Tutti odiano i cookie banner. È sulla soluzione che l’Europa si sta dividendo

Il 19 novembre 2025 la Commissione europea ha presentato il Digital Omnibus, una proposta che modifica una lunga serie di norme digitali esistenti e che, fra le altre cose, prova a risolvere uno dei risultati più paradossali della regolazione europea di Internet: per dare agli utenti maggiore controllo sui propri dati abbiamo costruito un sistema nel quale milioni di persone rispondono ogni giorno alla stessa domanda, spesso senza leggerla.

La Commissione lo chiama consent fatigue. E su questo, curiosamente, quasi tutti gli attori coinvolti sembrano concordare. EDPB ed EDPS considerano necessario intervenire sulla proliferazione dei cookie banner; l’industria pubblicitaria sostiene che l’attuale sistema abbia trasformato il consenso in un adempimento ripetitivo; le associazioni dei consumatori ammettono che esprimere le proprie preferenze sito per sito sia inefficiente; persino le forze politiche più diffidenti verso la riapertura del GDPR non difendono seriamente lo status quo.

Il conflitto comincia quando si prova a decidere cosa mettere al suo posto.

Meno banner, ma come?

La proposta della Commissione interviene su due fronti. Con il nuovo articolo 88a del GDPR allargherebbe alcune eccezioni al consenso per l’accesso alle informazioni memorizzate nel terminale dell’utente, introducendo fra l’altro un’eccezione per determinate forme di audience measurement. Con l’articolo 88b permetterebbe invece di esprimere alcune preferenze attraverso segnali automatizzati e machine-readable: in sostanza, il browser o il sistema operativo potrebbero comunicare ai siti la scelta dell’utente, evitando di porgli continuamente la stessa domanda.

Il consenso continuerebbe a essere la regola generale, ma con meno occasioni nelle quali sarebbe necessario richiederlo e con la possibilità di rendere persistente la risposta. È il primo punto, quello delle eccezioni, ad avere conseguenze particolarmente interessanti per l’advertising.

Il confine fra measurement e tracking

L’11 febbraio 2026 EDPB ed EDPS hanno pubblicato la propria Joint Opinion sul Digital Omnibus e, anziché respingere l’impostazione della Commissione, hanno sostenuto esplicitamente l’obiettivo di ridurre la consent fatigue e hanno accolto favorevolmente l’introduzione di alcune deroghe limitate. Sull’audience measurement hanno però tracciato un confine molto stretto: la misurazione dovrebbe produrre informazioni aggregate e anonime sull’utilizzo del servizio, senza combinare quei dati con quelli provenienti da altri servizi, senza riutilizzarli per altri scopi e senza condividerli con terzi.

Subito dopo fanno però qualcosa di ancora più interessante. Propongono ai legislatori di prendere in considerazione una nuova eccezione per il contextual advertising, più rispettoso della privacy del behavioural advertising quando dipende esclusivamente dalla pagina che l’utente sta visitando o dalla ricerca che sta effettuando in quel momento, senza conservarne o collegarne l’attività passata e futura.

EDPB ed EDPS riconoscono anche che una campagna contextual deve comunque essere gestita e misurata: citano esplicitamente frequency capping, advertising audience measurement e prevenzione delle click fraud come attività che possono richiedere tracker, e sostengono che questi casi potrebbero essere inclusi fra quelli che non richiedono consenso, purché l’eccezione sia strettamente delimitata.

La prima frattura: il rischio

L’EPP, e in particolare Aura Salla, co-rapporteur del dossier per la commissione ITRE, sostiene un approccio maggiormente basato sul rischio: ridurre i banner inutili, aumentare la certezza giuridica e rendere più semplice per le imprese europee utilizzare i dati, senza abbandonare le garanzie fondamentali. Salla insiste anche su un secondo argomento che ritorna continuamente nel dibattito: una regolazione mal progettata può finire per rafforzare proprio le grandi piattaforme americane che l’Europa vorrebbe rendere meno dominanti.

Nell’ECR la posizione appare ancora più esplicitamente orientata alla proporzionalità. Diego Solier ha indicato audience measurement, advertising, cybersecurity updates e fraud prevention come esempi nei quali bisognerebbe evitare che attività relativamente poco intrusive vengano trattate allo stesso modo del behavioural tracking.

