Risposta Rapida: La Direttiva ePrivacy e il GDPR sono due leggi distinte ma sovrapposte dell'UE che regolano congiuntamente il consenso ai cookie e la privacy online. La Direttiva ePrivacy stabilisce le regole specifiche per l'installazione dei cookie sui dispositivi degli utenti, mentre il GDPR definisce gli standard per un consenso valido. La maggior parte dei siti web che operano nell'UE deve conformarsi a entrambe, e a partire dal 2026, è in corso una grande revisione legislativa che potrebbe consolidare le regole sui cookie direttamente nel GDPR.
Punti Chiave
- La Direttiva ePrivacy (2002, aggiornata nel 2009) è la legge principale che richiede il consenso prima di impostare cookie non essenziali; il GDPR (2018) definisce cosa significhi "consenso valido".
- Entrambe le leggi si applicano simultaneamente alla maggior parte dei siti web rivolti all'UE, una non sostituisce l'altra.
- La proposta di Regolamento ePrivacy è stata formalmente ritirata dalla Commissione Europea nel febbraio 2025.
- Il Digital Omnibus Package, svelato nel novembre 2025, propone di integrare le regole sul consenso dei cookie nel GDPR tramite i nuovi Articoli 88a e 88b.
- I cookie essenziali (strettamente necessari) sono esenti dai requisiti di consenso ai sensi della Direttiva ePrivacy.
- La Direttiva ePrivacy è stata trasposta in modo diverso nei vari Stati membri dell'UE, creando variazioni di conformità per paese.
- Uno studio del 2026 ha rilevato che solo il 30,66% dei siti web presentava un pulsante "rifiuta tutto", indicando una diffusa non conformità [7].
- I banner per il consenso ai cookie possono soddisfare entrambe le leggi, ma solo se rispettano le condizioni del GDPR per un consenso dato liberamente, specifico, informato e inequivocabile.
- Le Piattaforme di Gestione del Consenso (CMP) dovranno adattarsi ai segnali di consenso a livello di browser in base alle modifiche proposte al GDPR [3].
Qual è la Differenza tra la Direttiva ePrivacy e il GDPR
La Direttiva ePrivacy e il GDPR svolgono funzioni diverse ma complementari. La Direttiva ePrivacy (Direttiva 2002/58/CE, modificata dalla 2009/136/CE) è una legge specifica per il settore che regola la privacy delle comunicazioni elettroniche, inclusi l'uso dei cookie e tecnologie di tracciamento simili. Il GDPR è un regolamento generale sulla protezione dei dati che stabilisce il quadro giuridico per il trattamento dei dati personali in tutti i settori, inclusa la definizione e i requisiti per un consenso valido.
La distinzione chiave:
| Caratteristica | Direttiva ePrivacy | GDPR |
|---|---|---|
| Forma legale | Direttiva UE (richiede trasposizione nazionale) | Regolamento UE (applicabile direttamente) |
| Focus principale | Cookie, tracciamento, comunicazioni elettroniche | Tutti i trattamenti di dati personali |
| Standard di consenso | Richiede consenso per cookie non essenziali | Definisce cosa significa consenso valido |
| Organo di enforcement | Regolatori nazionali delle telecomunicazioni/DPA | Autorità Nazionali per la Protezione dei Dati |
| Stato (2026) | Ancora in vigore; riforma in attesa | In vigore; modifiche proposte in corso |
Poiché la Direttiva ePrivacy è una Direttiva piuttosto che un Regolamento, ciascun Stato membro dell'UE l'ha trasposta in modo diverso nel diritto nazionale, producendo variazioni nell'applicazione e nei requisiti specifici tra i paesi [6].
Devi Conformarti a Entrambe la Direttiva ePrivacy e il GDPR, o Solo a Una
Entrambe le leggi si applicano simultaneamente e la conformità a una non soddisfa l'altra. La Direttiva ePrivacy ti dice quando hai bisogno del consenso (prima di impostare cookie non essenziali); il GDPR ti dice come deve apparire quel consenso (dato liberamente, specifico, informato, inequivocabile e revocabile in qualsiasi momento) [5].
