Il 2026 si chiude con una serie di novità sulla protezione dei dati che riguardano da vicino anche le partite IVA e le piccole imprese. Il Consiglio dell'Unione europea ha definito la propria posizione sul Digital Omnibus, una proposta di modifica parziale del GDPR pensata per ridurre gli oneri burocratici, ormai in una fase avanzata.
Il punto più atteso riguarda il registro dei trattamenti previsto dall'articolo 30 del GDPR. La proposta mira a estendere l'esenzione dall'obbligo anche alle aziende Small Mid-Cap, cioè fino a 750 dipendenti e con un fatturato inferiore a 150 milioni di euro, a condizione che non effettuino trattamenti ad alto rischio. Si punta inoltre a regole più snelle e a procedure coordinate per la gestione dei cookie e delle notifiche di data breach.
Sul piano nazionale è entrato in vigore il Dlgs 179/2026, con cui l'Italia adegua il proprio ordinamento per far dialogare il GDPR con il nuovo regolamento europeo sull'intelligenza artificiale. Chi usa sistemi di AI e machine learning per trattare dati personali deve garantire massima trasparenza e la spiegabilità dei processi decisionali automatizzati. Nel frattempo le autorità, Garante italiano compreso, hanno intensificato controlli e sanzioni sulle piattaforme di IA generativa, in particolare per la raccolta di dati usati nel pre-training dei modelli e per l'assenza di adeguati sistemi di verifica dell'età.
La novità più concreta per chi gestisce una newsletter o invia comunicazioni ai clienti arriva però dal Garante, che ha pubblicato le attese linee guida sui tracking pixel fissando scadenze tassative per l'adeguamento. L'inserimento di pixel traccianti nelle e-mail non è più tollerato in modo generalizzato, nemmeno per le comunicazioni di servizio o transazionali. Tracciare le interazioni dell'utente, come l'apertura del messaggio o il clic sui link, richiede una verifica rigorosa e l'effettivo consenso, salvo che il tracciamento sia strettamente indispensabile alla sicurezza informatica della trasmissione.
Crescono infine le tutele per i cittadini. Il diritto all'oblio si estende alle richieste di cancellazione e rimozione dei dati, in particolare dalle piattaforme online e dai database di addestramento dell'IA, con flussi operativi più rapidi. La portabilità diventa più semplice, grazie al trasferimento dei dati personali in formati strutturati e interoperabili da un fornitore all'altro.
Che cosa fare, in concreto? Il primo passo è controllare gli strumenti di invio delle e-mail e verificare se utilizzano pixel di tracciamento, valutando consenso e informativa. Il secondo è mappare i software di IA usati con dati dei clienti, il terzo è preparare una procedura per cancellazione e portabilità.
SU