Il quadro giuridico della protezione dei dati personali non si limita al testo del RGPD. Le evoluzioni normative del 2025 e 2026 modificano profondamente gli obblighi operativi dei titolari del trattamento, in particolare sulla sicurezza dei sistemi informativi e sul controllo dei flussi di dati nelle applicazioni mobili.
Controllo degli SDK nelle applicazioni mobili: la nuova frontiera del RGPD
La CNIL ha aperto un fronte tecnico che la maggior parte degli articoli sulla protezione dei dati ignora. Dalla primavera del 2025, una campagna specifica mira a verificare i SDK integrati nelle applicazioni mobili per controllare se questi componenti smettono effettivamente di trasmettere dati quando l’utente rifiuta il tracciamento.
Questo approccio si basa sulla delibera n. 2025-024 del 27 marzo 2025, pubblicata nella Gazzetta ufficiale l’11 aprile 2025. La raccomandazione impone agli editori di applicazioni di garantire che ogni SDK di terze parti rispetti la scelta di consenso espressa dalla persona interessata.
Un rifiuto dei cookie su un banner web rimane visibile e verificabile. Uno SDK nascosto nel codice di un’applicazione mobile può continuare a raccogliere dati di geolocalizzazione o identificativi pubblicitari senza che l’utente se ne accorga.
È proprio questo scostamento tra l’interfaccia di consenso e il comportamento reale del trattamento che la CNIL sta ora monitorando. Per comprendere meglio gli obblighi che regolano questi trattamenti, raccomandiamo di consultare la pagina giuridica di BackUpYourBrain che dettaglia i fondamenti normativi applicabili.
Sanctions CNIL nel 2026: la sicurezza dei dati al centro dell’attività repressiva
Il valore delle multe inflitte dalla CNIL è stato moltiplicato per quasi nove tra il 2024 e il 2025. Questa accelerazione non è semplicemente il risultato di un inasprimento del tono: riflette un riposizionamento strategico dell’autorità di controllo.
La multa di 42 milioni di euro inflitta a Free e Free Mobile per mancanza di sicurezza dei dati illustra la priorità data alla cybersicurezza. La CNIL ha annunciato che circa la metà dei suoi controlli e azioni repressive del 2026 sarà dedicata alla sicurezza dei dati e alle intrusioni.
Osserviamo che questa orientazione cambia la gerarchia dei rischi per i titolari del trattamento. Fino a poco tempo fa, le sanzioni riguardavano soprattutto le violazioni del consenso o dell’informazione delle persone interessate. Oggi, una mancanza di crittografia, l’assenza di isolamento di rete o una gestione inadeguata delle autorizzazioni di accesso espongono a sanzioni dello stesso ordine di grandezza.
Ciò che implica per i titolari del trattamento
La conformità documentale (registro dei trattamenti, analisi di impatto, politica di privacy) non è più sufficiente a dimostrare la buona fede di un organismo. La CNIL verifica ora la realtà tecnica delle misure di sicurezza dichiarate.
- I test di intrusione e gli audit di vulnerabilità devono essere eseguiti regolarmente, non solo al momento della messa in produzione di un sistema
- Il isolamento delle banche dati a carattere personale deve impedire che una sola compromissione dia accesso a tutte le informazioni
- Le procedure di notifica di violazione (articolo 33 del RGPD, termine di 72 ore) devono essere testate tramite esercizi di simulazione, non solo documentate
- La registrazione degli accessi ai dati personali deve consentire una tracciabilità utilizzabile in caso di controllo
Regolamento ePrivacy e fine programmata dei banner di cookie
Il progetto di regolamento ePrivacy, a lungo bloccato a livello europeo, sta vivendo una significativa ripresa. L’Unione europea esplora la possibilità di eliminare i banner di consenso ai cookie a favore di un meccanismo di gestione centralizzato a livello del browser o del sistema operativo.
Questo cambiamento di paradigma avrebbe conseguenze dirette sull’architettura di conformità dei siti web. Le CMP (Consent Management Platforms) che gestiscono oggi i banner diventerebbero in parte obsolete se il consenso fosse espresso una sola volta a livello del terminale.
Raccomandiamo di non attendere l’adozione definitiva del testo per anticipare questa transizione. Gli organismi che si basano esclusivamente su un banner di cookie per fondare la liceità dei loro trattamenti di dati di marketing si espongono a un rischio di non conformità brusca nel giorno dell’entrata in vigore.
Intelligenza artificiale e RGPD: gli obblighi specifici per i sistemi automatizzati
L’articolazione tra il RGPD e il regolamento europeo sull’intelligenza artificiale (AI Act) crea un doppio quadro di conformità per i trattamenti automatizzati di dati personali. I sistemi di IA che trattano dati a carattere personale rimangono soggetti ai principi di minimizzazione, limitazione delle finalità e trasparenza del RGPD.
Il diritto di opposizione a una decisione interamente automatizzata (articolo 22 del RGPD) assume una nuova dimensione con la generalizzazione dei modelli di scoring, profilazione e raccomandazione. La persona interessata conserva il diritto di ottenere un intervento umano, di esprimere il proprio punto di vista e di contestare la decisione.
Addestramento dei modelli e base legale del trattamento
L’uso di dati personali per addestrare un modello di IA solleva la questione della base legale applicabile. Il consenso, l’interesse legittimo del titolare del trattamento o l’esecuzione di un contratto: ogni fondamento impone obblighi diversi in materia di informazione e diritto di recesso.
- Il consenso deve essere raccolto prima dell’integrazione dei dati nel set di addestramento, non retroattivamente
- L’interesse legittimo richiede una ponderazione documentata tra le esigenze del titolare del trattamento e i diritti della persona interessata
- Il diritto all’oblio si applica anche ai dati già incorporati in un modello, il che solleva difficoltà tecniche significative
Il quadro giuridico della protezione dei dati personali si intensifica ogni anno. I controlli della CNIL ora riguardano la realtà tecnica delle misure di sicurezza, non solo la documentazione. Anticipare le evoluzioni normative piuttosto che subirle rimane il miglior leva di conformità per ogni titolare del trattamento.