Pensala in questo modo: la Direttiva ePrivacy è il grilletto, e il GDPR è lo standard. Un banner per i cookie che appare tecnicamente prima che i cookie vengano caricati ma utilizza caselle pre-selezionate violerebbe i requisiti di consenso del GDPR, anche se nominalmente rispetta l'obbligo di notifica della Direttiva ePrivacy.
Errore comune: Assumere che un avviso sui cookie (che informa gli utenti dell'esistenza dei cookie) sia sufficiente. Sotto entrambi i quadri, la notifica passiva non è consenso per cookie non essenziali.
Come Si Applica la Direttiva ePrivacy ai Cookie sul Tuo Sito Web
La Direttiva ePrivacy richiede che gli operatori di siti web ottengano un consenso informato e preventivo prima di memorizzare o accedere a informazioni sul dispositivo di un utente, questo copre cookie, pixel, archiviazione locale e tecnologie simili [6]. Questo obbligo si applica indipendentemente dal fatto che i dati raccolti rientrino nella definizione di dati personali ai sensi del GDPR.
Praticamente, ciò significa:
- Nessun cookie non essenziale può attivarsi prima che un utente compia un'azione affermativa per dare il consenso.
- Il meccanismo di consenso deve essere chiaro e non deve essere accorpato all'accettazione dei termini di servizio.
- Gli utenti devono essere in grado di revocare il consenso con la stessa facilità con cui lo hanno dato.
La Direttiva si applica a qualsiasi servizio che mira a utenti dell'UE, indipendentemente da dove sia basato l'operatore del sito web.
Quali Cookie Richiedono Consenso ai Sensi della Direttiva ePrivacy vs. GDPR
Ai sensi della Direttiva ePrivacy, il consenso è richiesto per tutti i cookie tranne quelli che sono "strettamente necessari" per un servizio esplicitamente richiesto dall'utente. Ai sensi del GDPR, qualsiasi trattamento di dati personali richiede una base giuridica, e per i cookie di tracciamento, tale base è quasi sempre il consenso.
Categorie di cookie e requisiti di consenso:
- Cookie strettamente necessari (gestione della sessione, stato di accesso, carrello): Nessun consenso richiesto ai sensi della Direttiva ePrivacy. Potrebbe applicarsi la base di legittimo interesse o di esecuzione del contratto del GDPR.
- Cookie di analisi (ad es., tracciamento delle visualizzazioni di pagina che identificano gli utenti): Consenso richiesto sotto entrambi i quadri.
- Cookie di marketing e pubblicità (targeting comportamentale, retargeting): Consenso richiesto sotto entrambi i quadri, questa è la categoria a più alto rischio per l'applicazione.
- Cookie funzionali (preferenze linguistiche, impostazioni dell'interfaccia): Dibattuti; se trattano dati personali, il consenso è l'approccio più sicuro.
La Direttiva ePrivacy Viene Sostituita, e Cos'è il Regolamento ePrivacy
La Direttiva ePrivacy non viene sostituita dal GDPR. Tuttavia, un proposto Regolamento ePrivacy era destinato a sostituire la Direttiva con una legge direttamente applicabile a livello dell'UE. Tale proposta è stata formalmente ritirata dalla Commissione Europea nel febbraio 2025, citando una mancanza di accordo prevedibile tra gli Stati membri e il carattere obsoleto della proposta date le recenti evoluzioni tecnologiche [2].
La Direttiva ePrivacy vs. il proposto Regolamento ePrivacy: Il Regolamento sarebbe stato direttamente vincolante in tutti gli Stati membri (eliminando le differenze di trasposizione nazionale), ma non è mai stato adottato.
Al suo posto, la Commissione Europea ha introdotto il Digital Omnibus Package il 19 novembre 2025. Questo pacchetto propone di integrare le regole sul consenso dei cookie direttamente nel GDPR attraverso i nuovi Articoli 88a e 88b [2][3]. L'Articolo 88a definirebbe gli scenari in cui non è richiesto il consenso (come per la trasmissione di comunicazioni elettroniche o servizi esplicitamente richiesti dall'utente). L'Articolo 88b introdurrebbe requisiti per meccanismi di consenso automatizzati e leggibili dalle macchine, inclusi segnali di consenso a livello di browser [3].
A partire da luglio 2026, il Digital Omnibus Package è ancora in fase di elaborazione legislativa, con il testo finale previsto entro la fine del 2026 o all'inizio del 2027 [4].
