Il Bilancio del GDPR: Realtà e Paradossi

Tra armonizzazione incompiuta, burocrazia della compliance e nuove tecnologie, un bilancio senza celebrazioni. Il 24 maggio 2016 entrava in vigore il Regolamento generale sulla protezione dei dati personali, destinato a diventare applicabile due anni più tardi. Dieci anni sono un’eternità per la tecnologia e un tempo breve per il diritto, ma abbastanza, almeno in teoria, per sciogliere i dubbi che accompagnarono la nascita del GDPR.

Doveva essere una rivoluzione e per molti aspetti lo è stata: un’unica disciplina europea, diritti più forti per gli interessati, imprese chiamate a rispondere delle proprie scelte, sanzioni finalmente capaci di attirare l’attenzione dei consigli di amministrazione. Oggi abbiamo registri dei trattamenti, informative, nomine, accordi con i responsabili, valutazioni d’impatto, procedure per i data breach, audit e corsi di formazione, e abbiamo persino imparato a pronunciare accountability senza esitazioni. Resta da capire se, insieme ai documenti, abbiamo prodotto anche protezione.

Le Incertezze e le Prospettive del GDPR

Il GDPR nasceva per superare la frammentazione lasciata dalla direttiva 95/46/CE, e la scelta del regolamento, direttamente applicabile senza recepimento, rispondeva proprio a questa esigenza. Ma le clausole di apertura riservate ai legislatori nazionali, le diverse tradizioni giuridiche e le sensibilità non sempre coincidenti delle autorità di controllo fanno sì che un’impresa attiva in più Paesi debba ancora confrontarsi con discipline integrative e orientamenti differenti.

Il Comitato europeo, il meccanismo dello sportello unico e la Corte di giustizia hanno ridotto le distanze, e lo stesso legislatore europeo è dovuto intervenire sulle regole procedurali per i casi transfrontalieri, segno che il problema era tutt’altro che risolto. Abbiamo un regolamento unico, non ancora una certezza interpretativa unica.

A 99 articoli e 173 considerando si sono aggiunti in questi anni linee guida, pareri, provvedimenti nazionali e sentenze. Una produzione necessaria, perché i principi vanno calati in situazioni concrete e tecnologie in movimento, ma che genera un paradosso: più si moltiplicano i chiarimenti, più diventa difficile per una piccola o media impresa orientarsi da sola. Il legittimo interesse è una base giuridica a pieno titolo, non un ripiego quando manca il consenso, eppure la sua applicazione continua a richiedere bilanciamenti e a produrre discussioni.

Il principio di limitazione della conservazione è chiarissimo, mentre stabilire quanto tempo sia davvero necessario resta una valutazione tutt’altro che immediata. È il prezzo di una regolazione fondata su principi e rischio, ma per chi deve decidere la distanza tra un principio chiaro e una soluzione certa può essere enorme.

Il diritto dovrebbe orientare i comportamenti, non costringere a convocare un convegno ogni volta che occorre sceglierne uno.

Che le incertezze non siano un’impressione dei pratici lo conferma la Commissione europea, che con il Digital Omnibus del novembre 2025 ha proposto di rimettere mano proprio ai punti più discussi: la nozione stessa di dato personale, il legittimo interesse per l’addestramento dei sistemi di intelligenza artificiale, la soglia oltre la quale una violazione va notificata.

EDPB ed EDPS, nel loro parere congiunto di febbraio, hanno avvertito che la semplificazione rischia di intaccare il nucleo del Regolamento. Comunque finisca, il dato politico è eloquente: dopo dieci anni il legislatore riapre il testo non per ritoccarne i dettagli, ma per ridiscuterne le definizioni.

Il nodo più serio, tuttavia, è un altro. Il GDPR chiede al titolare non solo di rispettare le regole, ma di essere in grado di dimostrarlo, e il principio è giusto. Il problema nasce quando la dimostrazione prende il posto della sostanza. Ho visto imprese più preoccupate della firma su una nomina che della sicurezza dei propri sistemi, organizzazioni convinte di essere a posto perché l’informativa era aggiornata, titolari persuasi che nominare un responsabile esterno significasse trasferirgli ogni responsabilità.

Un registro perfettamente compilato non ferma un attacco informatico, una procedura di data breach non sostituisce le misure di sicurezza, una nomina non rende affidabile un fornitore. Sono strumenti necessari, non risultati.

La prova arriva puntuale quando un fornitore subisce un attacco e i dati compromessi sono quelli dei clienti o dei dipendenti dell’impresa committente. In quel momento tutti cercano il contratto, l’accordo ai sensi dell’articolo 28, le clausole di responsabilità e le procedure di comunicazione: documenti che avrebbero dovuto essere letti e verificati prima. La sicurezza non nasce con la notifica all’Autorità, e neppure la responsabilità.

Intanto la tecnologia ha spostato in avanti il confine delle domande. L’articolo 22 disciplinava già le decisioni automatizzate, e la Corte di giustizia ne ha precisato la portata con la sentenza SCHUFA (C-634/21) e, nel 2025, con Dun & Bradstreet Austria (C-203/22) sul diritto a ricevere una spiegazione comprensibile della logica seguita.

Oggi l’intelligenza artificiale generativa e l’AI Act aggiungono nuovi obblighi, ma le domande restano quelle di allora: chi decide, chi controlla, chi risponde, quanto deve sapere la persona sottoposta alla decisione. Lo stesso vale per l’identità digitale dopo la morte, che il considerando 27 lascia agli Stati membri e che in Italia trova risposta nell’articolo 2-terdecies del Codice privacy, mentre sistemi capaci di riprodurre la voce e il volto di chi non c’è più pongono questioni che vanno ben oltre la gestione dei dati.

C’è qualcosa di ironico nel fatto che, mentre cerchiamo ancora di capire la trasparenza degli algoritmi, affidiamo ad altri algoritmi il compito di aiutarci a interpretare le norme che dovrebbero disciplinarli.

Nulla di tutto questo fa del GDPR un fallimento. Ha portato la protezione dei dati nella governance d’impresa, rafforzato la consapevolezza dei diritti, imposto attenzione alla catena dei fornitori e introdotto un linguaggio comune che ha influenzato l’intera regolazione digitale europea.

Ma una norma può essere efficace senza essere perfetta, e necessaria senza essere sufficiente. La protezione dei dati riguarda persone, processi, fornitori, tecnologie e decisioni, ed è una componente del rischio d’impresa; quando viene gestita bene, diventa anche fiducia. Quella che chiamo Digital Trust non nasce dall’esibizione di un fascicolo di conformità, ma dalla capacità di dimostrare con i comportamenti che i dati e i diritti delle persone vengono presi sul serio.

Forse è il momento di cambiare domanda: non più soltanto se siamo conformi, ma quanto sono davvero protetti i dati che trattiamo e quanta fiducia meritiamo da chi ce li affida.

Nel 2016 ci chiedevamo come applicare il GDPR. Nel 2026 dovremmo chiederci se abbiamo imparato ad applicarlo o soltanto a documentare che lo stiamo applicando.