GDPR, ePrivacy e browser-level consent: i nodi irrisolti dell’Omnibus Digitale

lentepubblica.it

Il Digital Omnibus UE può cambiare GDPR, AI Act e cookie: ecco rischi, privacy, consenso browser e impatti sul digitale.

1. Introduzione

Attualmente in Europa sono in discussione le proposte di regolamenti del cd. Digital Package o Digital Omnibus: si tratta di un pacchetto di proposte di regolamenti volto alla semplificazione del quadro normativo digitale, intervenendo, tra gli altri, sul Regolamento (UE) 2016/679  (di seguito, il “GDPR”), sul Regolamento (UE) 2024/1689 (di seguito, l’“AI Act”), e sulla Direttiva 2002/58/CE (di seguito, la “Direttiva ePrivacy) e su altri atti correlati. Qualora il pacchetto venisse approvato nella formulazione attualmente proposta dalla Commissione Europea, in particolare il cosiddetto regolamento “Omnibus Digitale” ^[1] (di seguito, “Omnibus Digitale”), potrebbe incidere in maniera significativa sull’assetto dell’ecosistema digitale europeo e, più in generale, sul funzionamento di Internet così come oggi lo conosciamo.

L’iniziativa della Commissione Europea, volta a promuovere la semplificazione e a sostenere l’innovazione digitale, trae impulso anche dalle raccomandazioni contenute nel c.d. Report Draghi (“The Future of European Competitiveness”, del 9 settembre 2024). Tale rapporto evidenzia la necessità per l’Europa di colmare il ritardo accumulato nello sviluppo e nell’impiego dell’intelligenza artificiale, ritardo che è attribuito, almeno in parte, alla complessità del quadro normativo europeo e al rischio di sovrapposizioni e incoerenze tra GDPR e AI Act.

Le preoccupazioni degli operatori del settore digitale

Con l’Omnibus sull’AI ormai nella fase finale del cd. “trilogo”[2] tra le istituzioni europee, il confronto si concentra ora sull’Omnibus Digitale, il quale in particolare modifica ed introduce nuove previsioni all’interno del GDPR e nel contesto della Direttiva ePrivacy.

Gli operatori e le associazioni di categoria del settore del digitale, tra cui l’associazione IAB Italia[3], condividono l’obiettivo della semplificazione e della spinta all’innovazione di questa iniziativa. Il problema è che alcune proposte, così come formulate, rischiano di produrre effetti contrari rispetto a quelli auspicati. In particolare, anziché favorire un ecosistema digitale più competitivo, innovativo ed efficiente, determinate misure potrebbero introdurre ulteriori complessità applicative, aumentare l’incertezza regolatoria e incidere negativamente sulla capacità degli operatori di sviluppare servizi digitali sostenibili e innovativi.

2. Frammentazione normativa e meccanismi di enforcement paralleli

Una prima criticità attiene alla potenziale sovrapposizione tra differenti fonti normative. In particolare, l’integrazione tra il GDPR e le disposizioni derivanti dalla Direttiva ePrivacy rischia di generare un quadro regolatorio non più semplice, bensì maggiormente frammentato e complesso. Nella pratica, un singolo cookie o strumento di tracciamento permette frequentemente di raccogliere sia dati personali (quali gli identificativi assegnati al dispositivo, ecc.) sia dati non personali (come timestamp, flag tecnici, tipologia di dispositivo, ecc.) con la conseguenza che gli operatori si troverebbero esposti a meccanismi di enforcement paralleli: da un lato, l’autorità di controllo competente ai sensi del GDPR e, dall’altro, fino a 27 autorità nazionali diverse, incluse le autorità di regolazione delle telecomunicazioni, per l’uso del medesimo cookie o altro strumento di tracciamento similare.

Tale aspetto è particolarmente delicato perché le aziende europee hanno bisogno di regole chiare, coerenti e applicate in modo uniforme: tale necessità è condivisa da più stakeholder ed istituzioni, inclusi l’European Data Protection Board (“EDPB”) e l’European Data Protection Supervisor (“EDPS”) nel loro parere congiunto sul Digital Omnibus[4].

