Le iniziative di semplificazione in Europa sono tutt’altro che semplici e da ultimo lo testimonia lo sforzo compiuto – ed in parte ancora in corso – dalle istituzioni dell’Unione sul cd. Digital Package o Digital Omnibus.Il punto di arrivo della semplificazione dovrebbe essere un quadro normativo che le imprese possano concretamente applicare.Indice degli argomenti
Digital Omnibus: origine, iter e stallo sulle modifiche a GDPR ePrivacyI tempiDigital Omnibus e GDPR: semplificazione o deregolamentazione?Digital Omnibus: impatti su digitale e pubblicitàArticolo 88 bis e consenso: criticità operativeBrowser-level consent: limiti per GDPR, utenti e concorrenzaGli impatti economiciEsenzioni al consenso e pubblicità contestualeDigital Omnibus, cookie e semplificazioneNoteDigital Omnibus: origine, iter e stallo sulle modifiche a GDPR ePrivacyFacendo un passo indietro è opportuno ricordare da dove nasce questa iniziativa, ossia dalle raccomandazioni contenute nel c.d. Report Draghi (“The Future of European Competitiveness”, del 9 settembre 2024). In tale rapporto, Mario Draghi, ha evidenziato la necessità per l’Europa di colmare il divario accumulato nello sviluppo e nell’impiego dell’intelligenza artificiale, riconducibile, almeno in parte, alla complessità del quadro normativo europeo e al rischio di sovrapposizioni e incoerenze tra il Regolamento UE 2016/679 (“GDPR”) e il Regolamento (UE) 2024/1689 (“AI Act”).Rispondendo a questo stimolo, il 19 novembre 2025 la Commissione ha proposto il Digital Package, un pacchetto di proposte di regolamenti volto alla semplificazione del quadro normativo digitale, con due principali azioni: (i) il Regolamento (UE) 2026/1744 che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell’attuazione di regole armonizzate sull’intelligenza artificiale (“Omnibus digitale sull’AI”) e (ii) la proposta di regolamento del Parlamento europeo e del Consiglio che modifica i regolamenti (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 e (UE) 2023/2854 e le direttive 2002/58/CE (di seguito, la “Direttiva ePrivacy”), (UE) 2022/2555 e (UE) 2022/2557 per quanto riguarda la semplificazione del quadro legislativo nel settore digitale e che abroga i regolamenti (UE) 2018/1807, (UE) 2019/1150 e (UE) 2022/868 e la direttiva (UE) 2019/1024 (di seguito, “Omnibus Digitale”).I tempiCon riferimento all’Omnibus digitale sull’AI, è importante rilevare che il relativo iter legislativo è stato caratterizzato da tempistiche quasi record[1], anche in considerazione della scadenza del 2 agosto 2026, data a partire dalla quale, in assenza dell’intervento di modifica, sarebbero divenute applicabili diverse disposizioni dell’AI Act. Il Regolamento (UE) 2026/1744 è stato infatti pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed è entrato in vigore il 27 luglio, intervenendo così in tempo utile per impedire che operasse la precedente scadenza del 2 agosto.Ben diverso è il destino dell’Omnibus Digitale che, a fronte della proposta presentata dalla Commissione europea il 19 novembre 2025, è tuttora oggetto di discussione e sembra destinato a seguire un iter di medio-lungo periodo. I lavori sul testo sono infatti ancora in corso sia in sede di Consiglio sia presso il Parlamento europeo. In particolare, il 15 luglio 2026 è scaduto il termine per la presentazione degli emendamenti da parte degli eurodeputati. Parallelamente, la Presidenza irlandese del Consiglio ha avviato l’esame della proposta, convocando gli Stati membri per affrontare le questioni rimaste irrisolte durante la precedente Presidenza cipriota. Tra i temi in discussione figurerebbero anche le modifiche alla disciplina dei cookie, derivante dalla Direttiva ePrivacy. Un nuovo testo di compromesso del Consiglio dovrebbe essere presentato e discusso nel corso del mese di settembre.Digital Omnibus e GDPR: semplificazione o deregolamentazione?Prima di entrare sul merito delle proposte dell’Omnibus Digitale, è opportuno soffermarsi sulla critica, ancorata allo status costituzionale della protezione dei dati, che emerge ogni qualvolta se ne propone una modifica[2]. Questo tipo di posizione sostiene ad esempio che modifiche al GDPR potrebbero determinare un arretramento sostanziale di tutele conquistate con difficoltà, generare tensioni con i diritti fondamentali e compromettere la coerenza dell’intero acquis normativo digitale dell’Unione; l’Omnibus Digitale non sarebbe quindi un necessario intervento “tecnico” di semplificazione, ma piuttosto un potenziale fattore di destabilizzazione di un quadro regolatorio ormai relativamente consolidato.D’altra parte, in parallelo, da tempo vengono sollevate critiche anche rispetto all’effettiva applicazione dell’attuale disciplina in materia di protezione dei dati, che presenta non