Decreto legislativo 10 giugno 2026, n. 122
Pubblicato in GU n. 156 dell'8 luglio 2026 il D.Lgs. 10 giugno 2026, n. 122 recante il recepimento degli articoli 11, 12, 13 e 15 della direttiva (UE) 2024/1640 del Parlamento europeo e del Consiglio, del 31 maggio 2024, relativa ai meccanismi che gli Stati membri devono istituire per prevenire l'uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo, che modifica la direttiva (UE) 2019/1937, e modifica e abroga la direttiva (UE) 2015/849. Il Decreto entrerà in vigore il prossimo 23 luglio
EDPB - Consultations: Guidelines on anonymisation and Guidelines on web scraping in the context of generative AI
The new EDPB guidelines on anonymisation bring clarity to the notion of anonymous data. The guidelines also provide a practical framework for organisations to determine if anonymisation is successful. The framework can be applied in two ways: either by assessing differences in capabilities between those who might identify the individual (‘contextual approach’) or for simplicity’s sake by not taking such differences into account (‘simplified approach’), if a controller chooses to do so. The simplified approach can go beyond the legal standard and may lead an anonymising controller to treat data as though it is not anonymous even if it would actually be so for some relevant entities, but this approach can be more convenient, and provide greater confidence that data is actually anonymous. The framework uses 3 criteria to test if data is anonymous: 1) no record isolation, 2) no linkage, and 3) no inference. If all 3 criteria are met, the data can be safely considered anonymous. If any of these criteria are not satisfied, further analysis should be done to determine if the data may be considered anonymous. Web scraping is a large-scale automated data extraction process that often operates without individuals being aware, and which may pose significant risks to the protection of their personal data. In its guidelines on web scraping in the context of generative AI, the Board clarifies various aspects of the GDPR compliance of web scraping, including the legal basis for such activities and the conditions under which special categories of data can be processed in this context. The GDPR applies to web scraping when it includes personal data processing operations, such as collection, storage, organisation and retrieval. The guidelines provide further clarifications and examples on the use of the legitimate interest legal basis in the specific context of web scraping for AI training. Both guidelines will be subject to public consultation until 30 October 2026
EDPB - Final version of Guidelines on blockchain technologies
The EDPB has adopted the final version of its guidelines on blockchain technologies. The guidelines help organisations using blockchain technologies to comply with the GDPR. The EDPB explains how blockchains work, assessing the different possible architectures and their implications for the processing of personal data
Banca d'Italia - Quadro segnaletico di Vigilanza dei gravi incidenti ICT: Analisi orizzontale 2025
Il rapporto sintetizza le evidenze raccolte a livello nazionale tramite lo schema di segnalazione istituito dal Dipartimento di Vigilanza, in linea con le previsioni del regolamento DORA. In particolare, il rapporto evidenzia che: (i) nel corso del 2025, 101 singoli eventi hanno dato luogo a 137 segnalazioni, inviate perlopiù da banche e gruppi bancari; (ii) la maggior parte degli incidenti è di natura operativa ed è prevalentemente associata a malfunzionamenti dei sistemi, in particolare di tipo software, seguiti da problemi di rete; (iii) gli eventi relativi alla cybersicurezza rappresentano il 23% del totale e riguardano soprattutto casi di esfiltrazione di dati, seguiti da attacchi alla catena di fornitura e da attacchi ransomware; (iv) in oltre la metà delle segnalazioni è coinvolto un fornitore o subfornitore di servizi; (v) sotto il profilo degli impatti, l’interruzione dei servizi continua a costituire la conseguenza più frequente (70% del totale), mentre le perdite economiche risultano nel complesso concentrate in un numero limitato di casi di maggiore severità
Tribunale UE - Sentenza UE T-356/25. Rappresentante Fiscale: no alla responsabilità solidale IVA
Il Tribunale UE (causa T-356/25) ha stabilito che il rappresentante fiscale, in quanto debitore diretto dell’IVA, non può essere ritenuto responsabile in solido con il soggetto non residente per le operazioni da quest'ultimo effettuate
AMLA - Final Report: Draft RTS on pecuniary sanctions, administrative measures and periodic penalty payments under Art. 53(10) AMLD
