Alla fine dello scorso maggio, la Commissione Europea ha presentato una proposta di riforma del Regolamento UE 679/2016 (“GDPR”) con l’obiettivo principale di “alleggerire gli oneri amministrativi, a ridurre o eliminare le barriere all’ingresso nel mercato, a facilitare la conformità, a considerare la situazione specifica delle PMI nell’attuazione degli obblighi e nella valutazione dell’impatto economico e sociale di tali obblighi, a fornire orientamenti, sostegno e assistenza specifici alle PMI”.
I destinatari di tale proposta di riforma vanno individuati nelle c.d. small mid-cap enterprises (“SMC”), per esse intendendosi aziende con un numero di dipendenti inferiore a 750 e un fatturato annuo inferiore alla soglia di € 150.000.000: pur non essendo più qualificabili quali PMI in senso stretto, non dispongono tuttavia della struttura tipica delle grandi imprese.
Tale proposta si inscrive nel solco di un più ampio spettro di azioni tese a facilitare e incentivare lo sviluppo delle SMC che ha preso avvio a partire dal 2 settembre 2023, quando la Commissione Europea ha presentato un pacchetto di misure di sostegno alle PMI, al dichiarato fine di rafforzare la loro capacità di competere e crescere, ma anche di riuscire a venire incontro alle esigenze delle imprese che superano le soglie tradizionali della definizione di PMI, e, in generale, delle piccole imprese a media capitalizzazione, anche tramite l’applicazione di alcune misure già in essere in favore delle PMI in senso stretto.
Entrando nello specifico nel merito dei profili privacy e data protection oggetto della proposta, va anzitutto segnalata l’introduzione, all’art. 4 GDPR, di una nuova definizione di SMC tramite richiamo alla Raccomandazione della Commissione europea del 21 maggio 2025 che individua le SMC in quelle imprese che occupano meno di 750 persone e hanno un fatturato annuo non superiore a 150 milioni di euro o un bilancio annuo totale non superiore a 129 milioni di euro.
La proposta prevede, inoltre, l’elevamento a 750 dipendenti del limite di esenzione dalla tenuta del registro delle attività di trattamento di cui all’art. 30 GDPR, attualmente fissato a 250 dipendenti. Rimarrebbe, comunque, l’obbligo in caso di trattamenti suscettibili di comportare un alto rischio per i diritti e le libertà degli interessati.
Ancora, con la Proposta di modifica si aggiungerebbe un riferimento anche alle SMC agli articoli 40 e 42 GDPR relativi rispettivamente a codici di condotta e certificazioni e attualmente riferiti solo alle PMI.
Tali disposizioni del GDPR prevedono e incoraggiano (i) l’elaborazione (anche per il tramite di associazioni di settore) e adesione di codici di condotta volti a garantire in modo più pregnante il rispetto del GDPR e (ii) l’istituzione di meccanismi di certificazione e simili (marchi, sigilli, ecc.) che dimostrino la conformità del trattamento al GDPR.
Si tratta, in altri termini, di strumenti che possono contribuire ad accertare la conformità di un soggetto al GDPR. Gli articoli 40 e 42 del GDPR oggi fanno uno specifico riferimento alle PMI: la proposta intenderebbe, pertanto, tenere conto delle esigenze delle SCM anche in tali ambiti.
I primi commenti a tale proposta hanno già evidenziato un elemento di non poco conto: benché, infatti, ci si riferisca alla stessa alla stregua di una “riforma” del GDPR, gli interventi in essa contenuti non toccano che una minima parte del testo normativo, senza alcuna modifica complessiva o strutturale. Ciò potrebbe determinare una poca incisività della proposta.
Resta, tuttavia, il fatto che un intervento di semplificazione e di deburocratizzazione sia certamente necessario (o quantomeno auspicabile).