Cookie banner, cookie wall e consenso alla profilazione commerciale: requisiti di validità, Linee guida del Garante e novità del 2026
Nota di trasparenza · IA
Articolo elaborato con il supporto di sistemi di intelligenza artificiale e pubblicato dopo la revisione e l’approvazione di un avvocato dello Studio. Responsabilità editoriale: Avv. Antonio Baldari, Studio Legale Baldari & Colella. Il contenuto ha finalità informativa e non costituisce parere legale. Leggi la dichiarazione completa
§1 — SOMMARIO
Ogni volta che si apre un sito web e compare un banner, si compie un atto giuridicamente rilevante: si decide se consentire a soggetti spesso sconosciuti di archiviare informazioni sul proprio dispositivo e di osservare la propria navigazione, per costruire un profilo commerciale. I princìpi sono chiari: il consenso deve essere libero, specifico, informato e inequivocabile, come richiede l’art. 4, n. 11, Reg. UE 2016/679 (GDPR). La prassi, però, se ne discosta di frequente: banner che nascondono il rifiuto, cookie wall senza alternative, caselle già spuntate, richieste ripetute fino allo sfinimento. Il risultato è un consenso formale, ottenuto più per stanchezza che per scelta.
La questione non è solo tecnica. La profilazione alimenta la pubblicità comportamentale, la personalizzazione di prezzi e offerte e, più in generale, il valore economico dei dati degli utenti; per questo tocca insieme la privacy e la tutela del consumatore. Il Garante per la protezione dei dati personali interviene con linee guida, ispezioni e sanzioni e, nel 2026, ha esteso la logica del consenso ai tracking pixel nelle e-mail, con un termine di adeguamento che scade il 29 ottobre. Anche a livello europeo il quadro è in movimento, con il Digital Omnibus in discussione.
Questo contributo spiega quando il consenso alla profilazione e ai cookie non è «davvero libero», quali strumenti offre l’ordinamento all’utente e al consumatore e come interviene il Garante. Dopo il principio di diritto, l’inquadramento e il quadro normativo, si analizzano le ipotesi di consenso viziato, la giurisprudenza e la prassi più recenti, alcune fattispecie concrete e le riforme europee in corso. Seguono indicazioni operative, per chi naviga e per chi gestisce un sito, e le considerazioni conclusive.
§2 — PRINCIPIO DI DIRITTO
La massima operativa
Dalla lettura congiunta dell’art. 122 D.Lgs. 30 giugno 2003, n. 196 (Codice privacy), dell’art. 4, n. 11, GDPR, dell’art. 7 GDPR e delle Linee guida cookie del Garante, provv. n. 231 del 10 giugno 2021, può essere ricavato il principio che segue. Non è la massima di una singola sentenza, ma la sintesi del diritto vivente europeo e nazionale [§1].
Consenso alla profilazione e ai cookie
Principio di diritto
Il consenso alla profilazione commerciale e all’uso di cookie e strumenti di tracciamento non tecnici è valido soltanto se prestato prima del trattamento, con un atto positivo inequivocabile e per finalità specifiche. Non è libero se l’accesso al servizio è subordinato, senza alternativa equivalente, a un trattamento non necessario. Il rifiuto deve essere semplice quanto l’accettazione e il titolare deve poter dimostrare il consenso.
Art. 122 Codice privacy · Art. 4, n. 11, e art. 7 GDPR · Linee guida cookie del Garante, provv. n. 231/2021
Il perimetro applicativo della massima
Il principio riguarda tutti gli strumenti che archiviano informazioni sul terminale dell’utente o accedono a quelle già archiviate: cookie di profilazione e di terze parti, identificatori pubblicitari, tecniche di fingerprinting, SDK delle applicazioni mobili e, secondo il Garante, anche i tracking pixel inseriti nelle e-mail. Restano fuori dall’obbligo di consenso solo gli strumenti tecnici strettamente necessari a erogare il servizio richiesto, per i quali basta l’informativa. Non vi rientra, invece, il cosiddetto soft spam di cui all’art. 130, comma 4, Codice privacy, che riguarda l’invio di e-mail promozionali ai clienti per prodotti analoghi a quelli già acquistati.