I Cookie Essenziali Necessitano di Consenso ai Sensi della Direttiva ePrivacy
No. I cookie strettamente necessari sono esplicitamente esenti dal requisito di consenso della Direttiva ePrivacy. Questi sono cookie senza i quali il servizio richiesto attivamente dall'utente non può funzionare, ad esempio, identificatori di sessione, token di autenticazione e cookie del carrello [6].
Caso limite: "Necessario" è interpretato in modo restrittivo. Un cookie che migliora le prestazioni o abilita l'analisi non è strettamente necessario, anche se l'operatore lo considera operativamente importante. In caso di dubbio, è meglio richiedere il consenso.
Come Ottenere un Consenso Valido ai Cookie che Soddisfi Entrambi i Regolamenti
Il consenso valido ai sensi del GDPR (e quindi ai sensi della Direttiva ePrivacy, che si rimette agli standard di consenso del GDPR) deve essere:
- Dato liberamente, Nessun muro di consenso o accettazione forzata dei termini.
- Specifico, Consenso separato per ciascuna categoria di cookie (analisi, marketing, ecc.).
- Informato, Gli utenti devono sapere cosa fanno i cookie e chi tratta i dati.
- Inequivocabile, È richiesta un'azione affermativa; le caselle pre-selezionate sono invalide.
- Revocabile, Revocare il consenso deve essere facile quanto concederlo [5].
Una Piattaforma di Gestione del Consenso (CMP) ben configurata gestisce questo flusso di lavoro. Biscotti CMP è progettata per supportare questi requisiti, inclusi categorie di consenso granulari e registrazione del consenso per scopi di audit. Con il Digital Omnibus Package che propone segnali di consenso a livello di browser ai sensi dell'Articolo 88b, le CMP dovranno anche acquisire e rispettare i segnali dalle impostazioni del browser, un significativo cambiamento operativo per il settore [3].
I Banner per i Cookie Possono Soddisfare Entrambi i Requisiti della Direttiva ePrivacy e del GDPR
Sì, ma solo se il banner è progettato correttamente. Un banner per i cookie che soddisfa gli standard di consenso del GDPR soddisferà anche il requisito di consenso della Direttiva ePrivacy, poiché la Direttiva si rimette alla definizione di consenso del GDPR per gli Stati membri dell'UE [5][6].
Un banner conforme deve:
- Presentare un'opzione chiara "Accetta" e "Rifiuta" (o equivalente) con la stessa prominenza visiva.
- Non utilizzare schemi ingannevoli (ad es., rendere "Rifiuta" più difficile da trovare rispetto a "Accetta").
- Bloccare i cookie non essenziali fino a quando non viene dato il consenso.
- Registrare e memorizzare il consenso con un timestamp e un riferimento alla versione.
- Consentire agli utenti di modificare le proprie preferenze in qualsiasi momento.
Uno studio del 2026 ha rilevato che solo il 30,66% dei siti web presentava un pulsante "rifiuta tutto", il che significa che la maggior parte dei siti esaminati probabilmente non soddisfa le aspettative di conformità [7].
Ci Sono Paesi Dove la Direttiva ePrivacy Non Si Applica
La Direttiva ePrivacy si applica in tutti gli Stati membri dell'UE. Tuttavia, poiché è una Direttiva (non un Regolamento), ciascun paese l'ha trasposta nel diritto nazionale con alcune variazioni in termini di ambito, priorità di enforcement e sanzioni [6]. I paesi al di fuori dell'UE, inclusi il Regno Unito dopo la Brexit, hanno le proprie leggi equivalenti (le Regole sulla Privacy e le Comunicazioni Elettroniche del Regno Unito, o PECR).
Scegli il tuo baseline di conformità in base a dove si trovano i tuoi utenti, non solo dove è registrata la tua attività. Un'azienda con sede negli Stati Uniti con un traffico significativo nell'UE deve conformarsi sia alla Direttiva ePrivacy (come trasposta negli Stati membri pertinenti) sia al GDPR.
