Nel luglio 2026 il pacchetto di semplificazione del diritto digitale europeo noto come Digital Omnibus si presenta come una vicenda a due velocità. Il primo braccio — la proposta di regolamento di modifica dell’AI Act (COM(2025) 836) — ha completato l’iter legislativo: il Consiglio ha adottato il testo consolidato (PE-CONS 30/26), la cui pubblicazione in Gazzetta ufficiale è attesa a giorni, in una corsa contro il tempo dettata dalla scadenza del 2 agosto 2026, data in cui sarebbero altrimenti scattati gli obblighi per i sistemi di IA ad alto rischio, ora differiti al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati nei prodotti [1].
Il secondo braccio — la proposta di regolamento su dati, privacy e cybersicurezza (COM(2025) 837), che interviene su GDPR, direttiva ePrivacy, NIS2 e Data Act — è invece ancora nel vivo del negoziato interistituzionale, e contiene la questione giuridicamente più profonda dell’intera operazione: la proposta di riscrivere la definizione di dato personale di cui all’art. 4, n. 1, del regolamento (UE) 2016/679 [2].
È su questo secondo fronte che si concentra il presente contributo. La tesi che si intende argomentare è che la modifica proposta non costituisce un intervento di semplificazione amministrativa, categoria entro cui il pacchetto è stato politicamente presentato, bensì un’operazione di ridefinizione del perimetro applicativo di un diritto fondamentale — quello sancito dall’art. 8 della Carta dei diritti fondamentali dell’Unione europea — e che, come tale, essa vada valutata secondo i parametri propri delle limitazioni dei diritti della Carta, non secondo quelli della riduzione degli oneri regolatori. La vicenda offre peraltro un caso di studio di prim’ordine sul funzionamento dei contro-poteri istituzionali nell’ordinamento dell’Unione: come si vedrà, l’opposizione formale delle autorità indipendenti di protezione dei dati ha già prodotto, nel general approach del Consiglio, lo stralcio della disposizione più controversa.
Indice degli argomenti
Il contesto: la semplificazione come imperativo di competitività
Il Digital Omnibus, presentato dalla Commissione il 19 novembre 2025, si colloca nel solco della Implementation and Simplification Agenda 2025 e trae dichiaratamente ispirazione dalle diagnosi dei rapporti Draghi e Letta sulla competitività europea: dal 2016 a oggi l’Unione ha stratificato, accanto al GDPR, l’AI Act, la NIS2, il Data Act, il Data Governance Act, il DSA e il DMA, generando — per ammissione della stessa Commissione — disallineamenti terminologici, duplicazioni procedurali e regole temporalmente stratificate [2] [3]. Molte delle misure proposte rispondono effettivamente a questa logica manutentiva e appaiono difficilmente contestabili: l’innalzamento della soglia di notifica dei data breach alle autorità ai soli casi di alto rischio, con estensione del termine da 72 a 96 ore e istituzione di un punto unico europeo di segnalazione gestito da ENISA secondo il principio “report once, share many”, valido ai fini di GDPR, NIS2, DORA ed eIDAS; la razionalizzazione del consenso per i cookie, con esenzioni per le statistiche aggregate di traffico e le verifiche tecniche di sicurezza e l’introduzione — mediante il proposto art. 88a GDPR — di segnali automatizzati e leggibili dalle macchine per l’espressione delle preferenze dell’utente; l’assorbimento della valutazione d’impatto sui diritti fondamentali prevista dall’AI Act nella DPIA ex art. 35 GDPR [2] [4].
Accanto a queste misure, tuttavia, la proposta COM(2025) 837 colloca due interventi di tutt’altra natura: il riconoscimento espresso del legittimo interesse quale base giuridica per lo sviluppo e l’operatività dei sistemi di intelligenza artificiale, inclusa la fase di addestramento dei modelli; e, soprattutto, la modifica della definizione di dato personale. È qui che la semplificazione cessa di essere manutenzione e diventa politica del diritto.
