Omnibus digitale UE: cosa cambia

Bruxelles riscrive regole che già applicate

Poche imprese monegasche seguono i dossier legislativi europei, e fanno bene. Monaco non è uno Stato membro dell'Unione europea e i regolamenti europei non si applicano qui in automatico.

Gli strumenti con cui lavorate, però, sono stati costruiti sulle regole europee. Il banner dei cookie, la piattaforma di gestione del consenso, la clausola sul trattamento nel vostro CRM, il flusso di cancellazione del fornitore di email: tutto è stato progettato attorno al GDPR. Quando il GDPR si muove, quei prodotti si muovono con lui — e si muovono sul vostro sito, che siate stati consultati o meno.

È esattamente ciò che sta accadendo. Un pacchetto chiamato omnibus digitale sta attraversando il percorso legislativo europeo e propone la revisione più ampia del quadro digitale UE dall'entrata in applicazione del GDPR. Gran parte non è ancora legge. Ma la direzione sta già orientando le roadmap dei fornitori, e questo arriva a Monaco molto prima che un testo sia definitivo.

Che cos'è davvero l'omnibus digitale

Il 19 novembre 2025 la Commissione europea ha presentato un pacchetto di semplificazione che tocca contemporaneamente diverse normative digitali di peso. Da allora si è di fatto diviso in due binari.

Il primo riguarda l'intelligenza artificiale: modifiche mirate all'AI Act, soprattutto su tempistiche, governance e sul modo in cui gli obblighi per i sistemi ad alto rischio vengono ancorati alla disponibilità effettiva degli standard tecnici. Questo binario è avanzato molto più rapidamente.

Il secondo riguarda i dati: GDPR, regole ePrivacy e cookie, Data Act, notifica degli incidenti nell'ambito di quadri come NIS2. Questa parte resta in negoziato e il suo contenuto è già cambiato rispetto alla proposta iniziale della Commissione. Nulla va considerato acquisito.

Se vi serve certezza su un obbligo specifico e su una data, rivolgetevi a un legale invece che a un articolo — questo compreso. Quanto segue descrive una direzione di marcia, non una checklist di conformità.

I cambiamenti che arriveranno sulle scrivanie monegasche

Diverse modifiche proposte contano sul piano operativo, non solo su quello giuridico.

Cookie e consenso. Il pacchetto amplierebbe le categorie esenti da consenso — misurazione aggregata dell'audience, manutenzione della sicurezza — e spingerebbe verso segnali di consenso standardizzati e leggibili dalle macchine, espressi a livello di browser anziché con un banner su ogni sito. Se passasse, il livello del consenso sul vostro sito diventerebbe meno un tema di design e più un tema tecnico. Conviene sapere dove si trova la vostra configurazione prima che sia il fornitore a cambiarla per voi.

IA e dati personali. Le proposte chiarirebbero quando il legittimo interesse può sostenere sviluppo e test di sistemi di IA, e creerebbero una base ristretta per trattare dati sensibili al solo fine di rilevare e correggere distorsioni. Per ogni impresa monegasca che sta valutando l'automazione con l'IA, è il punto del dossier da seguire: affronta la domanda che tutti pongono e a cui oggi nessuno sa rispondere in modo pulito.

Termini di notifica delle violazioni. La Commissione ha proposto di portare il termine europeo da 72 a 96 ore. Leggete bene questa riga: è proprio qui che le imprese monegasche rischiano di sbagliare.

Idraulica delle notifiche. Un punto di ingresso unico per più regimi europei, secondo il principio "notifica una volta, condividi con molti". Utile se avete stabilimenti nell'UE, irrilevante altrimenti.

Monaco non sta a valle di Bruxelles — tranne dove ci sta

Il quadro monegasco è la legge n. 1.565 del 3 dicembre 2024, vigilata dall'Autorité de Protection des Données Personnelles (APDP). È un regime moderno, di standard europeo, ma è diritto monegasco. Nulla nell'omnibus digitale lo modifica, e nessun voto europeo cambia un solo obbligo che avete in base alla legge monegasca.

Restano tre vie attraverso cui il dossier vi raggiunge.

La prima è l'ambito di applicazione. Se vi rivolgete a persone situate nell'UE o ne monitorate il comportamento, il GDPR può applicarsi direttamente a voi, ovunque siate stabiliti. Molte imprese monegasche — attività e-commerce, agenzie, società di gestione, gruppi alberghieri — si trovano in questa condizione senza averci mai pensato.

La seconda è la catena dei fornitori. I vostri responsabili del trattamento sono in larghissima parte società europee o statunitensi che progettano secondo requisiti UE. Le loro impostazioni predefinite diventano le vostre.

La terza è la questione di fondo su come si rapportano quadro monegasco e quadro europeo, inclusa l'ipotesi di un riconoscimento di adeguatezza dell'UE per Monaco. La legge 1.565 è stata costruita deliberatamente su standard europei. Se lo standard europeo si sposta, quell'allineamento diventa un bersaglio mobile. Dove porti è realmente incerto e va verificato con un consulente, non dato per scontato.

La trappola della divergenza

Ecco il rischio concreto, e non è teorico.

Nel prossimo anno una quantità enorme di contenuti, strumenti e indicazioni dei fornitori descriverà la nuova posizione europea: 96 ore per notificare, trasparenza alleggerita nei casi a basso rischio, esenzioni dal consenso più ampie. Qualcuno nella vostra azienda lo leggerà, darà per scontato che valga anche per voi e adeguerà un processo.

Non vale. I vostri obblighi discendono dal diritto monegasco, fissati dalla legge 1.565 e dall'APDP, con tempistiche monegasche. Se l'UE passa a 96 ore e voi adottate silenziosamente quel termine come scadenza interna, non avete semplificato nulla: avete creato uno scarto tra ciò che fate e ciò che Monaco richiede.

Lo stesso vale per il consenso. Se un aggiornamento della piattaforma allenta il vostro banner cookie perché sono cambiate le regole UE, quel cambiamento non è stato valutato alla luce del diritto monegasco. Qualcuno deve verificarlo. In pratica significa trattare la conformità in materia di protezione dei dati prima come questione monegasca e poi come questione europea — non il contrario, come fanno oggi la maggior parte dei team.

Cosa fare da qui all'adozione

Tre cose, nessuna costosa.

Conoscete la vostra esposizione: mettete per iscritto, in una pagina, se ricadete solo sotto il diritto monegasco o anche sotto le regole europee, e perché. Quasi nessuno l'ha mai fatto, e si sbaglia in entrambe le direzioni.

Conoscete le vostre impostazioni predefinite: elencate gli strumenti che prendono decisioni di conformità al posto vostro — piattaforma di consenso, analytics, CRM, email, hosting — e annotate chi ne controlla la configurazione. Quando un fornitore rilascia una modifica, meglio scoprirlo dal vostro elenco che da un cliente.

Non cambiate nulla sulla base di una proposta. Un testo in bozza non è legge, e la parte sui dati è già stata riscritta in negoziato.

Se la vostra configurazione del consenso, l'impostazione degli analytics o i flussi di dati non sono stati rivisti dall'entrata in vigore della legge 1.565, quella revisione vale la pena farla ora — indipendentemente da Bruxelles. È anche il momento naturale per allinearla alla vostra strategia digitale complessiva, invece di trattare la conformità come un adempimento separato.

Aiutiamo le imprese monegasche a costruire siti e operazioni digitali che reggono secondo le regole monegasche, non secondo assunti europei presi in prestito. Se volete un quadro chiaro prima della prossima ondata di aggiornamenti dei fornitori, contattateci.