Il Consiglio dell'UE respinge le modifiche alla definizione di 'dati personali' del GDPR nella bozza trapelata del Digital Omnibus

In una svolta significativa per la politica digitale europea, un testo di compromesso trapelato dal Consiglio dell'Unione Europea suggerisce che gli Stati membri si stiano muovendo per bloccare le modifiche proposte alla definizione di "dati personali" ai sensi del Regolamento Generale sulla Protezione dei Dati (GDPR). Il documento, datato 20 febbraio 2026 e circolato dalla presidenza cipriota, indica una ferma preferenza per il mantenimento dello status quo rispetto alle revisioni più ampie — e controverse — della Commissione Europea.

La bozza, emersa poco prima di incontri diplomatici di alto livello a Bruxelles, segna un punto di svolta critico per il cosiddetto "Digital Omnibus". Questo pacchetto legislativo era destinato a snellire il corpus normativo digitale dell'UE e ad adattarlo all'era dell'intelligenza artificiale avanzata e dell'onnipresente edge computing. Tuttavia, la decisione di eliminare la definizione rivista di dati personali suggerisce che gli Stati membri siano cauti nel riaprire il "vaso di Pandora" delle definizioni fondamentali sulla privacy.

La stabilità dello status quo

Per quasi un decennio, la definizione di dati personali è servita come fondamento della legge europea sulla privacy. Ai sensi dell'attuale GDPR, i dati personali sono definiti come qualsiasi informazione relativa a una persona fisica identificata o identificabile. La proposta originale della Commissione Europea per il Digital Omnibus cercava di affinare questo concetto, ampliando potenzialmente l'ambito per includere categorie più sfumate di metadati e identificatori comportamentali che sono sempre più generati dai sistemi di IA.

La decisione del Consiglio di eliminare queste revisioni riflette un approccio orientato alla sicurezza. Attenendosi al testo esistente, gli Stati membri evitano la massiccia incertezza giuridica che una nuova definizione innescherebbe. Per le imprese, un cambiamento nella definizione avrebbe significato rivalutare ogni database, ogni modulo di consenso e ogni accordo sul trattamento dei dati attualmente in vigore. Il Consiglio sembra aver dato priorità alla stabilità normativa rispetto al desiderio di precisione tecnica della Commissione.

Perché la definizione è importante

Per capire perché questa mossa sia così significativa, si può pensare alla definizione di dati personali come al "gancio giurisdizionale" del GDPR. Se un'informazione rientra in tale definizione, si applica tutto il peso della legge sulla privacy dell'UE. Se ne resta fuori, i dati possono essere spostati, venduti o analizzati con molte meno restrizioni.

I critici dell'espansione proposta hanno sostenuto che una definizione più ampia avrebbe inavvertitamente catturato dati "anonimizzati" attualmente utilizzati per la ricerca medica e la pianificazione delle infrastrutture. D'altro canto, i sostenitori della privacy temono che, mantenendo la vecchia definizione, l'UE non riesca ad affrontare i rischi di "re-identificazione" posti dal moderno apprendimento automatico, dove punti dati apparentemente anonimi possono essere uniti per smascherare un individuo.

L'equilibrio della presidenza cipriota

Cipro, che detiene attualmente la presidenza rotante del Consiglio, ha l'ingrato compito di trovare una via di mezzo tra ventisette Stati membri con priorità digitali divergenti. Il testo di compromesso trapelato suggerisce che il team cipriota si stia concentrando sull'"armonia procedurale" piuttosto che sulla "revisione definitoria".

Rimuovendo le controverse revisioni sui dati personali, la presidenza sta probabilmente cercando di spianare la strada per il resto del Digital Omnibus. Questo pacchetto include aggiornamenti vitali sull'applicazione transfrontaliera e sulla cooperazione tra le Autorità nazionali per la protezione dei dati (DPA). Se la definizione di dati personali fosse rimasta sul tavolo, avrebbe potuto bloccare l'intero processo legislativo per anni.

Implicazioni per l'industria tecnologica

Per il settore tecnologico, questa fuga di notizie viene vista in gran parte come una tregua. L'industria sostiene da tempo che il GDPR sia già abbastanza complesso da navigare. Una definizione mutevole del suo termine più fondamentale avrebbe creato un "obiettivo di conformità mobile".

Cosa succede ora?

Secondo quanto riferito, la bozza è stata discussa dai diplomatici degli Stati membri il 27 febbraio. Se il Consiglio manterrà questa posizione, la fase successiva sarà quella dei negoziati di "trilogo" tra il Consiglio, il Parlamento europeo e la Commissione europea. Storicamente, il Parlamento è stato più protettivo nei confronti dei diritti degli interessati e potrebbe lottare per reintrodurre alcune delle tutele più ampie originariamente previste dalla Commissione.

Tuttavia, il fronte unito del Consiglio su questo tema invia un segnale forte: i governi nazionali europei non sono attualmente dell'umore per una riprogettazione radicale dei fondamenti della privacy. Vogliono che le regole funzionino meglio, non necessariamente che siano più ampie.

Consigli pratici per le organizzazioni

Sebbene la definizione di dati personali possa rimanere la stessa, il panorama dell'applicazione è ancora in evoluzione. Ecco su cosa dovrebbero concentrarsi le organizzazioni mentre il Digital Omnibus procede:

• Controllate la mappatura dei dati: Anche se la definizione non cambia, l'interpretazione dei tribunali (come la CGUE) continua a evolversi. Assicuratevi che il vostro inventario dei dati sia aggiornato.
• Concentratevi sulla conformità procedurale: È probabile che il Digital Omnibus introduca scadenze più rigorose per rispondere alle richieste delle DPA. Rivedete i vostri flussi di lavoro interni per le segnalazioni.
• Monitorate il trilogo: Il testo finale non è scolpito nella pietra. Tenete d'occhio la risposta del Parlamento europeo a questa bozza del Consiglio nei prossimi mesi.
• Investite nell'anonimizzazione: Indipendentemente dalla definizione legale, il modo migliore per ridurre il rischio è garantire che i dati siano veramente anonimizzati utilizzando tecniche all'avanguardia che resistano alla re-identificazione.

Fonti

• European Council: Council of the European Union Overview
• Euractiv: Digital & Media Policy Reports
• Politico Europe: Tech and Data Protection Coverage
• European Commission: GDPR Procedural Rules and Digital Omnibus Documentation
• Official Journal of the European Union: GDPR Text and Definitions