Il consenso ai cookie viene riscritto: cosa cambia il Digital Omnibus

Il banner dei cookie è l'elemento di interfaccia più detestato d'Europa. È anche, dopo otto anni, ancora giuridicamente fragile su gran parte dei siti. Bruxelles ha finalmente deciso di affrontare entrambi i problemi insieme, e il veicolo è il pacchetto Digital Omnibus proposto il 19 novembre 2025.

Questo articolo copre cosa c'è davvero nella proposta, cosa è già legge oggi, e cosa cambieremmo o non cambieremmo in un'implementazione del consenso adesso. Al 10 ottobre 2026 la parte del pacchetto su GDPR ed ePrivacy non è ancora arrivata al trilogo: il Consiglio non ha ancora un mandato negoziale e il Parlamento non ha una posizione, quindi parte di questo si muoverà.

Come ci siamo arrivati

Il consenso ai cookie non ha mai vissuto nel GDPR. Vive nell'articolo 5, paragrafo 3, della direttiva ePrivacy del 2002, modificata nel 2009, che dice che archiviare informazioni sull'apparecchiatura terminale di un utente, o accedervi, richiede il consenso salvo che sia strettamente necessario per un servizio richiesto dall'utente.

Quella direttiva doveva essere sostituita da un Regolamento ePrivacy. La proposta è rimasta bloccata in Consiglio per otto anni ed è stata formalmente ritirata l'11 febbraio 2025. Ci è rimasta una direttiva del 2002, recepita in ventisette modi leggermente diversi, a sorvegliare un web che non esisteva quando è stata scritta.

Il risultato è il caos che tutti conoscono: banner che cambiano da paese a paese, consensi tecnicamente invalidi su un gran numero di siti, e utenti che cliccano accetta per riflesso perché rifiutare richiede più tempo.

Cosa è già esigibile oggi

Prima di arrivare alla proposta, vale la pena essere schietti sullo stato attuale, perché molti team credono che il proprio banner vada bene e non è così.

L'applicazione è stata costante e specifica. A settembre 2025 l'autorità francese ha multato lo stesso giorno Google per 325 milioni di euro e Shein per 150 milioni. I rilievi erano meccanici e non filosofici: cookie impostati prima che il banner comparisse, e opzione di rifiuto che non rifiutava in modo affidabile.

Le regole che le autorità applicano davvero:

Niente di non essenziale prima che l'utente agisca. Non il tag di analytics, non il pixel, non il widget di chat, non il font di terze parti. Se parte al caricamento della pagina, non conta cosa dice il banner.

Rifiutare deve equivalere ad accettare. Stesso livello, stesso peso visivo, stesso numero di clic. Rendere il rifiuto un percorso in due passaggi attraverso un pannello di preferenze mentre accettare è un pulsante viene trattato come dark pattern che invalida il consenso.

Il consenso è granulare. Un unico interruttore che raggruppa analytics, pubblicità e personalizzazione non è consenso specifico.

La revoca deve essere facile quanto la concessione. Un comando sempre raggiungibile, non un'email al supporto.

Il consenso scade. La maggior parte delle autorità lavora con circa sei-tredici mesi prima di richiedere.

Il modello paga o acconsenti è stretto. Il Parere 08/2024 del Comitato europeo per la protezione dei dati afferma che le grandi piattaforme generalmente non possono presentare una scelta binaria tra accettare il tracciamento e pagare. Ci si attende una vera alternativa gratuita senza pubblicità comportamentale.

Se il vostro banner fallisce su uno dei primi due punti, sistemate quello prima di preoccuparvi della riforma. Sono quelli che generano sanzioni oggi.

Cosa propone il Digital Omnibus

Nella proposta della Commissione, la mossa strutturale centrale è togliere le regole sulle apparecchiature terminali dalla vecchia direttiva e metterle dentro il GDPR, tramite due nuovi articoli.

Articolo 88a: consenso per l'accesso alle apparecchiature terminali

Sostituisce l'articolo 5, paragrafo 3, della direttiva ePrivacy e, cosa importante, amplia l'insieme delle finalità che non richiedono consenso. L'attuale esenzione per lo strettamente necessario è talmente stretta che perfino una misurazione di base del pubblico richiede di norma un banner. La proposta estende le esenzioni verso sicurezza, misurazione aggregata del pubblico e mantenimento dell'integrità del servizio.

