Il consenso ai cookie viene riscritto: cosa cambia il Digital Omnibus
Il banner dei cookie è l'elemento di interfaccia più detestato d'Europa. È anche, dopo otto anni, ancora giuridicamente fragile su gran parte dei siti. Bruxelles ha finalmente deciso di affrontare entrambi i problemi insieme, e il veicolo è il pacchetto Digital Omnibus proposto il 19 novembre 2025.
Questo articolo copre cosa c'è davvero nella proposta, cosa è già legge oggi, e cosa cambieremmo o non cambieremmo in un'implementazione del consenso adesso. Ad agosto 2026 il dossier è ancora in trilogo, quindi parte di questo si muoverà.
Come ci siamo arrivati
Il consenso ai cookie non ha mai vissuto nel GDPR. Vive nell'articolo 5, paragrafo 3, della direttiva ePrivacy del 2002, modificata nel 2009, che dice che archiviare informazioni sull'apparecchiatura terminale di un utente, o accedervi, richiede il consenso salvo che sia strettamente necessario per un servizio richiesto dall'utente.
Quella direttiva doveva essere sostituita da un Regolamento ePrivacy. La proposta è rimasta bloccata in Consiglio per otto anni ed è stata formalmente ritirata l'11 febbraio 2025. Ci è rimasta una direttiva del 2002, recepita in ventisette modi leggermente diversi, a sorvegliare un web che non esisteva quando è stata scritta.
Il risultato è il caos che tutti conoscono: banner che cambiano da paese a paese, consensi tecnicamente invalidi su un gran numero di siti, e utenti che cliccano accetta per riflesso perché rifiutare richiede più tempo.
Cosa è già esigibile oggi
Prima di arrivare alla proposta, vale la pena essere schietti sullo stato attuale, perché molti team credono che il proprio banner vada bene e non è così.
L'applicazione è stata costante e specifica. A settembre 2025 l'autorità francese ha multato lo stesso giorno Google per 325 milioni di euro e Shein per 150 milioni. I rilievi erano meccanici e non filosofici: cookie impostati prima che il banner comparisse, e opzione di rifiuto che non rifiutava in modo affidabile.
Le regole che le autorità applicano davvero:
Niente di non essenziale prima che l'utente agisca. Non il tag di analytics, non il pixel, non il widget di chat, non il font di terze parti. Se parte al caricamento della pagina, non conta cosa dice il banner.
Rifiutare deve equivalere ad accettare. Stesso livello, stesso peso visivo, stesso numero di clic. Rendere il rifiuto un percorso in due passaggi attraverso un pannello di preferenze mentre accettare è un pulsante viene trattato come dark pattern che invalida il consenso.
Il consenso è granulare. Un unico interruttore che raggruppa analytics, pubblicità e personalizzazione non è consenso specifico.
La revoca deve essere facile quanto la concessione. Un comando sempre raggiungibile, non un'email al supporto.
Il consenso scade. La maggior parte delle autorità lavora con circa sei-tredici mesi prima di richiedere.
Il modello paga o acconsenti è stretto. Il Parere 08/2024 del Comitato europeo per la protezione dei dati afferma che le grandi piattaforme generalmente non possono presentare una scelta binaria tra accettare il tracciamento e pagare. Ci si attende una vera alternativa gratuita senza pubblicità comportamentale.
Se il vostro banner fallisce su uno dei primi due punti, sistemate quello prima di preoccuparvi della riforma. Sono quelli che generano sanzioni oggi.
Cosa propone il Digital Omnibus
La mossa strutturale centrale è togliere le regole sulle apparecchiature terminali dalla vecchia direttiva e metterle dentro il GDPR, tramite due nuovi articoli.
Articolo 88a: consenso per l'accesso alle apparecchiature terminali
Sostituisce l'articolo 5, paragrafo 3, della direttiva ePrivacy e, cosa importante, amplia l'insieme delle finalità che non richiedono consenso. L'attuale esenzione per lo strettamente necessario è talmente stretta che perfino una misurazione di base del pubblico richiede di norma un banner. La proposta estende le esenzioni verso sicurezza, misurazione aggregata del pubblico e mantenimento dell'integrità del servizio.
Due cambiamenti operativi attirano la maggior parte dell'attenzione:
- Accettazione o rifiuto con un clic. La scelta deve essere presentabile in un'azione, in entrambe le direzioni.
- Un periodo di raffreddamento. Se un utente rifiuta, non si dovrebbe richiedere per sei mesi. Solo questo eliminerebbe gran parte della stanchezza da banner.
Articolo 88b: segnali di consenso leggibili da macchina
Questo è il più interessante per chi sviluppa. Renderebbe i segnali di consenso a livello di browser o di sistema giuridicamente vincolanti per i titolari. Se un utente esprime una preferenza una volta, nel browser, i siti dovrebbero rispettarla invece di richiedere.
Una versione precedente del pacchetto includeva un meccanismo del browser più forte, caduto durante il negoziato. Ciò che sopravvive è il principio che i segnali automatizzati contano.