The new standards advance one of AMLA's core goals: harmonised, risk-based supervision across the EU. Until now, the same breach in the same situation could draw very different enforcement outcomes from one supervisor or country to the next. The new set of rules provides every supervisor with a common approach to assessing the gravity of breaches, leading to consistent enforcement outcomes across the EU while preserving proportionality, effectiveness and dissuasiveness. Supervisors in the EU will follow a common, step-by-step method. They first weigh the level of gravity of a breach against a shared set of indicators, including how long it lasted, whether it was repeated, and what impact it had. The breach is then classified into one of four levels of gravity, and common criteria guide supervisors to determine the appropriate enforcement outcome. The standards apply to all sectors covered by AML rules, financial and non-financial alike. Once adopted by the European Commission, they will apply directly and become legally binding in all EU Member States
ESMA - Common Supervisory Action on CASPs’ digital operational resilience for custody
ESMA is launching a Common Supervisory Action (CSA) focusing on the digital operational resilience of Crypto-Asset Service Providers (CASPs), with a specific emphasis on custody services. The CSA will assess the maturity of CASPs’ digital operational resilience frameworks in relation to custody activities. It will focus on risks inherent to distributed ledger technology (DLT), including governance arrangements, key and storage management, transaction controls, incident detection and response, smart contract risks, and dependencies on third-party providers. National Competent Authorities (NCAs) will carry out the exercise on a risk-based sample of authorised CASPs. The exercise will run from the second half of 2026 to the first half of 2027 The findings collected from NCAs will be consolidated into a final report, which will be submitted to ESMA’s Board of Supervisors following the conclusion of the exercise in the second half of 2027
ESMA - Deprioritisation of supervisory actions in relation to the mechanical issuance of invoices under the RTS on Reasonable Commercial Basis
ESMA recalls that the RTS on RCB applies in full to market data providers within its scope from 23 August 2026. ESMA recognises that certain requirements under the RTS on RCB, in particular those relating to fee schedules and units of count, are operationally reflected through invoicing systems that follow predefined billing cycles. In limited circumstances, this may give rise to practical challenges in aligning the mechanical issuance of invoices exactly with the application date. Against this background, from 23 August 2026 until 30 September 2026, as part of a coordinated approach, ESMA expects NCAs not to prioritise supervisory actions in relation to the application of fees and the corresponding issuance of invoices reflecting revised fee schedules. This statement is limited to that operational issue.
Consob - warning del Esrb sui rischi sistemici per la cybersicurezza legati ai modelli più avanzati di intelligenza artificiale
La Consob rende noto che il Comitato europeo per i rischi Sistemici (Esrb), di cui la l'Autorità di vigilanza è uno dei componenti per l’Italia, ha pubblicato un warning sui rischi cyber sistemici per la cybersicurezza legati ai modelli più avanzati di intelligenza artificiale. I modelli più avanzati di intelligenza artificiale (frontier AI models) potrebbero aumentare la velocità, la portata e la sofisticazione degli attacchi informatici ai danni del sistema finanziario. Pur riconoscendo che l’IA potrebbe rafforzare nel lungo periodo la resilienza informatica, l’Esrb sottolinea che, nel breve e medio termine, questa può favorire gli attori malevoli e generare nuovi rischi per la stabilità finanziaria. Per questo, invita le autorità competenti a tenere conto di tali rischi nelle attività di vigilanza e supervisione. L’Esrb richiama inoltre la necessità di rafforzare le capacità e l’autonomia strategica dell’Unione europea in questo settore attraverso un’azione coordinata tra autorità pubbliche, istituzioni finanziarie e operatori tecnologici
Regolamento delegato (UE) 2026/807 della Commissione, del 10 marzo 2026
Il Regolamento delegato (UE) 2026/807 modifica le norme tecniche di regolamentazione di cui al regolamento delegato (UE) 2023/206 per quanto riguarda l’aggiornamento dei riferimenti e l’allineamento della terminologia a seguito di modifiche del regolamento (UE) n. 575/2013
ESMA - Preliminary findings on the Active Account Requirement and first Annual Report of the Joint Monitoring Mechanism CCP
ESMA published the Interim Report of the Effectiveness of the Active Account Requirement and the First Annual Report of the Joint Monitoring Mechanism.