Il nodo: dal criterio oggettivo al criterio soggettivo di identificabilità
Nell’assetto vigente, l’art. 4, n. 1, GDPR — letto alla luce del considerando 26 — qualifica come personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, dovendosi considerare, ai fini dell’identificabilità, «tutti i mezzi… di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi». Ne è derivata, nella prassi applicativa e nella lettura delle autorità di controllo, una concezione tendenzialmente oggettiva e assoluta: il dato è personale in ragione della sua natura, per chiunque lo tratti, se esiste un soggetto che disponga di mezzi ragionevoli di identificazione [5].
La proposta della Commissione introduce invece un criterio soggettivo e relativo: un’informazione non costituisce dato personale per il soggetto che non disponga di mezzi ragionevolmente utilizzabili per identificare la persona fisica, quand’anche l’identificazione resti possibile per altri soggetti della medesima filiera informativa [2] [5]. La conseguenza pratica è che lo stesso dataset potrebbe essere personale per il titolare che detiene la chiave di re-identificazione e non personale — dunque estraneo all’intero impianto del GDPR — per il destinatario che ne sia privo, con particolare riguardo ai dati pseudonimizzati, che potrebbero circolare, a determinate condizioni, al di fuori delle garanzie del regolamento [5].
A sostegno della codificazione, la Commissione invoca la giurisprudenza della Corte di giustizia, e in particolare la sentenza del 4 settembre 2025 nella causa C-413/23 P, EDPS c. SRB (c.d. sentenza Deloitte) [6]. L’argomento merita di essere preso sul serio, ma anche scomposto con precisione, perché la lettura che ne offre la proposta è selettiva.
La giurisprudenza della Corte di giustizia: relatività sì, ma condizionata
Il punto di partenza resta la sentenza Breyer (C-582/14) del 2016, relativa agli indirizzi IP dinamici: la Corte adottò il criterio dei mezzi ragionevolmente utilizzabili, ma lo intese in senso ampio, ritenendo identificabile l’interessato anche quando le informazioni aggiuntive necessarie fossero detenute da un terzo, purché il titolare disponesse di strumenti giuridici per ottenerle [7]. Non un approccio assoluto in senso stretto, dunque, ma nemmeno un approccio soggettivo puro: la prospettiva rilevante includeva le possibilità di accesso mediato all’informazione identificante.
Nel ventennio successivo la Corte ha costantemente privilegiato letture espansive della nozione: ha ricondotto al dato personale le risposte e le annotazioni d’esame (sentenza Nowak, C-434/16), valorizzando il legame tra informazione e persona in termini di contenuto, finalità o effetti; e ha qualificato come dato personale la stringa TC String utilizzata nel framework di gestione del consenso pubblicitario (sentenza IAB Europe, C-604/22), in quanto associabile a un identificativo e dunque idonea a consentire la profilazione dell’utente [7]. Il filo conduttore di questa giurisprudenza è funzionale: la nozione è ampia perché ampia deve essere la protezione, e il rischio rilevante non è soltanto l’identificazione nominativa, ma anche il singling out, la possibilità di isolare e trattare in modo individualizzato una persona pur senza conoscerne l’identità anagrafica.
La sentenza EDPS c. SRB ha effettivamente introdotto un elemento di relatività più marcato. La vicenda è nota: il Comitato di risoluzione unico aveva trasmesso a Deloitte, per la valutazione degli effetti della risoluzione del Banco Popular Español, commenti di azionisti e creditori pseudonimizzati mediante codice alfanumerico, senza menzionare tale trasmissione nell’informativa. La Corte ha affermato che i dati pseudonimizzati non devono essere considerati, in tutti i casi e per ogni soggetto, dati personali: la pseudonimizzazione può, a seconda delle circostanze, impedire effettivamente a soggetti diversi dal titolare di identificare l’interessato, che per essi non è o non è più identificabile [6]. Ma la stessa pronuncia ha fissato tre contrappesi che la proposta di codificazione tende a oscurare. Primo: le opinioni e i punti di vista personali, in quanto espressione del pensiero di una persona, sono per ciò stesso informazioni che la riguardano, senza necessità di indagarne contenuto, finalità o effetti. Secondo: l’identificabilità va valutata al momento della raccolta e dal punto di vista del titolare, sicché gli obblighi di trasparenza di quest’ultimo — nella specie, l’indicazione di Deloitte tra i destinatari — sussistono a prescindere dalla qualificazione che i dati assumeranno nella sfera del ricevente [6] [8]. Terzo: la relatività opera solo a condizione che le informazioni aggiuntive siano conservate separatamente e che misure tecniche e organizzative garantiscano in modo effettivo la non attribuibilità.