§3 — INQUADRAMENTO SISTEMATICO E TERMINOLOGICO
Che cosa significa profilazione
L’art. 4, n. 4, GDPR definisce la profilazione come ogni trattamento automatizzato di dati personali volto a valutare aspetti personali di una persona: preferenze, interessi, comportamento, situazione economica, ubicazione. Per il Garante, i cookie di profilazione servono a ricondurre a soggetti determinati o determinabili schemi comportamentali ricorrenti, per raggrupparli in cluster, personalizzare il servizio oltre lo stretto necessario e inviare pubblicità mirata [§1].
Cookie tecnici, analytics e cookie di profilazione
Le Linee guida cookie 2021 distinguono due macro-categorie. I cookie tecnici servono solo a trasmettere una comunicazione o a erogare il servizio esplicitamente richiesto e richiedono la sola informativa. Tutti gli altri strumenti sono utilizzabili esclusivamente con il previo consenso. I cookie analytics sono assimilati ai tecnici solo se riducono il potere identificativo (ad esempio mascherando parti dell’indirizzo IP), producono statistiche aggregate e restano limitati a un singolo sito o a una singola app.
Strumenti attivi e passivi
Il cookie è uno strumento «attivo»: l’utente può cancellarlo o bloccarlo. Il fingerprinting è «passivo»: identifica il dispositivo osservandone la configurazione, senza archiviare nulla. La tutela non cambia, perché l’art. 122, comma 2-bis, Codice privacy vieta di usare una rete di comunicazione elettronica per accedere a informazioni archiviate nel terminale o per monitorare le operazioni dell’utente. Su questa base le Linee guida tracking pixel, provv. n. 284 del 17 aprile 2026, hanno ricondotto al medesimo regime i tracking pixel [§2].
Il rapporto tra disciplina ePrivacy e GDPR
L’obbligo di consenso nasce dalla Dir. 2002/58/CE (ePrivacy), come modificata dalla Dir. 2009/136/CE, recepita dall’art. 122 Codice privacy; il GDPR stabilisce invece le caratteristiche che il consenso deve avere. La norma speciale prevale su quella generale e non ammette altre basi giuridiche: il Garante ha escluso che il legittimo interesse possa giustificare cookie o strumenti di tracciamento non tecnici [§1].
§4 — QUADRO NORMATIVO DI RIFERIMENTO
La fonte speciale: l’articolo 122 del Codice privacy
L’art. 122, comma 1, Codice privacy consente l’archiviazione di informazioni nel terminale dell’utente, o l’accesso a quelle già archiviate, solo se l’utente ha espresso il consenso dopo essere stato informato con modalità semplificate; fa eccezione l’archiviazione tecnica finalizzata alla trasmissione di una comunicazione o strettamente necessaria al servizio richiesto. L’art. 122, comma 2, Codice privacy consente di esprimere il consenso anche tramite configurazioni di programmi o dispositivi di facile e chiara utilizzabilità; l’art. 122, comma 2-bis, Codice privacy vieta, salvo il comma 1, l’accesso alle informazioni archiviate e il monitoraggio delle operazioni dell’utente.
Il consenso nel GDPR
- Art. 4, n. 11, GDPR: il consenso è una manifestazione di volontà libera, specifica, informata e inequivocabile, resa con dichiarazione o azione positiva inequivocabile.
- Considerando 32 GDPR: silenzio, inattività e preselezione di caselle non configurano consenso; la richiesta elettronica deve essere chiara, concisa e non interferire inutilmente con il servizio.
- Art. 7, par. 1, GDPR: il titolare deve poter dimostrare che l’interessato ha prestato il consenso.
- Art. 7, par. 3, GDPR: la revoca deve essere facile quanto la prestazione.
- Art. 7, par. 4, GDPR: nel valutare la libertà del consenso si tiene conto del fatto che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata a un consenso non necessario.
- Considerando 42 e 43 GDPR: non c’è libertà senza reale scelta o se il rifiuto causa pregiudizio; è richiesto consenso separato per distinti trattamenti.
- Art. 25, par. 2, GDPR: per impostazione predefinita sono trattati solo i dati necessari; da qui, per il Garante, l’obbligo di non installare alcuno strumento non tecnico al primo accesso.
Informativa, opposizione e decisioni automatizzate
Il consenso non basta se manca la trasparenza richiesta dagli artt. 12, 13 e 14 GDPR. L’interessato può inoltre opporsi in ogni momento al marketing diretto, compresa la profilazione connessa, ai sensi dell’art. 21, parr. 2 e 3, GDPR, e non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato che producano effetti significativi, secondo l’art. 22 GDPR.
