Cronologia della privacy e della cybersecurity digitale nell'UE: obblighi nel 2026

La regolamentazione digitale europea non avanza come una singola cronologia della privacy. Il GDPR protegge i dati personali; la Legge sui mercati digitali (DMA) impone obblighi specifici alle piattaforme designate come gatekeeper, e il Regolamento sulla resilienza cibernetica (CRA) fissa requisiti di cybersecurity per i prodotti con elementi digitali. Sono quadri distinti, con soggetti obbligati e calendari diversi.

La differenza conta per decidere cosa fare ora. Un'azienda che tratta informazioni identificabili deve rivedere la base giuridica, la trasparenza, la sicurezza e i diritti richiesti dal GDPR. Un produttore di dispositivi connessi deve anche tenere conto del calendario del CRA. E un'azienda utente di una grande piattaforma non è automaticamente soggetta agli obblighi della DMA che corrispondono ai gatekeeper designati.

In questo articolo, 'in vigore' non significa che tutti i doveri di un regolamento si applichino già. Il CRA, ad esempio, è in vigore come norma, ma ha date di applicazione scaglionate: la notifica di determinati incidenti è già esigibile, mentre la maggior parte dei requisiti per i prodotti si applica nel 2027. Le proposte legislative, per la loro parte, non devono essere trattate come diritto applicabile finché non vengono adottate e iniziano a produrre effetti.

Il Regolamento generale sulla protezione dei dati, Regolamento (UE) 2016/679, è stato adottato il 27 aprile 2016 e ha iniziato ad applicarsi il 25 maggio 2018. Stabilisce regole per il trattamento dei dati personali e cerca di proteggere i diritti delle persone, oltre a consentire la circolazione di tali dati all'interno dell'Unione. Il suo nucleo rimane il riferimento per valutare un trattamento, anche quando si utilizzano nuove tecnologie.

Il GDPR non vieta di raccogliere dati per impostazione predefinita né trasforma il consenso nell'unica base giuridica possibile. Richiede che ogni trattamento abbia una base valida, una finalità definita e garanzie adeguate; riconosce anche diritti come l'accesso, la rettifica e la cancellazione, soggetti alle condizioni del regolamento. Per le organizzazioni, il punto di partenza pratico è documentare quali dati vengono utilizzati, per cosa, con chi vengono condivisi e per quanto tempo.

Il decennio trascorso dalla sua adozione non deve essere confuso con una nuova entrata in vigore nel 2026. Le pubblicazioni commemorative di quell'anno ricordano la traiettoria del regolamento, ma non sostituiscono il suo testo né alterano da sole i suoi obblighi. Non si può nemmeno inferire che una tecnologia rispetti il GDPR solo perché viene utilizzata in settori regolamentati: la conformità dipende dai dati, dalle finalità, dalla base giuridica e dall'esecuzione concreta.

La DMA, Regolamento (UE) 2022/1925, è entrata in vigore il 1° novembre 2022 e gli obblighi per i gatekeeper designati hanno iniziato ad applicarsi nel marzo 2024. Il suo obiettivo centrale è che determinati mercati digitali siano più contendibili ed equi. Non è una seconda legge generale sulla privacy: regola le pratiche di piattaforme che soddisfano i criteri di designazione e non sostituisce il GDPR.

Per le aziende utenti e i consumatori, la DMA può cambiare le condizioni di accesso a determinati servizi e le pratiche delle piattaforme designate. Ma non è corretto trasferire direttamente i suoi doveri a qualsiasi applicazione, negozio online o fornitore di servizi digitali. La domanda operativa è se l'organizzazione è soggetta a un obbligo proprio del regolamento o interagisce con una piattaforma che lo è.

La cronologia ha così due pietre miliari chiare: entrata in vigore nel 2022 e inizio della conformità da parte dei gatekeeper designati nel 2024. Il numero di aziende designate può cambiare con nuove decisioni della Commissione, quindi è consigliabile consultare fonti ufficiali aggiornate prima di affermare un numero. Per una valutazione della privacy, la DMA non elimina nemmeno la necessità di determinare separatamente se c'è un trattamento di dati personali soggetto al GDPR.

Il Regolamento sulla resilienza cibernetica, Regolamento (UE) 2024/2847, stabilisce requisiti di cybersecurity per i prodotti con elementi digitali e assegna obblighi a produttori, importatori e distributori, a seconda del loro ruolo. La Commissione lo descrive come un quadro che copre progettazione, sviluppo, manutenzione e gestione delle vulnerabilità. Riguarda il prodotto e il suo ciclo di vita, non qualsiasi operazione di trattamento dei dati per il solo fatto di usare software.

Il primo traguardo operativo è arrivato: dall'11 settembre 2026 si applicano gli obblighi dell'articolo 14 sulla notifica delle vulnerabilità attivamente sfruttate e degli incidenti gravi che interessano la sicurezza del prodotto. Secondo la sintesi consultata, gli avvisi hanno scadenze differenziate — 24 ore per un'allerta iniziale su vulnerabilità sfruttata e 72 ore per la notifica di un incidente grave — e devono essere canalizzati tramite i meccanismi previsti, incluso il punto unico di notifica. Non è un obbligo generale di notificare qualsiasi violazione dei dati all'ENISA: il caso deve rientrare nel CRA e nei suoi criteri.

La maggior parte degli altri requisiti del regolamento, inclusi i requisiti essenziali di cybersecurity per i prodotti, si applicherà dall'11 dicembre 2027. Pertanto, nell'ottobre 2026, è opportuno separare la preparazione della conformità esigibile: rivedere l'inventario di prodotti e funzioni, assegnare responsabili per vulnerabilità e incidenti e definire processi di supporto e aggiornamento, senza presentare tutti i doveri futuri come pienamente applicabili.

