Il 21 ottobre gli ambasciatori degli Stati membri hanno approvato la posizione negoziale del Consiglio dell’Unione europea sul Digital Omnibus, il pacchetto con cui Bruxelles intende semplificare le regole su dati personali, cookie e segnalazione degli incidenti informatici. Il testo, di 179 pagine, è stato diffuso il giorno dopo. La parte che interessa chi compra pubblicità o misura un sito occupa poche righe: un elenco chiuso di sei finalità per le quali non servirebbe più il consenso, l’obbligo di attendere almeno quattro mesi prima di richiederlo ad una persona che lo ha rifiutato e l’eliminazione del segnale automatico nel browser che avrebbe dovuto ridurre i banner.
Non è una legge. È il mandato con cui la presidenza irlandese del Consiglio si siederà al tavolo con il Parlamento europeo, che una posizione propria non l’ha ancora adottata e fino ad un accordo restano in vigore le regole attuali. Eppure il testo ha un valore pratico immediato: dichiara in anticipo quali usi dei dati il legislatore considera abbastanza innocui da non richiedere una scelta dell’utente e quali no ed è il criterio migliore disponibile per decidere dove spostare la misura e il targeting del 2027. La tesi di queste pagine è che il pacchetto non allenta la regola per tutti: premia chi misura in casa e compra contesto, lascia intatto il vincolo per chi vive di tracciamento tra siti e poggia, per la parte più favorevole al marketing, sull’elemento più instabile del testo.
Che cosa è stato deciso
Il punto di partenza è la proposta della Commissione europea del novembre 2025, che spostava le regole sui cookie nel regolamento europeo sulla protezione dei dati (GDPR), in un nuovo articolo 88a. Il Consiglio ha scelto un’altra strada: ha riscritto l’articolo 5, paragrafo 3, della direttiva ePrivacy, la norma europea che disciplina l’accesso alle informazioni sul dispositivo di una persona e ha lasciato lì la disciplina. In Italia questa norma corrisponde all’articolo 122 del Codice privacy, sul quale è intervenuto di recente il Garante con le linee guida sui pixel nelle email. La vigilanza passerebbe alle autorità del GDPR. Per l’Italia, dove l’autorità è già il Garante, cambia poco.
Il percorso è ancora lungo. La commissione parlamentare congiunta ITRE-LIBE ha una bozza di relazione del 22 giugno 2026 e un voto è atteso all’inizio del 2027, secondo una ricostruzione consultata. I negoziati a tre (trilogo) possono cominciare solo dopo la posizione del Parlamento. L’obiettivo politico dichiarato è chiudere tutti i pacchetti di semplificazione entro la fine del 2027. Sui tempi di applicazione le fonti non coincidono: una indica ventiquattro mesi dall’adozione per recepire le misure, un’altra sei mesi dalla pubblicazione per la modifica della direttiva e definisce le due date difficili da conciliare. Con il calcolo più prudente della redazione (adozione a fine 2027 e ventiquattro mesi) si arriva alla fine del 2029.
Le sei finalità senza consenso
Secondo le ricostruzioni di Relevant Audience, PPC Land e dello studio NicFab, l’elenco chiuso è questo. La terza colonna è una lettura della redazione.
| Finalità | In sostanza | Per il marketing |
|---|---|---|
| Trasmettere una comunicazione elettronica | Il necessario per far arrivare un messaggio | Poco rilevante |
| Fornire un servizio esplicitamente richiesto | Carrello, accesso, lingua scelta | Resta fuori dal consenso ciò che l’utente ha chiesto |
| Misura di audience di prima parte | Dati anonimi e aggregati, prodotti dal gestore del sito, non riutilizzati, non condivisi e non combinati con dati di terzi | La parte più utile per l’analitica interna |
| Misura di audience dei media | Prevista dal regolamento europeo sulla libertà dei media (articolo 24), con pseudonimizzazione dopo la raccolta | Riguarda gli editori |
| Sicurezza tecnica | Limitata a ciò che serve davvero al servizio richiesto | Antifrode e protezione |
| Misura della pubblicità contestuale | Visualizzazione e prestazioni di annunci basati solo sul contenuto mostrato in una singola visita o ricerca, senza dati personali, profilazione o dati di navigazione incrociata o passata | È la novità per chi compra spazi |
Quest’ultima voce è, secondo l’analisi di NicFab, «la vera notizia» per editori e inserzionisti. Il Garante europeo della protezione dei dati e il Comitato europeo per la protezione dei dati ne avevano raccomandato una simile.
Quando necessita la richiesta di consenso
Il resto. Il targeting comportamentale, il tracciamento tra siti diversi e il riutilizzo programmatico dei dati restano soggetti al consenso. Il confine più delicato riguarda il limite di frequenza (frequency cap), cioè il numero massimo di volte in cui lo stesso annuncio viene mostrato alla stessa persona: una ricostruzione di PPC Land segnala che un considerando del testo lo richiama, insieme ai cookie di misura pubblicitaria, entro certi limiti e osserva la tensione con la regola sul contesto, perché il limite si fonda sull’attività passata dell’utente. Il confine, secondo la stessa fonte, è lasciato alle autorità e ai tribunali.
Un altro elemento cade: il segnale del browser. La Commissione aveva proposto che un’impostazione automatica del programma di navigazione, valida per tutti i siti, comunicasse una volta per tutte la scelta sui cookie e riducesse i banner. Il Consiglio l’ha eliminata a giugno 2026 e a settembre diciannove organizzazioni hanno chiesto alla presidenza irlandese di ripristinarla senza ottenerlo. La stessa fonte riferisce di uno studio commissionato da Google che poneva in gioco 40-50 miliardi di euro l’anno, cifra contestata dall’organizzazione noyb. Senza segnale il banner resta, ma con una novità: il rifiuto dovrà essere possibile «con un pulsante ad un clic o mezzo equivalente».
