Il Digital Omnibus nasce con un obiettivo semplice: far funzionare meglio le regole europee sul digitale. La Commissione parla di un intervento “mirato e tecnico” che punta a ridurre complessità e sovrapposizioni, mettendo in ordine basi giuridiche, collegando discipline diverse e creando strumenti procedurali condivisi.
La novità più significativa, però, riguarda le autorità di controllo: diventano il perno di un sistema costruito su standard e modelli uniformi, con canali di interlocuzione più centralizzati.
Indice degli argomenti
Sandbox regolamentari GDPR, nuova grammatica della compliance
Il Digital Omnibus 2025, nella sua ambizione di razionalizzazione del diritto digitale europeo, costruisce una grammatica della protezione dei dati più incline alla gestione istituzionale del rischio, meno legata alla micro-tutela individuale tipica del GDPR del 2016.
Tale traslazione, percepibile lungo l’intero pacchetto, assume una particolare densità nel passaggio che attribuisce alle autorità di controllo un compito ulteriore: l’istituzione di sandbox regolamentari, intese come quadro controllato predisposto dall’autorità per consentire a titolari e responsabili, attuali o potenziali, la verifica di conformità di tecniche e soluzioni tecnologiche connesse al trattamento, incluse tecniche di anonimizzazione e ipotesi di esenzione dal regolamento.
Sandbox regolamentari come compliance anticipata e selettiva
La sandbox, in questa architettura, diventa una figura giuridica bifronte. Da un lato, funge da dispositivo di amministrazione anticipata della compliance: invece della sequenza classica, fondata su progettazione autonoma del titolare, valutazione d’impatto, controllo successivo e sanzione, prende forma un circuito a guida pubblica, nel quale l’autorità offre uno spazio di prova e di verifica, con l’aspirazione a una conformità “dimostrata” prima della diffusione su larga scala.
Dall’altro lato, la sandbox introduce un terreno di selezione e differenziazione, perché attribuisce valore giuridico al perimetro sperimentale in quanto tale, con ricadute sul modo in cui la tutela dei diritti si distribuisce tra persone, settori, territori, capacità organizzative.
Dato personale “relativo”: l’identificabilità ragionevole come criterio ordinatore
Il pacchetto, letto come insieme, prepara il terreno a tale mutamento. La linea che attribuisce rilevanza alla “identificabilità ragionevole” per un determinato soggetto, con conseguenze sull’ambito di applicazione del regolamento, produce un diritto dei dati più relazionale e meno oggettivo, nel quale la qualificazione di “dato personale” dipende dalla disponibilità di mezzi identificativi presso chi tratta.
In parallelo, la riscrittura della disciplina delle categorie particolari, con l’attenzione ai soli dati che rivelano direttamente l’informazione sensibile e con una deroga dedicata allo sviluppo e funzionamento di sistemi di IA in presenza di sproporzione nella rimozione, spinge verso una protezione selettiva, maggiormente agganciata alla visibilità immediata del tratto sensibile. Allo stesso modo, l’evoluzione delle regole sull’informativa e sull’esercizio dei diritti, con la categoria dell’uso “abusivo” del diritto di accesso e con spazi di esenzione fondati su rapporti “chiari e circoscritti”, delinea un equilibrio nel quale trasparenza e accesso cessano di presentarsi come presupposti invariabili del trattamento e assumono, sempre più, la fisionomia di strumenti calibrati sul contesto.
La formula appare prudente, quasi un omaggio alla giurisprudenza della Corte di giustizia; in realtà opera come criterio selettivo di accesso al regime di tutela, poiché collega la qualità di dato personale alla capacità concreta di identificare, e quindi alla posizione tecnica ed economica del titolare o del destinatario del flusso informativo. L’effetto sistemico consiste nel trasformare il GDPR in una disciplina a geometria istituzionale: medesima informazione, statuto diverso, a seconda del soggetto che la detiene e dei mezzi di cui dispone.
Nel testo, la conseguenza viene formulata con nettezza: un soggetto per cui l’informazione non assume natura di dato personale resta fuori dall’ambito applicativo. Questo punto, letto in chiave costituzionale europea, produce un dato politico-giuridico: la tutela dei diritti ex art. 8 della Carta tende a dipendere dalla forza epistemica dell’operatore, cioè dal suo potere di ricomposizione identitaria.
Categorie particolari: dal dato “sensibile” al rischio “significativo”
Questa torsione verso la “relatività dell’oggetto” prepara il terreno a una seconda scelta, ancora più densa: la ricalibratura delle categorie particolari di dati. Il testo circoscrive la protezione rafforzata ai casi di rivelazione diretta dell’informazione sensibile e associa la protezione piena a un’idea di rischio “significativo” per diritti e libertà, quasi che la sensibilità del dato possieda un valore puramente funzionale rispetto a un calcolo di impatto.
