Proposte per il miglioramento del Digital Omnibus, mediante il riequilibrio tra le discipline in materia di protezione dei dati personali ed e-privacy e le esigenze dell'innovazione

Nel presente positioning paper, di carattere sintetico ma intenzionalmente denso sul piano argomentativo, si intendono condividere alcune riflessioni critiche e un insieme di proposte costruttive volte a consentire al Regolamento (UE) 2016/679 (GDPR) e alla direttiva e-privacy di conseguire un miglior equilibrio in termini di proporzionalità e coerenza sistematica rispetto alle altre discipline europee, nella prospettiva di una maggiore competitività e della configurazione di un quadro regolatorio idoneo a favorire un’innovazione sostenibile. Le considerazioni qui formulate costituiscono il risultato di un’elaborazione originale degli autori e della selezione di taluni snodi concettuali emersi nel corso di un dibattito pubblico organizzato dall’Istituto Italiano per la Privacy e la Valorizzazione dei Dati, tenutosi a Roma il 10 settembre 2025. Il presente documento propone, in tal senso, un riequilibrio e una ricalibrazione pragmatici delle norme europee in materia di protezione dei dati personali e di e-privacy, finalizzati a riallineare in modo più efficace la tutela dei diritti con le esigenze di competitività e di innovazione sostenibile, mediante l’introduzione di un insieme di proposte sottoposte all’attenzione del legislatore dell’Unione, in aggiunta alle già incisive modifiche previste nell’ambito del Digital Omnibus. Viene in particolare avanzato un approccio prioritario, di natura “orizzontale”, volto a intervenire su taluni elementi generali e sui principi fondanti del sistema, attraverso la modifica di Considerando chiave del GDPR (nn. 4, 6, 10 e 26), al fine di: ribadire il principio di proporzionalità e la necessità di un bilanciamento tra la protezione dei dati personali, gli altri diritti riconosciuti dalla Carta dei diritti fondamentali dell’Unione europea e l’innovazione; imporre alle autorità di controllo l’obbligo di valutare gli impatti trasversali sui diritti fondamentali; sostituire il riferimento a un “elevato livello” di protezione con quello a un “livello adeguato” di tutela, così da consentirne una calibrazione ragionata e non assolutistica. Tale approccio prioritario di carattere orizzontale ricomprende, altresì, interventi mirati sui principi di cui all’articolo 5 del GDPR, orientati, tra l’altro, all’adozione di una concezione più pragmatica e operativa della trasparenza, evoluta verso la nozione di spiegabilità in ambito di sistemi di intelligenza artificiale; al riconoscimento degli usi secondari dei dati autorizzati nell’ambito della Strategia Europea dei Dati; all’affermazione di una nozione di minimizzazione maggiormente funzionale e proporzionata, idonea a bilanciare la tutela della riservatezza con le esigenze di prevenzione dei bias; all’accoglimento di un approccio equo ed equilibrato al principio di esattezza, segnatamente in relazione agli output valutativi dei sistemi di intelligenza artificiale; all’estensione dei limiti di conservazione per finalità secondarie lecite; nonché all’integrazione di un principio di accountability declinato in termini proporzionati. Accanto all’approccio prioritario di tipo “orizzontale”, viene altresì delineato un approccio secondario di tipo “verticale”, articolato in una serie di interventi puntuali e mirati, volti a rifinire, in primis, le condizioni di liceità del trattamento dei dati personali. Tale approccio si concentra, in particolare, sulla riformulazione dell’articolo 6, paragrafo 1, lettera b), in materia di necessità contrattuale del trattamento e di autonomia delle parti, nonché dell’articolo 6, paragrafo 1, lettera f), relativo al legittimo interesse, al fine di includervi in modo espresso anche l’esercizio di altri diritti e libertà fondamentali. Ulteriori interventi riguardano l’articolo 7, paragrafo 4, in tema di requisiti del consenso, in coerenza con i principi affermati nella causa C-252/21 in materia di alternative a pagamento; l’articolo 9, paragrafo 2, con riferimento alle deroghe al divieto di trattamento delle categorie particolari di dati personali, laddove il trattamento risulti intrinsecamente connesso a un’obbligazione contrattuale ovvero fondato su interessi legittimi o pubblici, purché assistiti da adeguate garanzie tecniche; nonché l’introduzione di chiarimenti in materia di dati biometrici impiegati in contesti di realtà mista o aumentata. Si propone, inoltre, l’allineamento dell’art. 9, paragrafo 4, alla normativa dell’Unione e nazionale sull’uso secondario dei dati, quale, a titolo esemplificativo, lo Spazio europeo dei dati sanitari, e il rafforzamento delle garanzie istituzionali e dei doveri in capo alle autorità di protezione dei dati, mediante l’introduzione di valutazioni di impatto obbligatorie ai sensi dell’articolo 58, paragrafo 4, nonché la revisione dell’articolo 70, paragrafo 4, in materia di consultazioni dell’European Data Protection Board. Il documento propone altresì un aggiornamento complessivo della disciplina in materia di e-privacy, volto a ricondurre le attività di tracciamento online nell’alveo delle basi giuridiche previste dal GDPR, nonché una più stretta armonizzazione delle misure di sicurezza, attraverso un’integrazione dell’articolo 32 del GDPR con riferimenti espliciti agli standard internazionali e alle linee guida elaborate dall’Agenzia dell’Unione europea per la cybersicurezza (ENISA), in coerenza sistemica con il quadro normativo emergente rappresentato, in particolare, dalla direttiva NIS2, dal Cyber Resilience Act e dal regolamento DORA.