# Digital Omnibus: cosa cambia davvero per le aziende

Il 19 novembre 2025 la Commissione Europea presenterà il pacchetto Digital Omnibus, un insieme di modifiche normative che potrebbe ridisegnare il panorama della protezione dati in Europa. Dietro l'etichetta "semplificazione amministrativa" si nascondono cambiamenti profondi che riguardano cookie, intelligenza artificiale e dati sensibili. Per le micro e piccole imprese italiane, comprendere queste modifiche non è più un optional: è una questione di conformità, competitività e, soprattutto, di gestione consapevole del rischio.

## Il contesto: la semplificazione incontra la controversia

La proposta nasce formalmente da un'esigenza condivisa: ridurre la frammentazione normativa e alleggerire gli oneri burocratici che pesano sulle imprese europee, in particolare su quelle di dimensioni ridotte. Il rapporto Draghi del 2024 aveva messo nero su bianco quanto [la complessità regolamentare europea](/ecorner/2023/digitale-europeo-lecat-e-la-regolamentazione-degli-algoritmi.html) rischi di soffocare l'innovazione, soprattutto nel confronto con Stati Uniti e Cina.

Tuttavia, i documenti trapelati nelle settimane precedenti alla presentazione ufficiale hanno scatenato un'ondata di preoccupazioni. Oltre 127 organizzazioni della società civile, sindacati e associazioni per i diritti digitali hanno inviato una lettera aperta alla Commissione, definendo il Digital Omnibus "il più grande arretramento dei diritti digitali fondamentali nella storia dell'Unione Europea". L'organizzazione austriaca noyb, guidata dall'attivista Max Schrems, ha parlato di "attacco fast-track al GDPR", criticando l'assenza di una consultazione trasparente e di una valutazione d'impatto adeguata.

Non si tratta di posizioni ideologiche: al centro del dibattito ci sono modifiche sostanziali che toccano pilastri fondamentali della protezione dati europea.

## Le tre modifiche chiave del Digital Omnibus

### Cookie: da opt-in a opt-out

La prima modifica riguarda il consenso per i cookie di tracciamento. Attualmente, il quadro normativo prevede che l'utente debba esprimere un consenso esplicito prima che vengano installati cookie non strettamente necessari al funzionamento del sito. Questo principio, basato sulla direttiva ePrivacy, è il motivo per cui incontriamo banner di consenso praticamente ovunque.

Il Digital Omnibus propone uno spostamento della regolamentazione dei cookie dalla direttiva ePrivacy al GDPR, introducendo di fatto un regime di opt-out anziché opt-in. In termini pratici, questo significa che per la maggior parte dei cookie non sarà più necessario ottenere il consenso preventivo dell'utente. Le aziende potranno installarli automaticamente, a condizione che l'utente abbia la possibilità di opporsi.

Per una PMI italiana che gestisce un sito e-commerce o che utilizza strumenti di marketing digitale, questo potrebbe tradursi nell'eliminazione della necessità di piattaforme di consent management. Un risparmio in termini di costi di licenza software e di complessità gestionale. Ma attenzione: l'obbligo di documentare il "legittimo interesse" che giustifica il tracciamento non scompare. Semplicemente si trasforma in una responsabilità diversa, meno visibile ma non meno vincolante.

### Intelligenza artificiale: training sui dati senza consenso

La seconda modifica riguarda l'utilizzo dei dati personali per l'addestramento di modelli di intelligenza artificiale. Attualmente, il trattamento di dati personali per finalità di machine learning richiede una base giuridica solida, che nella maggior parte dei casi coincide con il consenso esplicito dell'interessato.

La proposta del Digital Omnibus introduce il "legittimo interesse" come base giuridica ammissibile per il training di sistemi AI. In sostanza, le aziende potrebbero utilizzare dati personali già in loro possesso per addestrare algoritmi senza dover ottenere un nuovo consenso, purché possano dimostrare che tale utilizzo rientra in un interesse legittimo e che i diritti dell'interessato non prevalgano.