S&D parte da una preoccupazione diversa. Marina Kaljurand, co-rapporteur LIBE, sostiene anch’essa un’applicazione risk-based del GDPR, ma insiste sulla necessità di non utilizzare il Digital Omnibus per indebolire definizioni e protezioni fondamentali, a partire dalla definizione stessa di personal data. La posizione socialista non è quindi “manteniamo tutti i cookie banner”, ma: semplifichiamo senza creare, attraverso le eccezioni, nuovi spazi nei quali attività invasive possano essere riclassificate come innocue.

Renew occupa una posizione intermedia. Michael McNamara ha parlato della necessità di ottenere una “genuine simplification” mantenendo però le garanzie sui diritti fondamentali: una posizione meno nettamente schierata sui singoli strumenti e più concentrata sulla ricerca di un compromesso tecnicamente funzionante.

Greens/EFA e The Left sono molto più sospettosi verso l’intero esercizio di semplificazione. I Greens hanno avvertito fin dall’inizio che riaprire GDPR ed ePrivacy potrebbe trasformarsi in un regalo alle grandi piattaforme e hanno chiesto soprattutto migliore enforcement delle regole esistenti. Markéta Gregorová ha comunque sostenuto la necessità di trovare una vera soluzione per eliminare i cookie banner nella forma attuale: anche qui il dissenso riguarda più il metodo che il problema. The Left interpreta invece la proposta come un possibile arretramento degli interessi dei consumatori e della protezione dei dati.

Persino all’interno delle posizioni più conservatrici o nazionaliste non emerge un’unica linea sui cookie. Patriots for Europe, per esempio, nel dibattito sul dossier ha concentrato molta attenzione sulla pseudonimizzazione e sulla certezza giuridica più che su una specifica architettura del consenso. Parlare semplicemente di “destra contro sinistra” farebbe quindi perdere una parte importante della storia.

La seconda frattura: il potere

Fuori dal Parlamento il conflitto diventa ancora più chiaro. IAB Europe accetta l’obiettivo della Commissione ma sostiene che le eccezioni dell’articolo 88a siano troppo strette. Il suo argomento è che continuare a richiedere consenso per operazioni operative e a basso rischio non elimina davvero la consent fatigue; allo stesso tempo si oppone a un sistema di consenso centralizzato nel browser, perché teme che possa danneggiare l’ecosistema dei contenuti finanziati dalla pubblicità e aumentare il potere dei grandi intermediari tecnologici.

Alliance Digitale, l’associazione francese del marketing e dei dati, arriva a una conclusione affine: considera il meccanismo centralizzato dell’articolo 88b un rischio per proporzionalità, concorrenza e neutralità tecnologica; chiede invece eccezioni per attività a basso rischio, fra cui contextual advertising, frequency capping, antifrode e analytics aggregate.

EuroCommerce sostiene una posizione molto simile: più eccezioni risk-based per trattamenti a basso rischio, maggiore riconoscimento delle privacy-enhancing technologies, ma niente obbligo generalizzato di gestire le preferenze attraverso il browser e niente divieto rigido di riproporre il consenso per sei mesi. Il timore dichiarato è la nascita di nuovi gatekeeper.

Il problema è intuitivo. Se la preferenza dell’utente viene espressa principalmente attraverso Chrome o Safari, Google e Apple smettono di essere soltanto produttori di browser e diventano un pezzo dell’infrastruttura attraverso cui viene esercitato un diritto giuridico. La Commissione vede in questo la possibilità di risolvere finalmente la cookie fatigue; una parte dell’industria vede invece il rischio di trasferire potere dai publisher a due delle aziende più grandi del mondo.

BEUC, che rappresenta le organizzazioni europee dei consumatori, guarda la stessa architettura dalla prospettiva opposta. Accoglie con cautela i browser signal proprio perché potrebbero rendere più semplice esercitare il consenso, ma chiede che il consenso rimanga il criterio di fondo e che le eccezioni siano definite con molta maggiore precisione. BEUC è inoltre favorevole alla possibilità di riconoscere un trattamento specifico al contextual advertising, purché questo non diventi una scorciatoia per la profilazione.

EDRi spinge ancora più avanti questa critica. Secondo l’organizzazione, la cookie fatigue non nasce principalmente dai banner, ma da un modello economico costruito sul tracking, dall’utilizzo di interfacce manipolative e da un enforcement insufficiente. Eliminare il sintomo senza modificare gli incentivi economici che hanno prodotto il problema rischierebbe quindi semplicemente di rendere il tracking meno visibile.

