UK GDPR e PECR: le regole sui cookie nel Regno Unito

Nel Regno Unito i cookie sono disciplinati da due leggi che operano insieme. Le Privacy and Electronic Communications Regulations (PECR) richiedono il consenso prima di archiviare informazioni su un dispositivo o di accedervi, salvo che si applichi un’esenzione, mentre lo UK GDPR, la versione britannica del Regolamento generale sulla protezione dei dati, definisce che cosa rende valido il consenso. L’Information Commissioner’s Office (ICO) vigila su entrambe, e le recenti riforme introducono nuove esenzioni da seguire con attenzione.

Come si combinano UK GDPR e PECR?

Il PECR stabilisce la regola sui cookie e lo UK GDPR lo standard del consenso. Quando un cookie o una tecnologia simile comporta anche il trattamento di dati personali, si applicano anche i principi più generali dello UK GDPR, come la trasparenza e la minimizzazione dei dati.

Il PECR è l’attuazione britannica della direttiva ePrivacy dell’UE. La sua regola sui cookie, la regulation 6, impone di fornire informazioni chiare e complete e di ottenere il consenso prima di archiviare informazioni sul dispositivo dell’utente o di accedervi, salvo che si applichi un’esenzione. Come l’articolo 5, paragrafo 3, nell’UE, copre i cookie e le tecnologie simili, come il local storage, i pixel di tracciamento e il device fingerprinting.

Lo UK GDPR è la versione del GDPR dell’UE mantenuta nel diritto britannico dopo la Brexit e affianca il Data Protection Act 2018. Definisce il consenso come libero, specifico, informato e inequivocabile, manifestato mediante un’azione positiva chiara. Per la versione UE di questo rapporto, leggi direttiva ePrivacy e GDPR a confronto.

Quali cookie richiedono il consenso nel Regno Unito?

Secondo le regole consolidate, tutto ciò che non è strettamente necessario richiede un consenso preventivo (opt-in). Rientrano qui i cookie di analisi, pubblicitari, dei social media e la maggior parte dei cookie di personalizzazione.

Le esenzioni tradizionali sono circoscritte:

• Esenzione per le comunicazioni: archiviazione o accesso utilizzati al solo fine di effettuare la trasmissione di una comunicazione su una rete.
• Esenzione per i cookie strettamente necessari: archiviazione o accesso strettamente necessari per fornire un servizio esplicitamente richiesto dall’utente, come un carrello, una sessione di accesso o un cookie di sicurezza.

L’ICO considera da tempo l’analisi non strettamente necessaria, per quanto preziosa possa essere per un’azienda. Per i casi limite, leggi che cosa si intende per cookie strettamente necessario.

Che cosa è cambiato con il Data (Use and Access) Act 2025?

Il Data (Use and Access) Act 2025 modifica sia il PECR sia lo UK GDPR, e le sue novità sui cookie sono le più rilevanti da anni. Le sue disposizioni, però, entrano in vigore per fasi, quindi verifica le linee guida aggiornate dell’ICO prima di modificare il tuo banner.

Nella versione approvata, la legge introduce nuove eccezioni all’obbligo di consenso per determinate finalità a basso rischio, come alcuni strumenti di analisi usati per migliorare un sito o un servizio e le funzionalità che ricordano come l’utente preferisce visualizzare o usare un sito. Quando queste eccezioni si applicano, in genere devi comunque spiegare chiaramente alle persone che cosa stai facendo e offrire loro un modo semplice e gratuito per opporsi. La legge mira inoltre ad allineare le sanzioni del PECR ai livelli dello UK GDPR.

Finché i dettagli non saranno definiti, valgono tre cautele pratiche:

1. La pubblicità richiede ancora il consenso. Le nuove eccezioni riguardano finalità a basso rischio, non la pubblicità mirata né il tracciamento tra siti.
2. Gli strumenti di terze parti vanno esaminati con attenzione. Un’eccezione legata al miglioramento del tuo servizio potrebbe non coprire un fornitore che usa i dati anche per scopi propri.
3. Per i visitatori dell’UE non cambia nulla. Se ti rivolgi anche a persone nell’UE, le regole UE richiedono ancora in genere il consenso per l’analisi, quindi potresti dover differenziare il comportamento per area geografica.

Prima di fare affidamento su una nuova eccezione, esegui un audit dei cookie per sapere esattamente quali cookie vi rientrerebbero.

Che cosa si aspetta l’ICO dai banner dei cookie?

L’ICO si aspetta una scelta reale: rifiutare deve essere facile quanto accettare, i cookie non essenziali non devono caricarsi prima del consenso e le informazioni devono essere chiare. L’autorità ha sollecitato pubblicamente grandi siti web a correggere banner che non rispettavano questo standard.

Un banner pronto per il Regno Unito dovrebbe:

1. Offrire “Rifiuta tutto” con la stessa evidenza e lo stesso numero di clic di “Accetta tutto”.
2. Evitare caselle preselezionate, interruttori attivi per impostazione predefinita e consensi inglobati nei termini di servizio.
3. Non considerare mai lo scorrimento della pagina o il proseguimento della navigazione come consenso.
4. Bloccare i cookie non essenziali finché l’utente non presta il consenso.
5. Rendere semplice modificare o revocare il consenso in un secondo momento.
6. Spiegare finalità e terze parti in un linguaggio semplice, con i dettagli in una cookie policy.

Gli accorgimenti grafici che spingono le persone ad accettare sono un obiettivo ricorrente delle attività di controllo. La nostra guida ai dark pattern nei banner dei cookie elenca gli schemi da evitare.

Come si confrontano le regole britanniche con quelle dell’UE?

Le regole sui cookie del Regno Unito e dell’UE restano strettamente allineate, ma stanno iniziando a divergere. Usa questa tabella come orientamento rapido, non come mappa giuridica.

	UE	Regno Unito
Regola sui cookie	Art. 5, par. 3, della direttiva ePrivacy, tramite le leggi nazionali	PECR, regulation 6
Standard del consenso	GDPR	UK GDPR
Autorità di controllo	Autorità nazionali per la protezione dei dati	ICO
Cookie di analisi	Consenso generalmente richiesto, con esenzioni nazionali circoscritte	Nuove eccezioni per alcuni strumenti di analisi, subordinate all’entrata in vigore e alle linee guida dell’ICO
Cookie pubblicitari	Consenso richiesto	Consenso richiesto
Sanzione massima GDPR	20 milioni di euro o il 4% del fatturato mondiale annuo	17,5 milioni di sterline o il 4% del fatturato mondiale annuo

In sintesi

Per i visitatori del Regno Unito, prevedi il consenso preventivo (opt-in) per tutto ciò che non è essenziale, rendi il rifiuto facile quanto l’accettazione e segui il Data (Use and Access) Act 2025 man mano che le sue novità sui cookie entrano in vigore. Verifica le linee guida più recenti dell’ICO prima di allentare qualsiasi obbligo di consenso e ricorda che i visitatori dell’UE richiedono ancora un consenso conforme agli standard UE. Strumenti come Cookiesh possono automatizzare la scansione dei cookie e conservare registri del consenso a prova di manomissione, così puoi dimostrare all’ICO che cosa fa il tuo sito e che cosa hanno scelto i visitatori.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.