GDPR, otto anni di enforcement hanno cambiato le regole della protezione dei dati

La parola “enforcement” non ha un equivalente esatto in italiano. In genere la traduciamo con “applicazione” e perdiamo qualcosa: perché deriva dal francese antico enforcier che significa dare forza.

A dieci anni dalla sua adozione e otto dalla sua applicazione, il GDPR è ciò che le autorità di controllo, il Comitato europeo, la Corte di giustizia e i giudici nazionali ne hanno fatto.

In questo primo capitolo di una serie, dedicata agli effetti che hanno avuto sul GDPR otto anni di enforcement, si evidenzia come il primo decennio si chiuda con tre segnali convergenti: gli enforcer che si moltiplicano fuori dalle autorità di protezione dei dati; i giudici che entrano nel campo delle autorità e ne disciplinano l’azione; il legislatore che prova a riprendersi il testo.

Ne discende che, dopo dieci anni, il Regolamento Generale sulla Protezione dei Dati non ha bisogno di più enforcement classico, ma di una forza diversa, che arrivi in tempo, regga in giudizio e sappia dove sta la competenza.

Una parola che il vocabolario italiano non ha

Parlando di enforcement del GDPR, diamo per scontato che la parola sia ovvia, ma non lo è.

In italiano non ha un equivalente esatto: in genere la traduciamo con “applicazione”, talvolta con “attuazione” o “esecuzione”, e ogni volta perdiamo qualcosa.

Enforcement viene dal francese antico enforcier, che significa rafforzare, dare forza. Quindi, non applicare, bensì imprimere, dare forza.

È una differenza semantica che conta perché una norma si applica una volta, a un caso.

La forza, invece, si dà nel tempo, con un lavoro continuo che rende la norma effettiva, credibile, prevedibile. Un testo si scrive una volta; la forza viene data ogni giorno.

Il General Data Protection Regulation è stato adottato il 27 aprile 2016 ed è applicabile dal 25 maggio 2018.

Dieci anni dopo la sua adozione, conviene chiedersi non soltanto come è stato applicato, ma chi gli ha dato forza, come, e chi oggi quella forza la sta ridistribuendo.

Il testo e la sua forza

A dieci anni di distanza, la vera fonte del GDPR non è soltanto il testo ma anche l’enforcement: ciò che le autorità di controllo, il Comitato europeo per la protezione dei dati, la Corte di giustizia e i giudici nazionali ne hanno fatto.

Molte delle nozioni che oggi diamo per acquisite non stanno scritte nel regolamento in questa forma.

Le ha costruite la giurisprudenza, chiarendo, per esempio:

• che cosa sia un danno risarcibile, e che non esista una soglia minima di gravità;
• quando un trasferimento verso un Paese terzo offra garanzie sostanzialmente equivalenti;
• entro quali limiti un’autorità antitrust possa valutare la conformità al GDPR;
• quando un dato pseudonimizzato resti personale per chi lo riceve;
• che una sanzione richiede dolo o colpa, e che l’autorità non è obbligata a sanzionare ogni violazione.

In dieci anni si è formato un patrimonio di principi, interpretazioni e orientamenti che è parte integrante del diritto della protezione dei dati quanto gli articoli del regolamento.

Il GDPR in cifre

Anche i numeri raccontano una forza reale.

Secondo la survey di DLA Piper del gennaio 2026, dal maggio 2018 le autorità europee hanno irrogato circa 7,1 miliardi di euro di sanzioni, di cui circa 1,2 nel solo 2025.

Oltre 4 miliardi sono stati irrogati dall’autorità irlandese, capofila per gran parte delle grandi piattaforme.

È un dato che dice molto, anche sulla geografia di questa forza.

Il decennio si chiude, così, con tre segnali che convergono e che analizziamo di seguito.

Ciò che il testo non diceva: i 3 segnali convergenti

Basta scorrere alcune sentenze per misurare quanto l’enforcement abbia dato forma al testo.

Nel 2018, nella causa Wirtschaftsakademie, e nel 2019, nella causa Fashion ID, la Corte di giustizia ha esteso la nozione di contitolarità a chi gestisce una pagina su un social network o inserisce nel proprio sito un modulo di un terzo.

Si tratta di una nozione che il regolamento definisce in poche righe e che la giurisprudenza ha reso uno dei cardini della distribuzione delle responsabilità.

Nel 2019, con Planet49, ha chiarito che una casella preselezionata non esprime un consenso valido.

Invece, nel 2020, con la sentenza Schrems II, ha invalidato il Privacy Shield e imposto a chi trasferisce dati verso Paesi terzi di verificare in concreto l’equivalenza delle garanzie: da quella decisione sono nate le valutazioni d’impatto sui trasferimenti e, indirettamente, il nuovo quadro transatlantico del 2023.

Nel dicembre 2023, con la sentenza SCHUFA, ha ricondotto il punteggio di affidabilità creditizia alla disciplina delle decisioni automatizzate dell’articolo 22.

Accanto alla Corte, le autorità e il Comitato europeo (EDPB) hanno prodotto linee guida, pareri, decisioni vincolanti che hanno riempito di contenuto nozioni come il legittimo interesse, la protezione dei dati fin dalla progettazione, il trasferimento.

Nessuna di queste cose stava scritta nel testo del 2016 con la precisione con cui oggi la applichiamo.

Le ha scritte l’enforcement.

Primo segnale: gli enforcer si moltiplicano

Per anni abbiamo pensato l’enforcement come un raggio, che partiva dall’autorità di controllo e arrivava al titolare. Oggi è diventata una rete. Accanto al Garante per la protezione dei dati personali operano autorità che dieci anni fa non c’erano o non guardavano ai dati.

L’Agenzia per la cybersicurezza nazionale, per la NIS 2. L’Agenzia per l’Italia digitale e la stessa ACN, autorità nazionali per l’intelligenza artificiale secondo la legge 132 del 2025.

La Commissione europea, per il Digital Services Act e il Digital Markets Act.

L’autorità antitrust, che la Corte di giustizia ha legittimato a valutare la conformità al GDPR quando serve ad accertare un abuso di posizione dominante; e, ancora, il giudice civile, che con l’articolo 82 è diventato uno degli attori principali.

Oggi, lo stesso trattamento di dati, per esempio l’addestramento di un modello di intelligenza artificiale, può essere valutato dal Garante come problema di base giuridica, dall’antitrust come abuso, dall’ACN come incidente, dal giudice come danno.

È una rete che funziona solo se i nodi si parlano.

Secondo segnale: il giudice entra nel campo

Nel primo decennio l’enforcement era, in larga parte, una relazione a due: l’autorità e il destinatario del provvedimento. Invece, nel secondo decennio si profila come una relazione a tre; e il terzo è il giudice.

In Italia lo hanno mostrato due vicende del 2026.

Il Tribunale di Roma ha annullato per difetto di competenza la sanzione da quindici milioni di euro irrogata dal Garante a OpenAI, senza entrare nel merito e la Corte di cassazione, con la sentenza n. 22791 del 6 luglio 2026, ha chiarito il significato dei centoventi giorni previsti dal regolamento del Garante, dopo anni di letture contrastanti.

In Europa, la Corte di giustizia ha fissato i confini del potere sanzionatorio:

• nessun automatismo;
• nessuna responsabilità oggettiva;
• un massimale calcolato sul gruppo ma una misura sempre individualizzata.

Il campo di battaglia non è più soltanto se una violazione c’è stata, ma come e quando è stata accertata: la competenza, il termine, la motivazione, la prova della colpa.

La procedura è diventata il merito e questo, secondo me, non è un male perchè un potere che nessuno controlla non è forte, è fragile.

Terzo segnale: il legislatore vuole riprendersi il testo

Arriva da Bruxelles il terzo segnale.

Il 4 settembre 2025, con la sentenza nella causa EDPS c. Single Resolution Board (C‑413/23 P), la Corte di giustizia ha chiarito che la qualificazione di un’informazione come dato personale deve essere valutata in relazione al soggetto che la riceve.

In particolare, un dato pseudonimizzato può non costituire un dato personale per il destinatario che non disponga di mezzi ragionevolmente utilizzabili per reidentificare la persona fisica, anche qualora altri soggetti siano in grado di effettuare tale identificazione.

Poco più di due mesi dopo, il 19 novembre 2025, la Commissione europea ha presentato la proposta di Digital Omnibus Regulation (COM(2025) 837), che interviene anche sulla nozione di dato personale di cui all’art. 4, n. 1, GDPR.

La proposta non abroga tale definizione, ma ne modifica significativamente la portata, prevedendo una valutazione relativa al destinatario del dato e confermando, sotto determinate condizioni, che i dati pseudonimizzati possano non essere qualificati come personali per soggetti privi di mezzi ragionevoli di reidentificazione.

Si tratta dunque di un intervento che, codificando e radicalizzando l’orientamento della sentenza SRB, tocca la nozione fondante dell’intero impianto del GDPR: quella di dato personale.

Il Consiglio, nel mandato adottato il 21 ottobre 2026, ha rinunciato a riscrivere la definizione, ma ne ha spostato la logica in una nuova norma sulla pseudonimizzazione.

GDPR, la reazione all’enforcement

Appare chiaro che non è il legislatore che guida e l’enforcement che segue ma l’opposto. L’Omnibus, in questa parte, non è un’evoluzione dell’enforcement ma una reazione all’enforcement.

Il legislatore, sotto la pressione dell’intelligenza artificiale e della competitività, prova a ridisegnare dall’alto un perimetro che dieci anni di decisioni avevano costruito dal basso.

In quel pacchetto c’è semplificazione vera, che va accolta, e c’è erosione, che va riconosciuta.

Non quanto, ma quale

Se questi tre segnali sono veri, la domanda del prossimo decennio non è “quanto” enforcement ma “quale”.

Dopo dieci anni il GDPR non ha bisogno di più forza ma di una forza diversa che arrivi in tempo; perché un enforcement che arriva dopo cinque anni non è più enforcement, è storia.

Inoltre ha bisogno di una forza che regga in giudizio, perché ogni provvedimento annullato è una tutela mancata e, per chi lo ha istruito, mesi di lavoro perduti.

Ancora, necessita di una forza che sappia dove sta la competenza, perché in un sistema di autorità multiple e di sportello unico europeo, la legittimazione a decidere è la prima condizione dell’efficacia.

GDPR, enforcement e complessità in sette passaggi

Questa nuova serie attraversa quella complessità in sette passaggi.

Dopo questo primo capitolo, il secondo descrive la rete degli enforcer, pubblici e privati, e chiede chi ne tenga la mappa. Il terzo guarda alla geografia: perché i casi che contano si decidono sempre più a Dublino e a Bruxelles.

Invece, il quarto affronta due vincoli molto concreti dell’enforcement italiano, il tempo e le risorse operative.

Il quinto entra nel Digital Omnibus e nella nozione di dato personale, che il Consiglio ha scelto di non toccare spostandone la logica in un nuovo articolo sulla pseudonimizzazione.

Inoltre, il sesto guarda al resto del pacchetto, per distinguere ciò che semplifica da ciò che erode.

Il settimo guarda dove la sanzione non morde, il settore pubblico e le forze di polizia, e da lì ripensa la misura stessa della forza.

Un filo li tiene tutti insieme. Enforcement significa infatti dare forza e la forza di un testo normativo non si misura dal numero di sanzioni che produce, ma dalla capacità di cambiare in tempo i comportamenti di chi tratta i dati delle persone.