poche difficoltà. Non va trascurato, inoltre, il fattore temporale: alcune delle principali disposizioni oggi al centro del dibattito risalgono a un contesto tecnologico profondamente diverso da quello attuale. Basti pensare alla direttiva ePrivacy, adottata nel 2002 e modificata nel 2009, al momento della sua entrata in vigore non esistevano ancora, almeno nelle forme e con la diffusione che conosciamo oggi, smartphone, app, smart TV, dispositivi wearable e social network: tutti gli ambienti dove ad oggi avviene la maggior parte dei trattamenti di dati personali legati ai tracciamenti e ai cookie.Si tratta, inoltre, di una materia indubbiamente caratterizzata da incertezze rispetto a concetti fondamentali, in primis la nozione di “dato personale” – oggetto anch’essa di revisione nell’ambito dell’Omnibus Digitale – nonché la crescente sovrapposizione con regimi normativi contigui (da ultimo, l’AI Act), tutti elementi che portano alla richiesta di riforme importanti e strutturali, reali semplificazioni, per adattare la normativa alle nuove e contingenti esigenze, sociali e tecnologiche.Queste posizioni con toni così polarizzati non aiutano uno sviluppo costruttivo del dibattito su un pacchetto come l’Omnibus Digitale, l’approccio deve essere il più tecnico possibile, nella consapevolezza che solo una maggiore certezza giuridica – ottenibile tramite un’effettiva semplificazione – consente alle imprese di conseguire livelli più elevati di conformità normativa, con benefici ultimi per i cittadini europei, i quali potrebbero così godere di una tutela più solida ed effettiva.Digital Omnibus: impatti su digitale e pubblicitàCome anticipato, l’Omnibus Digitale interviene su un insieme di regolamenti che impattano diversi settori, ma soprattutto la filiera del digitale e della pubblicità, rispetto ai quali, ad oggi, a livello europeo non è stata effettuata alcuna valutazione con riguardo agli impatti economici. Proprio su quest’ultimo profilo, la XIV Commissione Permanente della Camera dei Deputati (Politiche dell’Unione Europea), nell’ambito delle proprie verifiche della conformità al principio di sussidiarietà, ha espressamente formulato rilievi critici sull’assenza di valutazioni di impatto, ribadendo che la scelta della Commissione europea “non appare adeguatamente motivata poiché impedisce una corretta ponderazione degli impatti economici differenziati a carico dei diversi comparti industriali, categorie di imprese e pubbliche amministrazioni, oltre a non risultare pienamente coerente con il Protocollo n. 2 allegato ai Trattati”[3].In qualità di associazione rappresentativa di uno dei settori maggiormente interessati dalle proposte in esame, IAB Italia[4] ha avviato diversi confronti costruttivi volti a condividere riflessioni e contributi tecnici in merito all’impatto che l’Omnibus Digitale potrebbe determinare sull’ecosistema digitale e pubblicitario italiano, nonché sui modelli di sostenibilità economica dei contenuti editoriali e dell’informazione online. Inoltre, insieme ad altre sette tra le principali associazioni rappresentative dell’ecosistema digitale italiano, ha inviato al Governo italiano una lettera[5] esprimendo preoccupazione rispetto ad alcune misure proposte dalla Commissione.Le previsioni del testo della Commissione e del testo di compromesso del Consiglio destinate – più delle altre – a creare importanti difficoltà per l’intero comparto del digitale sono quelle che introdurrebbero nel GDPR gli articoli 88 bis e 88 ter, nonché quelle che intervengono sull’articolo 5, paragrafo 3, della Direttiva ePrivacy.Articolo 88 bis e consenso: criticità operativeLe modalità operative per la raccolta del consenso previste al paragrafo 4 dell’articolo 88 bis del Testo della Commissione non appaiono concretamente attuabili. L’introduzione di un termine fisso e uniforme per il rinnovo del consenso non può essere implementata in modo coerente e affidabile in contesti tecnici differenti, quali, a titolo esemplificativo, contesti in cui i servizi possono prevedere o meno una registrazione, nonché ambienti mobile, TV connesse o su browser.Tali problematiche tecniche e di interoperabilità si rifletterebbero soprattutto sui diritti degli utenti, ossia proprio sui soggetti che la normativa intende tutelare, rischiando invece di esporli a esperienze frammentate, malfunzionamenti nella gestione delle preferenze e possibili compressioni della libertà e consapevolezza delle scelte espresse.Browser-level consent: limiti per GDPR, utenti e concorrenzaCon riferimento all’articolo 88 ter, lo stesso prevede l’introduzione di un meccanismo di consenso a livello di browser, cd. “browser-level consent” non tenendo adeguatamente conto delle criticità emerse in precedenti iniziative similari, quali