3. Criticità operative nella gestione del consenso

Le modalità operative per la raccolta del consenso di cui al paragrafo 4 dell’articolo 88 bis del testo proposto dalla Commissione non appaiono concretamente attuabili. Un termine fisso e uniforme per il rinnovo del consenso non può essere implementato in modo coerente e affidabile in contesti tecnici eterogenei, quali, a titolo esemplificativo, contesti in cui i servizi possono prevedere o meno una registrazione, nonché ambienti mobile, TV connesse o su browser web. Tali criticità risultano ulteriormente aggravate da fattori estranei al controllo del titolare, quali il comportamento degli utenti e le scelte di progettazione dei browser o dei dispositivi (ad esempio, cancellazione delle preferenze salvate, utilizzo di dispositivi multipli, eliminazione automatica delle preferenze dopo un certo periodo).

Occorre inoltre considerare che pratiche consistenti nel sollecitare reiteratamente il consenso in modo da esercitare indebita pressione sull’utente sono già disciplinate dal GDPR. L’articolo 7 di tale regolamento, letto alla luce dei principi di correttezza e liceità, deve essere interpretato nel senso di escludere modalità di raccolta del consenso che si traducano in forme di coercizione. L’introduzione di obblighi rigidi di rinnovo, ulteriori rispetto al quadro normativo vigente, rischierebbe pertanto di determinare oneri di compliance sproporzionati, senza apportare un effettivo incremento della tutela sostanziale degli interessati.

4. “Browser-level consent“: implicazioni giuridiche, tecniche e concorrenziali

Uno degli aspetti più controversi dell’Omnibus Digitale riguarda il cosiddetto browser-level consent, ossia il meccanismo di gestione del consenso direttamente a livello di browser, di cui all’articolo 88 ter della proposta. Sebbene, in astratto, tale soluzione possa apparire semplice ed efficace, nella pratica presenta numerose criticità.

Tale modalità di raccolta del consenso rischierebbe di determinare significativi profili di incertezza giuridica e di incidere negativamente sull’attuale modello di open internet (si fa riferimento all’articolo 88 ter del GDPR di cui al testo proposto dalla Commissione Europea). In aggiunta, questa proposta non tiene adeguatamente conto delle criticità emerse in precedenti iniziative similari, quali il Cookie Pledge del 2023 e la proposta di regolamento ePrivacy del 2017. Tali modelli, infatti, non hanno avuto esito favorevole proprio in ragione della loro incapacità di garantire, nella prassi, un’effettiva semplificazione dell’esperienza utente.

La gestione centralizzata del consenso tramite browser non appare tecnicamente praticabile in contesti online eterogenei, dove sono presenti diverse tipologie di dispositivi (computer, smartphone, TV connesse, ecc.) e numerosi attori ed operatori, attivi per differenti servizi.

I limiti giuridici del consenso raccolto via browser

In primo luogo, le preferenze privacy espresse a livello di browser potrebbero non essere idonee, in via generalizzata, a soddisfare i requisiti di validità del consenso previsti dal GDPR. Ai fini della validità del consenso, l’interessato deve essere adeguatamente informato circa le finalità del trattamento, l’identità del titolare o dei titolari del trattamento, le categorie di dati raccolti, i tempi di conservazione e altri elementi essenziali, che possono variare in modo significativo da un ambiente online all’altro.

Inoltre, la valutazione circa il fatto che il consenso sia informato, specifico e liberamente prestato è strettamente connessa alle ragionevoli aspettative degli utenti alla luce dei contenuti forniti o della natura del servizio. Ad esempio, un servizio online offerto senza pagamento monetario diretto e finanziato tramite pubblicità può richiedere il consenso per finalità connesse all’erogazione di contenuti pubblicitari. In tale contesto, gli utenti possono ragionevolmente comprendere che i trattamenti legati alla pubblicità costituiscano parte del modello economico del servizio, circostanza rilevante ai fini della valutazione delle aspettative degli utenti e della validità del consenso.

Diversamente, un servizio la cui funzione principale consiste nel consentire agli individui di presentare dichiarazioni fiscali o di accedere a funzioni essenziali di natura amministrativa o connesse alla compliance, in genere non si fonda su modelli di monetizzazione basati sulla pubblicità. Questa natura “service-specific” dei requisiti di consenso rende i meccanismi centralizzati di gestione del consenso a livello di browser giuridicamente e tecnicamente inadeguati, poiché essi non sono in grado di tenere conto dei molteplici e differenziati scenari di consenso esistenti tra i vari servizi online. Dal punto di vista dell’utente, decisioni di consenso decontestualizzate rendono inoltre più difficile comprendere le specifiche implicazioni delle proprie scelte ed esercitare un controllo effettivo e consapevole sulle modalità di utilizzo dei propri dati.

Problemi tecnici e criticità operative

In secondo luogo, un sistema di gestione del consenso basato sul browser non garantisce un funzionamento affidabile in ambienti digitali centrati sull’utente e caratterizzati dall’utilizzo di dispositivi multipli (così come anticipato rispetto ai termini di rinnovo del consenso), con il rischio di generare conflitti nei segnali trasmessi e di compromettere tanto le scelte privacy degli utenti quanto la conformità normativa dei titolari del trattamento, che potrebbero trovarsi privi di una registrazione attendibile del consenso prestato.

Inoltre, la raccolta del consenso in un ambiente, quale il browser, differente dal contesto in cui si instaura il rapporto tra fornitore del servizio online e interessato (vale a dire il sito web) potrebbe incidere negativamente sui servizi digitali, impedendo al fornitore del servizio di illustrare in modo trasparente lo specifico scambio di valore che consente il finanziamento di contenuti e servizi gratuiti.

Gli effetti concorrenziali del browser-level consent

Infine, si aggiungono rilevanti criticità sotto il profilo concorrenziale. L’attribuzione agli operatori dei browser del ruolo esclusivo nella gestione e nell’erogazione dei consensi determinerebbe, di fatto, l’esclusione degli altri operatori dal mercato, con la creazione di evidenti disparità competitive. Un simile assetto risulterebbe, peraltro, difficilmente conciliabile con la ratio di normative già applicabili quali il Digital Markets Act (DMA), che impone ai gatekeeperobblighi volti ad aprire i mercati, muovendosi, dunque, in direzione opposta rispetto a una centralizzazione del controllo sui meccanismi di raccolta del consenso.

A ciò si aggiunge che, a livello di impatto economico per l’ecosistema del digitale è riconosciuto come i tassi di consenso diminuiscano sensibilmente quando agli utenti vengono proposte opzioni ampie di accettazione o rifiuto con un solo clic.

Il rischio economico per pubblicità e mercato digitale

Un recente studio[5] indica che l’introduzione del sistema Apple App Tracking Transparency (ATT) (sistema di browser-level consent nel mondo mobile, sul sistema operativo iOS) ha determinato una riduzione del consenso compresa tra il 60% e il 65% in sette Paesi dell’Unione europea, dato che può considerarsi prudenziale rispetto agli effetti di soluzioni di consenso a livello di browser, caratterizzate da un’unica scelta valida per tutti i siti web.

Tale contrazione inciderebbe sull’efficacia della pubblicità digitale su più fronti: la pubblicità personalizzata sul web aperto, basata su dati di terze parti, perde la capacità di targettizzare gli utenti non consensati, con conseguente spostamento degli investimenti verso forme contestuali meno performanti; parallelamente, anche queste ultime risultano meno efficienti in assenza di adeguati strumenti di misurazione; infine, la pubblicità sui social media subirebbe una riduzione di efficacia per l’impossibilità di tracciare le conversioni degli utenti che non prestano il loro consenso in tali ambienti.

In termini economici si stima che i ricavi pubblicitari possano diminuire di almeno 40-50 miliardi di euro, pari a circa il 30-35%, a parità di spesa, mentre ogni ulteriore riduzione dell’1% del tasso di consenso comporterebbe una perdita annua compresa tra 600 e 800 milioni di euro.

È indubbio che un impatto di tale entità risulta difficilmente conciliabile con gli obiettivi di crescita, innovazione e rafforzamento della competitività delineati a livello generale dal rapporto Draghi, che individua nel potenziamento dell’economia digitale un fattore chiave per lo sviluppo europeo.

