Cookie banner nuove regole: sparisce davvero nel 2026? No, e il Consiglio UE ha appena deciso il contrario

Da novembre dell’anno scorso mi arriva la stessa richiesta, in varie forme: «il banner dei cookie lo togliamo, tanto sta per sparire». Nasce da una notizia vera. Il Digital Omnibus proposto dalla Commissione il 19 novembre 2025 conteneva un articolo, l’88b, che avrebbe permesso di impostare il consenso una volta sola nel browser e di non vedere più la finestra su ogni sito.

No, il banner non sparisce, e il 18 giugno 2026 il Consiglio dell’Unione ha tolto proprio quell’articolo dal suo testo. Se hai un sito, oggi valgono le stesse regole di prima, e in Italia sono quelle delle Linee guida del Garante del 2021.

Il resto del pezzo racconta cosa resta del testo europeo e i sei errori che il Garante contesta più spesso: si vedono dal codice, in dieci minuti.

Il segnale nel browser è fuori dal testo, e il Parlamento non ha ancora votato

L’articolo 88b avrebbe obbligato i siti ad accettare un segnale di consenso automatico letto dal browser. Il 18 giugno 2026 il Consiglio ha pubblicato il suo testo di compromesso senza quell’articolo. Secondo la ricostruzione di noyb, a spingere per toglierlo sono stati alcuni Stati membri, dopo una campagna dell’industria pubblicitaria che metteva sul tavolo una stima fra i 40 e i 50 miliardi di euro l’anno di ricavi a rischio.

La partita non è chiusa. Il 10 settembre 2026 una coalizione di 19 organizzazioni, fra cui noyb, BEUC ed EDRi, ha scritto al Parlamento europeo chiedendo di rimettere l’88b, e alcuni eurodeputati hanno già depositato emendamenti in questo senso nelle commissioni LIBE e ITRE. Il Parlamento vota per conto suo, e poi c’è il trilogo con Consiglio e Commissione.

Quindi oggi il segnale nel browser è fuori dal testo del Consiglio, potrebbe rientrare dal Parlamento, e in ogni caso non è legge. E anche nello scenario migliore, fra la norma approvata e i browser che la implementano passano anni: un sito che togliesse il banner adesso resterebbe scoperto per tutto quel tempo.

Quello che resta: rifiuto con un clic e sei mesi di silenzio

L’articolo 88a è sopravvissuto, e dice due cose. Chi rifiuta deve poterlo fare con un clic, con lo stesso sforzo di chi accetta. E chi rifiuta non deve vedersi riproporre la stessa richiesta per almeno sei mesi.

In Italia questa parte non è una novità. Il Garante lo aveva già scritto nelle Linee guida sui cookie del giugno 2021: bottone di rifiuto equivalente a quello di accettazione, e banner che non ricompare per sei mesi a chi ha detto no, salvo cambi sostanziali nei trattamenti. Su questo punto l’Europa si sta allineando all’Italia, non il contrario.

Le regole che contano oggi sono quelle del Garante del 2021

Con il segnale nel browser fuori gioco, la cornice per un sito italiano resta la stessa da gennaio 2022, quando le Linee guida sono diventate applicabili. Le riassumo in cinque punti, perché nei siti che ereditiamo ne manca quasi sempre uno.

• Nessun cookie non tecnico prima del consenso. Script di analytics, pixel pubblicitari e widget di terze parti restano bloccati finché l’utente non sceglie.
• Accetta e rifiuta con lo stesso peso. Stessa dimensione, stesso livello, stesso numero di clic. La X che chiude il banner vale come rifiuto.
• Lo scroll non è consenso, e neanche continuare a navigare.
• Revoca facile. Un link sempre raggiungibile per riaprire le preferenze e cambiare idea con lo stesso sforzo con cui si è accettato.
• Sei mesi di pausa. A chi ha rifiutato il banner non si ripresenta, salvo cambiamenti sostanziali.