il Cookie Pledge del 2023 e la proposta di regolamento ePrivacy del 2017. Tali modelli, infatti, non hanno avuto esito favorevole proprio in ragione della loro incapacità di garantire, nella prassi, un’effettiva semplificazione dell’esperienza utente.In particolare, un consenso raccolto a livello di browser difficilmente può soddisfare i requisiti di specificità e informazione previsti dal GDPR: finalità, titolari e tempi di conservazione variano da servizio a servizio, e gli stessi utenti non compiono scelte uniformi — secondo un’indagine commissionata dalla Commission nationale de l’informatique et des libertés (CNIL)[6], il 69% degli utenti non effettua le medesime scelte di consenso a seconda del servizio utilizzato. A ciò si aggiungono i problemi tecnici degli ambienti multi-dispositivo, dove segnali di consenso in conflitto tra loro rischiano di privare i titolari di una registrazione attendibile del consenso prestato, e un rilevante profilo concorrenziale: affidare ai soli operatori dei browser la gestione dei consensi ne rafforzerebbe il ruolo di gatekeeper, in direzione opposta rispetto alla logica di apertura dei mercati perseguita dal Digital Markets Act.Gli impatti economiciPreoccupa, inoltre, il rischio che le misure in discussione producano rilevanti effetti economici e industriali. È comprovato come l’introduzione di meccanismi di browser-level consent possa compromettere la consapevolezza e la specificità del consenso prestato dagli utenti e determinare, indirettamente, una significativa riduzione dei relativi tassi di consenso. Tale riduzione potrebbe incidere in misura rilevante sull’efficacia dei servizi digitali sostenuti dalla pubblicità, sulla misurazione dell’audience e, più in generale, sulla sostenibilità economica di numerosi operatori dell’economia digitale, inclusi gli editori, con conseguenti ricadute sull’esercizio del diritto di cronaca, sul pluralismo dell’informazione e sul diritto dei cittadini a essere informati.Tali evidenze assumono particolare rilievo anche considerando che modelli analoghi di centralizzazione del consenso sono già stati sperimentati sul mercato, facendo emergere significative criticità tanto sotto il profilo operativo quanto sotto quello concorrenziale[7].Esenzioni al consenso e pubblicità contestualeAffinché la proposta dell’Omnibus Digitale possa effettivamente incidere sul fenomeno della cd. consent fatigue, occorre ampliare il perimetro delle deroghe all’obbligo di consenso. Le attività a basso impatto, infatti, non dovrebbero richiedere il consenso per il solo fatto di avvalersi di cookie o tecnologie analoghe. Dovrebbero rientrare in questa categoria, tra le altre, la gestione delle preferenze privacy degli utenti, compresa la registrazione del consenso e dell’opt-out; le funzionalità connesse ai pagamenti, come i metered paywall e i sistemi di cashback; gli strumenti per la prevenzione delle frodi e gli aggiornamenti di sicurezza; l’impiego di Privacy Enhancing Technologies (PETs); nonché l’erogazione e la misurazione di forme pubblicitarie prive di profilazione, come la pubblicità contestuale.Rispetto a questi ultimi profili, merita evidenziarsi che sia la gestione delle preferenze privacy dell’utente che la pubblicità contestuale sono espressamente raccomandate quali esempi di attività a basso impatto dall’EDPB/EDPS nel loro parere congiunto sul Digital Omnibus[8]. Con particolare riferimento alla pubblicità contestuale, al paragrafo 104, si statuisce:“(…) The EDPB and the EDPS also suggest that the co-legislators consider introducing an additional use case in proposed Article 88a (3) GDPR to provide an incentive to use less intrusive forms of advertising online. Indeed, contextual advertising, which is based on an individual current visit to a single web page or based on a single search query and that involves no retention or link with the individuals past of future activity, is more privacy friendly than behavioural advertising. Although the simple display of contextual advertising does not typically require the use of trackers, such advertising often relies on trackers to measure the performance of advertising campaigns (such as capping cookies, advertising audience measurement cookies, or cookies to combat click fraud). The EDPB and the EDPS consider that such use cases could be considered in the list of cases not requiring consent in Article 88a (3) GDPR. The EDPB and the EDPS therefore invite the co-legislators to consider adding an additional exception in the proposed Article 88a (3) GDPR for contextual advertising, provided that the exception is clearly limited and includes the necessary safeguards to mitigate the risks for the rights and freedoms of individuals. (…)”La pubblicità contestuale non si fonda