Direttiva ePrivacy e GDPR: come funzionano le regole sui cookie

La direttiva ePrivacy e il Regolamento generale sulla protezione dei dati (GDPR) dividono in due la questione dei cookie. La direttiva ePrivacy stabilisce se ti serve il consenso per archiviare o leggere informazioni sul dispositivo di una persona. Il GDPR definisce come deve essere un consenso valido e disciplina qualsiasi dato personale che tratti in seguito. Per la maggior parte dei cookie di analisi e pubblicitari devi rispettare entrambe le norme contemporaneamente.

Cosa dice la direttiva ePrivacy sui cookie?

L’articolo 5, paragrafo 3, della direttiva ePrivacy (direttiva 2002/58/CE) consente di archiviare informazioni sul dispositivo di un utente, o di accedere a informazioni già archiviate, solo se l’utente ha prestato il consenso dopo aver ricevuto informazioni chiare e complete. Sono previste due esenzioni limitate.

La prima riguarda l’archiviazione o l’accesso finalizzati unicamente a effettuare la trasmissione di una comunicazione su una rete. La seconda riguarda l’archiviazione o l’accesso strettamente necessari per fornire un servizio esplicitamente richiesto dall’utente, come una sessione di login o un carrello. Tutto il resto, compresi analisi, pubblicità e la maggior parte delle funzioni dei social media, richiede il consenso.

La regola è volutamente neutrale rispetto alla tecnologia. Per “dispositivo” si intende qualsiasi apparecchiatura terminale, dai laptop agli smartphone fino alle smart TV. Le “informazioni” comprendono cookie, local storage, IndexedDB, identificativi del dispositivo e tecniche che ne leggono le caratteristiche. Da una modifica del 2009 la regola predefinita è il consenso; prima bastava informare gli utenti e consentire loro di rifiutare.

Soprattutto, l’articolo 5, paragrafo 3, si applica indipendentemente dal fatto che le informazioni siano dati personali. Anche un cookie che contiene un valore casuale, privo di qualsiasi collegamento con una persona, rientra nel suo ambito di applicazione.

Cosa aggiunge il GDPR alle regole sui cookie?

Il GDPR contribuisce in due modi: con la definizione di consenso che i banner dei cookie devono rispettare e con le regole per qualsiasi dato personale trattato dopo che un cookie è stato installato o letto.

La direttiva ePrivacy non definisce direttamente il consenso. Ne prende in prestito la definizione dal diritto dell’UE in materia di protezione dei dati, che oggi significa il GDPR. L’articolo 4, punto 11, richiede che il consenso sia libero, specifico, informato e inequivocabile, e l’articolo 7 aggiunge condizioni come la facilità di revoca e la possibilità di dimostrare il consenso. Nella sentenza Planet49 (C-673/17, 2019), la Corte di giustizia dell’Unione europea (CGUE) ha applicato questo standard ai cookie e ha stabilito che una casella preselezionata non costituisce un consenso valido.

Dopo la fase di accesso al dispositivo subentra il GDPR. Se il tuo fornitore di analytics riceve visualizzazioni di pagina collegate all’ID di un cookie, si tratta di un trattamento di dati personali. Ti servono una base giuridica ai sensi dell’articolo 6, un’informativa privacy trasparente, contratti con i responsabili del trattamento, garanzie per i trasferimenti internazionali e una procedura per gestire le richieste di accesso e di cancellazione.

Per il tracciamento e la profilazione che partono da un cookie basato sul consenso, le autorità in genere si aspettano che anche il trattamento successivo si fondi sul consenso. Ecco perché il legittimo interesse funziona raramente per i cookie.

In cosa differiscono la direttiva ePrivacy e il GDPR?

Le differenze sono più evidenti se le metti una accanto all’altra.

Aspetto	Direttiva ePrivacy (art. 5, par. 3)	GDPR
Forma giuridica	Direttiva, recepita tramite leggi nazionali	Regolamento, direttamente applicabile in ogni Paese dell’UE
Cosa disciplina	Archiviazione di informazioni sul dispositivo dell’utente o accesso a tali informazioni	Trattamento dei dati personali
Servono dati personali?	No	Sì
Presupposti ammessi	Consenso o una delle due esenzioni limitate	Sei basi giuridiche all’articolo 6, tra cui consenso e legittimo interesse
Chi vigila	Autorità designata da ciascun Paese, spesso ma non sempre l’autorità per la protezione dei dati	Autorità nazionali per la protezione dei dati, con un meccanismo di cooperazione transfrontaliera
Sanzioni	Stabilite dalla legge nazionale	Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per le violazioni più gravi (art. 83, par. 5)

Quale legge si applica a un determinato cookie?

