Meno banner? La proposta UE sul consenso ai cookie

Punti chiave

• Il Consiglio propone il rifiuto con un singolo clic o equivalente e un intervallo di almeno quattro mesi prima di richiedere nuovamente il consenso per la stessa finalità dopo un rifiuto. [2]
• Le eccezioni proposte per la misurazione dell'audience prevedono condizioni specifiche; non esentano ogni strumento di analisi o pubblicità. [2]
• La Data Protection Commission (DPC) irlandese ribadisce che i cookie analitici richiedono il consenso. Le aziende dovrebbero verificare la conformità attuale, non implementare prematuramente una proposta. [3][4]

Cosa dice effettivamente la proposta dei quattro mesi

Il mandato del Consiglio, pubblicato con l'annuncio aggiornato il 22 ottobre, consentirebbe agli utenti di rifiutare una richiesta di consenso in modo facile e intelligibile tramite un pulsante con un singolo clic o mezzi equivalenti. In caso di rifiuto, il fornitore non dovrebbe riproporre la domanda per la stessa finalità per almeno quattro mesi. Laddove il consenso venga fornito, non dovrebbe essere richiesto nuovamente per tale finalità durante il periodo in cui può essere legittimamente invocato. [2]

I dettagli sono fondamentali. Non si tratta di una data di scadenza universale di quattro mesi per ogni cookie. Né significa che un sito web possa ignorare una successiva modifica delle preferenze. La norma riguarda le richieste ripetute per la stessa finalità. Il mandato prevede inoltre un successivo periodo di attuazione nazionale; nessuno dovrebbe descrivere l'annuncio di ottobre come un cambiamento immediato nella legge irlandese. [2]

Un cookie è un piccolo frammento di informazioni memorizzato su un dispositivo. Alcuni supportano funzioni effettivamente richieste dall'utente; altri aiutano a misurare l'attività o a indirizzare la pubblicità. Definirli tutti "essenziali" solo perché utili a un'azienda non rende corretta tale classificazione. [4]

Una mano tiene un telefono accanto a una tazza di caffè; lo schermo è illeggibile. Illustrazione editoriale generata da IA; non è una fotografia di un evento specifico o di un partecipante alla ricerca.

La misurazione non è un'esenzione totale

La bozza contiene diverse disposizioni sulla misurazione. Una disposizione sulla misurazione dell'audience richiede che i dati siano pseudonimizzati dopo la raccolta, limita il riutilizzo e il tracciamento al di fuori del servizio misurato o del contenuto multimediale, e limita la condivisione dei dati personali. La pseudonimizzazione non è la stessa cosa dell'anonimizzazione irreversibile. Descrivere l'intera proposta come un'esenzione per l'"analisi anonima" farebbe trascurare condizioni importanti. [2]

Un'altra disposizione riguarda la misurazione della pubblicità contestuale: pubblicità selezionata dal contenuto immediato o da una singola query di ricerca, piuttosto che da un profilo di attività passate o future. Le sue condizioni limitano la profilazione e altri utilizzi. Un'azienda non può semplicemente rinominare la pubblicità comportamentale come "contestuale" e presumere che rientri nella proposta. [2]

La distinzione pratica risiede tra il chiedersi come performi una particolare pagina e l'assemblare un quadro continuo dell'attività di una persona identificabile. Il fatto che uno strumento specifico soddisfi una futura eccezione dipenderebbe da ciò che fa realmente, non dalla dicitura sulla sua pagina di vendita. Queste disposizioni rimangono proposte, non un'approvazione di conformità pronta all'uso per un prodotto software.

Cosa devono fare ora le imprese irlandesi

L'attuale guida della DPC risponde "sì" alla necessità di consenso per i cookie analitici, anche nella sua analisi degli analytics di prima parte. Identifica esenzioni limitate per funzioni strettamente necessarie richieste dall'utente e per la trasmissione di una comunicazione. Specifica che i cookie per la pubblicità mirata e il monitoraggio delle conversioni non sono esenti. [3][4]

La DPC avverte inoltre che le caselle preselezionate o i selettori (toggle) non producono un consenso valido. Un link generico alla spiegazione dei cookie di qualcun altro non sostituisce la spiegazione dell'uso proprio dell'operatore. Le persone devono poter revocare o variare il consenso, e la revoca deve essere facile quanto il conferimento. [4][5]

Ecco perché cambiare un pulsante non è sufficiente. Un banner di consenso è l'interfaccia; gli script che girano dietro di esso determinano se la scelta del visitatore viene rispettata. Un'azienda dovrebbe sapere quali strumenti si caricano prima di una decisione, quali dopo un rifiuto e cosa si interrompe dopo la revoca.