Profili consumeristici e di piattaforma
Un banner ingannevole o aggressivo può integrare una pratica commerciale scorretta ai sensi degli artt. 20-25 D.Lgs. 6 settembre 2005, n. 206 (Codice del consumo), in particolare degli artt. 21 e 22 (pratiche ingannevoli) e degli artt. 24 e 25 (pratiche aggressive). Se il consumatore fornisce dati personali in cambio di un contenuto o servizio digitale, l’art. 135-octies, comma 4, Codice del consumo estende le tutele di settore, salvo che i dati siano trattati solo per fornire il servizio. Per le piattaforme online l’art. 25 Reg. UE 2022/2065 (DSA) vieta le interfacce manipolative, ma il suo par. 2 lascia salve le pratiche coperte dalla Dir. 2005/29/CE o dal GDPR. Per i gatekeeper, l’art. 5, par. 2, Reg. UE 2022/1925 (DMA) richiede un consenso conforme al GDPR per combinare dati tra servizi.
Sanzioni e tutele
La violazione delle condizioni del consenso è sanzionata dall’art. 83, par. 5, lett. a), GDPR con sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo; l’art. 166, comma 2, Codice privacy richiama quel regime anche per le violazioni degli artt. 122 e 130 Codice privacy. L’interessato può presentare reclamo al Garante ai sensi dell’art. 142 Codice privacy e chiedere il risarcimento del danno ai sensi dell’art. 82 GDPR.
§5 — ANALISI DELLA FATTISPECIE: QUANDO IL CONSENSO NON È LIBERO
Il consenso deve precedere il tracciamento
Per il Garante, al primo accesso a un sito non deve essere collocato alcun cookie diverso da quelli tecnici, né usata alcuna tecnica di tracciamento, attiva o passiva. La regola discende dall’art. 25, par. 2, GDPR: se i cookie di profilazione partono prima della scelta dell’utente, il consenso successivo non sana la violazione [§1].
L’atto positivo: scrolling, silenzio e caselle preselezionate
Silenzio, inattività e preselezione non sono consenso, come chiarisce il considerando 32 GDPR. La Corte di giustizia ha affermato che una casella già spuntata non è un consenso valido per i cookie, indipendentemente dal fatto che le informazioni siano personali o meno [§3]. Il Garante, condividendo l’orientamento dell’EDPB, esclude che il semplice scroll della pagina esprima da solo la volontà di accettare i cookie di profilazione; lo ammette solo come componente di un processo più articolato, che generi un evento inequivoco, registrabile e consapevole per l’utente [§4].
Il cookie wall
Il cookie wall è il meccanismo «prendere o lasciare»: l’accesso al sito è subordinato all’accettazione dei cookie. Per le Linee guida cookie 2021 è illecito, perché non consente un consenso «libero» ai sensi dell’art. 4, n. 11, GDPR, salvo il caso, da verificare volta per volta, in cui il titolare offra un contenuto o un servizio equivalente senza il consenso. L’alternativa deve comunque rispettare i princìpi di liceità, correttezza e trasparenza dell’art. 5, par. 1, lett. a), GDPR [§1].
Specificità e granularità
Il consenso deve riferirsi a ciascuna finalità. Un unico pulsante «accetta tutto», senza scelta tra categorie di cookie o singole terze parti, non rispetta il considerando 43 GDPR. L’informativa breve del banner va completata da un secondo livello, raggiungibile con un solo clic anche dal footer di ogni pagina, con le indicazioni degli artt. 12 e 13 GDPR.
L’asimmetria del banner
Il modello suggerito dal Garante prevede un banner di dimensioni adeguate e, in alto a destra, il comando «X» per chiuderlo mantenendo le impostazioni predefinite, cioè senza tracciamento. Quel comando deve avere la stessa evidenza grafica del pulsante di accettazione: rifiutare deve essere immediato, usabile e accessibile quanto accettare. Se «Accetta» è in evidenza e il rifiuto è nascosto in un sottomenu, la scelta è alterata: oltre all’art. 7 GDPR può essere violata la disciplina sulle pratiche scorrette, in particolare gli artt. 21 e 24 Codice del consumo [§1].
