ePrivacy è una direttiva — ogni Stato membro la recepisce con una propria legge. Ecco una panoramica dei principali mercati europei e di cosa si applica davvero in ciascuno.
Un regolamento (il GDPR) si applica identico in tutta l'UE. Una direttiva (ePrivacy) no — deve essere recepita.
Il diritto UE ha due strumenti principali. Un regolamento si applica direttamente in tutti gli Stati membri — per questo il GDPR è identico ovunque. Una direttiva fissa un obiettivo ma lascia i mezzi a ciascuno Stato membro. ePrivacy è una direttiva del 2002, quindi ogni Stato membro ha dovuto tradurla nella propria legge nazionale.
In pratica, questo significa che le regole di base sui cookie sono identiche ovunque (serve il consenso, esiste l'eccezione per i cookie strettamente necessari, c'è il diritto di revoca), ma i dettagli variano — chi vigila, quali sono le sanzioni, quali eccezioni particolari esistono. Ecco una panoramica dei sei principali mercati UE.
Quale legge specifica si applica in ciascun Paese e chi la fa rispettare.
Legge n. 127/2005, § 89
La Legge sulle comunicazioni elettroniche, §89(3), recepisce l'Articolo 5(3) della Direttiva ePrivacy. Richiede un consenso preventivo e dimostrabile per tutti i cookie tranne quelli strettamente necessari. Modificata nel 2022.
Autorità: Ufficio per la protezione dei dati personali (ÚOOÚ)
TDDDG (già TTDSG)
Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, in vigore dal dicembre 2021 (originariamente TTDSG, rinominata nel maggio 2024). Una delle più severe — sanzioni fino a 300.000 euro per singola violazione.
Autorità: Autorità federali e regionali per la protezione dei dati (BfDI + Länder)
Legge 78-17 + linee guida CNIL
La legge sulla protezione dei dati (1978, modificata) più le linee guida vincolanti della CNIL del 2020 e 2021. La CNIL è nota per un'applicazione aggressiva — Google, Amazon e Facebook hanno tutte ricevuto sanzioni nell'ordine di decine di milioni di euro.
Autorità: Commission Nationale de l'Informatique et des Libertés (CNIL)
LSSI-CE, Art. 22.2
La Ley de Servicios de la Sociedad de la Información, Articolo 22.2, recepisce le regole sui cookie. Integrata dalle linee guida vincolanti dell'AEPD del 2023, che chiariscono come deve essere fatto il meccanismo di consenso.
Autorità: Agencia Española de Protección de Datos (AEPD)
Codice Privacy + Provvedimento del Garante 2021
Il Codice Privacy italiano più le linee guida vincolanti del Garante (giugno 2021). L'autorità italiana è tra le più attive — pubblica regolarmente indicazioni e sanziona i siti con banner cookie non conformi.
Autorità: Garante per la protezione dei dati personali
Telecommunicatiewet, Art. 11.7a
La Legge sulle telecomunicazioni, Articolo 11.7a, recepisce ePrivacy. L'autorità olandese Autoriteit Persoonsgegevens pubblica indicazioni chiare e verifica attivamente i siti — in particolare nei settori sanità e finanza.
Autorità: Autoriteit Persoonsgegevens (AP)
Lo scheletro è identico ovunque. I dettagli — chi, quanto in fretta, e quanto costa — cambiano.
Sì. Se il tuo sito si rivolge a utenti di un determinato Paese (ad esempio con contenuti localizzati, un dominio .de, o spedizioni verso quel Paese), si applica la legge locale. In pratica questo significa rispettare la normativa più rigorosa tra quelle rilevanti — il che ti copre automaticamente ovunque.
Il nostro banner cookie è configurato per soddisfare gli standard UE più rigorosi (tipicamente CNIL/Francia + Garante/Italia). Questo soddisfa automaticamente anche le leggi più permissive degli altri Paesi. Offriamo impostazioni specifiche per giurisdizione dove necessario.
Il Regno Unito ha il proprio UK GDPR e il PECR (Privacy and Electronic Communications Regulations), funzionalmente identici a ePrivacy. L'autorità è l'ICO. Consentio supporta anche i siti del Regno Unito — di solito senza configurazioni speciali.
Per gli utenti UE si applicano ePrivacy e le leggi nazionali. Per gli USA, spesso il CCPA/CPRA (California). Per gli altri Paesi, le regole locali. Consentio rileva la posizione del visitatore e applica il comportamento appropriato — banner opt-in per l'UE, modalità opt-out per gli USA.