Tre colleghi discutono davanti a un laptop in uno spazio di lavoro luminoso. Illustrazione editoriale generata da IA; non è una fotografia di un evento specifico o di un partecipante alla ricerca.

Un audit pratico senza attendere la nuova legislazione

Prendiamo come esempio un panificio di Dublino che utilizza un widget di prenotazione, un contatore di traffico e un pixel pubblicitario. Il proprietario dovrebbe chiedere allo sviluppatore di documentare la finalità di ogni strumento, i destinatari dei dati, la conservazione e il comportamento del consenso. Non si deve presumere che la funzione di prenotazione e il pixel di marketing necessitino dello stesso trattamento. Questo è un esempio ipotetico, non un audit di un'azienda specifica.

Successivamente, testate il sito come un nuovo visitatore che rifiuta il tracciamento opzionale. Ripetete l'operazione su mobile e dopo aver revocato un precedente accordo. Verificate che la policy descriva gli strumenti effettivi e che il rifiuto non diventi silenziosamente un consenso altrove nell'interfaccia. Tenete traccia del test e ottenete una consulenza qualificata per i casi incerti. [4][5]

Per i creatori e le imprese più piccole, una riduzione delle richieste intrusive potrebbe essere utile. Ma misurare il successo solo in base a quante persone premono "accetta" premia il risultato sbagliato. Il test migliore è verificare se le persone comprendano la scelta e se il sito la rispetti.

Un negoziante parla con un cliente al bancone. Illustrazione editoriale generata da IA; non è una fotografia di un evento specifico o di un partecipante alla ricerca.

Scelte più semplici richiedono comunque responsabilità

L'enfasi di Safegram (un social network orientato alla privacy e marketplace verificato) sulla privacy e il controllo dell'utente è pertinente a questo principio: una promessa di privacy dovrebbe essere giudicata dall'esperienza di chi dice di no, non solo da un titolo. Questo è uno standard di progettazione da applicare anche a Safegram, non una pretesa che la sua tecnologia sia stata sottoposta a audit indipendente o che non utilizzi mai un particolare strumento.

Il Consiglio afferma che il prossimo passo sono i negoziati con il Parlamento Europeo. I lettori altrove non dovrebbero trattare la proposta UE sul consenso ai cookie o la guida del regolatore irlandese come un cambiamento automatico della legge del Regno Unito, degli Stati Uniti, del Brasile o di altri paesi. Anche all'interno dell'Europa, un'attuazione specifica dovrebbe essere verificata rispetto alle norme applicabili e al testo finale definitivo. [1]

L'azione utile da compiere è già disponibile: testate un rifiuto reale e una revoca sul vostro sito web. Per informazioni su Safegram, visitate safegram.com. Questa è un'analisi editoriale generale, non una consulenza legale individuale o un certificato di conformità.

Domande frequenti

L'UE ha abolito i banner dei cookie nell'ottobre 2026?

No. Il Consiglio ha concordato una posizione negoziale, non una legge definitiva che abolisce i banner. Gli obblighi esistenti continuano ad applicarsi. [1]

Cosa significa il periodo di quattro mesi proposto?

Secondo il testo del Consiglio, dopo aver rifiutato una richiesta, non dovrebbe essere chiesto nuovamente il consenso per la stessa finalità per almeno quattro mesi. Non è ancora una nuova norma irlandese. [2]

I siti irlandesi possono ora impostare cookie analitici senza consenso?

Non a causa di questa proposta. L'attuale guida della DPC afferma che i cookie analitici richiedono il consenso. Le eccezioni proposte non hanno sostituito tale guida. [3]

Le informazioni pseudonimizzate sono anonime?

Non necessariamente. La sostituzione degli identificativi non rimuove di per sé la possibilità di collegare le informazioni a una persona. Le condizioni di misurazione della bozza non dovrebbero essere ridotte all'affermazione che tutti gli analytics siano anonimi. [2]

Cos'è la pubblicità contestuale?

Pubblicità basata sul contenuto visualizzato o su una query specifica piuttosto che su un profilo delle attività di una persona. L'eccezione proposta per la misurazione contiene ulteriori restrizioni. [2]

Cosa dovrebbe cambiare immediatamente un'azienda?

Risolvere i problemi di conformità attuali: identificare i tracciatori effettivi, rimuovere il consenso preselezionato non valido, spiegare le finalità e fornire una via di revoca semplice. Non attivare le esenzioni proposte prima che diventino applicabili. [3][4][5]