La riproposizione della richiesta
Se l’utente non consente, la scelta deve essere registrata e il banner non può essere riproposto a ogni visita, perché l’insistenza lede la libertà del consenso. Le Linee guida cookie 2021 ammettono una nuova richiesta solo se cambiano significativamente le condizioni del trattamento, se il gestore non può sapere che il cookie è già stato memorizzato (ad esempio perché l’utente ha cancellato i cookie) o se sono trascorsi almeno sei mesi [§1].
Prova del consenso e cookie analytics
Ai sensi dell’art. 7, par. 1, GDPR la prova del consenso grava sul titolare, che non può invocare clausole o procedure fuorvianti sulla possibilità di rifiutare, né imporre passaggi aggiuntivi per esprimere il dissenso [§5]. In pratica occorre un registro dei consensi con data, versione dell’informativa e scelte espresse.
Percorso decisionale
Il consenso ai cookie è davvero valido? Cinque verifiche
Prima della scelta dell’utente partono cookie o strumenti non tecnici?
CriticitàSe sì: manca il consenso preventivo (art. 122 Codice privacy; art. 25, par. 2, GDPR).
ProseguiSe no: passa alla verifica 2.
L’utente ha compiuto un atto positivo inequivocabile?
CriticitàSe no (scrolling, silenzio, caselle preselezionate): consenso inesistente (considerando 32 GDPR).
ProseguiSe sì: passa alla verifica 3.
Il consenso è specifico e distinto per finalità e terze parti?
CriticitàSe no (solo «accetta tutto»): consenso non specifico (art. 4, n. 11, GDPR; considerando 43 GDPR).
ProseguiSe sì: passa alla verifica 4.
Il rifiuto è semplice quanto l’accettazione e l’accesso al servizio resta possibile o ha un’alternativa equivalente?
CriticitàSe no (cookie wall, rifiuto nascosto): consenso non libero (art. 7, par. 4, GDPR).
ProseguiSe sì: passa alla verifica 5.
Il titolare può provare il consenso e rispetta i tempi di riproposizione?
CriticitàSe no: violazione dell’accountability (art. 5, par. 2, GDPR; art. 7, par. 1, GDPR).
EsitoSe sì: consenso valido.
I modelli «consenso o pagamento»
Nei modelli «pay or okay» l’utente sceglie tra consentire la profilazione o pagare per un servizio senza pubblicità. La questione investe la libertà del consenso e l’esistenza di un’alternativa equivalente: per le grandi piattaforme se ne è occupato l’EDPB, mentre per Meta la Commissione europea, applicando il DMA, ha censurato la scelta binaria, e da gennaio 2026 è offerta un’opzione con annunci meno personalizzati [§6].
§6 — DIRITTO VIVENTE: LA GIURISPRUDENZA E LA PRASSI CHE CONTANO
La Corte di giustizia dell’Unione europea
In CGUE, Grande Sezione, 1° ottobre 2019, C-673/17, Planet49, la Corte ha stabilito che il consenso all’archiviazione di cookie non è valido se espresso con una casella preselezionata e che il fornitore deve informare l’utente sulla durata dei cookie e sull’eventuale accesso di terzi [§3]. In CGUE, Quarta Sezione, 11 novembre 2020, C-61/19, Orange România, ha affermato che l’onere della prova del consenso grava sul titolare e che non è libero il consenso ottenuto con clausole o procedure che inducano in errore sulla possibilità di rifiutare [§5]. In CGUE, Terza Sezione, 4 ottobre 2024, C-446/21, Schrems/Meta Platforms Ireland, ha ribadito che la minimizzazione dell’art. 5, par. 1, lett. c), GDPR vale anche per la pubblicità personalizzata e preclude un uso illimitato nel tempo e indifferenziato di tutti i dati raccolti [§7].
La Corte di Cassazione
Con l’ordinanza Cass. civ., Sez. I, 25 maggio 2021, n. 14381 (caso Mevaluate), la Suprema Corte ha precisato che il consenso è valido solo se espresso liberamente e specificamente in riferimento a un trattamento «chiaramente individuato», e che non lo è quando all’interessato non è reso conoscibile il funzionamento del sistema (nel caso, l’algoritmo della piattaforma) [§8]. Con la sentenza Cass. civ., Sez. II, 15 marzo 2023, n. 7555, ha ribadito che nel marketing il consenso è sempre necessario e che il soft spam dell’art. 130, comma 4, Codice privacy è un’eccezione di stretta interpretazione, riferita a chi ha già acquistato e non a chi si è registrato per una prova gratuita [§9]. Sul piano procedurale, la sentenza Cass. civ., Sez. I, 31 agosto 2026, n. 24862, ha chiarito che il termine di 120 giorni per sanzionare decorre dal definitivo accertamento della violazione, non dalla prima notizia dei fatti, profilo che può rilevare anche nelle opposizioni ai provvedimenti del Garante, come quella di Poste [§10].