Questa modifica si inserisce in un contesto più ampio: il mercato dell'AI generativa e dei *large language model* cresce a ritmi esponenziali, e l'accesso ai dati è il carburante principale. Per le PMI italiane che stanno iniziando ad adottare strumenti di intelligenza artificiale generativa per automazioni interne, assistenza clienti o analisi predittive, questa apertura normativa potrebbe apparire come una semplificazione.

Ma c'è un risvolto: la documentazione del legittimo interesse richiede una valutazione puntuale del bilanciamento tra interessi aziendali e diritti degli interessati. Non si tratta di una formalità, ma di un obbligo sostanziale che, se mal gestito, espone a contestazioni e sanzioni. Inoltre, l'assenza di consenso esplicito potrebbe creare frizioni con clienti sempre più sensibili al tema della [privacy](https://ebmsolution.com/ecorner/furto-dati-genetici-senza-precedenti-alla-23andme/), soprattutto in settori dove la fiducia è un asset competitivo.

### Dati sensibili: la ridefinizione delle categorie protette

La terza modifica riguarda la definizione di dati sensibili. L'articolo 9 del [GDPR](https://ebmsolution.com/ecorner/intelligenza-artificiale/ingegneria-sociale-2025-quando-il-crimine-informatico-scavalca-la-tecnologia-attaccando-le-persone/) attuale identifica categorie speciali di dati (origine razziale o etnica, opinioni politiche, convinzioni religiose, [dati genetici](/ecorner/2023/furto-dati-genetici-senza-precedenti-alla-23andme.html), biometrici, relativi alla salute, alla vita sessuale o all'orientamento sessuale) che godono di una protezione rafforzata e possono essere trattati solo in casi eccezionali.

Il Digital Omnibus propone di restringere la protezione ai soli dati che "rivelano direttamente" tali caratteristiche. In altre parole, i dati da cui è possibile inferire informazioni sensibili attraverso elaborazioni, correlazioni o analisi algoritmiche potrebbero non rientrare più nella categoria speciale.

Per fare un esempio concreto: se un sistema di intelligenza artificiale deduce l'orientamento politico di un individuo analizzando le sue interazioni sui social media o i suoi comportamenti d'acquisto, secondo la nuova definizione tali dati potrebbero non essere considerati sensibili, perché l'informazione non è "direttamente rivelata".

Questa modifica ha implicazioni profonde. Negli ultimi anni, la capacità degli algoritmi di inferire informazioni sensibili da dati apparentemente neutri è cresciuta enormemente. Studi accademici hanno dimostrato che è possibile dedurre con buona accuratezza orientamento sessuale, condizioni di salute mentale, affiliazione politica e persino predisposizioni genetiche analizzando dati comportamentali digitali.

Per una PMI italiana che gestisce un CRM o che utilizza strumenti di profilazione per campagne marketing, questa modifica introduce una zona grigia: cosa succede se l'algoritmo usato per segmentare i clienti inferisce categorie sensibili? La responsabilità ricade comunque sull'azienda, ma il quadro normativo diventa più opaco.

## Cosa significa per le PMI italiane

Le PMI italiane rappresentano oltre il 70% del tessuto imprenditoriale nazionale. Per queste realtà, la conformità al GDPR non è mai stata semplice. Le statistiche parlano chiaro: secondo un'analisi del 2024, molte piccole imprese considerano ancora gli adempimenti privacy come una burocratizzazione, piuttosto che come un'occasione di miglioramento organizzativo. Il Garante Privacy italiano ha più volte evidenziato come l'approccio reattivo – adeguarsi solo dopo un data breach – sia ancora troppo diffuso.

Il Digital Omnibus si presenta come un'opportunità di semplificazione, ma la realtà è più sfumata. Sì, alcune procedure potrebbero diventare meno onerose: eliminare i banner di consenso per i cookie potrebbe ridurre i costi legati a piattaforme di gestione del consenso. Ma al tempo stesso, le nuove responsabilità legate alla documentazione del legittimo interesse e alla gestione di zone grigie normative richiedono competenze specifiche.