Cosa Succede Se Non Ti Conformi alle Regole della Direttiva ePrivacy
La non conformità alla Direttiva ePrivacy (come trasposta nel diritto nazionale) può comportare multe e azioni di enforcement da parte dei regolatori nazionali. Le sanzioni variano a seconda dello Stato membro, ma possono essere sostanziali, e le violazioni del GDPR attivate da un consenso non valido (ad esempio, il trattamento di dati personali tramite cookie di tracciamento senza una base giuridica valida) comportano multe fino al 4% del fatturato annuo globale o 20 milioni di euro, a seconda di quale sia maggiore [5].
Le Autorità Nazionali per la Protezione dei Dati (DPA) continuano a indagare attivamente e multare le organizzazioni per fallimenti nel consenso ai cookie [1]. Le azioni di enforcement hanno colpito sia grandi piattaforme che piccoli operatori.
Errori comuni di conformità:
- Attivare cookie di analisi o pubblicità al caricamento della pagina prima che il consenso sia registrato.
- Utilizzare banner di consenso che non bloccano i cookie fino a dopo l'interazione.
- Non onorare prontamente la revoca del consenso.
- Non aggiornare i registri di consenso quando le politiche sui cookie cambiano.
- Trattare gli avvisi sui cookie come equivalenti ai meccanismi di consenso.
Quanto Tempo Possono Essere Memorizzati i Cookie ai Sensi della Direttiva ePrivacy
La Direttiva ePrivacy non specifica direttamente una durata massima di memorizzazione dei cookie. Tuttavia, i principi di minimizzazione dei dati e limitazione della conservazione del GDPR si applicano dove i cookie trattano dati personali. Il consenso dovrebbe essere limitato nel tempo, e i regolatori generalmente si aspettano che le organizzazioni richiedano nuovamente il consenso periodicamente, una guida comunemente citata suggerisce 12 mesi come intervallo ragionevole, anche se non è un limite statutario rigido [6].
Guida pratica: Imposta i periodi di scadenza dei cookie proporzionati al loro scopo. Un cookie di sessione dovrebbe scadere quando il browser si chiude. Un cookie di analisi non ha bisogno di una durata di due anni se sei mesi servono allo stesso scopo.
Quali Sono gli Errori Comuni che le Aziende Fanno con la Conformità ePrivacy
Oltre ai problemi sopra menzionati, diversi schemi appaiono costantemente nei casi di enforcement e nelle verifiche:
- Consenso implicito: Assumere che la navigazione continua costituisca consenso. Questo è stato esplicitamente respinto dai tribunali e dalle DPA dell'UE.
- Consenso accorpato: Combinare il consenso ai cookie con l'accettazione della privacy policy in un solo clic.
- Geo-targeting incoerente: Applicare regole di consenso più severe solo per gli utenti di determinati paesi mentre si servono cookie di tracciamento ad altri, un rischio dato che l'enforcement può seguire la posizione dell'utente.
- Ignorare le variazioni nazionali: Assumere che una singola configurazione del banner soddisfi tutti gli Stati membri dell'UE, quando in realtà alcuni paesi hanno requisiti nazionali più severi [6].
- Nessuna traccia di audit del consenso: Non registrare a cosa hanno acconsentito gli utenti, quando e sotto quale versione dell'informativa sulla privacy [1].
Conclusione
La relazione tra La Direttiva ePrivacy vs. GDPR: Navigare nelle Regole sui Cookie dell'UE non è una questione di scegliere un quadro rispetto all'altro, entrambi si applicano e entrambi devono essere soddisfatti. La Direttiva ePrivacy definisce quando è necessario il consenso per i cookie; il GDPR definisce come deve apparire un consenso valido. Insieme, formano la base giuridica per la conformità ai cookie in tutta l'UE.
Il panorama normativo è in evoluzione. La proposta di Regolamento ePrivacy è stata ritirata all'inizio del 2025, e il Digital Omnibus Package ora propone di integrare le regole sui cookie direttamente nel GDPR attraverso gli Articoli 88a e 88b. Il testo finale è previsto entro la fine del 2026 o all'inizio del 2027, ma gli obblighi attuali rimangono pienamente in vigore nel frattempo.
Passi successivi praticabili per il 2026:
- Audit del comportamento dei cookie del tuo sito web per confermare che nessun cookie non essenziale si attivi prima che il consenso venga acquisito.