In questo snodo, il pacchetto sembra voler imporre un’etica del “minimo indispensabile”, ma la costruzione tecnica contiene un messaggio più profondo: l’inferenza, la correlazione, la deduzione, cioè la forma contemporanea della conoscenza digitale, ottiene un varco verso la normalizzazione. Se la protezione rafforzata resta agganciata alla rivelazione diretta, la realtà del potere informativo, ormai centrata su profilazioni e composizioni probabilistiche, trova un orizzonte di minor densità protettiva.
IA e “sforzo sproporzionato”: dalla proibizione alla gestione provata
Su questa trama interviene la deroga relativa allo sviluppo e al funzionamento dei sistemi di intelligenza artificiale, costruita attorno al criterio dello “sforzo sproporzionato” necessario per rimuovere le categorie particolari presenti nei dataset o incorporate nei modelli. Il pacchetto descrive una serie di misure tecniche e organizzative, prescrive cautele lungo l’intero ciclo di vita, attribuisce rilievo alla capacità del responsabile di identificare e rimuovere tali dati, e apre alla possibilità di protezione rafforzata tramite misure di salvaguardia quando la rimozione richieda reingegnerizzazione.
La logica appare bilanciata; il suo contenuto, tuttavia, sposta l’asse dalla proibizione alla gestione. Il diritto, qui, abbandona l’idea della soglia invalicabile e assume la forma del vincolo condizionato, con un esito tipico: la tutela dipende dalla qualità delle misure e dalla capacità di provarle. La sostanza costituzionale di questa tecnica consiste nella trasformazione della garanzia in performance: chi dispone di architetture di audit e di documentazione ottiene uno spazio più ampio; chi opera in forme più povere resta esposto a contestazioni e, al contempo, finisce per ricevere incentivi a trattare in forme opache pur di restare nella soglia del “ragionevole”.
Sandbox regolamentari GDPR e sperimentazione: persone reali, diritti effettivi
A questo punto, il tema delle sandbox regolatorie acquista un significato che supera la pur importante dimensione organizzativa. L’articolo 57, nella lettura del pacchetto, attribuisce alle autorità di controllo un compito di creazione di ambienti sperimentali per testare tecniche e soluzioni. La sandbox, nel lessico contemporaneo, promette apprendimento istituzionale: un diritto capace di osservare, misurare, adattare.
Eppure, nel diritto della protezione dei dati, la sperimentazione tocca sempre persone reali, interessi concreti, libertà effettive. Il nodo cruciale risiede nel potere di produzione di asimmetrie: chi entra nella sandbox opera in un regime con regole di relazione, tempi e interlocuzioni diverse rispetto al circuito ordinario; chi resta fuori subisce un diritto più rigido, spesso più lento, talora più punitivo. La differenza, in materia di diritti fondamentali, assume una qualità peculiare, perché trasforma la posizione dell’interessato in una variabile del progetto.
Da qui nasce l’esigenza, strettamente interna al disegno del pacchetto, di clausole di accountability e di rientro: il laboratorio, privo di una disciplina di uscita, tende a divenire un’eccezione amministrata, una zona a statuto speciale, con inevitabile frammentazione della tutela.
Standardizzazione e punto unico: la governance del rischio come linguaggio comune
Il rischio di asimmetria cresce perché il Digital Omnibus realizza una più ampia riconfigurazione istituzionale della governance del rischio digitale. Il punto di accesso unico per le notifiche, con ENISA in ruolo abilitante e con un modello tecnico comune per vari atti dell’Unione, appartiene a questa traiettoria: l’idea consiste nel convertire obblighi settoriali in un sistema interoperabile di reporting, con possibilità di riuso della medesima notifica ai fini di più discipline.
Tale architettura, in chiave costituzionale, descrive una “amministrazione del rischio” come linguaggio comune dell’Unione. Nel campo GDPR, ciò assume forma concreta mediante la soglia di notifica ancorata al rischio elevato, l’estensione del termine a 96 ore e il ricorso al punto unico, con previsione di un template comune preparato dal Comitato europeo e adottabile dalla Commissione tramite atto di esecuzione.
Il risultato consiste nella centralità della metodologia: la tutela prende la via della standardizzazione, con una promessa di coerenza, e con un contrappeso implicito, perché la protezione tende a dipendere dal disegno del modello e dal modo in cui esso classifica il rischio.
DPIA e modelli comuni UE: pluralismo amministrativo rimodulato
La stessa logica si manifesta nella disciplina delle valutazioni di impatto: l’unificazione delle liste e la predisposizione di modelli comuni a livello UE rafforzano l’armonizzazione della nozione di rischio elevato e concentrano potere normativo tecnico presso organi sovranazionali.