Le sanzioni sono quelle del GDPR: fino a 20 milioni di euro o il 4 per cento del fatturato mondiale annuo, se più alto. Nella pratica molti procedimenti si chiudono con provvedimenti correttivi, ma un’istruttoria del Garante costa tempo e avvocati anche quando finisce senza multa.

I sei errori che il Garante contesta, e come si vedono dal codice

Un articolo uscito il 15 settembre su dataprotectionlaw.it elenca le violazioni che tornano più spesso nei provvedimenti. Le riporto con quello che vedo io quando apro un sito con gli strumenti del browser, prima ancora di leggere la privacy policy.

1. Tracciamento prima del consenso. Apri la scheda Network, ricarica la pagina con il banner ancora a video e guarda cosa parte: se ci sono chiamate a google-analytics, a facebook o a un pixel qualsiasi, il blocco preventivo non c’è. È l’errore che trovo più spesso, e nasce quasi sempre da un tag messo nel template anni prima e da una piattaforma di consenso aggiunta dopo, senza collegarla.
2. Consenso non libero. Il bottone «Accetta» è grande e scuro, il rifiuto è un link grigio o sta dentro «Personalizza». Basta guardare il banner: se per dire no servono due clic e per dire sì uno, la scelta non è equivalente.
3. Scroll come consenso. Nel codice si riconosce da un listener sullo scroll che chiama la funzione di accettazione. Era prassi comune in Italia fino al 2021, e in qualche tema comprato allora c’è ancora.
4. Riproposizione a ogni pagina. Il banner ricompare finché l’utente non cede. Succede quando il rifiuto non viene salvato da nessuna parte, o finisce in un cookie di sessione che muore alla chiusura del browser.
5. Consenso non revocabile. Non c’è un link «Preferenze cookie» nel footer, o c’è ma riapre un banner con il solo «Accetta». Revocare deve costare quanto accettare.
6. Classificazione di comodo. Analytics o il pixel messi nella categoria «necessari», così partono sempre. Si vede nel pannello delle preferenze: se la categoria tecnica contiene domini pubblicitari di terze parti, la classificazione è sbagliata.

Il rimedio per il primo errore, che è il più grave, è tecnico e noioso: ogni script non tecnico va caricato dalla piattaforma di consenso e non dal template. Il pattern che uso io è questo, e qualunque piattaforma seria lo supporta:

<script type="text/plain" data-cookiecategory="analytics"
  src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Con type="text/plain" il browser non esegue lo script; lo attiva la piattaforma di consenso solo dopo il clic sulla categoria giusta. Se i tag stanno dentro Google Tag Manager, lo stesso risultato si ottiene con il Consent Mode e i trigger legati al consenso. Ma ogni tag va verificato uno per uno, sempre dalla scheda Network.

Cosa chiedere a chi ti fa il sito

Se stai commissionando un sito o ne hai uno in piedi, le domande da fare sono tre.

• Quali script partono prima del clic? La risposta giusta è «nessuno che non sia tecnico», e chi te la dà deve poterlo mostrare con la scheda Network aperta.
• Il rifiuto costa quanto l’accettazione, e dove viene salvato? Se non sanno dove finisce il rifiuto, il banner ricomparirà.
• Chi aggiorna la lista dei cookie quando aggiungiamo un servizio? Un widget di chat, una mappa, un video incorporato cambiano il quadro, e la piattaforma di consenso non se ne accorge da sola. È parte della manutenzione del sito, non un’installazione fatta una volta.

La mia posizione: il banner è brutto, lo trovo insopportabile anch’io, e il segnale nel browser sarebbe la soluzione giusta. Ma finché non è legge, e non lo è, togliere il banner è un modo per risparmiare dieci secondi all’utente e regalare un’istruttoria al proprietario del sito. Il lavoro utile oggi è un altro: fare in modo che il banner che c’è dica la verità sul codice che c’è sotto. È un lavoro di sviluppo web, e si fa con gli strumenti del browser aperti.