5. Proposte di modifica all’articolo 5 della Direttiva ePrivacy

Si riportano di seguito alcune osservazioni in relazione all’articolo 5 dell’Omnibus Digitale: affinché la proposta possa effettivamente incidere sul fenomeno della cd. consent fatigue, è necessario ampliare il perimetro delle deroghe all’obbligo di consenso. Le attività a basso impatto non dovrebbero essere assoggettate all’obbligo di acquisire il consenso esclusivamente in ragione dell’utilizzo di cookie o di tecnologie analoghe. Tra tali attività possono annoverarsi: (i) la gestione delle preferenze privacy dell’utente, quali il salvataggio del consenso e dell’opt-out; (ii) le modalità di pagamento, incluse soluzioni quali metered paywalls e i sistemi di cashback; (iii) le misure di prevenzione delle frodi e aggiornamenti di sicurezza; (iv) l’implementazione di Privacy Enhancing Technologies (PETs); (v) l’erogazione e la misurazione di pubblicità che non comporti attività di profilazione, come nel caso della pubblicità contestuale.

Rispetto a questi ultimi profili, merita evidenziarsi in questa sede che i punti (i) e (v) sono espressamente segnalati quali esempi di attività a basso impatto dall’EDPB/EDPS nel loro parere congiunto sul Digital Omnibus[6]. Sotto un ulteriore profilo, soprattutto in materia di sicurezza, l’estensione delle esenzioni all’utilizzo di tecnologie automatiche per finalità di prevenzione delle frodi e protezione dei sistemi consentirebbe di rafforzare concretamente la tutela degli utenti e dei cittadini, sempre più frequentemente vittime di truffe online, accessi abusivi e furti di dati, inclusi dati di pagamento. In tale contesto, subordinare tali trattamenti all’acquisizione preventiva del consenso rischierebbe di ostacolare l’adozione tempestiva di misure tecniche essenziali per garantire la sicurezza delle comunicazioni e dei servizi digitali.

Audience measurement e pubblicità contestuale

Un altro importante profilo riguarda il tema della misurazione: l’esenzione dal consenso per la misurazione dell’audience non dovrebbe essere limitata al solo titolare del servizio online, atteso che tale finalità può essere legittimamente svolta anche da soggetti terzi (come accade per le piccole e medie imprese) ed in certi casi è necessario che venga condotta da soggetti terzi indipendenti che certifichino e misurino il traffico. Una limitazione in tal senso risulterebbe, peraltro, in diretto contrasto con il Considerando 44 della proposta di Omnibus Digitale, secondo cui “il titolare del trattamento, quale un fornitore di servizi media, può incaricare un responsabile del trattamento, quale una società di ricerche di mercato, di effettuare il trattamento per suo conto”. Anche il parere congiunto EDPB/EDPS raccomanda, inoltre, di chiarire tale aspetto al fine di garantire che l’esenzione possa validamente applicarsi anche quando il trattamento è effettuato da un responsabile del trattamento.

Inoltre, sarebbe importante tenere conto nell’articolo 5, paragrafo 3, della Direttiva ePrivacy delle misurazioni di mercato obbligatorie ai sensi del Regolamento UE 2024/1083, cd. “European Media Freedom Act” (EMFA), le quali non sono svolte solo nell’interesse dell’editore dell’ambiente digitale, ma di tutto il mercato e dei cittadini. E non soltanto per misurare i contenuti, ma per misurare la pubblicità, compresa quella profilata.

E’ quindi fondamentale inserire in tale contesto anche un’esenzione per la pubblicità contestuale —soluzione coerente con quanto suggerito dal Parere congiunto dell’ EDPB e dell’EDPS[7]. Ciò premesso, è opportuno sottolineare che l’esenzione per la pubblicità contestuale può realizzare i benefici connessi alla riduzione dei banner cookie solo a condizione che l’articolo 88 ter del testo proposto dalla Commissione Europea (sul browser-level consent) sia eliminato, non potendo le due soluzioni coesistere parallelamente.

6. Conclusione

Il punto di equilibrio dovrebbe essere una regolazione chiara, proporzionata e davvero semplificata. La tutela della privacy resta essenziale anche per gli operatori, ma deve essere effettiva e davvero applicabile, non solo formale. Regole troppo complesse o frammentate rischiano di rendere più difficile la compliance per le imprese e meno comprensibili le scelte per gli utenti.

