Aggiornamento: nel febbraio 2025 la Commissione europea ha ritirato la sua proposta di Regolamento ePrivacy. Il ritiro è indicato nell’allegato IV del programma di lavoro della Commissione per il 2025, con la motivazione che non era prevedibile alcun accordo. Per i cookie questo significa che la Direttiva ePrivacy del 2002 e i suoi recepimenti nazionali restano in vigore, e che il GDPR continua a disciplinare i dati personali raccolti tramite cookie. Abbiamo mantenuto questo articolo come testimonianza di ciò che la proposta avrebbe cambiato, perché le sue idee principali (consenso a livello di browser, esenzione per l’analytics first-party, regole sui cookie wall) continuano a tornare nelle linee guida delle autorità e nelle decisioni dei tribunali.

La storia: dalla direttiva a un regolamento mai arrivato

La storia della normativa ePrivacy in Europa inizia molto prima del GDPR. Nel 2002 l’Unione Europea ha adottato la Direttiva ePrivacy (Direttiva 2002/58/CE), nota anche come direttiva sulla privacy e le comunicazioni elettroniche. Ha fissato regole per il trattamento dei dati personali nel settore delle comunicazioni elettroniche: riservatezza delle comunicazioni, dati di traffico e di ubicazione, identificazione della linea chiamante e marketing non richiesto. La descriviamo in dettaglio nella nostra pagina sulla Direttiva ePrivacy.

Nel 2009 la direttiva è stata modificata dalla cosiddetta Direttiva Cookie (Direttiva 2009/136/CE), che ha introdotto l’obbligo di ottenere un consenso informato prima di memorizzare o leggere informazioni sul dispositivo dell’utente: la base giuridica dei banner cookie che vediamo oggi. Trattandosi di una direttiva e non di un regolamento, ogni stato membro l’ha recepita in modo diverso. Alcuni hanno adottato regole di opt-in rigide, altri hanno ammesso il consenso implicito, e l’applicazione è variata da paese a paese.

Questo mosaico ha creato confusione per le aziende transfrontaliere e una protezione disomogenea dei consumatori. Nel gennaio 2017 la Commissione europea ha proposto di sostituire la direttiva con un regolamento direttamente applicabile in tutti gli stati membri. Il piano originale ne prevedeva l’applicazione dal 25 maggio 2018, insieme al GDPR.

Non è andata così. La proposta è diventata uno dei dossier più contestati nella storia dell’UE, con il lobbying dell’industria pubblicitaria, delle società di telecomunicazioni e degli editori da un lato e dei sostenitori della privacy e delle associazioni dei consumatori dall’altro. Il Consiglio ha concordato il proprio mandato negoziale nel febbraio 2021, ma i triloghi successivi non hanno prodotto un accordo. Nel febbraio 2025 la Commissione ha ritirato la proposta nel suo programma di lavoro 2025, citando l’assenza di un accordo prevedibile e una proposta ormai superata rispetto alla normativa più recente.

Direttiva vs. regolamento: perché la distinzione contava

La differenza tra una direttiva e un regolamento dell’UE non è solo burocratica:

  • Una direttiva fissa obiettivi che gli stati membri devono raggiungere, ma lascia a ciascun paese la scelta di come recepirli nel diritto nazionale. Il risultato sono 27 recepimenti nazionali, ciascuno con le proprie sfumature, meccanismi di applicazione e sanzioni.
  • Un regolamento si applica direttamente in tutti gli stati membri dalla data di entrata in vigore. Non c’è alcun passaggio di recepimento e le regole sono le stesse ovunque.

Con la Direttiva ePrivacy le regole sui cookie continuano a differire da paese a paese. In Francia la CNIL ha pubblicato linee guida dettagliate e applica attivamente il consenso ai cookie. In Germania l’applicazione è più frammentata per la struttura federale delle autorità. Nella Repubblica Ceca l’ÚOOÚ ha un approccio un po’ meno aggressivo. Il regolamento avrebbe eliminato queste differenze. Con il ritiro della proposta restano, e la risposta pratica per un sito web è ancora il diritto nazionale dei paesi a cui si rivolge.