sulla creazione di profili degli utenti né sul tracciamento degli individui attraverso diversi servizi, ma può richiedere limitate operazioni di archiviazione o accesso alle informazioni per il suo corretto funzionamento. Rientrano in tale ambito, ad esempio, attività quali il frequency capping, volto a evitare che a un medesimo utente sia mostrato ripetutamente lo stesso annuncio in un breve arco temporale, e la misurazione della viewability, necessaria a verificare se un annuncio sia stato effettivamente visualizzato in una porzione visibile dello schermo e per un tempo sufficiente. Tali funzionalità sono essenziali per consentire agli inserzionisti di valutare in modo significativo l’efficacia e le performance dei propri investimenti pubblicitari. In tale prospettiva, la pubblicità contestuale dovrebbe essere riconosciuta quale caso d’uso essenziale e a basso impatto, coerente con l’approccio basato sul rischio del GDPR e supportato dal parere congiunto dell’EDPB e dell’EDPS.Ciò premesso, è opportuno sottolineare che l’esenzione per la pubblicità contestuale può realizzare i benefici connessi alla riduzione dei banner cookie solo a condizione che l’articolo 88 ter del Testo della Commissione sia eliminato, non potendo le due soluzioni coesistere parallelamente.Digital Omnibus, cookie e semplificazioneUna disciplina troppo complessa o frammentata finisce per ostacolare la conformità e, al tempo stesso, per rendere meno chiare le scelte degli utenti: la normativa che disciplina i cookie lo dimostra da anni.Per questo le associazioni di categoria, tra cui IAB Italia, chiedono di non perdere l’occasione dell’Omnibus Digitale: ampliare le esenzioni per le attività a basso impatto, ad esempio, sarebbe una semplificazione reale, non di facciata.Privacy, innovazione e competitività non sono interessi contrapposti, ma il loro equilibrio richiede regole compatibili con il funzionamento concreto dei servizi digitali. Il negoziato che riprenderà a settembre dirà se l’Europa saprà coglierne l’occasione.Note[1] La proposta è stata presentata dalla Commissione europea il 19 novembre 2025; il Consiglio dell’Unione europea ha adottato il proprio mandato negoziale il 13 marzo 2026, seguito dal Parlamento europeo, che il 26 marzo ha approvato gli emendamenti diretti a definirne la posizione negoziale. L’accordo politico provvisorio tra i colegislatori è stato raggiunto il 7 maggio 2026, mentre il Parlamento ha adottato la propria posizione in prima lettura il 16 giugno e il Consiglio ha approvato definitivamente il testo il successivo 29 giugno. ↩[2] H Pearce, “Between Simplification and Stagnation: The EU Digital Omnibus and the Future of Data Protection Law” (2026) Cambridge Yearbook of European Legal Studies pp. 1–10. https://doi.org/10.1017/cel.2026.10035 ↩[3] Camera dei deputati, XIV Commissione (Politiche dell’Unione europea), Parere del 24 febbraio 2026, in Atti parlamentari, XIX legislatura, disponibile su: https://www.camera.it/leg19/824?tipo=A&anno=2026&mese=02&giorno=24&view=&commissione=14. ↩[4] Dal 1988, IAB Italia rappresenta l’intera filiera del mercato della comunicazione online in Italia, riunendo oltre 200 aziende di molteplici dimensioni e tipologie, tra cui editori, agenzie pubblicitarie, agenzie media e web, istituti di ricerca e inserzionisti. IAB Italia è inoltre la sezione italiana dell’Interactive Advertising Bureau, la principale associazione globale nel campo della pubblicità digitale, presente in oltre 36 mercati a livello internazionale. ↩[5] Comunicato stampa IAB Italia “Omnibus Digitale: le associazioni del settore chiedono all’Italia una posizione chiara nell’ambito del negoziato europeo”, 4 giugno 2026: https://iab.it/omnibus-digitale-le-associazioni-del-settore-chiedono-allitalia-una-posizione-chiara-nellambito-del-negoziato-europeo-2/#_ftn1 ↩[6] Indagine commissionata dalla Commission nationale de l’informatique et des libertés (CNIL) l’Autorità privacy francese, “Are we ready to pay for online services without targeted advertising?”, 29 ottobre 2025 disponibile su: https://www.cnil.fr/en/are-we-ready-pay-online-services-without-targeted-advertising ↩[7] Autorità Garante della Concorrenza e del Mercato (AGCM), A561 – Sanzione di oltre 98 milioni di euro ad Apple per abuso di posizione dominante, comunicato stampa, 22 dicembre 2025: https://www.agcm.it/media/comunicati-stampa/2025/12/A561- ↩[8] European Data Protection Board (“EDPB”) e European Data Protection Supervisor (“EDPS”), “Joint Opinion 2/2026 on the Proposal for a Regulation as regards the simplification of the digital legislative framework (Digital Omnibus)”, 10 febbraio 2026, disponibile su: https://www.edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpb-edps-joint-opinion-22026-proposal_en ↩