Prendiamo il caso di uno studio professionale che gestisce dati personali dei propri clienti e sta valutando l'adozione di un assistente virtuale basato su AI per automatizzare risposte a richieste frequenti. Con le nuove regole, lo studio potrebbe addestrare il modello utilizzando i dati già in possesso senza dover richiedere un nuovo consenso ai clienti. Apparentemente una semplificazione. Ma come si documenta il legittimo interesse? Come si dimostra che i diritti degli interessati non prevalgono? E soprattutto, come si comunica questa scelta ai clienti senza intaccare la fiducia?

Oppure consideriamo un'azienda manifatturiera con un e-commerce che utilizza strumenti di analytics per tracciare il comportamento degli utenti. Con il passaggio a un regime di opt-out, l'azienda potrebbe installare cookie di profilazione senza il consenso preventivo. Ma se un cliente solleva una contestazione o se il Garante effettua un controllo, l'azienda dovrà dimostrare di aver bilanciato correttamente i propri interessi commerciali con i diritti dell'utente. Questo richiede documentazione, analisi di impatto, politiche chiare.

Il rischio è quello di percepire la semplificazione come una deroga agli obblighi, quando in realtà si tratta di una riconfigurazione delle responsabilità.

## Il quadro italiano: cosa sappiamo

Al momento della stesura, il Garante Privacy italiano non ha ancora rilasciato una posizione ufficiale specifica sul Digital Omnibus. Tuttavia, guardando ai recenti provvedimenti sanzionatori, emerge una linea di rigore crescente.

Nel febbraio 2025, il Garante ha sanzionato con 300.000 euro una società energetica per aver utilizzato consensi "omnibus" – ovvero generici e non selettivi – per la cessione di dati a terzi per finalità di marketing. Il principio affermato è chiaro: il consenso deve essere libero, specifico e granulare. L'utente deve poter scegliere con precisione quali categorie merceologiche accettare (energia, telefonia, assicurazioni) e attraverso quali canali (telefono, email, SMS). Formule generiche non sono ammesse.

Questo approccio del Garante è significativo perché suggerisce una sensibilità particolare verso la tutela concreta dei diritti degli interessati, al di là della semplificazione formale. Se il Digital Omnibus dovesse alleggerire certi obblighi a livello europeo, è probabile che il Garante italiano mantenga comunque un'attenzione elevata sulle modalità effettive di trattamento e sulla trasparenza verso gli utenti.

In altre parole, per una PMI italiana non basterà adeguarsi alla lettera della nuova normativa europea. Sarà necessario interpretarla tenendo conto dell'orientamento delle autorità nazionali, che storicamente hanno privilegiato la sostanza sulla forma.

## Navigare l'incertezza: la finestra di preparazione

Il percorso legislativo del Digital Omnibus è appena iniziato. La proposta dovrà passare attraverso il Parlamento Europeo e il Consiglio dell'Unione Europea. Le prime indicazioni suggeriscono che le modifiche più radicali al GDPR potrebbero incontrare resistenze significative. Alcuni gruppi parlamentari hanno già segnalato l'intenzione di proporre emendamenti sostanziali o, nel caso estremo, di stralciare le modifiche al GDPR dal pacchetto complessivo.

Questo significa che le PMI italiane hanno una finestra temporale per prepararsi, ma anche un contesto di incertezza normativa. La domanda che molti imprenditori si pongono è: cosa fare ora?

La prima considerazione è evitare l'immobilismo. Aspettare l'esito finale del processo legislativo senza fare nulla potrebbe rivelarsi un errore. Le modifiche, anche se approvate in forma emendata, avranno comunque un impatto. E anche se alcune proposte dovessero essere rigettate, il solo dibattito pubblico sta già influenzando le aspettative degli utenti e le prassi di mercato.

La seconda considerazione è evitare l'approccio opposto: modifiche precipitose ai processi aziendali basandosi su bozze che potrebbero cambiare radicalmente. Il rischio è di trovarsi in una situazione di non conformità rispetto al quadro normativo finale.

Cosa fare, allora? La risposta sta in un percorso di analisi strategica piuttosto che in azioni operative immediate.