In cosa ePrivacy si differenzia dal GDPR

GDPR ed ePrivacy sono strumenti complementari, non alternativi. Coprono ambiti diversi ma sovrapposti:

  • Il GDPR è un regolamento generale che si applica a qualsiasi trattamento di dati personali, indipendentemente dal mezzo. La nostra guida GDPR ne copre le basi.
  • ePrivacy è una normativa settoriale (lex specialis) per le comunicazioni elettroniche. Copre la riservatezza delle comunicazioni e dei metadati, l’uso di cookie e tecnologie simili, il marketing diretto via email e messaggistica, e il trattamento dei dati di traffico e di ubicazione da parte degli operatori.

Nella gerarchia del diritto dell’UE, ePrivacy prevale sul GDPR per le materie che disciplina specificamente. Questo vale oggi per la direttiva e sarebbe valso per il regolamento: le regole su quando serve il consenso per installare cookie vengono da ePrivacy, mentre il GDPR disciplina cosa accade dopo ai dati personali. La Corte di Giustizia ha confermato questa ripartizione in Planet49 (C-673/17).

Cosa avrebbe cambiato il Regolamento ePrivacy per i cookie

La proposta della Commissione e le posizioni del Consiglio adottate tra il 2017 e il 2021 danno un quadro chiaro di ciò che era sul tavolo:

1. Impostazioni di consenso a livello di browser

Una delle proposte più significative era la gestione del consenso a livello di browser. Invece di incontrare un banner su ogni sito, gli utenti avrebbero impostato una volta le proprie preferenze nel browser, e i siti le avrebbero lette e rispettate. Il concetto, a volte chiamato Do Not Track 2.0 o Advanced Data Protection Control, avrebbe ridotto la stanchezza da banner dando agli utenti un controllo persistente.

I dettagli non sono mai stati definiti: quali browser avrebbero implementato tali impostazioni, quanto granulari sarebbero state le preferenze (tutto o niente oppure finalità per finalità) e cosa sarebbe successo con i browser privi della funzione. Alcuni testi trattavano le impostazioni del browser come consenso valido; altri mantenevano i banner dei siti come soluzione di riserva.

2. Cookie wall e modelli “paga o acconsenti”

Le proposte affrontavano la controversa pratica dei cookie wall, in cui un sito blocca l’accesso ai contenuti finché l’utente non accetta tutti i cookie. Ai sensi del GDPR la loro legittimità è dibattuta, e alcune autorità li considerano una violazione del requisito del consenso libero. Il regolamento avrebbe potuto chiarire la situazione consentendo un accesso condizionato in circostanze specifiche.

Il modello “paga o acconsenti”, in cui l’utente sceglie tra accettare i cookie pubblicitari o pagare un abbonamento, è stato parzialmente accettato da alcune autorità (la DSB austriaca e la CNIL francese hanno pubblicato linee guida secondo cui può essere ammissibile a certe condizioni). Dal regolamento ci si aspettavano regole più chiare, probabilmente con il requisito che l’alternativa al consenso fosse ragionevole, non eccessiva e chiaramente comunicata. Senza di esso, autorità e tribunali decidono caso per caso.

3. Esenzioni per l’analytics first-party

Il cambiamento forse più gradito ai gestori di siti sarebbe stata un’esenzione dal consenso per alcune categorie di cookie. Secondo le proposte, i seguenti cookie non avrebbero richiesto il consenso:

  • Cookie strettamente necessari a un servizio richiesto dall’utente (già previsto dalla direttiva)
  • Cookie di analytics first-party usati solo per misurare l’audience di un sito, a condizione che i dati non siano condivisi con terzi né usati per profilazione
  • Cookie che ricordano le preferenze dell’utente (lingua, accessibilità) per la durata di una sessione
  • Cookie usati per rilevare e prevenire frodi o minacce alla sicurezza

L’esenzione per l’analytics first-party sarebbe stata significativa. Strumenti come Matomo o Plausible in modalità first-party avrebbero potuto funzionare senza consenso; Google Analytics probabilmente non si sarebbe qualificato, perché condivide i dati con Google. L’esenzione non è mai arrivata, quindi i cookie analitici richiedono ancora il consenso. Confrontiamo le alternative nell’articolo analytics senza cookie.