Spesso entrambe, una dopo l’altra. Pensalo come un test in due fasi: la direttiva ePrivacy disciplina il momento dell’archiviazione o della lettura, il GDPR il trattamento di dati personali che ne segue.

I casi più comuni sono questi:

1. Cookie di analisi. L’installazione del cookie con il client ID richiede il consenso ePrivacy. L’invio a un fornitore di analytics delle visualizzazioni di pagina collegate a quell’ID è un trattamento di dati personali soggetto al GDPR.
2. Cookie di sessione per il login. Il cookie è esente dal consenso perché è strettamente necessario per un servizio richiesto dall’utente. I dati dell’account associati restano comunque dati personali, quindi si applica il GDPR, di solito sulla base dell’esecuzione di un contratto o di un’altra base analoga.
3. Pixel pubblicitario. La lettura o la scrittura di identificativi richiede il consenso ePrivacy, e la profilazione che segue richiede una base giuridica GDPR, che in pratica significa il consenso.
4. Trattamento lato server senza accesso al dispositivo. Se nulla viene archiviato sul dispositivo o letto da esso, l’articolo 5, paragrafo 3, potrebbe non applicarsi, ma il GDPR vale comunque per dati personali come gli indirizzi IP. Le autorità interpretano il concetto di “accesso” in senso ampio, quindi verifica le loro linee guida prima di fare affidamento su questa ipotesi.

L’ordine conta. Una base giuridica GDPR valida per la seconda fase non può rimediare alla mancanza del consenso ePrivacy nella prima.

Perché conta la differenza tra direttiva e regolamento?

Poiché ogni Paese recepisce la direttiva ePrivacy nella propria legislazione, lo stesso banner può essere valutato da autorità diverse che applicano regole leggermente diverse. Questo incide su chi può agire nei tuoi confronti e su come può farlo.

Le leggi nazionali differiscono su dettagli come l’autorità incaricata di far rispettare le regole sui cookie, il modo in cui le autorità valutano le esenzioni per l’analisi e per quanto tempo va ricordato un rifiuto.

Il meccanismo dello sportello unico del GDPR, che di norma assegna i casi transfrontalieri a un’unica autorità capofila, non si estende alle norme nazionali ePrivacy. È così che l’autorità francese per la protezione dei dati, la CNIL, ha potuto agire direttamente contro Google e Facebook nel dicembre 2021, sanzionandoli rispettivamente per 150 milioni e 60 milioni di euro perché rifiutare i cookie era più difficile che accettarli. La nostra analisi delle lezioni dalle sanzioni sui cookie spiega cosa significano quelle decisioni per i siti comuni.

L’indicazione pratica: progetta in base allo standard più rigoroso tra i tuoi mercati. Il Regno Unito segue un modello parallelo, il GDPR britannico (UK GDPR) più le Privacy and Electronic Communications Regulations (PECR), fatti rispettare dall’Information Commissioner’s Office (ICO). La nostra guida a UK GDPR e PECR spiega in cosa si differenzia il Regno Unito.

La direttiva ePrivacy verrà sostituita?

Forse prima o poi, ma pianifica in base alla legge attualmente in vigore. Una proposta di regolamento ePrivacy destinata a sostituire la direttiva è stata negoziata per anni senza raggiungere un accordo, e nel 2025 la Commissione europea ha annunciato che l’avrebbe ritirata.

Da allora, nuove iniziative UE per semplificare le regole digitali hanno riportato il consenso ai cookie al centro del dibattito. Nulla di tutto questo modifica i tuoi obblighi finché non viene adottato ed entra in vigore, quindi continua a rispettare l’articolo 5, paragrafo 3, così come recepito in ciascun Paese e verifica le indicazioni aggiornate della tua autorità prima di agire sulla base di una riforma annunciata.

In sintesi

La direttiva ePrivacy risponde alla domanda “mi serve il consenso per accedere al dispositivo?”, il GDPR alla domanda “cosa significa consenso e quali obblighi ho per i dati?”. Considerali due cancelli da superare entrambi e non lasciare mai che una base giuridica GDPR ti convinca a fare a meno del consenso ePrivacy. Strumenti come Cookiesh possono mostrare banner diversi in base all’area geografica, ma capire quale legge si applica a ciascun tracker è un lavoro che vale comunque la pena fare in prima persona.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.