Dalle Linee guida del 10 giugno 2021 al caso Google Analytics, dai dark patterns al modello «consenso o pagamento»: mappa aggiornata degli obblighi per titolari del trattamento, gestori di siti e sviluppatori di applicazioni digitali
I
Sommario
Quasi nessun utente della rete riesce a fare due clic su un sito senza imbattersi in un banner che chiede il consenso all’uso dei cookie. Eppure, nonostante l’onnipresenza di questi avvisi, la grande maggioranza dei cookie banner attivi su siti italiani ed europei non è conforme alla normativa vigente: presenta tasti di accettazione più grandi e visibili di quelli di rifiuto, non consente una scelta granulare per categoria di cookie, utilizza meccanismi che inducono psicologicamente l’utente ad acconsentire, oppure subordina l’accesso al contenuto al consenso alla profilazione. Si tratta di quelli che il diritto europeo chiama dark patterns: interfacce di design progettate per manipolare il comportamento dell’utente e svuotare di ogni reale significato il consenso che questi «presta».
Il 10 giugno 2021 il Garante per la protezione dei dati personali ha adottato le nuove Linee guida cookie e altri strumenti di tracciamento (Provvedimento n. 231, doc. web n. 9677876), divenute operative il 9 gennaio 2022 dopo un periodo transitorio di sei mesi. Queste Linee guida hanno ridisegnato il quadro degli obblighi dei titolari del trattamento in materia di cookie con una portata rivoluzionaria: per la prima volta, l’Autorità garante ha chiarito in modo sistematico cosa si intende per consenso valido nel contesto delle tecnologie di tracciamento, cosa costituisce un dark pattern vietato e quali sono i requisiti minimi di un banner conforme.
L’onda d’urto delle Linee guida è stata amplificata da una serie di provvedimenti sanzionatori di grande impatto — primo tra tutti il provvedimento del 23 giugno 2022 con cui il Garante italiano ha dichiarato l’utilizzo di Google Analytics in violazione del GDPR per il trasferimento di dati negli Stati Uniti — e da sanzioni miliardarie inflitte dalle autorità garanti europee a Google e Meta per la non conformità dei loro meccanismi di raccolta del consenso. Il presente articolo ricostruisce questo quadro nella sua integrità, con uno sguardo alle più recenti evoluzioni e alle prospettive future.
II
Principio di diritto
«Salvo il consenso espresso dall’utente, è vietato l’uso di reti di comunicazione elettronica per accedere a informazioni archiviate nell’apparecchio terminale di un abbonato o di un utente, per archiviare informazioni o per monitorare le operazioni dell’utente» — art. 122, comma 1, D.Lgs. 30 giugno 2003, n. 196 (Codice della privacy), come modificato dal D.Lgs. 28 maggio 2012, n. 69 e dal D.Lgs. 10 agosto 2018, n. 101.
Il principio fondante della disciplina è dunque quello del consenso preventivo e informato (opt-in): l’installazione di cookie non tecnici sul dispositivo dell’utente non è ammessa in via di presunzione né sulla base del semplice accesso al sito, ma richiede un atto positivo e consapevole di consenso da parte dell’interessato. Questo principio è la diretta trasposizione dell’art. 5, par. 3, della Direttiva 2002/58/CE (Direttiva ePrivacy) nell’ordinamento italiano.
La Corte di Giustizia dell’Unione Europea, con la sentenza Planet49 del 1° ottobre 2019 (C-673/17), ha definitivamente chiarito tre corollari fondamentali del principio: (a) una casella di spunta pre-selezionata in favore del consenso non costituisce un consenso valido, in quanto non integra un comportamento attivo dell’utente; (b) è irrilevante che i cookie siano di terze parti o di prima parte; (c) il consenso deve essere specifico per tipologia di cookie e non può essere raccolto in modo cumulativo per tutte le finalità di tracciamento. Le Linee guida 2021 del Garante italiano hanno declinato questi principi in requisiti operativi concreti, aggiungendo ulteriori prescrizioni per la conformità del banner e per la conservazione dei dati relativi al consenso espresso.
III
Inquadramento sistematico e terminologico
Il doppio binario normativo: ePrivacy e GDPR
La disciplina dei cookie si colloca all’incrocio di due corpi normativi distinti ma strettamente connessi. Il primo è la Direttiva ePrivacy 2002/58/CE (recepita in Italia dall’art. 122 D.Lgs. 196/2003), che disciplina specificamente le tecnologie di tracciamento sul dispositivo dell’utente e impone il consenso preventivo quale condizione di liceità. Il secondo è il GDPR (Reg. UE 2016/679), che si applica nella misura in cui i cookie comportano il trattamento di dati personali — e quasi sempre lo comportano — disciplinando in particolare i requisiti di validità del consenso, gli obblighi informativi e i diritti dell’interessato.
