Il 10 febbraio 2026 il Comitato europeo per la protezione dei dati (European Data Protection Board – EDPB) e il Garante europeo della protezione dei dati (European Data Protection Supervisor – EDPS) hanno adottato un secondo parere congiunto sulla proposta della Commissione europea volta a semplificare alcune disposizioni del quadro normativo digitale dell’Unione.
A differenza del primo parere, adottato in data 20 gennaio 2026 e dedicato all’attuazione delle norme in materia di intelligenza artificiale, questo secondo documento si concentra sulle modifiche prospettate al General Data Protection Regulation (GDPR), al Regulation (EU) 2018/1725 e alla ePrivacy Directive.
Nel parere, EDPB ed EDPS esprimono una valutazione complessivamente positiva di alcune parti della proposta, ritenendo che talune modifiche possano contribuire a rafforzare l’armonizzazione, la coerenza e la certezza del diritto.
Tra gli aspetti accolti favorevolmente rientrano, in particolare, le modifiche relative alla ricerca scientifica. Le Autorità chiariscono che, qualora dati personali raccolti per una determinata finalità siano successivamente utilizzati per finalità di ricerca scientifica, il titolare del trattamento non è tenuto a svolgere la valutazione di compatibilità normalmente richiesta dal GDPR in caso di cambiamento di finalità.
Un ulteriore apprezzamento riguarda la nuova eccezione al divieto di trattamento delle categorie particolari di dati per finalità di autenticazione biometrica, a condizione che i mezzi di verifica rimangano sotto il controllo esclusivo dell’interessato.
Le Autorità accolgono poi con favore anche alcune modifiche in materia di notifiche di violazioni dei dati personali e di valutazioni d’impatto sulla protezione dei dati (DPIA), tra cui l’innalzamento della soglia che fa scattare l’obbligo di notifica e l’estensione dei termini previsti. Positiva è anche la previsione di modelli e liste comuni per le notifiche di data breach e per la conduzione delle DPIA.
Accanto a questi elementi, tuttavia, il parere esprime rilevanti perplessità su alcune proposte della Commissione europea. In particolare, la principale critica riguarda la revisione della definizione di “dato personale”.
La proposta di Digital Omnibus introduce infatti un nuovo paragrafo dedicato alla definizione di dato personale, secondo cui la qualificazione di un’informazione come tale dipenderebbe dalla concreta possibilità, per il soggetto che la detiene, di identificare l’interessato sulla base dei mezzi ragionevolmente a sua disposizione. Inoltre, viene precisato che l’informazione non diverrebbe dato personale per quel soggetto per il solo fatto che un eventuale destinatario successivo possa essere in grado di identificare la persona cui si riferisce.
Secondo le Autorità, le modifiche proposte rischierebbero di restringere la nozione di dato personale e di incidere negativamente sul diritto fondamentale alla protezione dei dati. Nel parere si legge infatti che “the proposed changes to the definition of personal data would narrow the concept of personal data and would adversely affect the fundamental right to data protection. The proposed changes go far beyond a targeted modification of the GDPR, a ‘technical amendment’ or a mere codification of CJEU jurisprudence. For these reasons the EDPB and the EDPS strongly urge the co-legislators to not adopt the proposed changes to the definition of personal data”.
Secondo il parere congiunto, dunque, un intervento di questo tipo rischierebbe di restringere in modo significativo la nozione di dato personale, con possibili ricadute negative sul livello di tutela garantito agli interessati e con il rischio di aumentare, anziché ridurre, l’incertezza giuridica.
Le Autorità osservano inoltre che una definizione formulata in termini “negativi”, ossia volta a stabilire quando un’informazione non costituisce dato personale, potrebbe contribuire ad accrescere ulteriormente tali incertezze interpretative.