Il Consiglio dell’Unione europea ha approvato il 21 ottobre la propria posizione negoziale sull’Omnibus VII, il pacchetto che modifica regole su protezione dei dati, cookie, servizi di intermediazione e segnalazione degli incidenti informatici. Non è ancora legge: il mandato consente alla presidenza del Consiglio di negoziare con il Parlamento europeo quando quest’ultimo avrà adottato la sua posizione.
Sul GDPR, il Consiglio mantiene l’attuale definizione di dato personale e introduce un chiarimento sulla pseudonimizzazione e sull’identificazione di una persona. L’obiettivo dichiarato è ridurre l’incertezza per imprese e amministrazioni senza abbassare le tutele fondamentali. Sono previste semplificazioni per richieste manifestamente infondate o eccessive e per alcuni obblighi informativi in situazioni a basso rischio.
Il mandato propone una definizione basata su principi della ricerca scientifica e deroghe mirate ad alcuni adempimenti. Aggiunge però salvaguardie alla possibilità di trattare dati sensibili per la verifica biometrica e per lo sviluppo o il funzionamento di sistemi di intelligenza artificiale. Anche le basi giuridiche del trattamento vengono chiarite, mantenendo l’obbligo di protezioni adeguate.
Il Consiglio sostiene inoltre l’allungamento del termine per notificare le violazioni di dati personali, senza quantificarlo nel comunicato, e propone un elenco unico europeo dei trattamenti considerati ad alto rischio. Modelli comuni dovrebbero ridurre differenze fra autorità e costi di conformità, soprattutto per organizzazioni che operano in più Stati membri.
Per i cookie, la linea conserva l’impianto della direttiva ePrivacy ma amplia e chiarisce i casi in cui il consenso non è necessario. Gli esempi indicati comprendono i cookie indispensabili a fornire un servizio, quelli per la misurazione del pubblico e quelli necessari alla sicurezza del dispositivo.
La conseguenza attesa è una riduzione dei banner, non la loro eliminazione generale.
Sul fronte cyber, la proposta originaria di un unico punto europeo viene sostituita da un punto di ingresso nazionale in ogni Stato membro. Le imprese potrebbero così usare un canale coordinato per notificare eventi richiesti da diverse norme europee. A livello UE sarebbe creato un punto informativo, insieme a regole armonizzate per gli incidenti transfrontalieri.
Il pacchetto riordina anche le norme sull’altruismo dei dati e sui servizi di intermediazione. Gli enti pubblici potrebbero applicare condizioni diverse e tariffe più alte alle imprese molto grandi, in particolare ai gatekeeper. Per i segreti commerciali, la divulgazione dovrebbe avvenire solo dopo che titolare e utilizzatore abbiano adottato tutte le misure necessarie a proteggerne la riservatezza.
Il punto pratico è che nessun banner o modulo di segnalazione cambia immediatamente in seguito al voto del Consiglio. Il testo può ancora essere modificato nel trilogo e dovrà poi completare l’iter legislativo. Per aziende e pubbliche amministrazioni, la posizione del 21 ottobre segnala però quali semplificazioni gli Stati sono pronti a difendere nel negoziato finale.
La verifica decisiva riguarderà l’equilibrio tra minori costi e diritti effettivi. Un’esenzione dal consenso utile a misurare il pubblico non autorizza automaticamente il tracciamento pubblicitario, così come la pseudonimizzazione non trasforma sempre i dati in informazioni anonime. Queste distinzioni resteranno centrali nel confronto con il Parlamento.