Quattro mesi invece di sei
La Commissione aveva previsto un’attesa di sei mesi prima di poter chiedere di nuovo il consenso per la stessa finalità a chi l’ha rifiutato. Il Consiglio l’ha accorciata ad almeno quattro. L’industria pubblicitaria francese (Alliance Digitale) aveva chiesto di eliminare del tutto il divieto di nuova richiesta: è rimasto, ridotto di un terzo.
Un calcolo della redazione dice che cosa significa. Con sei mesi di attesa un utente che rifiuta si può interpellare al massimo due volte in dodici mesi, con quattro mesi tre volte. È un guadagno solo per chi vive di consensi e dà più peso al primo banner. Il nuovo obbligo ha due eccezioni: lo scopo della richiesta cambia, oppure il rifiuto è andato perduto per cause estranee al gestore, per esempio perché l’utente ha cancellato i cookie. Ne nasce un paradosso pratico: la memoria del rifiuto vive, di norma, nello stesso cookie che l’utente può cancellare e dopo la cancellazione si potrà chiedere di nuovo.
Mappare lo stack di marketing sulle sei finalità
L’esercizio da fare adesso non richiede che il testo diventi legge. Si prende l’elenco degli strumenti di misura e di targeting installati sul sito e si prova a collocare ciascuno in una delle sei finalità. I casi seguenti sono valutazioni della redazione, non pareri legali.
| Strumento | Collocazione probabile | Dubbi |
|---|---|---|
| Contatore di visite di prima parte, anonimo e aggregato | Misura di audience di prima parte | Dipende dalla configurazione: niente identificatori persistenti |
| Analitica che incrocia i dati con altri servizi del fornitore | Probabilmente fuori dall’esenzione | Il divieto di combinare con dati di terzi |
| Tag di retargeting e pubblici personalizzati | Consenso | Nessuna esenzione prevista |
| Tag di conversione e attribuzione delle campagne | Non chiaro | L’esenzione per la pubblicità riguarda solo quella contestuale |
| Misura delle visualizzazioni di annunci contestuali | Misura della pubblicità contestuale | Nessun dato personale o di navigazione |
| Limite di frequenza | Non chiaro | Si basa sull’attività passata |
| Carrello e sessione di acquisto | Servizio richiesto | Solo per ciò che serve al servizio |
| Antifrode | Sicurezza tecnica | Solo se strettamente necessario |
Il risultato è un’indicazione di bilancio. Più il budget dipende dalle righe che richiedono il consenso, più il risultato dipende dalla percentuale di chi lo concede e il testo del Consiglio non dice nulla che la faccia salire.
L’esenzione più utile è anche la più fragile
L’esenzione per la misura contestuale ha già cambiato posizione. A fine maggio iubenda, fornitore di strumenti per la gestione del consenso, citando fonti di Euractiv, scriveva che un testo di compromesso del Consiglio la toglieva; il mandato di ottobre, secondo tre ricostruzioni, la contiene. Il pacchetto passa ora al Parlamento, dove il gruppo del Partito popolare europeo, secondo noyb, ha presentato 248 emendamenti che l’organizzazione giudica peggiorativi per la riservatezza. Chi pianifica sul presupposto che l’esenzione arrivi a destinazione costruisce su una parte del testo che in cinque mesi è stata tolta e rimessa. Chi la tratta come una indicazione di direzione, senza contarci, ci perde poco.
Un’ultima avvertenza riguarda ciò che il mandato non dice. Piattaforme di gestione del consenso e standard del settore pubblicitario non sono trattati e le fonti lette notano che non è chiaro come i fornitori incorporati nei siti dovrebbero dimostrare di agire entro le finalità esenti. Fino ad un accordo valgono le regole di oggi, comprese le linee guida del Garante sui pixel nelle email in scadenza in questi giorni.
Che cosa decidere nel budget 2027
La riforma non cambia i conti prima del 2028 e probabilmente del 2029. Cambia però la direzione in cui conviene spostare le risorse e se ne può trarre una regola semplice: dove il consenso non servirebbe, la misura costa meno e dura di più. Un sito che oggi raccoglie le visite con uno strumento di prima parte configurato in modo anonimo e compra una parte dello spazio in base al contenuto della pagina, è già nel perimetro che il Consiglio propone di esentare. Chi invece costruisce il risultato sul retargeting dovrà continuare a chiedere un consenso che non sarà sostituibile con un segnale del browser.
Fonti: Consiglio dell’Unione europea, comunicato del 21 ottobre 2026 sulla posizione negoziale relativa al pacchetto digitale, consilium.europa.eu; Relevant Audience, «EU Council: 6 consent-free cookie uses, 4-month re-ask ban», relevantaudience.com; PPC Land, «EU Council agrees 4-month cookie re-ask wait for Digital Omnibus talks», ppc.land; NicFab, «Digital Omnibus: The Council Adopts Its Position, Simplifying the GDPR Without Dismantling It?», nicfab.eu; BrowserStay, «Digital Omnibus: EU Governments Agree Their Position on GDPR and Cookie Reform», blog.browserstay.com; iubenda, «Digital Omnibus update: Council drops the contextual ads carve-out», 29 maggio 2026, iubenda.com; Garante per la protezione dei dati personali, linee guida sui tracking pixel, garanteprivacy.it.