Innanzitutto, è il momento giusto per mappare in modo accurato i trattamenti di dati personali che l'azienda effettua attualmente. Non si tratta di un esercizio formale, ma di capire concretamente quali dati vengono raccolti, per quali finalità, con quali basi giuridiche, e chi vi ha accesso. Molte PMI hanno adottato il GDPR in modo reattivo nel 2018, creando documentazione che nel tempo è diventata obsoleta o è rimasta sulla carta senza riflettere la realtà operativa.

In secondo luogo, vale la pena valutare l'utilizzo attuale o previsto di strumenti di intelligenza artificiale. Se l'azienda sta già utilizzando chatbot, sistemi di raccomandazione, analisi predittive o altre forme di AI, è necessario verificare come vengono gestiti i dati di training. Se l'azienda sta valutando l'adozione di tali strumenti, è il momento di considerare le implicazioni privacy non come un vincolo da aggirare, ma come un elemento di progettazione.

Terzo punto: analizzare l'attuale gestione dei cookie e del tracciamento online. Molte PMI italiane utilizzano strumenti di analytics, pixel di tracciamento per campagne pubblicitarie, sistemi di remarketing. La maggior parte di questi strumenti si basa attualmente sul consenso opt-in. Se il Digital Omnibus dovesse introdurre un regime di opt-out, quali sarebbero le implicazioni pratiche? È possibile documentare un legittimo interesse per ciascuno di questi tracciamenti? E soprattutto, come comunicarlo agli utenti in modo trasparente?

Infine, è fondamentale non sottovalutare la complessità interpretativa. Il GDPR è già una normativa complessa, che richiede un bilanciamento continuo tra esigenze operative e tutela dei diritti. Le modifiche proposte dal Digital Omnibus introducono nuove sfumature, nuove eccezioni, nuove zone grigie. L'idea che la semplificazione amministrativa si traduca automaticamente in minori responsabilità è fuorviante.

## Perché il fai-da-te può costare caro

Un errore frequente tra le PMI è quello di affrontare la compliance privacy con un approccio da checklist. Si cerca un template online, si compila un'informativa, si crea un registro dei trattamenti, e si considera chiuso il capitolo. Questo approccio poteva funzionare – con molti limiti – in un contesto normativo stabile. In una fase di transizione come quella che ci aspetta con il Digital Omnibus, diventa rischioso.

Il rischio principale non è tanto la sanzione immediata – il Garante Privacy italiano ha storicamente privilegiato un approccio educativo verso le PMI, purché dimostrassero buona fede e impegno nella conformità. Il rischio vero è quello di trovarsi in una situazione di non conformità strutturale che emerge solo quando è troppo tardi: durante un data breach, in seguito a un reclamo di un cliente, o nel contesto di un'ispezione.

Consideriamo il caso di un'azienda che decide autonomamente di adottare un modello di opt-out per i cookie, interpretando le bozze del Digital Omnibus come un via libera. Ma non documenta adeguatamente il legittimo interesse, non aggiorna l'informativa privacy, non prevede modalità chiare per l'opposizione dell'utente. Se il testo finale del Digital Omnibus dovesse introdurre requisiti più stringenti rispetto alle bozze, l'azienda si troverebbe esposta. Se invece il testo finale dovesse confermare l'opt-out ma il Garante italiano dovesse richiedere comunque trasparenza e facilità di opposizione, l'azienda potrebbe comunque essere contestata.

Oppure prendiamo il caso dell'intelligenza artificiale. Un'azienda decide di addestrare un modello di AI utilizzando i dati dei clienti, basandosi sul legittimo interesse previsto dal Digital Omnibus. Ma non effettua una valutazione d'impatto, non considera le aspettative ragionevoli dei clienti, non prevede meccanismi di opposizione. Anche se la base giuridica fosse formalmente valida secondo la nuova normativa, l'assenza di un approccio sostanziale alla protezione dati potrebbe comunque costituire una violazione.

Il punto è che la compliance privacy non è solo una questione di conformità formale a norme scritte. È una questione di gestione del rischio, di fiducia con i clienti, di reputazione aziendale. E soprattutto, è una questione in cui l'errore interpretativo può avere conseguenze significative: le sanzioni GDPR possono arrivare fino al 4% del fatturato annuo globale o 20 milioni di euro, a seconda di quale sia maggiore.