4. Regole per le tecnologie di tracciamento oltre i cookie

Il regolamento avrebbe coperto esplicitamente tutte le forme di tracciamento, tra cui:

  • Browser fingerprinting
  • Pixel di tracciamento e web beacon
  • Local storage (localStorage, sessionStorage, IndexedDB)
  • Device fingerprinting nelle app mobili
  • Tracciamento cross-device tramite ultrasuoni

In pratica cambiava meno di quanto sembri. L’articolo 5, paragrafo 3, della direttiva attuale parla già di memorizzare informazioni o accedere a informazioni archiviate nell’apparecchiatura terminale dell’utente, e le autorità lo applicano oggi a local storage, pixel e fingerprinting.

5. Applicazione diretta e sanzioni

Come il GDPR, il regolamento avrebbe istituito un meccanismo di applicazione diretta con una struttura sanzionatoria a due livelli:

  • Livello inferiore: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per le violazioni meno gravi
  • Livello superiore: fino a 20 milioni di euro o al 4% del fatturato annuo mondiale per le violazioni più gravi, incluso il mancato ottenimento di un consenso valido per cookie e tecnologie di tracciamento

Oggi le sanzioni per le violazioni sui cookie variano ancora tra gli stati membri. Dove sono coinvolti dati personali, le autorità sanzionano in base al GDPR; altrimenti si basano sul recepimento nazionale della direttiva, con massimali spesso modesti.

Cosa si applica oggi

  • La Direttiva ePrivacy 2002/58/CE, articolo 5, paragrafo 3, tramite il diritto nazionale: memorizzare o leggere informazioni sul dispositivo dell’utente richiede il consenso, salvo quando strettamente necessario per un servizio richiesto dall’utente.
  • Il GDPR per i dati personali raccolti tramite cookie. Il consenso deve rispettare gli articoli 4, punto 11, e 7, come interpretati nelle linee guida EDPB 05/2020.
  • La sentenza Planet49 della CGUE (C-673/17): una casella preselezionata non è un consenso, che si tratti o meno di dati personali.
  • Il Digital Markets Act per i gatekeeper, a cui Google ha legato il suo requisito di Consent Mode v2.

Cosa significa per il tuo sito

  • Continua a rispettare le regole attuali. Nulla è stato allentato: consenso prima dei cookie non essenziali, rifiuto facile quanto l’accettazione, una cookie policy. L’elenco passo per passo è nella nostra checklist di conformità cookie.
  • Verifica tutte le tecnologie di tracciamento, inclusi localStorage, pixel e script di fingerprinting; la direttiva le copre tutte. Lo scanner cookie automatico lo fa per te.
  • Rivedi il marketing diretto. Le regole nazionali sull’email marketing restano in vigore; assicurati di avere un consenso chiaro e una disiscrizione funzionante.
  • Valuta un’analytics orientata alla privacy. L’esenzione first-party non è mai arrivata, ma gli strumenti senza cookie non hanno bisogno di consenso finché non memorizzano nulla sul dispositivo.
  • Segui l’EDPB e la tua autorità nazionale. La regolazione dei cookie ora si muove attraverso linee guida e decisioni, non con una nuova legge.

Consentio mantiene il tuo banner allineato alle regole in vigore oggi: GDPR, Direttiva ePrivacy e i suoi recepimenti nazionali. Se le regole cambiano, lo riflettiamo nel banner per te.

Fonti