Due cambiamenti operativi attirano la maggior parte dell'attenzione:

• Accettazione o rifiuto con un clic. La scelta deve essere presentabile in un'azione, in entrambe le direzioni.
• Un periodo di raffreddamento. Se un utente rifiuta, non si dovrebbe richiedere per sei mesi. Solo questo eliminerebbe gran parte della stanchezza da banner.

Articolo 88b: segnali di consenso leggibili da macchina

Questo è il più interessante per chi sviluppa. Renderebbe i segnali di consenso a livello di browser o di sistema giuridicamente vincolanti per i titolari. Se un utente esprime una preferenza una volta, nel browser, i siti dovrebbero rispettarla invece di richiedere.

È anche la parte che è piaciuta meno agli Stati membri. Il testo del Consiglio, descritto più sotto, elimina del tutto l'articolo 88b.

Altri punti da conoscere

Il pacchetto propone anche di spostare il termine di notifica delle violazioni di dati personali da 72 a 96 ore, e aggiusta diverse definizioni su dati pseudonimizzati e addestramento dell'IA. È fuori dall'ambito di questo articolo, ma viaggia sullo stesso veicolo, il che spiega in parte perché il dossier sia conteso.

Cosa cambia nel testo del Consiglio

Gli Stati membri lavorano su un testo diverso. Il compromesso della presidenza irlandese del 2 ottobre 2026 (documento del Consiglio 13886/26, redatto come mandato del Consiglio per i negoziati con il Parlamento e non ancora adottato al 10 ottobre 2026) modifica l'impianto della Commissione in diversi punti:

• Le regole sui cookie restano nella direttiva ePrivacy. L'articolo 5, paragrafo 3, viene riscritto dove si trova, e gli articoli 88a e 88b non vengono aggiunti al GDPR. In questo testo non c'è alcun obbligo di rispettare i segnali del browser.
• Sei finalità senza consenso: la trasmissione di una comunicazione, un servizio richiesto esplicitamente dall'utente, la misurazione del pubblico di prima parte che produce dati anonimi e aggregati, la misurazione dell'audience dei media ai sensi del regolamento europeo sulla libertà dei media, la sicurezza e la misurazione della visualizzazione e del rendimento della pubblicità contestuale, senza profilazione.
• Rifiuto con un clic. Gli utenti devono poter rifiutare «con un pulsante a clic singolo o con mezzi equivalenti».
• Un'attesa più breve. Dopo un rifiuto, nessuna nuova richiesta per la stessa finalità per «almeno quattro mesi», contro i sei del testo della Commissione.
• Sopravvivono due idee della Commissione: il termine di 96 ore per la notifica delle violazioni dei dati personali e la definizione relativa di dato personale.

È una posizione negoziale, non una legge, e il Parlamento non ha ancora adottato la propria.

Tempistiche, e perché non pianificarci sopra ancora

Il quadro realistico al 10 ottobre 2026:

• I triloghi non sono iniziati. Un voto degli ambasciatori UE sul mandato del Consiglio, previsto per il 7 ottobre, è stato rinviato e, secondo quanto riportato, riprogrammato per l'11 ottobre 2026.
• Al Parlamento, le commissioni LIBE e ITRE hanno pubblicato il progetto di relazione il 22 giugno 2026 e hanno ricevuto più di 1.750 emendamenti. Non c'è ancora stato alcun voto in commissione.
• Nel testo della Commissione, l'articolo 88a si applicherebbe circa sei mesi dopo l'entrata in vigore. Il testo del Consiglio concede agli Stati membri 24 mesi per recepire il nuovo articolo 5, paragrafo 3, anche se le sue disposizioni finali riportano ancora una scadenza a sei mesi, un contrasto che i negoziatori dovranno risolvere.
• Nel testo della Commissione, l'articolo 88b si applicherebbe entro circa 24 mesi. Il testo del Consiglio lo elimina.

La data plausibile più vicina per le regole del clic singolo e del raffreddamento è quindi il 2027 secondo il calendario della Commissione, e più tardi se i 24 mesi del Consiglio resteranno. Gli obblighi sui segnali del browser potrebbero non arrivare mai. Chi vi dice che il banner cookie muore quest'anno vi sta vendendo qualcosa.