I due regimi operano in modo cumulativo: la conformità all’art. 122 D.Lgs. 196/2003 non esaurisce gli obblighi del titolare, che deve anche rispettare gli artt. 6, 7, 13 e 14 GDPR in relazione al trattamento dei dati personali effettuato tramite i cookie. In pratica, ciò significa che il banner deve non soltanto raccogliere il consenso nelle forme prescritte dalla Direttiva ePrivacy, ma anche fornire all’utente un’informativa completa e trasparente ai sensi dell’art. 13 GDPR, rinviando alla privacy policy per i dettagli del trattamento.
La tassonomia dei cookie: cinque categorie e tre regimi La distinzione fondamentale, ai fini della disciplina del consenso, è quella tra cookie per i quali il consenso non è richiesto — perché strettamente necessari al funzionamento del sito — e cookie per i quali il consenso è obbligatorio. Le Linee guida del Garante del 2021 articolano questa distinzione in modo più granulare rispetto al passato, individuando un regime intermedio per i cookie analytics in forma aggregata e anonimizzata.
La nozione di «scrolling wall» e di «cookie wall»
Due pratiche particolarmente diffuse e ora espressamente vietate dalle Linee guida del 2021 meritano una menzione specifica. Il cookie wall è il meccanismo con cui l’accesso al contenuto del sito è subordinato all’accettazione di tutti i cookie — inclusi quelli di profilazione: in questo caso, il consenso non è liberamente prestato, perché l’alternativa al consenso è il diniego dell’accesso al servizio. Il Garante ha dichiarato questa pratica incompatibile con il requisito di libertà del consenso ex art. 7 GDPR, a meno che non sia disponibile una versione del servizio equivalente senza cookie di profilazione (il cosiddetto modello «pay or okay», su cui si è pronunciato l’EDPB nel 2024).
Lo scrolling wall è invece il meccanismo con cui la semplice prosecuzione della navigazione — lo scrolling della pagina, il clic su un link, la chiusura del banner — viene equiparata al consenso ai cookie. Questa pratica è espressamente vietata: il consenso deve essere manifestato con un atto positivo e inequivocabile, e il comportamento passivo dell’utente non è sufficiente.
IV
La fattispecie: casi concreti e giurisprudenza
1. La sentenza Planet49: il fondamento europeo
CGUE, Grande Sezione – C-673/17 – Planet49 GmbH c. Bundesverband der Verbraucherzentralen – 1° ottobre 2019
La Corte di Giustizia ha risposto a tre quesiti pregiudiziali relativi alla validità del consenso raccolto mediante una casella di spunta pre-selezionata in favore dell’installazione di cookie di profilazione. La Corte ha stabilito che: (a) il consenso non è valido se espresso mediante una casella pre-selezionata che l’utente deve deselezionare per rifiutare — è necessario un atto attivo di spunta da parte dell’utente; (b) è irrilevante che i cookie siano di prima o terza parte; (c) l’informativa deve indicare la durata dei cookie e l’eventuale accesso di terzi alle informazioni memorizzate. La sentenza ha avuto un impatto immediato sulla prassi dei siti europei, imponendo la transizione da sistemi opt-out a sistemi opt-in.
2. Il caso Google Analytics: il Garante italiano apripista in Europa
Garante per la protezione dei dati personali – Provvedimento del 23 giugno 2022 – Utilizzo di Google Analytics – Doc. web n. 9782890
Il Garante italiano, a seguito di un’istruttoria avviata in coordinamento con le omologhe autorità europee, ha dichiarato che l’utilizzo dello strumento Google Analytics nella sua configurazione standard da parte di un’impresa italiana è in violazione degli artt. 44 ss. GDPR, in quanto comporta il trasferimento di dati personali degli utenti — tra cui l’indirizzo IP — verso gli Stati Uniti, in assenza di adeguate garanzie per la protezione dei dati. Il provvedimento non si è limitato al trasferimento internazionale, ma ha richiamato l’intera catena del trattamento: la raccolta del consenso, la classificazione di Google come responsabile del trattamento, e la configurazione delle impostazioni dello strumento.
In concreto, il Garante ha ordinato all’impresa destinataria del provvedimento di conformarsi entro 90 giorni, con l’avvertenza che l’adozione di Google Analytics senza adeguati accorgimenti tecnici (anonimizzazione dell’IP, configurazione dei consensi, utilizzo di server proxy UE) costituisce una violazione del GDPR sanzionabile. Il caso ha innescato una reazione a catena: decine di migliaia di siti italiani hanno dovuto riconfigurare il proprio sistema di analytics o migrare verso soluzioni alternative con data center in Europa.