Per una PMI italiana, anche una sanzione di poche migliaia di euro può avere un impatto rilevante. Ma al di là della sanzione economica, c'è il danno reputazionale. Un'azienda sanzionata per violazione della privacy in un mercato sempre più attento a questi temi rischia di perdere clienti e opportunità commerciali.

## Semplificazione vera o complessità mascherata?

Il Digital Omnibus rappresenta un tentativo ambizioso di modernizzare il quadro normativo europeo sulla protezione dati. L'intento dichiarato – alleggerire gli oneri burocratici per le PMI e favorire l'innovazione – è condivisibile. Ma la distanza tra l'intento e l'effetto pratico è ancora tutta da verificare.

Per le PMI italiane, il messaggio chiave è: la semplificazione normativa non equivale a una semplificazione delle responsabilità. Anzi, in molti casi, introduce nuove sfide interpretative e nuove aree di rischio. Il passaggio da un regime di consenso opt-in a uno di opt-out per i cookie, l'introduzione del legittimo interesse per il training AI, la ridefinizione dei dati sensibili: tutte queste modifiche richiedono una comprensione approfondita delle implicazioni pratiche.

Nei prossimi mesi, man mano che il processo legislativo europeo procederà, emergeranno chiarimenti, linee guida, interpretazioni da parte delle autorità garanti nazionali. Ma le PMI che iniziano fin da ora a riflettere strategicamente sulle proprie pratiche di gestione dati si troveranno in una posizione di vantaggio. Non solo per evitare sanzioni, ma per costruire un rapporto di fiducia con i propri clienti basato su trasparenza e rispetto dei diritti.

In un mercato in cui la privacy sta diventando un fattore competitivo – i consumatori scelgono sempre più spesso fornitori che dimostrano di prendere sul serio la protezione dei loro dati – investire in una compliance non solo formale ma sostanziale non è più un costo, ma un investimento strategico.

La strada più sicura, in questo contesto di transizione normativa, è quella di affidarsi a competenze specialistiche che sappiano integrare conoscenze legali, tecniche e organizzative. Il fai-da-te, in un ambito così delicato e in evoluzione, rischia di trasformarsi in un boomerang. La semplificazione vera passa attraverso la comprensione profonda della complessità, non attraverso la sua negazione.

## Domande frequenti

**Cos'è il Digital Omnibus e cosa cambia per le imprese?**
È il pacchetto di modifiche normative presentato dalla Commissione Europea il 19 novembre 2025 per semplificare il quadro sulla protezione dei dati. L'obiettivo dichiarato è ridurre la frammentazione e gli oneri burocratici, ma le modifiche toccano pilastri del GDPR e introducono nuove responsabilità interpretative per le aziende.

**Il Digital Omnibus elimina il consenso per i cookie?**
La proposta sposta la disciplina dei cookie dalla direttiva ePrivacy al GDPR, introducendo di fatto un regime di opt-out al posto dell'opt-in. Per molte PMI questo potrebbe ridurre l'obbligo dei banner di consenso, ma non elimina la necessità di documentare il trattamento e di rispettare le scelte degli utenti.

**Come cambia l'uso dei dati personali per addestrare l'intelligenza artificiale?**
La proposta ammette il legittimo interesse come base giuridica per l'addestramento dei modelli. Questo amplia lo spazio di manovra delle aziende che possiedono dati, ma richiede una valutazione documentata del bilanciamento tra interessi aziendali e diritti degli interessati: non è una formalità.

**Cosa cambia per i dati sensibili?**
Il Digital Omnibus restringe la protezione ai soli dati che rivelano direttamente le categorie dell'articolo 9 del GDPR. I dati da cui informazioni sensibili possono essere inferite da un algoritmo ricadrebbero in una zona grigia, mentre proprio la capacità di inferenza dei sistemi moderni è cresciuta molto.

**Cosa deve fare ora una PMI italiana?**
Non conviene né aspettare senza fare nulla né modificare i processi su bozze che possono cambiare. La strada utile è mappare i trattamenti, verificare gli strumenti di intelligenza artificiale già in uso e analizzare la gestione attuale di cookie e tracciamento, in attesa delle linee guida delle autorità.