Cosa cambieremmo ora e cosa no

La riforma non è legge, ma la direzione è abbastanza stabile da informare l'architettura. Ecco come consigliamo i clienti.

Fare questo ora

Sistemare la meccanica. Rifiutare facile quanto accettare, niente che parta prima dell'interazione, categorie granulari, revoca funzionante. È il diritto vigente ed è lì che stanno le sanzioni.

Separare lo stato del consenso dall'interfaccia del consenso. Tenete un servizio di consenso che possiede lo stato, lo espone all'applicazione e registra la prova con un riferimento di versione. Il banner diventa così uno strato di presentazione sostituibile. Quando cambiano le regole, cambiate l'interfaccia e tenete l'impianto.

Registrare bene i consensi. Timestamp, stato per categoria, identificativo della versione del testo del banner, meccanismo usato e origine della decisione. Senza la versione del testo non potete provare a cosa l'utente abbia davvero acconsentito.

Iniziare ad ascoltare i segnali. Global Privacy Control è già giuridicamente rilevante in diverse giurisdizioni e costa pochissimo rispettarlo. Leggerlo ora rende l'articolo 88b, se arriva, una modifica di configurazione anziché un progetto.

Verificare davvero i vostri tag. Non nell'interfaccia del tag manager, ma nel browser, su una pagina reale, con un profilo pulito. Contate le richieste prima del consenso. Di solito sono più di quante il team si aspetti.

Non fare ancora questo

Non togliete il consenso granulare presumendo che le esenzioni si allarghino. Se il testo finale si restringe, dovrete ricostruirlo.

Non riscrivete l'informativa attorno a numeri di articoli in bozza.

Non rimuovete il banner per la misurazione del pubblico. L'esenzione ampliata è una proposta, non un permesso.

Non impegnatevi su un processo a 96 ore. Continuate a operare a 72.

La domanda di design più ampia

C'è uno spostamento più ampio che vale la pena nominare. Le autorità sono passate dal chiedere se avete un consenso al chiedere come lo avete ottenuto. La meccanica dell'interfaccia è oggi la superficie di applicazione. Per questo i casi sui banner cookie ruotano attorno alla posizione dei pulsanti e al numero di clic invece che alla formulazione di una policy.

Questa tendenza continua oltre il Digital Omnibus. Il Digital Fairness Act, atteso come proposta a fine 2026, punta dritto ai dark pattern, alle interfacce manipolative, ai prezzi personalizzati e al design che crea dipendenza. L'applicazione è realisticamente dal 2028 in avanti, ma indica quali pattern hanno una scadenza.

Se i vostri numeri di crescita dipendono da un'interfaccia confusa, quello ora è un rischio di conformità con una data, non un'ottimizzazione furba.

Una nota sull'analytics

Buona parte del problema del banner è autoinflitta. I team caricano una piattaforma di analytics di terze parti che richiede consenso, poi perdono un terzo dei dati per i rifiuti, poi provano a progettare una via d'uscita.

L'analytics auto-ospitato e attento alla privacy può cambiare il calcolo, perché una misurazione che resta sulla vostra infrastruttura e non costruisce profili tra siti ha un argomento molto più forte per l'esenzione, e rientrerebbe comodamente nelle esenzioni ampliate proposte dall'Omnibus. Abbiamo descritto un'opzione nella nostra guida alla configurazione di Matomo, e la stessa logica vale per la marketing automation auto-ospitata.

Non è un trucco di conformità. È una riduzione reale di ciò che dovete giustificare.

Dove si colloca nel quadro generale

Il consenso ai cookie è un pezzo di una costruzione normativa molto più ampia. La mappa completa della conformità digitale UE 2026 copre il resto, e la guida GDPR orientata all'ingegneria copre lo strato sottostante.

Se volete far rivedere la vostra implementazione del consenso rispetto a ciò che le autorità applicano davvero, o ricostruirla in modo che il prossimo cambio normativo sia una configurazione e non una riscrittura, scrivete a office@c9group.dev.

Costruiamo sistemi, non diamo consulenza legale, e la decisione finale sull'interpretazione spetta ai vostri legali.