L’EDPB concentra l’azione coordinata del 2026 sulla trasparenza nell’uso dei dati

Il Comitato europeo per la protezione dei dati (EDPB) ha scelto la trasparenza e il dovere di informare come tema della sua quinta azione coordinata di vigilanza. L’iniziativa riguarderà gli obblighi contenuti negli articoli 12, 13 e 14 del Regolamento generale sulla protezione dei dati (GDPR), che stabiliscono come informare le persone quando vengono trattati i loro dati. Annunciato il 14 ottobre 2025, il progetto prevede che le autorità partecipanti lavorino sul tema nel corso del 2026. Non introduce un nuovo obbligo: coordina l’attenzione delle autorità su doveri già previsti dal GDPR. Fonte: EDPB.

La distinzione è importante perché il titolo di un’iniziativa di vigilanza può essere confuso con una riforma legislativa, una sentenza o una campagna di sanzioni. Il comunicato non annuncia nulla di tutto questo. Descrive invece una priorità comune per le autorità di protezione dei dati, che potranno decidere volontariamente di occuparsi del tema; in seguito, i risultati nazionali saranno raccolti e analizzati. La notizia riguarda quindi il tema scelto e il metodo di coordinamento, non una conclusione sul livello di conformità di imprese o amministrazioni. Alla data di questo articolo, l’annuncio non fornisce risultati delle verifiche.

Nel contesto del GDPR, informare non significa soltanto pubblicare su un sito web una lunga informativa. L’EDPB collega l’azione agli obblighi di informazione previsti dagli articoli 12, 13 e 14. L’articolo 12 riguarda il modo in cui le informazioni vengono fornite e la comunicazione con le persone; gli articoli 13 e 14 si riferiscono alle informazioni da comunicare quando i dati sono raccolti direttamente dall’interessato o ottenuti da un’altra fonte. La scelta del tema indica dunque che si esaminerà come le organizzazioni spiegano il trattamento dei dati, non soltanto se esiste un documento intitolato “privacy”. Fonte: EDPB.

Il comunicato dell’autorità presenta il diritto di essere informati come un elemento centrale della trasparenza e come una condizione che consente alle persone di esercitare un maggiore controllo sui propri dati. Il tema ha quindi conseguenze pratiche: una spiegazione che non chiarisce che cosa accade ai dati può rendere più difficile valutare le proprie opzioni o esercitare i propri diritti. Questa è un’interpretazione dell’obiettivo dichiarato, non un risultato di ispezioni già pubblicate. L’annuncio non indica settori, imprese o pratiche specifiche come responsabili di violazioni; attribuirgli constatazioni particolari andrebbe quindi oltre le prove disponibili.

L’EDPB spiega che, nell’ambito di un’azione coordinata, il Comitato stabilisce un tema prioritario su cui le autorità nazionali possono lavorare nei rispettivi ambiti. La partecipazione è volontaria. In un secondo momento, i risultati nazionali vengono aggregati e analizzati per ottenere un quadro più ampio e orientare eventuali attività successive a livello nazionale o europeo. L’annuncio afferma che la nuova azione sarà avviata nel corso del 2026, ma non specifica una data unica di inizio né un calendario comune di verifiche. Fonte: EDPB.

Questo modello combina un tema coordinato con un’attuazione distribuita. Non equivale a un’unica indagine diretta da Bruxelles e non significa che tutte le autorità esamineranno gli stessi casi con le stesse tempistiche. È inoltre utile distinguere tre fasi: la scelta del tema, il lavoro che ciascuna autorità deciderà di svolgere e la successiva pubblicazione di conclusioni aggregate. Il testo disponibile conferma la prima fase e descrive le altre come passaggi previsti, ma non fornisce ancora risultati del ciclo. Qualsiasi dato sul numero di organizzazioni esaminate o di violazioni rilevate richiederebbe quindi una successiva fonte specifica.

Per un’organizzazione che tratta dati personali, l’iniziativa è un segnale dell’attenzione delle autorità al modo in cui vengono fornite le informazioni. Non dimostra che sia iniziata un’ispezione nei suoi confronti e non sostituisce una valutazione giuridica individuale. Come indicazione generale, è ragionevole verificare che le spiegazioni dei trattamenti siano comprensibili e che le informazioni richieste siano fornite nel momento e nel contesto pertinenti. Si tratta di una raccomandazione pratica ricavata dal tema annunciato, non di un elenco di misure prescritto dal comunicato. L’obbligo applicabile dipende sempre dal GDPR e dalle circostanze del trattamento.

Per gli utenti, l’effetto immediato non consiste in una nuova funzione o in un ulteriore meccanismo di reclamo annunciato dall’EDPB. La rilevanza sta nella decisione delle autorità di prestare attenzione congiunta al fatto che le persone ricevano informazioni sull’uso dei loro dati. Chi vuole capire come una determinata impresa tratta i propri dati non troverà la risposta in questa sola notizia: dovrà consultare le informazioni fornite dall’organizzazione e, se opportuno, rivolgersi all’autorità competente. La scelta di un tema di vigilanza non dimostra di per sé che un’entità rispetti o violi la normativa.

Il comunicato dell’ottobre 2025 è una fonte primaria per conoscere la decisione dell’EDPB e il programma annunciato. Non è un rapporto sui risultati dell’azione del 2026. La pagina spiega che i risultati delle azioni nazionali vengono aggregati e analizzati per produrre conoscenze e consentire eventuali attività successive, ma non afferma che ogni azione comporterà sanzioni né anticipa le conclusioni. In attesa di pubblicazioni successive, questo materiale non permette di stabilire quante autorità parteciperanno, quali organizzazioni esamineranno o quali carenze riscontreranno. Fonte: EDPB.

La lettura più accurata è dunque specifica ma limitata: l’Europa ha scelto la trasparenza e l’informazione alle persone come priorità di un’azione coordinata prevista per il 2026. È un segnale rilevante per chi progetta processi di trattamento e informative sulla privacy, ma non è una modifica normativa né un bilancio della conformità. Le prossime informazioni utili documenteranno lo svolgimento dell’azione e, in seguito, i risultati. Fino ad allora, distinguere ciò che è stato annunciato da ciò che è stato accertato evita di trasformare una priorità di vigilanza in una conclusione non supportata dalla fonte.