3. Le sanzioni europee contro Google e Meta: il messaggio alle Big Tech
Il 6 gennaio 2022, la Commission Nationale de l’Informatique et des Libertés (CNIL) francese ha adottato due provvedimenti sanzionatori di grandissimo impatto contro i principali attori del digital advertising europeo. Nei confronti di Google LLC e Google Ireland Ltd., la CNIL ha inflitto una sanzione complessiva di 150 milioni di euro per aver reso più semplice per gli utenti di google.fr e youtube.com accettare i cookie rispetto al rifiutarli — violando il principio di equa prominenza tra le opzioni. Nei confronti di Facebook Ireland Ltd. (ora Meta Platforms Ireland), la CNIL ha inflitto una sanzione di 60 milioni di euro per la stessa ragione applicata a facebook.com. Le due decisioni hanno preceduto di pochi giorni l’entrata in piena operatività delle Linee guida del Garante italiano (9 gennaio 2022) e hanno consolidato a livello europeo il principio per cui l’asimmetria nella presentazione delle opzioni di accettazione e rifiuto del consenso integra una violazione del GDPR.
4. I dark patterns: la tassonomia EDPB e le prime sanzioni italiane
Il Comitato europeo per la protezione dei dati (EDPB) ha adottato, il 17 marzo 2022, le Linee guida 3/2022 sui dark patterns nelle piattaforme di social media (aggiornate a versione 2.0 nel febbraio 2023), che classificano sistematicamente le pratiche di design ingannevole più diffuse nel contesto della raccolta del consenso ai cookie. La tassonomia EDPB identifica sei categorie principali di dark patterns, ciascuna con specifiche sottocategorie e esempi concreti.
La prima categoria è quella delle interfacce sovraccariche (overloading): sistemi che sommergono l’utente di richieste di consenso reiterate o di quantità eccessive di informazioni, inducendolo ad acconsentire per sfuggire alla pressione informativa. La seconda è quella delle interfacce di salto (skipping): design che rendono difficile o non intuitivo per l’utente fare una scelta consapevole, ad esempio nascondendo il tasto di rifiuto in menu secondari. La terza è quella delle pratiche viziate (stirring): uso di formulazioni emotive o di elementi visivi — colori, dimensioni dei pulsanti, icone — per orientare la scelta verso il consenso. La quarta è quella del rallentamento (hindering): sistemi che rendono più complessa e difficoltosa la procedura di rifiuto rispetto a quella di accettazione. La quinta è quella della messa in discussione (fickle interface): interfacce incoerenti tra sezioni diverse del sito. La sesta è quella delle azioni di disturbo (left in the dark): informative che non chiariscono le implicazioni concrete delle scelte.
5. L’istruttoria del Garante del 2023-2024: le prime sanzioni italiane post-Linee guida
A partire dal secondo semestre del 2022, il Garante ha avviato una sistematica attività di verifica della conformità dei banner cookie dei principali siti italiani. L’attività istruttoria ha riguardato siti di e-commerce, testate giornalistiche online, piattaforme di streaming e siti della pubblica amministrazione. I vizi più frequentemente riscontrati dall’Autorità sono stati: la collocazione del tasto di rifiuto in posizione gerarchicamente subordinata rispetto al tasto di accettazione; la mancanza di opzioni di selezione granulare; la conservazione dei cookie di profilazione anche dopo il rifiuto dell’utente; l’assenza di un meccanismo di revoca del consenso accessibile.
Con provvedimento del 9 marzo 2023 (doc. web n. 9856933), il Garante ha formalizzato un avvertimento nei confronti di numerosi titolari che, pur dopo la scadenza del periodo transitorio, mantenevano banner non conformi, specificando che i successivi controlli avrebbero portato all’adozione di provvedimenti sanzionatori ai sensi degli artt. 83 e 84 GDPR, con sanzioni fino al 4% del fatturato mondiale annuo.
V
Il percorso argomentativo delle corti e delle autorità
L’evoluzione da opt-out a opt-in: una rivoluzione silenziosa
Per comprendere la portata della trasformazione avvenuta, è necessario ricordare che per molti anni — nella prassi diffusa, se non in quella giuridicamente corretta — il regime dei cookie era di fatto un regime di opt-out: i cookie venivano installati all’accesso dell’utente, il quale veniva informato della loro presenza e aveva la facoltà di disattivarli attraverso le impostazioni del browser o attraverso le preferenze del sito. Questo sistema è stato progressivamente smantellato dalla giurisprudenza della CGUE e dalle Linee guida delle autorità garanti: oggi, il regime è inequivocabilmente di opt-in, con l’eccezione dei soli cookie tecnici strettamente necessari.
