Verso un GDPR più leggero per le PMI? Ma non indeboliamo i diritti

Sostenuta dalla lettera congiunta dell’EDPB e dell’EDPS, l’iniziativa si allinea al Rapporto Draghi del 9 settembre 2024, che ha evidenziato come la complessità normativa del GDPR possa frenare l’innovazione e la competitività delle PMI.

Tuttavia, la proposta solleva diversi interrogativi: quali benefici economici porterà? Quante organizzazioni ne trarranno realmente vantaggio? E quali rischi comporta per un presidio essenziale di libertà e democrazia nell’era digitale?

La semplificazione del GDPR nel quadro delle riforme europee

Entrato in vigore nel 2018, il GDPR è un pilastro della strategia digitale europea, sancendo la protezione dei dati personali come diritto fondamentale, e il suo impatto globale, che lo ha affermato come golden standard, ha ispirato normative in tutto il mondo. Tuttavia, il Rapporto Draghi ha sottolineato come l’ipertrofia normativa europea – con circa 100 leggi sul settore high tech e oltre 270 autorità di controllo – generi frammentazione e costi che penalizzano le PMI.

In un contesto di riforme come:

la Commissione cerca ora di bilanciare protezione dei dati e competitività, proponendo semplificazioni mirate per alleggerire gli adempimenti burocratici senza compromettere i principi del GDPR.

Cosa prevede la semplificazione del GDPR per PMI e mid-cap

La proposta modifica l’art. 30, par. 5, estendendo l’esenzione dall’obbligo di tenuta del Registro delle attività di trattamento (RoPA) alle organizzazioni con meno di 750 dipendenti (rispetto agli attuali 250), salvo il caso in cui il trattamento presenti un “alto rischio” ai sensi dell’art. 35 GDPR. Introduce definizioni di “PMI” e “imprese a media capitalizzazione di piccole dimensioni” (art. 4) e promuove codici di condotta e certificazioni per queste realtà (artt. 40 e 42).

I vantaggi economici attesi dalla semplificazione del GDPR

La semplificazione punta a ridurre gli oneri per le PMI, che rappresentano il 99% delle imprese europee e il 65% dell’occupazione, e per circa 38.000 small mid-cap enterprises. Secondo il Commission Staff Working Document, l’attuale esenzione dall’obbligo di tenuta del Registro si applica alle imprese con meno di 250 dipendenti, salvo trattamenti non occasionali, a rischio o su dati rientranti in particolari categorie (c.d. “sensibili”). La nuova proposta estende l’esenzione alle organizzazioni con meno di 750 dipendenti, limitando l’obbligo ai trattamenti “ad alto rischio”. Circa 10 milioni di PMI (38% delle 26 milioni totali), che oggi redigono il Registro per trattamenti regolari, potrebbero beneficiarne. Si stima che il 90% di queste (circa 9 milioni) non effettui trattamenti ad alto rischio, con un risparmio annuo di circa 66 milioni di euro. Per le mid-caps, il risparmio sarebbe di circa 560.000 euro. Tuttavia, le stime mancano di dati concreti sull’effettivo impatto degli adempimenti, con variabili come la complessità dei trattamenti o il supporto di terzi per l’aggiornamento dei registri che possono alterare i risultati.

I rischi della semplificazione del GDPR per i diritti fondamentali

Nonostante i benefici economici, la proposta della Commissione Europea desta preoccupazioni. Il GDPR non è solo un regolamento tecnico, ma un baluardo di diritti fondamentali contro scraping massivo e profilazione algoritmica. Esentare organizzazioni con meno di 750 dipendenti dall’obbligo di tenuta del Registro rischia di indebolire il principio di responsabilizzazione, che impone ai titolari e ai responsabili dei trattamenti di dimostrare la conformità attraverso documentazione strutturata. Difatti, il RoPA costituisce uno strumento fondamentale per mappare i flussi di dati e individuare potenziali rischi, e occorre tenere in considerazione che anche una PMI con pochi dipendenti, se tratta categorie particolari di dati — come quelli sanitari o bancari — può avere un impatto rilevante sui diritti e le libertà degli interessati, ad esempio in caso di data breach. Al tempo stesso, l’approccio basato sul “rischio elevato” introduce ambiguità, poiché la valutazione del rischio richiede competenze spesso assenti nelle PMI, aumentando il rischio di una mera conformità apparente.

Oltre il Registro dei trattamenti: una compliance sostanziale nel GDPR

Molti si interrogano sul reale valore del Registro dei trattamenti per PMI e mid-caps. Sebbene rappresenti uno strumento essenziale per comprendere e governare i flussi di dati, nella prassi viene spesso redatto una sola volta, raramente aggiornato e compilato con misure standardizzate che non rispecchiano i processi aziendali concreti. Così facendo, il Registro rischia di ridursi a un adempimento meramente formale, privo di una reale funzione di supporto alla governance dei dati e alla gestione dei rischi.

Ci si chiede, dunque, se le risorse dedicate al RoPA non possano essere meglio investite in una compliance più sostanziale, come valutazioni d’impatto mirate, integrazione del principio della privacy by design, formazione interna e semplificazione dei flussi operativi. La responsabilizzazione non dovrebbe essere una checklist, ma un processo che adotta misure proporzionate al contesto, come registri delle terze parti o audit, già implementati volontariamente da molte aziende. Pertanto, sebbene orientare l’obbligo di tenuta del Registro verso organizzazioni di maggiori dimensioni non sia di per sé discutibile, è nelle PMI che un cambio di paradigma — da un approccio formale a uno sostanziale — potrebbe tradursi in un’applicazione più efficace e innovativa del GDPR.

Innovazione e responsabilizzazione: il futuro del GDPR

Contrariamente a quanto spesso si sostiene, la regolamentazione non è un freno all’innovazione, ma un alleato. Atti normativi efficaci, come il GDPR, prevengono derive incontrollate, guidando le imprese verso un’innovazione responsabile. La regolamentazione scoraggia chi sviluppa tecnologie senza considerare le conseguenze, proteggendo le aziende che promuovono l’innovazione con attenzione ai diritti fondamentali e impedendo vantaggi sleali a chi ignora le norme. Lungi dal soffocare l’innovazione, il GDPR la orienta verso soluzioni etiche e sostenibili, e ciò che davvero ostacola l’innovazione è la distruzione delle sue fondamenta, come la mancanza di investimenti in formazione e infrastrutture, non la presenza di regole ben calibrate.

Ciononostante, è indubbio che il GDPR necessita di una manutenzione ordinaria per adattarsi al contesto tecnologico, in continua evoluzione, ma non di revisioni che ne minino i principi fondamentali.

La semplificazione dell’art. 30 offre dunque opportunità economiche per PMI e mid-caps, ma rischia di compromettere la trasparenza e la tutela dei diritti se non viene accompagnata da un focus sulla conformità concreta e sostanziale. Investire in un’applicazione efficace delle norme, armonizzazione tra Stati membri e supporto alle imprese – attraverso formazione, linee guida pratiche e modelli standardizzati – è forse più urgente di esenzioni basate su criteri dimensionali.

Il GDPR non è un ostacolo, ma una guida per un’innovazione responsabile, in cui la protezione dei dati resta essenziale per garantire libertà e democrazia: semplificare si può, ma solo rafforzando la responsabilizzazione e tutelando i diritti fondamentali per una società digitale più equa e trasparente. Difatti, oggi forse la vera sfida è promuovere una cultura della sostanza anche nelle realtà più piccole, perché è proprio lì che può affermarsi l’innovazione più autentica nell’attuazione del GDPR.