Il GDPR compie otto anni: lezioni apprese e prossimi passi

Otto anni della legge sulla privacy più influente al mondo

Il 25 maggio 2018 il Regolamento generale sulla protezione dei dati è diventato applicabile in tutta l’Unione europea. Otto anni dopo, il GDPR è diventato la normativa tecnologica di maggiore impatto della storia: non perché sia perfetto, ma perché ha cambiato radicalmente il dibattito globale sulla protezione dei dati, sulla responsabilità delle imprese e sui diritti individuali nell’era digitale.

I numeri raccontano parte della storia. Al 1° marzo 2026 le autorità europee per la protezione dei dati avevano inflitto sanzioni per circa 6,1 miliardi di euro in oltre 2.600 decisioni registrate, secondo il CMS GDPR Enforcement Tracker Report 2026. La sola Meta è stata multata per oltre 2,5 miliardi di euro per diverse violazioni. Amazon, Google, TikTok e decine di altre aziende hanno ricevuto sanzioni che vanno da qualche migliaio a centinaia di milioni di euro. Ma il vero impatto del GDPR va ben oltre le sanzioni.

Cosa ha funzionato

Definizione di uno standard globale: il risultato più significativo del GDPR è forse la sua influenza extraterritoriale. La LGPD brasiliana, le modifiche all’APPI giapponese, gli aggiornamenti della PIPA sudcoreana, il DPDP Act indiano e decine di altre leggi nazionali sulla privacy si sono ispirati direttamente ai principi del GDPR. Il regolamento ha creato una base globale per la protezione dei dati che prima non esisteva.

Cambiamento dei comportamenti aziendali: prima del GDPR, la maggior parte delle aziende trattava i dati personali come una risorsa gratuita da raccogliere, combinare e monetizzare senza vincoli significativi. Il GDPR ha introdotto la responsabilizzazione (accountability) come obbligo di legge. Oggi le aziende nominano Responsabili della protezione dei dati (DPO), svolgono valutazioni d’impatto sulla protezione dei dati e tengono registri delle attività di trattamento: non per buona volontà, ma perché la legge lo impone e le sanzioni per la non conformità sono concrete.

Consapevolezza dei diritti individuali: diritto di accesso, diritto alla cancellazione, diritto alla portabilità dei dati: prima del GDPR erano astrazioni giuridiche poco conosciute. Oggi i cittadini europei esercitano abitualmente questi diritti. Le richieste di accesso dell’interessato sono diventate uno strumento standard con cui le persone capiscono e controllano come vengono usati i loro dati.

Privacy by design: l’obbligo del GDPR di integrare la protezione dei dati nei sistemi fin dall’inizio, anziché aggiungerla a posteriori, ha influenzato il modo in cui i prodotti vengono progettati e sviluppati in tutto il settore tecnologico a livello mondiale.

Cosa non ha funzionato

Applicazione disomogenea: la principale debolezza strutturale del GDPR è stata la dipendenza da autorità nazionali per la protezione dei dati con risorse, priorità e indipendenza politica molto diverse. La Data Protection Commission irlandese, che vigila sulla maggior parte delle grandi aziende tecnologiche statunitensi perché queste hanno la sede europea a Dublino, è stata più volte criticata per la lentezza delle indagini e per un’applicazione troppo indulgente. Il meccanismo dello sportello unico (one-stop-shop), pensato per semplificare i casi transfrontalieri, ha spesso creato colli di bottiglia anziché efficienza.

Carenza di risorse delle autorità: molte autorità nazionali restano cronicamente sottofinanziate. Il divario tra gli ambiziosi requisiti del GDPR e le risorse disponibili per farli rispettare è stato uno dei problemi più persistenti del regolamento. Le autorità più piccole semplicemente non sono in grado di affrontare multinazionali con budget legali illimitati.

Stanchezza da consenso ai cookie: i banner di consenso ai cookie sono diventati la manifestazione più visibile, e più criticata, del GDPR. Sebbene i requisiti di consenso del regolamento siano validi in linea di principio, la loro attuazione tramite pop-up pieni di dark pattern ha generato stanchezza negli utenti e danneggiato la percezione pubblica della regolamentazione sulla privacy. Si tratta in gran parte di un fallimento nell’applicazione contro i design di consenso manipolativi, più che di un fallimento del regolamento in sé.

