Digital Omnibus: la posizione del Consiglio su GDPR e cookie
Il 21 ottobre 2026 gli ambasciatori UE hanno concordato il mandato del Consiglio sul Digital Omnibus: violazioni, dati personali, cookie, incidenti.
Il 21 ottobre 2026 il Comitato dei rappresentanti permanenti (Coreper) ha concordato il mandato del Consiglio per i negoziati con il Parlamento europeo sul Digital Omnibus, la proposta della Commissione di novembre 2025 per semplificare le norme digitali dell'UE (procedura 2025/0360(COD)). Il testo è stato pubblicato il 22 ottobre 2026 come documento del Consiglio 14756/26, con ogni modifica rispetto alla proposta della Commissione evidenziata.
È la posizione di partenza del Consiglio per i negoziati, non una norma in vigore. Finché un regolamento definitivo non sarà adottato e pubblicato, il GDPR, la direttiva ePrivacy e le leggi nazionali di recepimento della NIS2 si applicano come oggi.
Violazioni dei dati personali
Il Consiglio mantiene le due modifiche principali della Commissione all'articolo 33 del GDPR:
- Solo le violazioni ad alto rischio andrebbero notificate all'autorità di controllo: quelle "suscettibili di presentare un rischio elevato per i diritti e le libertà delle persone fisiche".
- 96 ore invece di 72: notifica senza ingiustificato ritardo e, ove possibile, entro 96 ore dal momento in cui si viene a conoscenza della violazione, con i motivi di un eventuale ritardo.
La notifica passerebbe da un punto di accesso nazionale istituito da ciascuno Stato membro, invece del punto di accesso unico europeo proposto dalla Commissione. Finché non esiste, i titolari continuano a notificare direttamente all'autorità di controllo. L'EDPB pubblicherebbe elenchi delle situazioni che presentano, o non presentano, un rischio elevato.
Dati personali e pseudonimizzazione
La Commissione proponeva di aggiungere alla definizione di dato personale che un'informazione non è un dato personale per un soggetto che non può identificare la persona. Il Consiglio elimina questa frase e propone invece un nuovo articolo 25 bis sulla pseudonimizzazione:
- i dati pseudonimizzati non sono dati personali per un terzo che non è in grado di identificare la persona;
- se vengono trasmessi a chi può identificare la persona, tornano a essere dati personali;
- per un responsabile del trattamento, i dati trattati per conto del titolare restano sempre dati personali;
- l'EDPB emetterebbe un parere su pseudonimizzazione e anonimizzazione.
I cookie restano nella direttiva ePrivacy
La Commissione proponeva di trasferire le regole sui cookie nel GDPR. Il Consiglio le mantiene all'articolo 5, paragrafo 3, della direttiva ePrivacy e lo riscrive. Il consenso resta la regola, con eccezioni quando memorizzare o leggere informazioni è strettamente necessario, ad esempio per trasmettere una comunicazione, fornire un servizio richiesto dall'utente, garantire la sicurezza o misurare l'audience in forma anonima e aggregata da parte del fornitore del servizio o per suo conto.
Quando si chiede il consenso, l'utente deve poterlo rifiutare con un solo clic o con un mezzo equivalente. Dopo un rifiuto, la stessa richiesta non potrebbe essere ripetuta per almeno quattro mesi; la Commissione ne aveva proposti sei. Gli Stati membri avrebbero 24 mesi dall'adozione per il recepimento.
Altri punti del GDPR
- Decisioni automatizzate (articolo 22): il Consiglio lo mantiene come diritto a non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato, con le eccezioni e le garanzie esistenti, tra cui l'intervento umano.
- Richieste di accesso (articolo 12, paragrafo 5): il titolare potrebbe addebitare un contributo o rifiutare la richiesta se può dimostrare un intento abusivo; l'onere della prova resta a suo carico.
- Valutazioni d'impatto (articolo 35): l'EDPB pubblicherebbe elenchi europei dei trattamenti che richiedono, o non richiedono, una DPIA.
- IA: il trattamento per lo sviluppo e il funzionamento di sistemi e modelli di IA può basarsi sul legittimo interesse ai sensi dell'articolo 6, paragrafo 1, lettera f), e le categorie particolari di dati finite per caso nei dati di addestramento vanno cancellate senza ingiustificato ritardo, o protette se la cancellazione è tecnicamente impossibile.
Notifica degli incidenti ai sensi della NIS2
Invece di un'unica piattaforma europea, l'ENISA realizzerebbe un punto informativo sulla notifica degli incidenti che indica quali obblighi si applicano e rimanda al punto di accesso nazionale corretto; non riceve notifiche. Entro sei mesi dall'entrata in vigore la Commissione riferirebbe sulle differenze di definizioni, soglie e termini tra NIS2, eIDAS, GDPR, DORA e direttiva CER.
Cosa fare adesso
Per ora non cambia nulla. Continui a notificare le violazioni entro 72 ore, mantenga la gestione del consenso ai cookie com'è e segua i negoziati: il testo finale può ancora cambiare su ciascuno di questi punti.
Fonti
- Consiglio dell'UE: documento 14756/26, Digital Omnibus, mandato negoziale (22 ottobre 2026)
- Regolamento (UE) 2016/679 (GDPR)
- Direttiva 2002/58/CE (direttiva ePrivacy)
- Direttiva (UE) 2022/2555 (NIS2)
A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 29 ottobre 2026.
Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål