Il 12 settembre 2023, la Commissione Europea ha presentato un pacchetto di misure a sostegno delle piccole e medie imprese, con l’obiettivo di rafforzarne la competitività e supportare anche quelle realtà che superano i limiti della tradizionale definizione di PMI.

Proprio il desiderio di agire in continuità con questo obiettivo ha spinto l’Unione Europea a proporre, negli scorsi giorni, una bozza di modifica al Regolamento Europeo sulla Protezione dei dati.

Tra le modifiche più rilevanti proposte alla normativa GDPR, spiccano:

• L’introduzione di nuove definizioni, come quella delle “imprese a media capitalizzazione di piccole dimensioni”;
• L’abolizione dell’obbligo di tenere il registro delle attività di trattamento per le imprese con meno di 750 dipendenti, a meno che il trattamento non presenti rischi significativi per i diritti degli interessati;
• L’utilizzo di codici di condotta e certificazioni pensati appositamente per le PMI e le imprese a media capitalizzazione.

Criticità e implicazioni della semplificazione proposta

Nonostante l’intento di alleggerire il carico burocratico, le proposte sollevano dubbi sia sul piano operativo che su quello della sicurezza. Infatti l’inclusione di nuove categorie d’impresa all’interno della normativa e la semplificazione delle procedure non sembrano tenere pienamente conto del crescente livello di rischio legato alla digitalizzazione e alla complessità tecnologica.

Il fatto che molte PMI trattino grandi volumi di dati in modo intensivo le espone a minacce simili a quelle delle grandi aziende. La proposta di eliminare l’obbligo del registro delle attività di trattamento potrebbe, paradossalmente, indebolire la capacità delle imprese di garantire un’adeguata protezione dei dati. Inoltre, senza strumenti adeguati a tracciare e documentare i trattamenti, il rischio è quello di ridurre la compliance al GDPR e compromettere i diritti degli interessati.

La necessità di una semplificazione intelligente e sostanziale

La logica della mera semplificazione amministrativa, ispirata a modelli di deburocratizzazione e alleggerimento fiscale, appare oggi inadeguata di fronte alla complessità dei rischi digitali. La riforma dovrebbe spingersi oltre, fornendo alle PMI strumenti concreti per affrontare la protezione dei dati in modo efficace e consapevole.

Il passaggio verso un sistema di compliance sostanziale – in cui la sicurezza, la resilienza e l’adattabilità diventano priorità – è ormai imprescindibile. L’introduzione di normative più avanzate, come la Direttiva NIS 2, dimostra che la protezione dei dati non può più essere differenziata in base alle dimensioni dell’impresa. Per costruire un’economia digitale sicura e competitiva, le PMI devono essere messe in condizione di operare con gli stessi standard delle grandi aziende, attraverso politiche che siano sì semplificate, ma anche mirate, strutturate e realmente efficaci.