Nel linguaggio costituzionale, questo spostamento equivale a una rimodulazione del pluralismo amministrativo europeo: le autorità nazionali, tradizionalmente vicine ai contesti sociali e ai loro attriti, vedono ridursi la capacità di produrre criteri aderenti alle specificità locali; al contrario, la Commissione acquisisce una leva ulteriore tramite strumenti esecutivi e delegati, con impatto sulla sostanza dei diritti per via tecnica.
ePrivacy nel GDPR: dal presidio dell’accesso alla gestione dell’uso
In questo quadro, la riforma della disciplina ePrivacy tramite trasposizione nel GDPR appare un laboratorio già incorporato nella norma. Il nuovo articolo 88 bis assoggetta il trattamento di dati su e da apparecchiature terminali alle regole del GDPR e introduce, accanto, un articolo 88 ter per indicazioni automatizzate e leggibili a macchina delle scelte individuali, con obbligo di rispetto da parte dei fornitori una volta disponibili standard.
La scelta trasforma il terminale in un luogo giuridico governato da basi di liceità, modelli di consenso e logiche di opposizione, con conseguenze profonde: la protezione del dispositivo, concepita storicamente come tutela dell’integrità della sfera privata, si riassorbe nel linguaggio del trattamento, cioè nel lessico del dato. La tecnica di tutela cambia sostanza: dal presidio dell’accesso alla gestione dell’uso.
Consenso single-click e opt-out: diritti più reattivi, mercati più fluidi
Questa trasformazione dialoga con l’idea di semplificazione del consenso tramite interfacce “single-click” e con l’estensione della liceità fondata su legittimo interesse per finalità di marketing diretto, con meccanismo di opt-out semplificato. La promessa pratica consiste nella riduzione dell’attrito tra utenti e servizi; la conseguenza giuridica consiste nel trasferimento del peso dal momento costitutivo del consenso alla capacità dell’interessato di esercitare opposizione.
In termini costituzionali, la libertà informativa cambia postura: dal potere di autorizzare al potere di reagire. Il diritto, qui, assume una fisionomia reattiva, più compatibile con mercati ad alta intensità di dati, più gravosa per soggetti meno alfabetizzati, meno attrezzati, meno presenti.
Sandbox regolamentari GDPR tra device data e IA: il punto più spinoso
Qui si apre il punto più spinoso: la sandbox viene pensata come laboratorio di conformità, però produce effetti su persone reali, mediante trattamenti reali, spesso integrati in catene tecnologiche che comprendono profilazione, inferenze, automatismi decisionali, riuso di dati derivati da terminali.
Chi partecipa ottiene interlocuzione privilegiata, apprendimento guidato, possibilmente anche un effetto reputazionale per via della vicinanza con l’autorità. Chi subisce il trattamento sperimentale, invece, entra in un circuito dove la tutela tende a dipendere dalla qualità dell’accountability predisposta dal progetto: documentazione, audit, controlli, metriche.
Il Digital Omnibus, con il trasferimento di segmenti della disciplina ePrivacy nel GDPR attraverso un nuovo articolo dedicato al trattamento su o da apparecchiature terminali, amplia il perimetro dei trattamenti che orbitano attorno al dispositivo e alla sua integrità, con basi giuridiche molteplici e margini interpretativi ampi, specie in tema di marketing e legittimo interesse.
In tale paesaggio, la sandbox può divenire il luogo elettivo per validare pratiche di raccolta e uso di “device data” in vista di sistemi di IA, soprattutto se la deroga sui dati sensibili per finalità di sviluppo o funzionamento algoritmico riceve interpretazioni estensive. Il laboratorio, insomma, tende a coincidere con il cuore operativo della nuova economia dei dati, e proprio per tale ragione richiede un linguaggio di garanzie pari alla sua potenza.
La sandbox produce una segmentazione procedurale per cui alcuni trattamenti passano attraverso un controllo ravvicinato, altri restano affidati al circuito ordinario della responsabilizzazione e del controllo ex post; alcuni interessati godono di canali di interlocuzione dedicati, altri esercitano diritti entro tempi e forme generali; alcune imprese costruiscono la propria legittimazione attraverso l’accesso al quadro controllato, altre restano escluse per ragioni di dimensione, capacità organizzativa, prossimità istituzionale.
Da qui sorge la necessità di clausole di accountability costruite come architettura normativa, non come buona pratica. Il quadro controllato, per restare coerente con la logica del GDPR, deve produrre una tracciabilità piena delle scelte: finalità determinate, perimetro dei dati, ragioni della scelta della base giuridica, misure di mitigazione, criteri di accesso al dataset, procedure di audit, qualità del controllo umano nei processi automatizzati.
L’Omnibus, con il suo ricorso a modelli comuni e metodologie uniformi, suggerisce che la sandbox possa operare come sede di standardizzazione avanzata, purché tale standardizzazione assuma la tutela come parametro primario e non come costo amministrativo.
Vista così, l’accountability coincide con la capacità di esibire prove e di consentire verifiche: log dei processi, versionamento dei modelli, catena decisionale interna, criteri di correzione e di rimedio, soprattutto quando il trattamento sfocia in effetti giuridici significativi attraverso decisioni automatizzate.