- Rivedere il tuo banner di consenso per schemi ingannevoli e assicurarsi che le opzioni di "rifiuto" siano altrettanto prominenti di quelle di "accettazione".
- Implementare una CMP come Biscotti CMP che registri i registri di consenso e supporti la gestione delle categorie granulari.
- Monitorare i progressi del Digital Omnibus Package e valutare se il tuo fornitore di CMP si sta preparando per il supporto dei segnali di consenso a livello di browser.
- Controllare la trasposizione nazionale della Direttiva ePrivacy in ciascun Stato membro dell'UE dove hai un traffico utente significativo.
FAQ
D: Il GDPR sostituisce la Direttiva ePrivacy per i cookie? No. Il GDPR e la Direttiva ePrivacy coesistono. La Direttiva ePrivacy rimane la legge principale che richiede il consenso per i cookie; il GDPR regola cosa significa consenso valido e come devono essere trattati i dati personali elaborati tramite cookie.
D: Cos'è il Regolamento ePrivacy e sta ancora arrivando? Il Regolamento ePrivacy era una proposta di legge dell'UE destinata a sostituire la Direttiva ePrivacy con un regolamento direttamente applicabile. È stato formalmente ritirato dalla Commissione Europea nel febbraio 2025 e non procederà nella sua forma attuale.
D: Cos'è il Digital Omnibus Package? Il Digital Omnibus Package, svelato nel novembre 2025, è una proposta legislativa dell'UE che semplificherebbe la regolamentazione digitale integrando le regole sul consenso dei cookie nel GDPR tramite i nuovi Articoli 88a e 88b. A partire da luglio 2026, è ancora in fase di revisione legislativa.
D: I cookie di analisi sono esenti dai requisiti di consenso? No. I cookie di analisi che identificano utenti o dispositivi individuali sono non essenziali e richiedono consenso preventivo ai sensi della Direttiva ePrivacy, indipendentemente dal fatto che siano utilizzati per scopi commerciali.
D: Un muro di cookie (bloccando l'accesso a meno che gli utenti accettino i cookie) può costituire consenso valido? Generalmente no. I regolatori e i tribunali dell'UE hanno stabilito che il consenso ottenuto tramite muri di cookie non è dato liberamente ai sensi del GDPR, poiché gli utenti non hanno una scelta reale. Alcune DPA nazionali consentono muri di cookie in circostanze limitate se viene offerta un'alternativa a pagamento, ma questo rimane contestato.
D: Con quale frequenza gli utenti devono essere invitati a ri-consentire ai cookie? Non esiste un periodo statutario fisso, ma i regolatori generalmente si aspettano che il consenso venga rinfrescato quando gli scopi o l'elenco dei cookie cambiano in modo sostanziale, o dopo un periodo ragionevole (spesso citato come 12 mesi nella pratica). Il consenso ottenuto sotto una versione precedente di un'informativa sulla privacy potrebbe non coprire nuove attività di trattamento.
D: Cos'è un cookie strettamente necessario? Un cookie strettamente necessario è quello senza il quale un servizio esplicitamente richiesto dall'utente non può funzionare, ad esempio, un token di sessione di accesso o un identificatore del carrello della spesa. Questi sono esenti dal requisito di consenso della Direttiva ePrivacy.
D: La Direttiva ePrivacy si applica alle aziende non UE? Sì, se tali aziende mirano a utenti situati nell'UE. L'ambito territoriale segue la posizione dell'utente, non l'indirizzo registrato dell'operatore.
D: Cosa devo cercare in una Piattaforma di Gestione del Consenso? Una CMP conforme dovrebbe bloccare i cookie non essenziali prima del consenso, supportare categorie di consenso granulari, registrare il consenso con timestamp, consentire una facile revoca e essere pronta a supportare segnali di consenso a livello di browser come richiesto dalle modifiche proposte al GDPR.
D: Posso utilizzare un singolo banner per i cookie per tutta l'UE? Un singolo banner può funzionare come baseline, ma poiché la Direttiva ePrivacy è stata trasposta in modo diverso tra gli Stati membri, alcuni paesi potrebbero avere requisiti più severi. È consigliabile una revisione legale rispetto alla legge nazionale di ciascun mercato target per i siti ad alto traffico.
Riferimenti
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai