Digital Omnibus e cookie: usi senza consenso e 4 mesi prima di richiederlo

Se gestite un sito web o un'app nell'UE, per ora non cambia nulla: mantenete il banner di consenso attuale e continuate a chiedere il consenso. Il 21 ottobre 2026 il Consiglio dell'UE ha approvato la propria posizione negoziale sul Digital Omnibus, il pacchetto che riscrive parti del GDPR e delle regole sui cookie. Il Parlamento europeo deve ancora adottare la sua posizione, dopodiché le due istituzioni negozieranno il testo finale. Il testo del Consiglio indica però la direzione: un breve elenco di usi che non richiederebbero più il consenso, un'attesa di quattro mesi prima di chiederlo di nuovo dopo un rifiuto e nessun obbligo di rispettare i segnali di consenso inviati dal browser.

Digital Omnibus e cookie: usi senza consenso e 4 mesi prima di richiederlo

La posizione del Consiglio in sintesi

Tema	Proposta della Commissione europea (novembre 2025)	Posizione del Consiglio (ottobre 2026)
Dove si collocano le regole sui cookie	Spostate nel GDPR (nuovi articoli 88a e 88b)	Mantenute nell'articolo 5, paragrafo 3, della direttiva ePrivacy
Regola generale	Consenso necessario per memorizzare o leggere dati su un dispositivo	Invariata: il consenso resta la regola
Usi senza consenso	Un breve elenco di esenzioni	Un elenco chiuso di sei finalità, tra cui la misurazione dell'audience di prima parte e la misurazione degli annunci contestuali
Rifiuto	Rifiuto semplice	Un pulsante a un solo clic o un mezzo equivalente
Nuova richiesta dopo un rifiuto	Non prima di sei mesi	Non prima di quattro mesi, per la stessa finalità
Segnali di consenso del browser	I siti devono rispettare segnali automatizzati e leggibili da macchina	Eliminati
Vigilanza	Autorità di controllo del GDPR	Autorità di controllo del GDPR

Il mandato è stato approvato dagli ambasciatori dell'UE il 21 ottobre e diffuso come documento del Consiglio 14756/26 il 22 ottobre. Il comunicato stampa del Consiglio conferma i punti principali: la direttiva ePrivacy resta il quadro di riferimento per i cookie e il consenso non sarebbe necessario per i cookie utilizzati per fornire un servizio, misurare l'audience o proteggere un dispositivo.

Le regole sui cookie restano nella direttiva ePrivacy

La Commissione voleva spostare le regole sui cookie nel GDPR. Il Consiglio ha fatto marcia indietro e le ha mantenute in una versione riscritta dell'articolo 5, paragrafo 3, della direttiva ePrivacy. Per chi gestisce un sito l'effetto pratico è limitato: il consenso resta la regola per tutto ciò che memorizza o legge informazioni sul dispositivo dell'utente, compresi cookie, local storage, pixel e fingerprinting. Una novità merita attenzione. L'applicazione delle norme passerebbe alle autorità per la protezione dei dati che già vigilano sul GDPR. In alcuni Stati membri si tratta di un'autorità diversa da quella che oggi si occupa di cookie.

Sei usi che non richiederebbero il consenso

Il testo del Consiglio elenca sei finalità esenti dal consenso, ciascuna con le sue condizioni:

1. Trasmissione. Veicolare una comunicazione su una rete.
2. Un servizio richiesto dall'utente. Fornire un servizio, «compresa la sua funzionalità», richiesto esplicitamente dall'utente. Rientrano qui carrello, login e impostazioni della lingua.
3. Misurazione dell'audience di prima parte. Produrre statistiche anonime e aggregate sull'uso del proprio servizio. I dati non possono essere usati per altre finalità, condivisi con terzi o combinati con dati di terze parti. Un responsabile del trattamento può farlo per vostro conto.
4. Misurazione dell'audience dei media. Misurazione ai sensi dell'articolo 24 dell'European Media Freedom Act, con pseudonimizzazione dei dati personali dopo la raccolta e nessun tracciamento al di fuori del servizio misurato.
5. Sicurezza tecnica. Mantenere o ripristinare la sicurezza di quanto strettamente necessario per fornire il servizio.
6. Misurazione degli annunci contestuali. Misurare la visualizzazione e la performance di annunci scelti unicamente in base ai contenuti mostrati sullo schermo durante una singola visita o una singola ricerca. Non può comportare profilazione né l'uso di dati sull'attività passata o futura dell'utente, e i dati devono essere pseudonimizzati dopo la raccolta.

L'elenco è chiuso. Pubblicità personalizzata, retargeting, analytics di terze parti che combinano dati tra più siti e creazione di profili utente richiedono ancora il consenso. Lo stesso vale per la maggior parte di ciò che passa attraverso l'IAB TCF.