Altri punti da conoscere
Il pacchetto propone anche di spostare il termine di notifica delle violazioni di dati personali da 72 a 96 ore, e aggiusta diverse definizioni su dati pseudonimizzati e addestramento dell'IA. È fuori dall'ambito di questo articolo, ma viaggia sullo stesso veicolo, il che spiega in parte perché il dossier sia conteso.
Tempistiche, e perché non pianificarci sopra ancora
Il quadro realistico ad agosto 2026:
- La proposta è in trilogo tra Parlamento, Consiglio e Commissione.
- Un voto finale è atteso più avanti nel 2026, anche se i calendari sono già slittati.
- L'articolo 88a si applicherebbe circa sei mesi dopo l'entrata in vigore.
- L'articolo 88b si applicherebbe entro circa 24 mesi.
La data plausibile più vicina per le regole del clic singolo e del raffreddamento è quindi da qualche parte nel 2027, e gli obblighi sui segnali del browser nel 2028. Chi vi dice che il banner cookie muore quest'anno vi sta vendendo qualcosa.
Cosa cambieremmo ora e cosa no
La riforma non è legge, ma la direzione è abbastanza stabile da informare l'architettura. Ecco come consigliamo i clienti.
Fare questo ora
Sistemare la meccanica. Rifiutare facile quanto accettare, niente che parta prima dell'interazione, categorie granulari, revoca funzionante. È il diritto vigente ed è lì che stanno le sanzioni.
Separare lo stato del consenso dall'interfaccia del consenso. Tenete un servizio di consenso che possiede lo stato, lo espone all'applicazione e registra la prova con un riferimento di versione. Il banner diventa così uno strato di presentazione sostituibile. Quando cambiano le regole, cambiate l'interfaccia e tenete l'impianto.
Registrare bene i consensi. Timestamp, stato per categoria, identificativo della versione del testo del banner, meccanismo usato e origine della decisione. Senza la versione del testo non potete provare a cosa l'utente abbia davvero acconsentito.
Iniziare ad ascoltare i segnali. Global Privacy Control è già giuridicamente rilevante in diverse giurisdizioni e costa pochissimo rispettarlo. Leggerlo ora rende l'articolo 88b, se arriva, una modifica di configurazione anziché un progetto.
Verificare davvero i vostri tag. Non nell'interfaccia del tag manager, ma nel browser, su una pagina reale, con un profilo pulito. Contate le richieste prima del consenso. Di solito sono più di quante il team si aspetti.
Non fare ancora questo
Non togliete il consenso granulare presumendo che le esenzioni si allarghino. Se il testo finale si restringe, dovrete ricostruirlo.
Non riscrivete l'informativa attorno a numeri di articoli in bozza.
Non rimuovete il banner per la misurazione del pubblico. L'esenzione ampliata è una proposta, non un permesso.
Non impegnatevi su un processo a 96 ore. Continuate a operare a 72.
La domanda di design più ampia
C'è uno spostamento più ampio che vale la pena nominare. Le autorità sono passate dal chiedere se avete un consenso al chiedere come lo avete ottenuto. La meccanica dell'interfaccia è oggi la superficie di applicazione. Per questo i casi sui banner cookie ruotano attorno alla posizione dei pulsanti e al numero di clic invece che alla formulazione di una policy.
Questa tendenza continua oltre il Digital Omnibus. Il Digital Fairness Act, atteso come proposta a fine 2026, punta dritto ai dark pattern, alle interfacce manipolative, ai prezzi personalizzati e al design che crea dipendenza. L'applicazione è realisticamente dal 2028 in avanti, ma indica quali pattern hanno una scadenza.
Se i vostri numeri di crescita dipendono da un'interfaccia confusa, quello ora è un rischio di conformità con una data, non un'ottimizzazione furba.
Una nota sull'analytics
Buona parte del problema del banner è autoinflitta. I team caricano una piattaforma di analytics di terze parti che richiede consenso, poi perdono un terzo dei dati per i rifiuti, poi provano a progettare una via d'uscita.
L'analytics auto-ospitato e attento alla privacy può cambiare il calcolo, perché una misurazione che resta sulla vostra infrastruttura e non costruisce profili tra siti ha un argomento molto più forte per l'esenzione, e rientrerebbe comodamente nelle esenzioni ampliate proposte dall'Omnibus. Abbiamo descritto un'opzione nella nostra guida alla configurazione di Matomo, e la stessa logica vale per la marketing automation auto-ospitata.
Non è un trucco di conformità. È una riduzione reale di ciò che dovete giustificare.
Dove si colloca nel quadro generale
Il consenso ai cookie è un pezzo di una costruzione normativa molto più ampia. La mappa completa della conformità digitale UE 2026 copre il resto, e la guida GDPR orientata all'ingegneria copre lo strato sottostante.
Se volete far rivedere la vostra implementazione del consenso rispetto a ciò che le autorità applicano davvero, o ricostruirla in modo che il prossimo cambio normativo sia una configurazione e non una riscrittura, scrivete a office@c9group.dev.
Costruiamo sistemi, non diamo consulenza legale, e la decisione finale sull'interpretazione spetta ai vostri legali.