La distanza tra questa giurisprudenza e la disposizione proposta è dunque sensibile: la Corte ha riconosciuto una relatività a valle, circoscritta e condizionata, che non tocca gli obblighi del titolare; la proposta generalizza un criterio soggettivo come regola definitoria a monte, valevole per qualsiasi soggetto della filiera. È precisamente questa la censura mossa dalle autorità di controllo, secondo cui il percorso giurisprudenziale che va da Breyer alle pronunce più recenti non supporta l’interpretazione soggettiva e contestuale che la Commissione gli attribuisce [5] [9].
Il profilo costituzionale: la definizione come perimetro di un diritto fondamentale
Il cuore della questione è però costituzionale, e attiene al rapporto tra legislazione ordinaria dell’Unione e diritti della Carta. La protezione dei dati personali non è, nell’ordinamento dell’Unione, una creazione del GDPR: è un diritto fondamentale autonomo, sancito dall’art. 8 della Carta — distinto e complementare rispetto al diritto alla vita privata di cui all’art. 7 — e dotato di una base competenziale specifica nell’art. 16 TFUE, che impone al legislatore di stabilire «le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale» e affida il controllo del rispetto di tali norme ad autorità indipendenti (art. 8, par. 3, della Carta) [10].
In questa architettura, la nozione di dato personale non è una definizione tecnica tra le altre: è la clausola che delimita l’ambito applicativo del diritto fondamentale. Ogni informazione che fuoriesce dalla definizione fuoriesce, simultaneamente, da tutte le garanzie che la Carta vi ricollega: il principio di lealtà e finalità, il fondamento di liceità, i diritti di accesso e rettifica, la vigilanza dell’autorità indipendente. Ne discende una conseguenza metodologica precisa: una modifica restrittiva della definizione non è una modulazione dell’esercizio del diritto, valutabile secondo l’ordinaria discrezionalità del legislatore, ma incide sul presupposto stesso della tutela, e va pertanto misurata sui parametri dell’art. 52, par. 1, della Carta: previsione per legge, rispetto del contenuto essenziale, proporzionalità rispetto a finalità di interesse generale riconosciute dall’Unione [10].
Non si intende sostenere che ogni riduzione dell’ambito applicativo del GDPR sia per ciò solo illegittima. Il legislatore dell’Unione dispone di un margine di conformazione, e la stessa giurisprudenza della Corte — da Digital Rights Ireland a Schrems — ammette limitazioni dei diritti degli artt. 7 e 8, purché proporzionate e rispettose del nucleo essenziale [11]. Il punto è un altro: la tecnica prescelta. Comprimere la tutela agendo sulla definizione, anziché sulle condizioni di liceità o sulle garanzie applicabili ai dati pseudonimizzati, produce un effetto che la dogmatica dei diritti fondamentali conosce bene: sottrae intere classi di trattamenti a qualunque bilanciamento, perché dove non c’è dato personale non c’è neppure il giudizio di proporzionalità. Le autorità di controllo hanno colto esattamente questo profilo quando hanno osservato che la ridefinizione soggettiva priverebbe le autorità nazionali del fondamento per esercitare la propria competenza su trattamenti condotti da soggetti che, in ragione di scelte tecniche o organizzative, si dichiarino incapaci di re-identificare gli interessati: si configurerebbe una zona grigia di trattamenti rilevanti per i diritti individuali ma formalmente sottratti al GDPR — e, con esso, al presidio dell’autorità indipendente che l’art. 8, par. 3, della Carta configura come elemento costitutivo del diritto, non come suo accessorio amministrativo [9].
