Riuniti a Dublino il 16 e 17 luglio 2026, i Garanti privacy europei hanno rivolto alla Commissione una richiesta netta: dotare l’Unione di una base giuridica che consenta alle autorità con competenze diverse di scambiarsi informazioni, comprese quelle riservate, ai fini dell’applicazione delle rispettive regole. La domanda, formulata dal Comitato europeo per la protezione dei dati (EDPB) al termine del suo incontro di alto livello, nasce da una constatazione pratica: vigilare su fenomeni digitali che toccano insieme protezione dei dati, intelligenza artificiale, servizi digitali e concorrenza è oggi ostacolato dall’assenza di regole chiare sulla condivisione delle informazioni tra regolatori.
Che cosa chiede l’EDPB, e perché
L’appello, ripreso anche dal Garante italiano, muove dalla crescente esigenza di una cooperazione effettiva tra autorità che operano in ambiti contigui del diritto dell’Unione. Le stesse imprese sono oggi soggette, sul medesimo prodotto o servizio, al GDPR, all’AI Act, alla normativa sui servizi digitali e alle regole di concorrenza; ma le autorità che vigilano su ciascuno di questi corpi normativi non dispongono di un fondamento chiaro per scambiarsi ciò che apprendono, tanto meno le informazioni coperte da riservatezza. L’EDPB chiede quindi alla Commissione di proporre una base giuridica dedicata, che abiliti lo scambio delle informazioni rilevanti per l’applicazione delle regole all’interno delle rispettive competenze. L’esperienza diretta di collaborazione con gli altri regolatori digitali, a livello nazionale ed europeo, ha reso evidente che senza un intervento legislativo la cooperazione resta esposta a barriere che indeboliscono l’esito della vigilanza. Non è la prima volta che il Comitato interviene sul piano delle riforme: sui progetti di modifica del quadro europeo, come il Digital Omnibus, l’EDPB e l’EDPS hanno già espresso le proprie posizioni.
L’applicazione del GDPR sotto pressione
Il secondo piano del confronto di Dublino riguarda la tenuta dell’applicazione del regolamento. L’EDPB richiama i progressi sull’enforcement transfrontaliero registrati anche nella seconda relazione della Commissione sull’applicazione del GDPR, ma segnala nello stesso tempo un aumento sensibile del numero e della complessità dei reclami, alimentato pure dalla diffusione dell’intelligenza artificiale, che grava su risorse già limitate. Di qui la ricerca di soluzioni pratiche e, dove necessario, legislative: la messa in comune di risorse tra autorità, con la possibilità per quelle che ricevono il reclamo di metterne a disposizione dell’autorità capofila; una serie di seminari sulle procedure di enforcement; un ricorso più ampio alle operazioni congiunte. Su questo sfondo si colloca il regolamento (UE) 2025/2518, che detta regole procedurali aggiuntive per l’applicazione del GDPR nei casi transfrontalieri, codifica molte prassi già seguite dalle autorità e si applicherà dal 2 aprile 2027.
Dal principio alla pratica: l’intesa con l’autorità antiriciclaggio
Che la condivisione delle informazioni sia diventata un terreno concreto, e non un auspicio, lo mostra l’iniziativa avviata dall’EDPB con l’Autorità europea per la lotta al riciclaggio (AMLA). Le due autorità elaboreranno linee guida congiunte su come costruire partenariati per lo scambio di informazioni nella lotta ai reati finanziari senza sacrificare la protezione dei dati. Il riferimento è all’articolo 75 del regolamento antiriciclaggio, che consente ai soggetti obbligati e alle autorità pubbliche di scambiarsi informazioni entro limiti definiti, una facoltà che si applicherà dal 10 luglio 2027. Poiché quello scambio comporta un trattamento di dati personali, le garanzie di protezione dei dati diventano parte integrante del disegno; le linee guida, precedute da un evento di raccolta dei contributi e da una consultazione pubblica prevista nella prima metà del 2027, indicheranno in termini operativi come far convivere efficacia investigativa e tutela della persona.
Resta da vedere se la Commissione raccoglierà l’invito con un intervento normativo dedicato o se lascerà che la cooperazione tra regolatori continui a poggiare su basi frammentarie. Nel frattempo la direzione è tracciata: le autorità di protezione dei dati non chiedono nuovi poteri, ma gli strumenti per esercitare quelli che già hanno, in un ecosistema in cui i confini tra le materie regolate si assottigliano. Per le imprese il segnale è concreto, perché le informazioni condivise con un’autorità potranno raggiungerne un’altra con maggiore facilità, e la coerenza tra vigilanze diverse diventerà un criterio di conformità, non soltanto un problema delle autorità.
