Il Comitato Europeo per la protezione dei dati (EDPB) e il Garante Europeo della protezione dei dati (EDPS) (congiuntamente, le Autorità) hanno elaborato un parere congiunto sulla proposta di regolamento Digital Omnibus proposto dalla Commissione Europea che mira a  semplificare il quadro normativo UE (tra cui tra cui il GDPR, il Regolamento sul Gateway Digitale Unico, l’EUDPR, la Data Act, la Direttiva ePrivacy, la Direttiva sulla cybersicurezza, la NIS 2 e la Legge sulla governance dei dati), ridurre gli oneri amministrativi e rafforzare la competitività tra le imprese.

Le autorità sostengono la semplificazione e l’integrazione delle norme ma esprimono preoccupazione in merito ad alcune modifiche che potrebbero ridurre  il livello di tutela dei dati personali e creerebbero incertezza giuridica, chiedendo quindi maggiore chiarezza, garanzie e rispetto dell’equilibrio tra innovazione e diritti fondamentali.

Nello specifico, si oppongono con decisione alla revisione della definizione di dato personale, ritenuta troppo ampia e non conforme alla giurisprudenza della Corte di giustizia dell'Unione europea (CGUE), come anche rifiutano  che la Commissione possa decidere, tramite atti di esecuzione, quando dati pseudonimizzati non siano più personali.

Tra le iniziative che invece vengono accolte favorevolmente, anche se con qualche riserva, citiamo:

- l'uso dell’interesse legittimo nello sviluppo di sistemi di IA: in questo caso non serve una nuova norma, ma criteri più chiari e rafforzamento del diritto di opposizione;

- l’armonizzazione della nozione di “ricerca scientifica”, chiedendo però maggiore precisione quando si parla di metodo sistematico, indipendenza, risultati verificabili;

- liste e modelli DPIA armonizzati a livello UE, a condizione che siano sviluppati e approvati dall’EDPB per garantire indipendenza e flessibilità;

- semplificazioni, a livello tecnologico, per ridurre la “stanchezza del consenso” e i banner cookie, ad esempio tramite segnali automatizzati leggibili da macchina

- modelli comuni per la segnalazione di data breach (estendendo il termine da 72 a 96 ore ) e valutazioni d’impatto, a patto sempre che vengano adottati dall’EDPB e non siano modificabili unilateralmente dalla Commissione.

Il parere non è vincolante, ma sarà considerato nei negoziati tra Commissione, Parlamento e Consiglio per arrivare a un testo definitivo, che entrerà in vigore dopo l’adozione e la pubblicazione ufficiale.

‍