A novembre 2025 la Commissione europea ha proposto di modificare il GDPR con il pacchetto Digital Omnibus. Per i data breach, l’autorità verrebbe notificata solo in caso di rischio elevato, entro 96 ore e attraverso un punto di accesso unico nell’UE. Per le richieste di accesso, sarebbe più facile rifiutare quelle eccessive. Niente di tutto questo è approvato: oggi si applicano le regole attuali.
Proposta COM(2025) 837 è stata presentata il 19 novembre 2025 e fa parte di uno sforzo più ampio per semplificare le regole digitali dell’UE. Per chi gestisce la protezione dei dati ogni giorno, contano soprattutto due cambiamenti: cosa succede quando un incidente colpisce dati personali, e come rispondere alle persone che chiedono i propri dati.
Cosa cambia, punto per punto
| Tema | Oggi | Cosa dice la proposta |
|---|---|---|
| Quando notificare l’autorità | Ogni volta che è probabile che la violazione presenti un rischio per le persone Art. 33, paragrafo 1 | Solo quando è probabile che presenti un rischio elevato, la soglia che oggi si applica per avvisare le persone |
| Termine | 72 ore dal momento in cui se ne è venuti a conoscenza, fine settimana compreso | 96 ore |
| Dove notificare | L’autorità di controllo competente, come il Garante in Italia o la CNPD in Portogallo | Un punto di accesso unico nell’UE, con un modello comune preparato dall’EDPB |
| Richieste di accesso eccessive | Il titolare del trattamento deve dimostrare che la richiesta è manifestamente infondata o eccessiva Art. 12, paragrafo 5 | Basta avere «motivi ragionevoli per ritenere» che sia eccessiva; rifiuto o contributo spese quando l’accesso è usato per scopi diversi dalla protezione dei dati |
| Valutazioni d’impatto | Elenchi stabiliti da ciascuna autorità nazionale | Elenchi comuni dell’UE dei trattamenti che richiedono, o no, una valutazione d’impatto |
| Registro interno delle violazioni | Obbligatorio per tutte le violazioni Art. 33, paragrafo 5 | Mantenuto in tutte le versioni in discussione |
Cosa dicono l’EDPB e il GEPD
Nel loro parere congiunto 2/2026, del 10 febbraio 2026, il Comitato europeo per la protezione dei dati e il Garante europeo della protezione dei dati sostengono diverse di queste misure, con riserve.
Sulle richieste di accesso, condividono l’obiettivo di chiarezza, ma chiedono di eliminare le tre formulazioni sulle richieste eccessive. Ricordano che, secondo la Corte di giustizia nella causa C-307/22, l’interessato non deve motivare la richiesta.
A che punto è la procedura
- 19 nov 2025
La Commissione presenta la proposta COM(2025) 837. - 10 feb 2026
L’EDPB e il GEPD pubblicano il parere congiunto. - 21 ott 2026 · oggi
Gli ambasciatori degli Stati membri discutono il mandato negoziale del Consiglio. Al Parlamento, le commissioni ITRE e LIBE non hanno ancora votato la relazione. - Poi
Negoziati tra Parlamento, Consiglio e Commissione. Solo dopo, pubblicazione nella Gazzetta ufficiale.
È un’altra proposta, l’Omnibus IV. Parlamento e Consiglio hanno raggiunto un accordo provvisorio il 26 giugno 2026: l’esenzione dal registro si applicherà alle organizzazioni con meno di 1.000 persone, salvo per le attività ad alto rischio. Il voto in plenaria è previsto per il 23 novembre 2026.
Leggi la guida al registro dei trattamenti- 1Continuate ad applicare le 72 ore e la soglia del «rischio». Sono le regole in vigore fino alla pubblicazione di un testo.
- 2Documentate internamente tutte le violazioni. Questo obbligo non sparisce in nessuna versione.
- 3Rispondete alle richieste di accesso entro un mese e non chiedete all’interessato di motivare la richiesta.
- 4Tenete il registro dei trattamenti, anche se alla fine ne sarete esentati. Vi serve per ritrovare i dati.
- 5Iscrivetevi alla newsletter. Aggiorniamo questo articolo e le guide a ogni passaggio della procedura.