Una notazione comparatistica aiuta a mettere a fuoco la posta in gioco. Il modello statunitense di privacy settoriale conosce da tempo categorie definitorie a geometria variabile — si pensi alla nozione di personally identifiable information, diversamente perimetrata da statuto a statuto — e proprio la manipolazione delle soglie definitorie ha storicamente costituito, in quell’esperienza, il principale varco di fuoriuscita dei trattamenti dalla disciplina protettiva. Il modello europeo ha compiuto la scelta opposta: una nozione unitaria, ampia e a vocazione oggettiva, presidiata dalla Convenzione 108 del Consiglio d’Europa — la cui versione modernizzata (Convenzione 108+) conserva un impianto definitorio esteso — e costituzionalizzata dalla Carta. Introdurre nel sistema europeo un criterio soggettivo di identificabilità significherebbe, in prospettiva comparata, importare precisamente l’elemento strutturale che dell’esperienza nordamericana ha determinato la frammentazione della tutela, senza importarne i correttivi (a partire dall’enforcement giudiziale privato). Vi è, inoltre, un profilo di coerenza internazionale non secondario: un GDPR ridefinito verso il basso dovrebbe essere rivalutato anche nei rapporti di adeguatezza con gli ordinamenti terzi, che sull’ampiezza della nozione europea hanno calibrato le proprie riforme.
A ciò si aggiungono tre rilievi di ordine sistematico, emersi nel dibattito. Il primo attiene alla dinamicità del rischio: la capacità di re-identificazione non è un attributo statico del soggetto, ma una funzione dell’evoluzione delle tecniche di analisi e della disponibilità di dataset ausiliari, sicché un criterio soggettivo fotografato al momento del trattamento è destinato a invecchiare rapidamente [12]. Il secondo attiene all’incentivo elusivo: un regime in cui la qualificazione del dato dipende dai mezzi dichiarati dal soggetto che lo tratta premia le architetture organizzative costruite per collocarsi al di sotto della soglia di identificabilità. Se a questo si combina l’introduzione espressa del legittimo interesse per l’addestramento dei modelli di intelligenza artificiale (prevista, come visto, dalla medesima proposta), il rischio diventa sistemico: i player tecnologici avrebbero un formidabile incentivo a strutturare le filiere di data scraping e machine learning in modo da ricevere solo dataset formalmente qualificati come “non personali” dal loro lato della filiera. Ciò massimizzerebbe l’efficienza dello sviluppo dei sistemi di IA, recidendo però alla radice ogni garanzia – ivi compreso il diritto di opposizione (opt-out) – per gli interessati. [12]. Il terzo attiene alla frammentazione applicativa: lo stesso dataset, personale per un anello della filiera e non personale per il successivo, moltiplica anziché ridurre l’incertezza — un esito paradossale per un intervento che si presenta come semplificazione [12].
Il ruolo dei contro-poteri: i pareri congiunti e la reazione del Consiglio
La risposta istituzionale è stata rapida e, per certi versi, esemplare del funzionamento dei pesi e contrappesi nell’ordinamento dell’Unione. Con il parere congiunto 1/2026 del 21 gennaio 2026, relativo all’Omnibus AI, e soprattutto con il parere congiunto 2/2026 del 10 febbraio 2026, relativo alla proposta sui dati, l’EDPB e l’EDPS — pur riconoscendo la legittimità dell’obiettivo di semplificazione — hanno esortato i colegislatori a non adottare le modifiche proposte alla definizione di dato personale, ritenendo che esse eccedano la portata di una modifica mirata o tecnica del GDPR e comportino una riduzione significativa del concetto di dato personale, in contraddizione con la giurisprudenza consolidata della Corte di giustizia [9] [13]. Le autorità hanno inoltre indicato la strada alternativa: perseguire la certezza giuridica attraverso orientamenti dell’EDPB che diano conto dell’intera giurisprudenza — inclusa la sentenza EDPS c. SRB — anziché mediante una codificazione parziale [5] [9].
Il general approach adottato dal Consiglio il 13 marzo 2026 ha recepito in misura sostanziale queste indicazioni: la ridefinizione dell’art. 4, n. 1, GDPR è stata espunta dal testo, sostituita dalla delega all’EDPB del compito di chiarire con linee guida quando un dato possa considerarsi anonimizzato e dunque estraneo al perimetro del regolamento; parallelamente, la codificazione espressa del legittimo interesse quale base giuridica per lo sviluppo dei sistemi di IA è stata retrocessa dal corpo del regolamento a un considerando [13] [14]. Il negoziato in trilogo, atteso a conclusione tra il terzo e il quarto trimestre del 2026, dirà se questo assetto — che taluni commentatori hanno definito «semplificazione senza ridefinizione» [12] — reggerà; ma il dato politico-istituzionale è già acquisito: l’opposizione motivata delle autorità indipendenti, prive di potere di veto ma dotate di autorevolezza tecnica e di legittimazione funzionale, ha riorientato il processo legislativo su uno dei suoi punti qualificanti.
