Il Consiglio dell’Unione Europea sta lavorando a un ampliamento delle norme sul consenso ai cookie previste dal pacchetto omnibus digitale della Commissione europea, e la modifica più rilevante riguarda l’introduzione di una terza funzione automatizzata gestibile direttamente dal browser: la possibilità di revocare un consenso già accordato in precedenza. La proposta originale, pubblicata il 19 novembre 2025, prevedeva soltanto due opzioni automatizzate – accettare o rifiutare – attraverso segnali leggibili dalla macchina integrati nel browser o nel sistema operativo. Gli Stati membri, stando al testo di compromesso esaminato da Euractiv, vogliono ora completare questo schema aggiungendo la revoca, così da consentire all’utente di cambiare idea senza dover cercare manualmente le impostazioni di ogni singolo sito.
Addio alla stanchezza da consenso: come funziona il nuovo meccanismo browser
Il cuore tecnico della riforma è il nuovo articolo 88b del GDPR riformulato, che richiederebbe ai titolari del trattamento di riconoscere e rispettare i segnali di preferenza espressi dall’utente a livello di sistema, senza riproporre le stesse richieste ad ogni visita. La stessa Commissione europea, nella proposta di novembre 2025, ha riconosciuto apertamente che l’attuale regime ha generato quella che definisce “consent fatigue” – la stanchezza da consenso prodotta dalla moltiplicazione dei banner che gli utenti europei si trovano a dover gestire su ogni sito web visitato. L’idea di fondo è che l’utente configuri le proprie preferenze una sola volta, a livello di browser o sistema operativo, e che queste vengano automaticamente applicate ovunque, senza ulteriori interruzioni.
I numeri che la Commissione ha allegato alla proposta aiutano a capire la portata dell’intervento. L’analisi socio-economica stima un risparmio di 820 milioni di euro per le imprese e di 320 milioni di euro per il settore pubblico europeo, che non dovrebbe più sostenere i costi dei propri meccanismi di gestione del consenso ai cookie. Le proiezioni sui guadagni di produttività sono ancora più ambiziose – circa 4,98 miliardi di euro annui – anche se questa cifra è calcolata moltiplicando il numero di visite degli utenti per i secondi spesi mediamente sui banner, un metodo che diversi osservatori considerano sovrastimato. Il tema della produttività europea era già stato affrontato da Mario Draghi nel suo rapporto sulla competitività, e se il consenso a livello di browser verrà effettivamente adottato, sarà possibile verificare l’impatto reale sui rapporti di produttività del lavoro nel giro di qualche anno.
Sul meccanismo delle esenzioni dal consenso, invece, il negoziato ha prodotto un risultato diverso da quello atteso. La proposta della Commissione includeva originariamente la misurazione delle performance degli annunci contestuali – basati sul contenuto della pagina e non sulla profilazione dell’utente – tra le finalità a basso rischio per le quali il consenso non sarebbe stato richiesto. Questa ipotesi era già stata discussa nei compromessi precedenti, ma l’ultimo testo la elimina. Il titolare del trattamento che volesse riproporre una richiesta di consenso già rifiutata dovrebbe attendere almeno sei mesi prima di poterlo fare.
Il punto unico di notifica degli incidenti e la flessibilità degli Stati
Parallelamente alle norme sul consenso, il testo in discussione riguarda anche il cosiddetto Single Entry Point, il punto di accesso unico attraverso cui le organizzazioni potrebbero notificare violazioni di dati e incidenti informatici a un’unica autorità competente, abbandonando il sistema attuale che prevede obblighi di notifica verso più enti distinti per lo stesso evento. Nei negoziati precedenti, i Paesi membri avevano già trasformato questo strumento in punti di ingresso nazionali. L’ultimo testo aggiunge che gli Stati “dovrebbero mantenere la flessibilità” nel configurarli, riconoscendo un margine di autonomia nell’implementazione concreta che potrebbe tradursi in approcci differenti da Paese a Paese.
Il pacchetto segue la procedura legislativa ordinaria, con il coinvolgimento del Parlamento europeo e del Consiglio. L’adozione finale è attesa entro metà 2026, con alcune disposizioni – in particolare quelle sui segnali browser – soggette a periodi di attuazione più lunghi, fino a 24 mesi dall’adozione degli standard tecnici di riferimento.