Il Consiglio di Stato e il dato come controprestazione
Con la sentenza Cons. Stato, Sez. VI, 29 marzo 2021, n. 2631, il giudice amministrativo ha affermato che un servizio apparentemente gratuito non lo è quando i dati forniti dall’utente sono sfruttati commercialmente, confermando come ingannevole la pratica di Facebook che presentava il social network come gratuito. La pronuncia collega consenso e tutela del consumatore: il dato personale può avere un valore economico e la trasparenza sul suo uso rileva anche per il Codice del consumo [§11].
Il Garante nel 2026
Il provv. n. 284 del 17 aprile 2026 ha qualificato i tracking pixel come tecnologia rilevante ai fini dell’art. 122 Codice privacy: serve di regola un consenso preventivo, libero, specifico e informato, con eccezioni per sicurezza, esigenze tecniche e comunicazioni di servizio. Il termine di adeguamento scade il 29 ottobre 2026 e la verifica è tra le attività ispettive del secondo semestre [§2].
Con il provv. n. 237 del 17 aprile 2026 il Garante ha irrogato sanzioni per oltre 12,5 milioni di euro a Poste Italiane (6,624 milioni) e a Postepay (5,877 milioni): le app BancoPosta e Postepay richiedevano, come condizione obbligatoria per usare i servizi, l’autorizzazione a monitorare dati dei dispositivi, comprese le applicazioni installate e in esecuzione: ingerenza ritenuta non strettamente necessaria alla prevenzione delle frodi. Poste Italiane contesta il provvedimento anche per tardività, richiama la normativa sui servizi di pagamento e riferisce l’annullamento, da parte del TAR Lazio, il 2 febbraio 2026, di una sanzione dell’AGCM sullo stesso dispositivo antifrode. Il Tribunale di Roma, con ordinanza cautelare del 17 luglio 2026, ha sospeso l’efficacia esecutiva del provvedimento e il giudizio di opposizione è pendente [§12]. Il principio per cui un trattamento non necessario non può essere imposto come condizione del servizio è quindi affermato dal Garante, ma non ancora confermato in giudizio.
In materia di marketing, la Newsletter n. 550 del 29 luglio 2026 ha dato conto di una sanzione di 280.000 euro ad Altroconsumo Edizioni per e-mail promozionali inviate senza idonea base giuridica, anche a chi non aveva completato la registrazione; con comunicato del 31 luglio 2026 il Garante ha inoltre sanzionato Tim per 9,5 milioni di euro per consensi acquisiti illecitamente nel telemarketing [§13].
Tabella sinottica delle pronunce e dei provvedimenti citati
| Organo | Data | n. | Principio affermato | Esito |
|---|---|---|---|---|
| CGUE, Grande Sezione (Planet49) | 1° ottobre 2019 | C-673/17 | Una casella preselezionata non è consenso valido per i cookie; occorre informare su durata e accesso di terzi. | Risposta al rinvio pregiudiziale |
| CGUE, Quarta Sezione (Orange România) | 11 novembre 2020 | C-61/19 | Onere della prova del consenso a carico del titolare; non è libero il consenso ottenuto con clausole o procedure fuorvianti. | Risposta al rinvio pregiudiziale |
| CGUE, Terza Sezione (Schrems/Meta) | 4 ottobre 2024 | C-446/21 | La minimizzazione dei dati vale anche per la pubblicità personalizzata: no a un uso illimitato e indifferenziato dei dati. | Risposta al rinvio pregiudiziale |
| Cass. civ., Sez. I (ord.) | 25 maggio 2021 | 14381 | Il consenso è valido solo se libero, specifico e riferito a un trattamento chiaramente individuato. | Accoglimento del ricorso del Garante |
| Cass. civ., Sez. II | 15 marzo 2023 | 7555 | Nel marketing il consenso è sempre necessario; il soft spam è eccezione di stretta interpretazione. | Rigetto del ricorso; sanzione confermata |