Vale la pena di sottolineare la portata teorica di questo passaggio. L’art. 8, par. 3, della Carta assegna alle autorità indipendenti il controllo sul rispetto delle norme di protezione dei dati; la vicenda del Digital Omnibus mostra che tale funzione di garanzia si proietta, di fatto, anche sulla fase genetica delle norme, attraverso lo strumento consultivo. È una forma di tutela preventiva del diritto fondamentale che opera nel procedimento legislativo, prima e a prescindere dal sindacato giurisdizionale — il quale resterebbe comunque esperibile: una codificazione della nozione soggettiva, ove approvata, sarebbe suscettibile di ricorso in annullamento ex art. 263 TFUE e, soprattutto, di rinvio pregiudiziale di validità, con parametro negli artt. 7 e 8 della Carta.
Una valutazione: il metodo conta quanto il merito
La vicenda ha, infine, una proiezione nazionale che merita di essere segnalata. Per l’ordinamento italiano, una nozione soggettiva di dato personale avrebbe inciso direttamente sul perimetro dei poteri del Garante per la protezione dei dati personali, in una stagione in cui l’Autorità è già chiamata a un complesso raccordo con le nuove competenze di vigilanza sull’intelligenza artificiale delineate dalla legge 23 settembre 2025, n. 132, e dai relativi decreti attuativi in corso di adozione. Un restringimento definitorio operato a livello europeo si sarebbe tradotto, in concreto, nella sottrazione al controllo dell’Autorità di segmenti rilevanti della filiera nazionale dei dati — dalla sanità digitale alla ricerca, fino ai trattamenti pseudonimizzati della pubblica amministrazione — con effetti a cascata sull’intero contenzioso amministrativo in materia. Anche per questo, la posizione assunta dalle autorità europee nel parere congiunto 2/2026 è stata condivisa dalla generalità delle autorità nazionali di controllo, che nella definizione ampia del dato personale riconoscono il fondamento della propria stessa giurisdizione.
Restano, a valle, due osservazioni. La prima riguarda il merito. L’esigenza sottesa alla proposta è reale: l’incertezza sulla qualificazione dei dati pseudonimizzati frena la circolazione dei dati per finalità di ricerca, statistica e addestramento di modelli, e la sentenza EDPS c. SRB ha effettivamente aperto uno spazio di relatività che merita di essere ordinato. Ma l’ordinamento dispone di strumenti calibrati per farlo — la disciplina delle garanzie applicabili ai dati pseudonimizzati, le condizioni di liceità, gli orientamenti dell’EDPB, i codici di condotta — senza toccare la clausola definitoria che regge l’intero edificio. La scelta della via definitoria, respinta dal Consiglio, si sarebbe risolta nell’affidare la tutela di un diritto fondamentale all’autoqualificazione tecnica dei soggetti regolati.
La seconda osservazione riguarda il metodo, e ha portata generale. Il Digital Omnibus inaugura una stagione di manutenzione dell’acquis digitale che proseguirà con le valutazioni già programmate di DSA, DMA, Data Act e NIS2 nel biennio 2026-2029 [3]. Se la manutenzione è benvenuta, la vicenda della definizione di dato personale consegna un criterio di vigilanza per il giurista: distinguere, dentro i pacchetti di semplificazione, ciò che alleggerisce le modalità di adempimento da ciò che ridisegna il perimetro dei diritti. La prima operazione appartiene alla fisiologia della better regulation; la seconda esige il lessico, le procedure argomentative e i controlli propri delle limitazioni dei diritti fondamentali. Confonderle — presentando la seconda nelle vesti della prima — è, esso stesso, un costo per la certezza del diritto che la semplificazione dichiara di voler ridurre.