Tre conflitti, non uno

La Commissione ha prodotto una soluzione apparentemente semplice a un problema sul quale esiste un consenso quasi universale, ma ha aperto contemporaneamente almeno tre conflitti diversi.

Anche il Consiglio ha mostrato quanto sia difficile tenere insieme queste domande. In un compromise text del 17 aprile la presidenza aveva incluso una nuova eccezione per il contextual advertising, andando nella direzione indicata da EDPB ed EDPS. A giugno, però, gli Stati membri hanno eliminato dal compromesso alcune delle principali disposizioni sulla semplificazione dei cookie banner, rinviando sostanzialmente il nodo.

Al Parlamento il processo è ancora aperto. Il draft report di Salla e Kaljurand è arrivato a giugno; a luglio sono stati presentati più di mille emendamenti e il prossimo passaggio sarà negoziare i compromise amendments prima del voto in commissione. Al 31 agosto il fascicolo ufficiale 2025/0360(COD) risulta ancora “Awaiting committee decision”.

Cosa cambia per l’ecosistema pubblicitario

Per l’ecosistema pubblicitario, il risultato potrebbe essere molto più importante della semplice scomparsa di qualche banner. Un trattamento normativo più favorevole al contextual advertising renderebbe economicamente più interessante un advertising che utilizza il contesto della pagina anziché la storia dell’individuo. Eccezioni chiaramente definite per audience measurement, frequency capping e antifrode renderebbero possibile separare alcune funzioni operative della pubblicità dal behavioural profiling.

Una forte implementazione dei browser signals potrebbe invece ridurre drasticamente il numero di utenti disponibili per certe forme di tracking, ma contemporaneamente aumentare il potere di browser e sistemi operativi. Publisher e retailer avrebbero quindi un incentivo ancora maggiore a sviluppare first-party data e relazioni dirette con gli utenti.

C’è infine un problema di measurement che merita di essere osservato con attenzione, senza attribuire al legislatore conclusioni che non ha tratto. Il Digital Omnibus non sta proponendo nuovi modelli di Marketing Effectiveness e non sta dicendo alle aziende di sostituire attribution con incrementality o Marketing Mix Modeling. Sta però introducendo una distinzione regolatoria molto significativa: non tutte le attività necessarie a misurare una campagna richiedono necessariamente di ricostruire il comportamento di una persona attraverso servizi diversi.

È una distinzione che l’advertising digitale ha avuto poca necessità di fare finché la stessa infrastruttura tecnica poteva occuparsi contemporaneamente di targeting, tracking, attribution e measurement. Ora potrebbe essere costretto a farla.

Cosa ognuno vuole salvare

La cosa più sorprendente del dibattito europeo sui cookie è che nessuno sembra realmente voler salvare i cookie banner. Ognuno sta cercando invece di salvare qualcosa di diverso dalla loro scomparsa: EDPB ed EDPS la proporzionalità fra rischio e trattamento; l’industria pubblicitaria la capacità di finanziare e misurare advertising e contenuti; i publisher il rapporto diretto con il proprio pubblico; i consumatori il controllo effettivo; Greens e digital-rights organisations l’integrità delle protezioni esistenti; EPP ed ECR la competitività e la possibilità per le imprese europee di usare i dati; S&D e Renew un compromesso che semplifichi senza aprire nuove scappatoie.

E dietro tutti loro rimane una domanda molto più importante di quella che compare sul banner quando apriamo un sito: non se cliccheremo ancora “Accept all”, ma chi avrà il diritto di osservare cosa facciamo dopo, per quale scopo e con quale livello di dettaglio.

Fonti e documenti

• Commissione europea — proposta Digital Omnibus
• Parlamento europeo — fascicolo 2025/0360(COD)
• EDPB e EDPS — Joint Opinion sul Digital Omnibus (11 febbraio 2026)
• Consiglio dell’UE — compromise text della Presidenza (17 aprile 2026)
• IAB Europe — Position Paper sul Digital Omnibus
• Alliance Digitale — Position Paper sul Digital Omnibus
• EuroCommerce — Position Paper sul Digital Omnibus
• BEUC — Protecting EU data and privacy rights in the Digital Omnibus
• EDRi — The Digital Omnibus and ePrivacy