La sentenza Planet49 del 2019 ha segnato la fine definitiva dell’ambiguità: il consenso implicito, il consenso per comportamento concludente, il consenso per mancata opposizione — nessuno di questi meccanismi è compatibile con il requisito di un atto positivo di manifestazione della volontà dell’interessato.
Il modello «consenso o pagamento» e il parere EDPB del 2024
La questione più recente e dibattuta in materia di cookie è quella del modello cosiddetto «pay or okay» («consenso o pagamento»), adottato da diverse grandi piattaforme — tra cui Meta, a partire dall’autunno 2023 — come alternativa al cookie wall: l’utente può accedere al servizio gratuitamente accettando la profilazione pubblicitaria, oppure pagare un abbonamento per accedere senza cookie di profilazione.
L’EDPB ha adottato il Parere 08/2024 del 17 aprile 2024, esprimendosi in senso critico nei confronti di questo modello per le grandi piattaforme online: la disparità economica strutturale tra utenti e piattaforme, il carattere sostanzialmente monopolistico di certi servizi e l’assenza di alternative equivalenti rendono il consenso prestato per accedere gratuitamente al servizio difficilmente «libero» ai sensi dell’art. 4, n. 11, GDPR. L’EDPB ha tuttavia precisato che il modello non è di per sé incompatibile con il GDPR, ma richiede un’attenta valutazione caso per caso, con particolare attenzione all’adeguatezza del prezzo dell’alternativa a pagamento rispetto al valore effettivo del servizio.
La dimensione del trasferimento internazionale: il nodo statunitense
Il provvedimento del Garante su Google Analytics del 2022 ha reso manifesta una dimensione del problema dei cookie che in precedenza era rimasta in ombra: la questione del trasferimento internazionale dei dati verso Paesi terzi, in particolare gli Stati Uniti, dove le autorità governative possono accedere ai dati delle imprese tecnologiche in forza del Foreign Intelligence Surveillance Act (FISA) e di altre normative di sicurezza nazionale. L’assenza di un livello di protezione adeguato equivalente a quello europeo — sancita dalla Corte di Giustizia con la sentenza Schrems II (C-311/18, 16 luglio 2020) — ha reso illeciti i trasferimenti effettuati sulla base del Privacy Shield, con conseguenze immediate per tutti i servizi di analytics, advertising e infrastruttura tecnologica che comportano trasferimenti di dati verso server statunitensi.
L’adozione del Data Privacy Framework UE-USA nel luglio 2023 ha in parte risolto questo problema, consentendo nuovamente il trasferimento di dati verso le imprese statunitensi certificate nell’ambito del Framework. Tuttavia, la validità del Data Privacy Framework è già oggetto di una nuova sfida giudiziaria promossa da Max Schrems e dall’organizzazione NOYB, che ne chiedono l’annullamento davanti alla CGUE. Il nodo del trasferimento transatlantico dei dati di navigazione rimane pertanto aperto.
⚠ Tre vizi frequenti nei banner cookie italiani
Vizio n. 1 — Il tasto «Accetta tutto» è colorato, il tasto «Rifiuta» è grigio o in testo. Le Linee guida del Garante del 2021 richiedono che le opzioni di accettazione e rifiuto abbiano lo stesso rilievo grafico. L’uso di colori, dimensioni o posizionamenti asimmetrici costituisce un dark pattern che invalida il consenso raccolto.
Vizio n. 2 — Il tasto «Rifiuta» non compare al primo livello del banner. Il rifiuto non può essere accessibile soltanto dopo aver cliccato su «Gestisci preferenze» o «Personalizza»: deve essere offerto al primo livello dell’interfaccia, nelle stesse condizioni di accesso del tasto di accettazione.
Vizio n. 3 — I cookie di terze parti sono attivati di default nel pannello delle preferenze. Nessuna categoria di cookie di profilazione — propri o di terze parti — può essere pre-selezionata. Il titolare deve partire da uno stato in cui tutte le categorie non necessarie sono disattivate, e l’utente deve esplicitamente attivarle.
VI
Consigli operativi
Le indicazioni operative che seguono si rivolgono a due categorie di destinatari: i titolari del trattamento (gestori di siti web, sviluppatori di app, responsabili della compliance aziendale) che vogliano verificare e aggiornare la propria conformità; e gli utenti che vogliano esercitare i propri diritti in relazione ai cookie installati a loro insaputa o senza un consenso valido.
Per i titolari — 1. Audit del banner esistente
Verificare sistematicamente il banner attivo rispetto agli 8 requisiti delle Linee guida 2021 (cfr. infografica). Un audit pratico consiste nel navigare il sito in modalità privata con strumenti di ispezione del browser (DevTools) per verificare quali cookie vengono installati prima del consenso e verificare la parità grafica tra accept e reject.
Per i titolari — 2. Mappatura dei cookie
Redigere e mantenere aggiornato un cookie audit completo che cataloghì ogni cookie installato dal sito (nome, fornitore, finalità, durata, categoria). Questo documento è il presupposto per la corretta classificazione nelle categorie del banner e per la redazione di una cookie policy trasparente ai sensi dell’art. 13 GDPR.
Per i titolari — 3. Scegliere una CMP certificata
Adottare una Consent Management Platform (CMP) accreditata nell’ambito del Transparency & Consent Framework (TCF) di IAB Europe, verificando che la versione utilizzata sia compatibile con le Linee guida 2021 del Garante italiano (alcune CMP internazionali non sono adeguate agli standard più stringenti dell’ordinamento italiano).
Per i titolari — 4. Google Analytics: configurare o sostituire
A seguito del provvedimento del Garante del giugno 2022, verificare la configurazione di Google Analytics 4: abilitare la modalità di consenso avanzata (Consent Mode v2), disattivare la condivisione dati con Google, attivare l’anonimizzazione dell’IP, valutare l’adozione di alternative europee (Matomo in self-hosting, Fathom, Plausible).
Per i titolari — 5. Conservare la prova del consenso
Implementare un sistema di logging del consenso che registri: data e ora del consenso, versione del banner al momento del consenso, scelte espresse per categoria, identificativo anonimizzato dell’utente. Questi log devono essere conservati per almeno 13 mesi e devono essere producibili su richiesta del Garante.
Per gli utenti — 6. Reclamo al Garante per cookie illeciti
L’utente che rilevi l’installazione di cookie di profilazione senza consenso valido — o in presenza di un banner non conforme — può presentare reclamo al Garante ex art. 77 GDPR. La segnalazione è gratuita e può attivare un’istruttoria con conseguenti sanzioni nei confronti del titolare.
Una nota per i gestori di siti della pubblica amministrazione: il Garante ha chiarito che l’obbligo di conformità vale anche per i siti istituzionali di enti pubblici, i quali non sono esclusi dall’ambito applicativo dell’art. 122 D.Lgs. 196/2003. L’invocazione dell’interesse pubblico come base giuridica non è sufficiente a giustificare l’installazione di cookie di profilazione senza consenso: per questa categoria di cookie, il consenso rimane obbligatorio anche per i siti della PA.
VII
Considerazioni conclusive
Il sistema dei cookie si trova, nel momento in cui scriviamo, in una fase di profonda trasformazione strutturale che va ben oltre le questioni di compliance formale. Google ha annunciato — e poi più volte rinviato — la deprecazione definitiva dei cookie di terze parti nel browser Chrome, prevista ora per il 2025, a favore della propria Privacy Sandbox: un insieme di tecnologie che promettono di preservare la targettizzazione pubblicitaria senza ricorrere al tracciamento cross-site individuale. Questa transizione tecnologica, qualunque ne sia l’esito, rimodellerà radicalmente l’ecosistema del digital advertising europeo.
Sul fronte normativo, il Regolamento ePrivacy — atteso da anni come aggiornamento della Direttiva 2002/58/CE — rimane bloccato nei negoziati istituzionali europei, incapace di raggiungere un compromesso tra le spinte del settore pubblicitario verso forme di raccolta del consenso più flessibili e le posizioni delle autorità garanti che chiedono standard più rigorosi. In questo vuoto normativo, le Linee guida delle autorità garanti nazionali — e in particolare quelle del Garante italiano del 2021, tra le più evolute in Europa — continuano a svolgere un ruolo di supplenza indispensabile.
Per i titolari del trattamento, il messaggio è chiaro: il rispetto delle regole sul consenso ai cookie non è soltanto un adempimento burocratico, ma la condizione perché il modello di business digitale fondato sulla pubblicità comportamentale sia compatibile con i diritti fondamentali degli utenti. Per gli utenti, la consapevolezza dei propri diritti — e degli strumenti per farli valere — è la premessa indispensabile per esercitare una scelta davvero informata su ciò che entra e che rimane nel proprio dispositivo.