AMLA - Consultation on the draft RTS on cross-border information exchange between Financial Intelligence Units
AMLA has launched a consultation on the draft RTS on cross-border information exchange between Financial Intelligence Units. The draft RTS establishes clear and harmonised criteria for identifying when a report of suspicions concerns another Member State, and for transmitting it accordingly between Financial Intelligence Units. It aims to make cross-border information exchange more consistent, efficient, and reliable, strengthening cooperation between FIUs and supporting smoother integration into existing systems such as FIU.net. The consultation will run until 6 October 2026
Agenzia delle Entrate - Risposta n. 133 del 3 luglio 2026: Contributo straordinario banche, determinazione della base imponibile
Con la Risposta n. 133/E del 3 luglio 2026 l'Agenzia chiarisce che il contributo straordinario per l’affrancamento della riserva sostitutiva dell’imposta sugli extraprofitti bancari va calcolato sulla quota minima prevista dalla norma originaria, non sull’intera riserva iscritta in bilancio. Il versamento può avvenire anche tramite compensazione con i crediti derivanti dai bonus edilizi acquistati
AMLA - Draft ITS specifying the format to be used for the reporting of suspicions and for the provision of transaction records
AMLA has issued a Consultation on the draft ITS on the format for reporting suspicions and providing transaction records under Article 69(3) of Regulation (EU) 2024/1624. The draft ITS establishes the format to be used for the reporting of suspicions and for the provision of transaction records to FIUs. In particular, it provides templates for reporting suspicions adapted to different types of obliged entities, as well as templates for the provision of transaction records by credit and financial institutions. The templates shall be implemented by all FIUs and by all obliged entities wishing to internally automate the process for reporting instead of using the reporting platforms of FIUs, under the conditions set by the draft ITS. The Consultation will run until 20 September 2026
ESMA - Public Statement on the application of the national product intervention measures on binary options to event contracts
ESMA has issued a statement reminding firms of their obligation to assess whether newly offered products fall within the scope of existing product intervention measures on binary options. The statement responds to the growing popularity of prediction markets - or event contracts - and increasing retail participation globally. Event contracts are products whose financial outcome is binary (a fixed payout or no payout at all) and depends on a yes-or-no answer to a question about a future event. Event contracts exist for a wide variety of event questions. Whether they qualify as financial instruments depends on the event question. Event contracts may (also) qualify as bets under national gambling legislation. Where event contracts are financial instruments, they classify as derivatives and, given the binary outcome, fall within the scope of the existing national product intervention measures on binary options adopted by national competent authorities prohibiting their marketing, distribution or sale to retail clients. The statement also reminds firms that the distribution of event contracts qualifying as financial instruments in the EU requires an authorisation as investment firm, even where only distributed to non-retail clients
Garante Privacy - Relazione annuale 2025
La Relazione illustra i diversi ambiti di intervento dell’Autorità in un anno caratterizzato da un rapido e pervasivo processo di trasformazione, trainato dall’intelligenza artificiale e destinato a incidere profondamente su tutti i livelli della società. Dagli interventi nei settori più innovativi, come l’intelligenza artificiale relazionale, i deepfake e l’introduzione dell’IA nelle istituzioni scolastiche, alle attività ormai consolidate come il contrasto al telemarketing aggressivo, la tutela dei lavoratori, l’age verification e la protezione dei dati sanitari, l’Autorità ha confermato il proprio ruolo centrale nella tutela dei diritti e della protezione dei dati personali
ESMA - Final Report on the simplification of transaction reporting
ESMA published its final report on the simplification of transaction reporting, setting out a clear path towards a ‘Report Once’ approach. ESMA recommends a staged approach combining short-term burden reduction with a long-term structural reform. At the core of this strategy is the development of a single integrated transaction reporting framework across MiFIR, EMIR and SFTR, based on a “report once” principle. Next steps: following the publication of the Final Report, ESMA will engage with EU institutions on the proposed recommendations. The implementation of the integrated “report once” approach will require targeted legislative changes, a phased implementation and an inclusive dialogue with industry technical experts, allowing for coordinated development of reporting templates, data standards and streamlined infrastructure.
Consob - Rapporto sulla corporate governance delle società quotate per il 2025
Pubblicato l’ultimo Rapporto della Consob sulla corporate governance. Cala la presenza delle donne nelle posizioni apicali di presidente e di amministratore delegato nelle società italiane quotate in Borsa. Si riduce la partecipazione degli investitori istituzionali, in particolare quelli esteri, nell’azionariato delle imprese di Piazza Affari. Si rafforza il ruolo delle minoranze nei CdA
Consob - Proposte di modifiche al RE per individuare la nozione di detenzione congiunta delle partecipazioni azionarie, ai fini del meccanismo del whitewash
La Consob ha avviato una pubblica consultazione avente ad oggetto alcune modifiche al regolamento Emittenti per individuare la nozione di detenzione congiunta delle partecipazioni azionarie, ai fini dell'applicazione del meccanismo del whitewash introdotto nell'ambito della disciplina sugli emittenti di nuova quotazione, prevista nel TUF dalla riforma del mercato dei capitali (d.lgs. 47/2026). La riforma prevede infatti che le società di nuova quotazione possano escludere il diritto di recesso spettante ai soci anche in presenza di modifiche dell'oggetto sociale che alterino in modo rilevante il rischio d'impresa, purché vi sia il voto favorevole in assemblea della maggioranza dei soci diversi da quelli che detengono "anche congiuntamente" la partecipazione di maggioranza (cosiddetto whitewash). Tra le opzioni valutate, quella ritenuta più idonea a realizzare un bilanciamento equilibrato tra le diverse esigenze sottese all'intervento regolamentare è stata quella di delimitare il perimetro della detenzione congiunta a situazioni tipizzate e oggettivamente verificabili mutuate dalle fattispecie di "persone che agiscono di concerto", previste dall'art. 101-bis, comma 4-bis, del Tuf nonché a talune delle fattispecie di rapporti familiari, previsti dall'art. 44-quater, comma 1, lett. a), del regolamento Emittenti. La consultazione chiuderà il prossimo 31 luglio