| Cons. Stato, Sez. VI | 29 marzo 2021 | 2631 | Il servizio non è gratuito se i dati dell’utente sono sfruttati commercialmente; rileva la trasparenza. | Conferma della pratica ingannevole |
| Cass. civ., Sez. I | 31 agosto 2026 | 24862 | Il termine di 120 giorni del procedimento sanzionatorio decorre dal definitivo accertamento. | Accoglimento del ricorso del Garante; cassazione con rinvio al Trib. Roma |
| Garante, Linee guida cookie | 10 giugno 2021 | 231 | Consenso preventivo; no cookie wall senza alternativa equivalente; rifiuto equivalente; nuova richiesta dopo almeno sei mesi. | Linee guida (G.U. n. 163 del 9 luglio 2021) |
| Garante, Linee guida tracking pixel | 17 aprile 2026 | 284 | I tracking pixel rientrano nell’art. 122 Codice privacy: di regola consenso preventivo, libero, specifico e informato. | Adeguamento entro il 29 ottobre 2026 |
| Garante (Poste Italiane e Postepay) | 17 aprile 2026 | 237 | Il monitoraggio dei dispositivi imposto come condizione del servizio non risultava strettamente necessario. | Sanzioni per oltre 12,5 milioni di euro; efficacia sospesa dal Trib. Roma (17 luglio 2026) |
| Garante, Newsletter | 29 luglio 2026 | 550 | E-mail promozionali senza idonea base giuridica, anche a utenti con registrazione non completata. | Sanzione di 280.000 euro (Altroconsumo Edizioni) |
§7 — FATTISPECIE CONCRETE
Il portale editoriale con cookie wall
Un quotidiano online consente la lettura solo dopo l’accettazione di tutti i cookie, senza alternativa. Per le Linee guida cookie 2021 è illecito, salvo che il sito offra una versione equivalente senza consenso e conforme all’art. 5, par. 1, GDPR; l’utente può presentare reclamo ai sensi dell’art. 142 Codice privacy.
Il negozio online con banner asimmetrico
Il pulsante «Accetta tutto» è ben visibile; per rifiutare occorre aprire un menu e disattivare decine di toggle. Oltre al contrasto con il modello di rifiuto equivalente delle Linee guida cookie 2021, la prassi può integrare una pratica aggressiva o ingannevole ai sensi degli artt. 21 e 24 Codice del consumo. Servono screenshot datati del banner e dei passaggi per rifiutare, da allegare al reclamo o alla segnalazione all’AGCM.
L’app bancaria che pretende l’accesso al dispositivo
Un’app di pagamento subordina l’uso dei servizi all’autorizzazione al monitoraggio di dati contenuti nel telefono. Il caso Poste mostra la linea del Garante: l’esigenza antifrode non legittima da sola qualunque raccolta e la condizione imposta all’utente deve essere strettamente necessaria. Poiché il provvedimento è sospeso, la proporzionalità va valutata caso per caso, anche alla luce dei presìdi di sicurezza imposti dalla normativa sui pagamenti.
La newsletter con pixel e consenso unico
Un’impresa raccoglie con una sola casella il consenso alla newsletter e al monitoraggio delle aperture. Con le Linee guida tracking pixel 2026 il tracciamento richiede, di regola, un consenso preventivo e distinto, revocabile anche in modo selettivo: entro il 29 ottobre 2026 occorre separare le caselle, aggiornare l’informativa e predisporre la revoca.
§8 — LE RIFORME IN CORSO: DIGITAL OMNIBUS E DIGITAL FAIRNESS ACT
Il Digital Omnibus, proposto dalla Commissione il 19 novembre 2025, prevedeva di portare nel GDPR, con un nuovo art. 88a GDPR, il consenso per l’accesso al dispositivo quando sono coinvolti dati personali, con esenzioni per misurazione aggregata e sicurezza, rifiuto con un clic e divieto di riproporre la richiesta per sei mesi, e di imporre, con un art. 88b GDPR, il rispetto dei segnali di consenso inviati da browser e sistemi operativi. Nel febbraio 2026 l’EDPB e il Garante europeo hanno avvertito che dividere le regole sui dispositivi tra due strumenti può creare incertezza [§14].
Alla data del 18 ottobre 2026 il quadro è questo. Il testo di compromesso del Consiglio ha eliminato l’art. 88b GDPR proposto e riportato i cookie nell’art. 5, par. 3, Dir. 2002/58/CE, con sei esenzioni dal consenso e, nel documento del 2 ottobre 2026, un’attesa di quattro mesi (anziché sei) prima di riproporre la richiesta dopo un rifiuto. La riunione del Coreper del 7 ottobre 2026 si è chiusa senza mandato, per le divergenze su Data Act e segreti commerciali, e le fonti consultate non confermano ancora l’adozione del mandato; non risulta un voto in commissione del Parlamento europeo. Per gli operatori nulla è cambiato: continuano ad applicarsi l’art. 122 Codice privacy e le Linee guida cookie 2021 [§14].
Il Digital Fairness Act, annunciato per il quarto trimestre 2026 e destinato a occuparsi di dark pattern, design additivo e profilazione online, non è ancora stato presentato [§15].
§9 — CONSIGLI OPERATIVI
Per l’utente e il consumatore
- Conservare screenshot datati del banner, della pagina e dei passaggi necessari per rifiutare: servono come prova nel reclamo.
- Rifiutare i cookie non tecnici dal primo livello del banner; se il rifiuto è impossibile o nascosto, segnalarlo.
- Presentare reclamo al Garante ai sensi dell’art. 142 Codice privacy e, per i profili di scorrettezza commerciale, segnalare i fatti all’AGCM.
- Esercitare l’opposizione all’invio di marketing e alla profilazione ai sensi dell’art. 21 GDPR e chiedere la cancellazione dei dati.
- Valutare, nei casi di danno, il risarcimento ai sensi dell’art. 82 GDPR, documentando il pregiudizio subito.
Per il gestore di un sito o di un’app
- Verificare con una scansione tecnica che al primo accesso non parta alcun cookie non tecnico prima della scelta dell’utente.
- Rendere il pulsante di rifiuto visibile quanto quello di accettazione, e non richiedere più passaggi per negare il consenso.
- Prevedere consensi separati per finalità e per terze parti, con secondo livello raggiungibile da ogni pagina.
- Tenere un registro dei consensi con data, versione dell’informativa e scelte espresse; non riproporre il banner prima di sei mesi, salvo le eccezioni delle Linee guida cookie 2021.
- Separare entro il 29 ottobre 2026 il consenso alla newsletter da quello ai tracking pixel e predisporre la revoca selettiva.
- Non subordinare l’accesso al servizio a trattamenti non necessari, salvo alternativa equivalente e conforme.
§10 — CONSIDERAZIONI CONCLUSIVE
Il consenso alla profilazione e ai cookie è, nel diritto europeo e italiano, una scelta dell’utente e non una formalità da superare. Quando il banner nasconde il rifiuto, quando il sito si chiude all’utente che non accetta, quando la richiesta viene ripetuta fino a ottenere un sì o quando il consenso unico copre finalità diverse, il consenso non è libero e il trattamento è privo di base giuridica. Il quadro, fondato sull’art. 122 Codice privacy, sull’art. 4, n. 11, GDPR e sulle Linee guida cookie 2021, è stabile e trova conferma nella giurisprudenza europea e di legittimità.
Il 2026 aggiunge due elementi. Da un lato il Garante estende la logica del consenso a strumenti meno visibili, come i tracking pixel, e vigila con attività ispettive; dall’altro il caso Poste mostra che il confine tra sicurezza e raccolta eccessiva è ancora oggetto di contenzioso, e che le decisioni del Garante possono essere sospese dal giudice. Le riforme europee, per ora, non cambiano le regole vigenti.
Per chi naviga, il consiglio pratico è conservare le prove e far valere i propri diritti con il reclamo, l’opposizione e, se necessario, l’azione risarcitoria. Per chi gestisce un sito, la compliance non è un banner ben fatto, ma un sistema documentato: nessun tracciamento prima del consenso, rifiuto semplice quanto l’accettazione, finalità distinte e prova conservata.
Note e riferimenti
[§1] Garante per la protezione dei dati personali, Linee guida cookie e altri strumenti di tracciamento, provv. n. 231 del 10 giugno 2021, doc. web n. 9677876, pubblicate in G.U. n. 163 del 9 luglio 2021 (in particolare parr. 4, 5, 6.1, 6.2, 7.1 e 7.2).
