Il GDPR 2026 non ha portato la semplificazione annunciata. Il testo del regolamento è rimasto quello del 2016, mentre interpretazione e applicazione si sono spostate parecchio. Una scadenza fissata al 29 ottobre riguarda quasi ogni azienda italiana capace di inviare una newsletter.
Tra la fine del 2025 e i primi mesi del 2026 la stampa economica ha dato ampio spazio all’annuncio di una semplificazione europea del GDPR. Molti imprenditori ne hanno tratto una conclusione comprensibile e hanno rinviato gli interventi di adeguamento in attesa delle nuove regole. Nei prossimi mesi quella scelta rischia di presentare un conto salato.
La riforma, chiamata Digital Omnibus, è stata presentata dalla Commissione Europea il 19 novembre 2025. Al momento resta una proposta legislativa in discussione tra Parlamento e Consiglio, quindi nessuno degli obblighi oggi in vigore è stato alleggerito di un millimetro. Nel frattempo gli adempimenti che vincolano le aziende italiane sono cambiati per altre vie.
Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.
GDPR 2026: la riforma europea non è ancora legge
Il pacchetto presentato dalla Commissione si articola in due proposte di regolamento. La prima, identificata come COM(2025) 837, interviene su un corpo ampio di norme che comprende GDPR, Data Act direttiva ePrivacy e NIS2. La seconda, COM(2025) 836, modifica l’AI Act.
I due fascicoli viaggiano a velocità diverse. Quello sull’intelligenza artificiale è più avanti, perché il 16 giugno 2026 il Parlamento europeo ha approvato il testo concordato con 423 voti favorevoli, in attesa dell’adozione formale del Consiglio. La parte che riguarda il GDPR procede più lentamente. Il Consiglio ha definito il proprio orientamento generale il 13 marzo 2026 e il Parlamento ha nominato i relatori per la commissione LIBE, con i negoziati ancora in corso.
Tre modifiche proposte meriteranno attenzione quando saranno approvate. La notifica di una violazione dei dati passerebbe da 72 a 96 ore. Nascerebbe un portale unico europeo gestito da ENISA, per assolvere con una sola segnalazione agli obblighi di GDPR, NIS2 e DORA. L’articolo 35 sulla DPIA verrebbe riscritto, con liste unificate a livello europeo e un modello standardizzato elaborato dall’EDPB.
Su questo pacchetto EDPB ed EDPS hanno pubblicato un parere congiunto nel febbraio 2026, accogliendo con favore l’armonizzazione delle notifiche e segnalando invece perplessità su altri punti. Per un’azienda la lettura pratica è una sola. Tutte queste novità arriveranno con periodi transitori differenziati, quindi progettare la conformità di oggi sulle regole di domani lascia scoperti nel presente.
Tracking pixel nelle email: la scadenza del 29 ottobre 2026
Questa è la novità che tocca il numero più alto di imprese italiane. Un tracking pixel è un’immagine trasparente di un solo pixel, ospitata su un server remoto e richiamata da un codice HTML dentro il messaggio. All’apertura dell’email il server del mittente riceve l’informazione dell’avvenuta lettura, insieme all’indirizzo IP del destinatario, al tipo di dispositivo e al tempo di consultazione.
Con il provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile, il Garante ha adottato le prime linee guida dedicate a questa pratica. Il termine per adeguarsi scade il 29 ottobre 2026. L’inquadramento giuridico passa dall’articolo 122 del Codice Privacy, poiché l’inserimento del marcatore e la successiva raccolta dei dati comportano archiviazione di informazioni sul terminale dell’utente e accesso a informazioni già archiviate. Da qui l’obbligo di consenso.
Le prescrizioni riguardano ogni soggetto che utilizza questi strumenti, dal mittente dell’email alle piattaforme di marketing automation fino ai provider di posta elettronica. Gli interventi da mettere in agenda sono quattro.
- Informativa specifica che dia conto dell’uso dei marcatori e delle finalità perseguite.
- Consenso preventivo raccolto secondo la disciplina ePrivacy, distinto da quello relativo all’invio della comunicazione commerciale.
- Meccanismo di revoca granulare, facilmente riconoscibile e utilizzabile dall’interessato, da rendere noto anche ai contatti già in lista.
- Verifica degli accordi con i fornitori e delle configurazioni tecniche delle piattaforme in uso, per capire chi tratta cosa e con quale ruolo.
Il Garante ha previsto un regime transitorio per i trattamenti già avviati, destinato comunque a esaurirsi. Restano fuori dall’obbligo di consenso alcune comunicazioni istituzionali o di servizio che il titolare ha il dovere giuridico di inoltrare, come gli avvisi su minacce di phishing in corso oppure le modifiche contrattuali.
Anonimizzazione e intelligenza artificiale: cosa dice l’EDPB
Nella plenaria dell’8 luglio 2026 il Comitato europeo per la protezione dei dati ha adottato due documenti destinati a pesare sul lavoro di chi tratta dati con strumenti di intelligenza artificiale. Le Linee guida 02/2026 riguardano l’anonimizzazione, le 03/2026 il web scraping per l’IA generativa. Entrambe restano in consultazione pubblica fino al 30 ottobre 2026.
Sul primo tema l’EDPB propone un test pratico articolato su tre criteri. Se risultano tutti soddisfatti i dati possono considerarsi anonimi ed escono dal perimetro del GDPR, mentre il mancato rispetto anche di uno solo impone un’analisi ulteriore. Il documento recepisce la sentenza della Corte di giustizia del 4 settembre 2025 nella causa C-413/23 P, che ha spostato di parecchio l’asticella.
Qui si annida un fraintendimento diffuso in azienda, ossia la convinzione che sostituire nomi e codici fiscali con identificativi numerici basti a uscire dagli obblighi. La CNIL francese ha sanzionato IQVIA Operations France per 5 milioni di euro, chiarendo che i dati sanitari pseudonimizzati non escono automaticamente dal GDPR. La pseudonimizzazione riduce il rischio senza spegnere la normativa.
Le linee guida sul web scraping partono da un principio altrettanto netto. Il carattere pubblicamente accessibile di un dato non esclude l’applicazione del regolamento e non esiste alcuna esenzione generale. La base giuridica di riferimento resta il legittimo interesse, con condizioni precise da rispettare. Quando la raccolta coinvolge categorie particolari di dati servono sia una base ai sensi dell’articolo 6 sia un’eccezione ai sensi dell’articolo 9.
Il punto interessa chi sviluppa modelli, chi acquista dataset da terzi, chi integra servizi di intelligenza artificiale nei processi aziendali e chi lascia il personale libero di incollare dati di clienti dentro un assistente conversazionale.
Il diritto di accesso e le caselle email dei dipendenti
Il 12 marzo 2026 il Garante ha sanzionato per 50.000 euro una compagnia assicurativa con il provvedimento n. 165. La contestazione riguarda il rifiuto opposto a un ex dipendente che aveva chiesto l’accesso integrale ai messaggi della propria casella email aziendale e ai documenti salvati sul computer di lavoro.
Secondo l’Autorità il diritto di accesso previsto dall’articolo 15 si estende a tutti i dati personali contenuti in un account di posta individualizzato. Il titolare non può operare una selezione preventiva, distinguendo tra comunicazioni personali e professionali. La decisione ha raccolto critiche tra gli specialisti della materia, poiché apre questioni pratiche di non poco conto sulla riservatezza delle comunicazioni aziendali e dei terzi coinvolti.
A prescindere da come evolverà il dibattito, il provvedimento indica una direzione che conviene anticipare. Le procedure di risposta alle richieste di accesso vanno riviste, con particolare attenzione ai casi che arrivano da ex dipendenti. Anche le regole di conservazione e disattivazione delle caselle al termine del rapporto di lavoro meritano un riesame, in continuità con quanto il Garante aveva già indicato nel 2024 sul trattamento dei metadati della posta elettronica in ambito lavorativo.
GDPR 2026: cosa aggiornare subito in azienda
Il quadro appena descritto si traduce in una lista di interventi con priorità diverse. Questi sono quelli da affrontare entro l’autunno.
- L’email marketing. Serve una ricognizione di tutte le piattaforme in uso per newsletter, comunicazioni commerciali e flussi automatici, con verifica di informativa, consenso, revoca granulare e accordi con i fornitori. Il termine del 29 ottobre 2026 non lascia molto margine.
- Il registro dei trattamenti. Va aggiornato includendo i trattamenti che passano dagli strumenti di intelligenza artificiale adottati negli ultimi due anni, spesso entrati in azienda senza alcuna valutazione preventiva.
- Le procedure di data breach. Il termine resta di 72 ore fino all’eventuale approvazione della riforma, quindi conviene provare la catena di notifica invece di attendere l’ampliamento a 96 ore.
- Una regola scritta sull’uso dell’intelligenza artificiale. I dipendenti devono sapere quali informazioni possono entrare in un assistente conversazionale e quali restano fuori. Le fughe di dati aziendali passano sempre più da questa strada.
- La gestione delle richieste di accesso. Occorre una procedura definita, con tempi, responsabili e criteri di risposta, valida anche per le istanze provenienti da ex collaboratori.
- La verifica tecnica delle misure di sicurezza. L’articolo 32 chiede misure adeguate al rischio. L’adeguatezza si misura nel tempo, quindi un controllo svolto due anni fa dice poco sullo stato attuale dei sistemi.
L’articolo 32 del GDPR chiede misure di sicurezza adeguate al rischio. Quell’adeguatezza si dimostra con riscontri tecnici sui sistemi, poiché un registro dei trattamenti aggiornato non garantisce che le protezioni descritte funzionino davvero. Il nostro Vulnerability Assessment individua le lacune presenti sulla vostra infrastruttura e ve le restituisce in ordine di priorità, per allineare la sostanza a quanto avete messo per iscritto nei documenti privacy.
In conclusione
Il GDPR 2026 non si è alleggerito, perché la riforma europea resta una proposta in discussione, mentre gli obblighi concreti si sono fatti più precisi attraverso provvedimenti del Garante, orientamenti dell’EDPB e pronunce della Corte di giustizia. Chi ha rinviato l’adeguamento in attesa della semplificazione si trova oggi con più scadenze aperte di prima.
La più vicina riguarda i tracking pixel nelle email e scade il 29 ottobre. Le altre toccano l’uso dell’intelligenza artificiale, la gestione delle caselle di posta e la tenuta effettiva delle misure di sicurezza. Nessuna di queste richiede investimenti fuori portata, purché si parta da una fotografia onesta della situazione attuale.
Buona parte delle violazioni che finiscono davanti al Garante nasce da un gesto quotidiano: un allegato inviato al destinatario sbagliato, i dati di un cliente incollati dentro un assistente di intelligenza artificiale, una richiesta di accesso gestita male. La nostra Academy forma i vostri dipendenti a riconoscere questi rischi e a trattare i dati personali secondo le regole, prima che un errore diventi una violazione da notificare entro 72 ore.
- Autore articolo
- Gli ultimi articoli
Classe 1993, ingegnere gestionale e Adobe Certified Professional in Graphic Design & Visual Design. Ho mosso i primi passi nel campo informatico grazie alla passione per i videogiochi, che mi ha portato ad approfondire i motori grafici e la progettazione visiva. Scrivo da quando ero bambino e, con il tempo, la scrittura è diventata parte integrante del mio lavoro nel mondo della comunicazione e della sicurezza informatica.