Secondo le associazioni di categoria come IAB Italia, occorre evitare – in modo più efficace – sovrapposizioni tra GDPR, AI Act ed ePrivacy, garantire un’applicazione armonizzata tra Stati membri e introdurre deroghe al consenso per attività a basso impatto, come la gestione delle preferenze privacy, la prevenzione delle frodi, alcune misurazioni e la pubblicità contestuale non profilata.

In sintesi, l’obiettivo dovrebbe essere proteggere le persone senza indebolire l’ecosistema digitale europeo. Privacy, innovazione e competitività non devono essere viste come obiettivi alternativi: possono convivere, ma solo con regole più semplici, coerenti e tecnicamente applicabili.

NOTE:

[1] Proposta di regolamento del Parlamento europeo e del Consiglio che modifica i regolamenti (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 e (UE) 2023/2854 e le direttive 2002/58/CE, (UE) 2022/2555 e (UE) 2022/2557 per quanto riguarda la semplificazione del quadro legislativo nel settore digitale e che abroga i regolamenti (UE) 2018/1807, (UE) 2019/1150 e (UE) 2022/868 e la direttiva (UE) 2019/1024 (“Omnibus Digitale”).

[2] Per “triloghi” s’intendono negoziati informali cui prendono parte alcuni rappresentanti di Parlamento, Consiglio e Commissione Europea. Nel corso di tali negoziati le tre istituzioni concordano orientamenti politici e bozze di emendamento riguardo alle proposte legislative avanzate dalla Commissione Europea.

[3] Dal 1988 l’Associazione IAB Italia rappresenta l’intera filiera del mercato della comunicazione online in Italia, riunendo oltre 200 aziende di molteplici dimensioni e tipologie, quali editori, agenzie pubblicitarie, agenzie media e web, istituti di ricerca, inserzionisti. IAB Italia è inoltre la sezione italiana dell’Interactive Advertising Bureau, la più importante associazione nel campo della pubblicità digitale a livello mondiale, il cui network raggiunge oggi ben 36 mercati in cinque continenti.

[4] European Data Protection Board  e European Data Protection Supervisor, “Joint Opinion 2/2026 on the Proposal for a Regulation as regards the simplification of the digital legislative framework (Digital Omnibus)”, 10 febbraio 2026, disponibile su: https://www.edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpb-edps-joint-opinion-22026-proposal_en

[5] Implement Consulting Group,

Gone in One Click: Assessing the Socio-Economic Impact of Browser-Level Consent in the EU, marzo 2026, disponibile su:https://cms.implementconsultinggroup.com/media/uploads/articles/2026/Gone-in-one-click/260325_Gone-in-one-click.pdf

[6] European Data Protection Board (“EDPB”) e European Data Protection Supervisor (“EDPS”), “Joint Opinion 2/2026 on the Proposal for a Regulation as regards the simplification of the digital legislative framework (Digital Omnibus)”, 10 febbraio 2026, disponibile su: https://www.edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpb-edps-joint-opinion-22026-proposal_en

[7] Paragrafo 104, EDPB & EDPS, Joint Opinion 2/2026 (Digital Omnibus), 2026: “(…) The EDPB and the EDPS also suggest that the co-legislators consider introducing an additional use case in proposed Article 88a (3) GDPR to provide an incentive to use less intrusive forms of advertising online. Indeed, contextual advertising, which is based on an individual current visit to a single web page or based on a single search query and that involves no retention or link with the individuals past of future activity, is more privacy friendly than behavioural advertising.

Although the simple display of contextual advertising does not typically require the use of trackers, such advertising often relies on trackers to measure the performance of advertising campaigns (such as capping cookies, advertising audience measurement cookies, or cookies to combat click fraud). The EDPB and the EDPS consider that such use cases could be considered in the list of cases not requiring consent in Article 88a (3) GDPR. The EDPB and the EDPS therefore invite the co-legislators to consider adding an additional exception in the proposed Article 88a (3) GDPR for contextual advertising, provided that the exception is clearly limited and includes the necessary safeguards to mitigate the risks for the rights and freedoms of individuals. (…)”

The post GDPR, ePrivacy e browser-level consent: i nodi irrisolti dell’Omnibus Digitale appeared first on lentepubblica.it.