[§2] Garante, Linee guida in materia di tracking pixel nelle comunicazioni di posta elettronica, provv. n. 284 del 17 aprile 2026, pubblicate in G.U. n. 98 del 29 aprile 2026; Garante, Newsletter n. 553 dell’8 ottobre 2026, «Email marketing, in vigore le Linee guida sui tracking pixel». In dottrina: M. Iaselli, «Tracking pixel nelle e-mail: cosa cambia dopo le linee guida del Garante privacy», Maggioli/diritto.it, 2026.
[§3] CGUE, Grande Sezione, 1° ottobre 2019, C-673/17, Bundesverband der Verbraucherzentralen (Verbraucherzentrale Bundesverband eV) c. Planet49 GmbH.
[§4] EDPB, Linee guida 05/2020 sul consenso ai sensi del Reg. UE 2016/679, adottate il 4 maggio 2020, richiamate dal Garante nelle Linee guida cookie 2021 (par. 6.1) per l’inidoneità del semplice scrolling.
[§5] CGUE, Quarta Sezione, 11 novembre 2020, C-61/19, Orange România SA c. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
[§6] EDPB, Parere 08/2024 sulla validità del consenso nei modelli «consent or pay» delle grandi piattaforme online, adottato il 17 aprile 2024; per la vicenda Meta, Commissione europea, decisione ai sensi del Reg. UE 2022/1925 (DMA) del 23 aprile 2025 e successiva introduzione, da gennaio 2026, dell’opzione di annunci meno personalizzati.
[§7] CGUE, Terza Sezione, 4 ottobre 2024, C-446/21, Maximilian Schrems c. Meta Platforms Ireland Ltd.
[§8] Cass. civ., Sez. I, ord. 25 maggio 2021, n. 14381 (caso Mevaluate), con il commento di dottrina pubblicato su Giustizia Insieme, 21 giugno 2021, sul consenso «validamente prestato» e sul trattamento «chiaramente individuato».
[§9] Cass. civ., Sez. II, 15 marzo 2023, n. 7555; in dottrina L. Di Giacomo e M. Mirabella, «Soft spam e base giuridica marketing: pronuncia Cassazione», diritto.it, 11 maggio 2023.
[§10] Cass. civ., Sez. I, sent. 31 agosto 2026, n. 24862, sul dies a quo del termine di 120 giorni del procedimento sanzionatorio dinanzi al Garante (Regolamento del Garante n. 2 del 2019); si veda diritto.it, «Sanzioni privacy: quando decorrono i 120 giorni», 1° settembre 2026.
[§11] Cons. Stato, Sez. VI, 29 marzo 2021, n. 2631, sul provvedimento AGCM del 29 novembre 2018, PS11112, Facebook-Condivisione dati con finalità commerciali; in dottrina D. Di Maria, commento alle sentenze del Consiglio di Stato nn. 2630 e 2631 del 2021, iusmanagement.org.
[§12] Garante, provv. n. 237 del 17 aprile 2026 (Poste Italiane S.p.A. e Postepay S.p.A.), doc. web n. 10241537, temporaneamente rimosso dal sito del Garante ai sensi dell’art. 5 D.Lgs. 1° settembre 2011, n. 150 in forza dell’ordinanza cautelare del Tribunale di Roma del 17 luglio 2026; Garante, comunicato stampa del 20 aprile 2026, «Il Garante privacy sanziona Poste Italiane e Postepay per oltre 12,5 milioni di euro», doc. web n. 10241568; posizione della società: Poste Italiane, comunicato del 20 aprile 2026. Il giudizio di opposizione è pendente.
[§13] Garante, Newsletter n. 550 del 29 luglio 2026, «Marketing: il Garante privacy sanziona Altroconsumo Edizioni per 280mila euro»; Garante, comunicato stampa del 31 luglio 2026, «Telemarketing, il Garante privacy sanziona Tim per 9,5 milioni di euro».
[§14] Proposta di Regolamento Digital Omnibus, COM(2025) 837 del 19 novembre 2025 (procedura 2025/0360(COD)); testo del Consiglio, doc. 13886/26 del 2 ottobre 2026; mancata adozione del mandato in Coreper il 7 ottobre 2026, secondo Agence Europe, riportata da PPC Land (aggiornamento del 12 ottobre 2026). Parere congiunto EDPB-EDPS sul Digital Omnibus, febbraio 2026.
[§15] Programma di lavoro della Commissione europea per il 2026, COM(2025) 870, che indica per il quarto trimestre 2026 l’iniziativa legislativa denominata Digital Fairness Act; alla data del 18 ottobre 2026 la proposta non risulta presentata.