Conclusioni
Il 2 agosto 2026 il differimento degli obblighi per i sistemi di IA ad alto rischio, veicolato dall’Omnibus AI ormai adottato, assorbirà prevedibilmente l’attenzione degli operatori. Ma la partita di sistema si gioca sull’altro tavolo: la definizione di dato personale è il punto in cui il diritto dell’Unione decide che cosa, dell’esistenza digitale delle persone, resta dentro la sfera del diritto fondamentale e che cosa ne esce. La traiettoria sin qui percorsa — proposta della Commissione, opposizione motivata delle autorità indipendenti, correzione del Consiglio — suggerisce che l’ordinamento dell’Unione dispone di anticorpi istituzionali funzionanti. Il trilogo in corso dirà se la lezione è stata appresa fino in fondo: la competitività europea può e deve essere perseguita alleggerendo gli adempimenti; non può esserlo restringendo, per via definitoria, l’ambito di un diritto che la Carta colloca tra i fondamenti dell’Unione.
Note e fonti
[1] Regolamento di modifica del regolamento (UE) 2024/1689 (AI Act), testo consolidato PE-CONS 30/26, procedura 2025/0359(COD), adottato dal Consiglio nel luglio 2026, in attesa di pubblicazione in GUUE; per il differimento delle scadenze alto rischio (2 dicembre 2027 e 2 agosto 2028) cfr. anche la posizione del Parlamento europeo e il report del Consiglio del 13 marzo 2026.
[2] Commissione europea, proposta di regolamento COM(2025) 837 final del 19 novembre 2025 (Digital Omnibus – dati, privacy e cybersicurezza), procedura 2025/0360(COD).
[3] Commissione europea, Implementation and Simplification Agenda 2025; M. Draghi, The Future of European Competitiveness, settembre 2024; E. Letta, Much More Than a Market, aprile 2024.
[4] Per una ricognizione dei contenuti del pacchetto: Digital Omnibus, la UE cambia metodo: addio giungla di norme, in Agenda Digitale, dicembre 2025.
[5] Digital Omnibus, la riforma che restringe il dato personale, in Agenda Digitale, maggio 2026 (con ampia ricostruzione del dibattito sulla modifica dell’art. 4, n. 1, GDPR).
[6] Corte di giustizia UE, Prima Sezione, sentenza 4 settembre 2025, causa C-413/23 P, EDPS c. SRB (ECLI reperibile su EUR-Lex, CELEX 62023CJ0413).
[7] Corte di giustizia UE, sentenza 19 ottobre 2016, causa C-582/14, Breyer; sentenza 20 dicembre 2017, causa C-434/16, Nowak; sentenza 7 marzo 2024, causa C-604/22, IAB Europe.
[8] Per un primo commento alla sentenza C-413/23 P nella dottrina italiana: G. Di Stefano, A.A. Sessa, La pseudonimizzazione nella giurisprudenza europea: riflessi della sentenza EDPS v. SRB, in Diritto di Internet, 2025.
[9] EDPB-EDPS, Joint Opinion 2/2026 sulla proposta COM(2025) 837, 10 febbraio 2026.
[10] Carta dei diritti fondamentali dell’Unione europea, artt. 7, 8 e 52, par. 1; art. 16 TFUE.
[11] Corte di giustizia UE, sentenza 8 aprile 2014, cause riunite C-293/12 e C-594/12, Digital Rights Ireland; sentenza 6 ottobre 2015, causa C-362/14, Schrems.
[12] Il Digital Omnibus e la ridefinizione del dato personale: profili tecnico-giuridici di un dibattito incompiuto, marzo 2026 (sui profili di frammentazione, dinamicità del rischio e potenziale elusivo, nonché sullo scenario di «semplificazione senza ridefinizione»).
[13] EDPB-EDPS, Joint Opinion 1/2026 sulla proposta COM(2025) 836 (Omnibus AI), 21 gennaio 2026; per la sintesi delle posizioni: Digital omnibus, come procede l’iter in Europa: le novità più importanti, in Agenda Digitale, marzo 2026.
[14] Consiglio dell’Unione europea, orientamento generale (general approach) sulla proposta Digital Omnibus, 13 marzo 2026; per gli sviluppi più recenti del negoziato: Digital Omnibus, sfide e incertezze della riforma UE della protezione dati per l’intelligenza artificiale, in Il Sole 24 Ore, luglio 2026.
Partecipa alla community