Quattro mesi prima di chiedere di nuovo

Se l'utente rifiuta, secondo il testo del Consiglio il fornitore «non presenta una nuova richiesta di consenso per la stessa finalità per un periodo di almeno quattro mesi». La Commissione aveva proposto sei mesi. Inoltre il rifiuto deve essere possibile con un pulsante a un solo clic o un mezzo equivalente, in linea con quanto la maggior parte delle autorità già si aspetta da un pulsante Reject All (Rifiuta tutto).

Due dettagli contano per capire come funzionerebbe nella pratica. L'attesa si applica per finalità: il rifiuto degli analytics non impedisce una successiva richiesta per una finalità diversa. E si applica a «una nuova richiesta»: un sito che modifica il banner e lo ripropone a tutti lo ripresenterebbe anche a chi ha rifiutato di recente.

Eliminati i segnali di consenso del browser

L'articolo 88b proposto dalla Commissione avrebbe obbligato i siti a rispettare i segnali automatizzati e leggibili da macchina di consenso e rifiuto inviati dai browser. Il Consiglio lo ha eliminato insieme all'articolo 88a. Con il testo del Consiglio la scelta sul consenso resta tra l'utente e ciascun sito, registrata dalla piattaforma di gestione del consenso del sito. È una direzione diversa da quella della California, dove AB 566 impone ai browser di offrire un segnale di preferenza di opt-out dal 1° gennaio 2027.

Cosa il testo del Consiglio non chiarisce

• Il TCF e i vendor. Il testo non dice nulla sulle piattaforme di gestione del consenso né sull'IAB TCF. Non spiega come un vendor presente sulla vostra pagina dovrebbe indicare che si basa su una delle sei esenzioni, né come un'esenzione verrebbe segnalata in una TC string. Finché non sarà chiaro, continuate a raccogliere il consenso per i vendor TCF come fate oggi. Vedi IAB TCF 2.4 e come verificare i vostri vendor.
• Cosa significa «performance» nella misurazione degli annunci contestuali. Non è definito.
• Tempistiche. Il testo concede agli Stati membri 24 mesi dall'adozione per recepire le norme, ma un'altra disposizione applicherebbe le modifiche alla ePrivacy sei mesi dopo la pubblicazione nella Gazzetta ufficiale. Sarà il trilogo a decidere quale prevale. Il voto in commissione al Parlamento è atteso all'inizio del 2027, quindi è improbabile un testo finale prima di allora.

Cosa fare adesso

Nulla del testo del Consiglio è legge e valgono ancora le regole attuali: consenso prima dei cookie non essenziali, rifiuto semplice quanto l'accettazione e prova di ogni scelta. Alcuni passi renderanno più facile il passaggio se il testo finale sarà simile a questo:

• Associate ogni cookie a una finalità. Sappiate quali tag rientrerebbero nelle sei esenzioni e quali richiederebbero ancora il consenso. Una scansione dei cookie è il modo più rapido per ottenere l'elenco.
• Conservate i rifiuti con data, ora e finalità. Una regola dei quattro mesi si può applicare solo se sapete quando ogni utente ha rifiutato e che cosa ha rifiutato. Consent Logging di UniConsent registra ogni evento di consenso e di rifiuto, così potete dimostrare quando è stata fatta una scelta.
• Pianificate le modifiche al banner. In UniConsent una modifica della Config Version ripropone il banner a tutti gli utenti di ritorno, mentre il Re-consent Interval (fino a 150 giorni) stabilisce ogni quanto gli aggiornamenti dell'elenco dei vendor fanno ricomparire il banner. Se una regola dei quattro mesi diventerà legge, sono queste le impostazioni da modificare.
• Non eliminate ancora il consenso per gli analytics. La misurazione di prima parte e aggregata potrebbe diventare esente, ma le condizioni sono rigide e nulla si applica finché il testo finale non sarà adottato ed entrato in vigore.

UniConsent è una CMP certificata da Google e registrata nell'IAB TCF (ID 68). Segue questi cambiamenti al posto vostro e aggiorna banner, finalità e registri quando le regole saranno definitive. Iniziate una prova gratuita per verificare oggi la vostra configurazione.

FAQ

Che cos'è il Digital Omnibus? Un pacchetto di proposte UE pubblicato dalla Commissione europea a novembre 2025 per semplificare le norme digitali. Modifica parti del GDPR, le regole ePrivacy sui cookie e la notifica degli incidenti.

Il Digital Omnibus è già legge? No. Il Consiglio ha approvato la sua posizione negoziale il 21 ottobre 2026. Il Parlamento europeo non ha ancora adottato la sua, e il testo finale uscirà dai negoziati tra le due istituzioni.

I banner dei cookie spariranno? No. Il consenso resta la regola. I siti che usano cookie solo per le sei finalità esenti potrebbero non aver bisogno di un banner, ma qualsiasi sito con pubblicità, retargeting o analytics di terze parti ne avrà ancora bisogno.

L'attesa di quattro mesi si applica già? No. Oggi nell'UE non esiste un periodo di attesa fisso, anche se diverse autorità già scoraggiano richieste ripetute dopo un rifiuto.