La tabella riassume date generali, non sostituisce un'analisi di portata. Il prodotto, il ruolo dell'azienda nella catena di approvvigionamento, le esclusioni applicabili e il tipo di incidente determinano quale dovere concreto corrisponde. In particolare, gli obblighi del CRA non devono essere confusi con quelli del GDPR sulle violazioni dei dati personali: un incidente può attivare uno, entrambi o nessuno, a seconda delle sue circostanze e dei rispettivi criteri.

Il Comitato europeo per la protezione dei dati (CEPD o EDPB) ha pubblicato il 13 ottobre 2026 una dichiarazione sulle sfide di protezione dei dati associate agli occhiali intelligenti. La pubblicazione disponibile sul suo sito web attesta l'esistenza della dichiarazione, ma il materiale di ricerca non consente di ricostruire con precisione ogni raccomandazione del suo testo. Pertanto, non è appropriato descriverla come una guida esaustiva né attribuirle requisiti specifici senza consultare il documento completo.

Una dichiarazione o orientamento del CEPD non equivale a una nuova legge autonoma. La sua utilità consiste nell'aiutare a interpretare le norme esistenti di protezione dei dati in situazioni concrete; il GDPR rimane la base giuridica. In occhiali con fotocamera, microfono o funzioni di analisi, un'organizzazione dovrebbe valutare quali informazioni possono essere catturate, chi può essere registrato, qual è lo scopo e quali misure di informazione, minimizzazione, sicurezza e conservazione risultano adeguate.

Per un'azienda che valuti questi dispositivi sul lavoro, la decisione non dovrebbe limitarsi a chiedere se l'attrezzatura ha una luce indicatrice o una funzione di registrazione. È necessario determinare il contesto, la necessità e la proporzionalità dell'uso, nonché le responsabilità tra organizzazione e fornitore. La valutazione deve concentrarsi sul trattamento reale, incluso l'eventuale invio a servizi cloud, e non solo sull'etichetta commerciale di 'dispositivo intelligente'.

Nell'ottobre 2026, la data da sola non consente di sapere quale norma obblighi un'organizzazione. Il criterio pratico è identificare il ruolo svolto e l'oggetto regolamentato: trattamento di dati personali sotto il GDPR, prestazione di servizi da parte di una piattaforma designata sotto la DMA, o immissione sul mercato e manutenzione di prodotti digitali sotto il CRA.

Una revisione iniziale può essere organizzata in questi passaggi:

1. Mappare i trattamenti di dati personali e verificare finalità, basi giuridiche, informazioni offerte, tempi di conservazione e procedure per gestire i diritti conformemente al GDPR.
2. Verificare il ruolo rispetto alla DMA: distinguere tra essere un gatekeeper designato, un fornitore che interagisce con uno o un'azienda utente dei suoi servizi.
3. Inventariare i prodotti con elementi digitali e determinare se l'organizzazione è produttore, importatore o distributore ai fini del CRA.
4. Attivare il processo dell'articolo 14, se il prodotto e l'incidente rientrano nel suo ambito, inclusa la rilevazione, l'escalation e la notifica nelle scadenze applicabili da settembre 2026.
5. Preparare l'applicazione generale del 2027: rivedere progettazione, gestione delle vulnerabilità, aggiornamenti e documentazione pertinente per i prodotti interessati.
6. Valutare separatamente i dispositivi di acquisizione — come gli occhiali intelligenti — prestando attenzione al contesto d'uso e ai dati di terzi che potrebbero essere raccolti.

Questo elenco è un punto di partenza, non una conclusione giuridica per tutti i settori. Un unico fornitore può avere obblighi sotto più quadri, ma ciascuno dipende da fatti concreti. Ad esempio, il produttore di un dispositivo può avere doveri del CRA e, se determina anche le finalità e i mezzi di un trattamento di dati personali, responsabilità sotto il GDPR. La coesistenza di norme richiede un'analisi per attività, non un'etichetta globale di 'conformità digitale'.

La linea temporale più solida per il 2026 è quella delle date fissate nei regolamenti stessi: il GDPR si applica dal 2018; gli obblighi della DMA per i gatekeeper designati dal 2024; e le notifiche dell'articolo 14 del CRA dall'11 settembre 2026, con l'applicazione generale della maggior parte degli obblighi prevista per l'11 dicembre 2027. Quelle date non sono intercambiabili e devono essere collegate all'ambito di ciascuna norma.

Al contrario, non si può presentare una riforma proposta del Regolamento sull'intelligenza artificiale come un obbligo già esistente. La copertura giuridica fornita descrive proposte di modifica nel 2026, ma non dimostra che siano state approvate né che siano entrate in vigore. Inoltre, la Legge sull'IA non è una norma di privacy: può interagire con il GDPR quando un sistema di IA tratta dati personali, ma ogni regolamento conserva il proprio oggetto e requisiti.

La dichiarazione del CEPD sugli occhiali intelligenti appare come una pubblicazione di ottobre 2026, sebbene la fonte primaria inclusa nella ricerca consenta solo di confermare il suo annuncio e la data, non di dettagliare il suo contenuto integrale. Questa è una limitazione di portata, non una ragione per inventare raccomandazioni. Per le decisioni di conformità, la regola sicura è verificare il testo ufficiale vigente e le decisioni delle autorità competenti prima di fissare obblighi concreti.