Oneri di conformità per le PMI: le piccole e medie imprese hanno sostenuto un onere di conformità sproporzionato rispetto al rischio effettivo dei loro trattamenti di dati. L’approccio uguale per tutti del regolamento è stato criticato perché applica lo stesso quadro a una startup di due persone e a un data broker multinazionale.

L’influenza del GDPR sulle normative più recenti

Il GDPR è stato la prima ondata. I suoi principi e il suo modello di applicazione hanno plasmato direttamente la successiva regolamentazione digitale dell’UE:

L’AI Act si basa sull’approccio fondato sul rischio del GDPR ed estende i requisiti di governance dei dati ai set di dati di addestramento dell’IA. Il Digital Markets Act incorpora i principi di consenso del GDPR nelle regole sulla concorrenza tra piattaforme, vietando ai gatekeeper di combinare i dati personali tra servizi senza consenso esplicito. Il Data Act estende i principi di portabilità che il GDPR ha stabilito per i dati personali ai dati non personali industriali e dell’IoT.

Ogni nuovo regolamento rafforza ed estende i principi fondamentali del GDPR, creando un quadro europeo complessivo di governance digitale molto più coerente e ambizioso di qualsiasi iniziativa paragonabile nel mondo.

Come potrebbe essere un GDPR 2.0

La revisione non è più un’ipotesi. A novembre 2025 la Commissione europea ha proposto modifiche mirate al GDPR nell’ambito del pacchetto “Digital Omnibus”, e nello stesso mese l’UE ha adottato un regolamento separato che armonizza le procedure di applicazione transfrontaliera. A ottobre 2026 le modifiche dell’Omnibus sono ancora in fase di negoziato tra Parlamento europeo e Consiglio, e alcune di esse, in particolare una definizione più ristretta di dati personali, incontrano l’opposizione dell’EDPB e dell’EDPS. I temi principali:

Applicazione armonizzata: il regolamento (UE) 2025/2518 fissa regole procedurali comuni per i casi transfrontalieri: ricevibilità armonizzata dei reclami, un termine di 15 mesi (prorogabile di 12) per il progetto di decisione dell’autorità capofila e una procedura semplificata per i casi semplici. Si applica da aprile 2027 e mantiene il meccanismo dello sportello unico, ma mira a evitare che diventi un collo di bottiglia.

Conformità semplificata: l’Omnibus propone obblighi amministrativi più leggeri, tra cui modelli e metodologie della Commissione per le valutazioni d’impatto sulla protezione dei dati, un punto unico di notifica per gli incidenti di sicurezza e la notifica alle autorità solo delle violazioni di dati ad alto rischio, entro 96 ore anziché 72.

Riforma del consenso: l’Omnibus sposterebbe le regole sui cookie nel GDPR, consentirebbe il rifiuto con un solo clic, vieterebbe ai siti di chiedere di nuovo il consenso per sei mesi dopo una scelta e aprirebbe la strada a segnali automatici e leggibili dalle macchine inviati dal browser, al posto dei pop-up su ogni singolo sito.

IA e processi decisionali automatizzati: la proposta riconoscerebbe il legittimo interesse come possibile base giuridica per sviluppare e utilizzare sistemi di IA e chiarirebbe quando le decisioni automatizzate di cui all’articolo 22 sono consentite: modifiche che i critici considerano un indebolimento di tutele scritte nel 2016, molto prima dei moderni sistemi di IA.

L’eredità a otto anni

Il GDPR è imperfetto. La sua applicazione è disomogenea, l’onere di conformità per le piccole imprese è eccessivo e l’attuazione del consenso ai cookie è ampiamente detestata. Ma, misurato rispetto ai suoi obiettivi fondamentali, cioè sancire diritti fondamentali sui dati personali, rendere le aziende responsabili delle proprie pratiche sui dati e creare uno standard globale per la tutela della privacy, il GDPR ha avuto successo oltre quanto la maggior parte degli osservatori si aspettasse quando è entrato in vigore nel 2018.

Il mondo prima del GDPR era un mondo in cui le aziende raccoglievano dati personali senza limiti, li conservavano senza sicurezza, li condividevano senza consenso e non subivano conseguenze significative quando qualcosa andava storto. Quel mondo in Europa non esiste più e, sempre di più, non esiste più da nessuna parte. È questa l’eredità del GDPR a otto anni, ed è un’eredità su cui vale la pena costruire.