garantendo al contempo il diritto fondamentale alla libertà di stampa e la sostenibilità dell'informazione. È un punto di equilibrio che gli operatori dell'editoria digitale dovranno tenere in alta considerazione.

Semplificazione GDPR: Notifiche e Informative

Il Digital Omnibus interviene chirurgicamente sul GDPR per alleggerire alcuni obblighi privacy, specialmente per le PMI e per i trattamenti a basso rischio.

• Data Breach (Violazione dei dati): Viene proposta una modifica significativa all'Art. 33 del GDPR. La notifica all'autorità di controllo (Garante Privacy) sarebbe obbligatoria solo se la violazione comporta un rischio elevato per i diritti delle persone. Inoltre, il termine per la notifica verrebbe esteso da 72 a 96 ore.

   

• Informative privacy più snelle: Per i trattamenti non intensivi e a basso rischio, dove esiste una relazione chiara tra le parti (es. piccoli artigiani, associazioni), l'obbligo di fornire un'informativa privacy dettagliata potrebbe decadere se si presume che l'interessato sia già a conoscenza delle informazioni essenziali.

   

• Sportello Unico per gli incidenti: Per evitare di dover notificare lo stesso incidente di sicurezza a più autorità diverse (es. Garante Privacy e Agenzia per la Cybersicurezza Nazionale), viene istituito un "single-entry point" gestito dall'ENISA. Le aziende potranno fare una sola segnalazione che varrà per diverse normative (NIS2, GDPR, DORA)

Intelligenza Artificiale e Legittimo Interesse

La proposta cerca di favorire lo sviluppo dell'IA in Europa chiarendo le basi giuridiche per il trattamento dei dati.

• Training dell'IA: Viene chiarito che il trattamento di dati personali per lo sviluppo e l'addestramento di sistemi di Intelligenza Artificiale può basarsi sul legittimo interesse del titolare, a patto che vi siano adeguate garanzie.

   

• Ricerca Scientifica: Viene introdotta una definizione chiara di "ricerca scientifica" e si conferma che il trattamento ulteriore dei dati per tali scopi è compatibile con la finalità iniziale, riducendo la necessità di richiedere nuovi consensi.