Giulia Stancampiano di iubenda: il consenso ai cookie nel browser rischia di produrre un rifiuto generalizzato

I cookie banner sono diventati il volto più visibile della normativa europea sulla privacy e, insieme, uno degli elementi più invadenti dell’esperienza online. Compaiono prima del contenuto, interrompono la navigazione e chiedono agli utenti di pronunciarsi su finalità e destinatari che pochi hanno il tempo di esaminare davvero.

Per Giulia Stancampiano, Director of Legal (Privacy & Tech) di iubenda — la società italiana nata nel 2011 che ha contribuito a rendere accessibili e automatizzate la generazione delle privacy policy e la gestione della cookie compliance, oggi parte del gruppo team.blue — sono però anche “il primo esempio di una legislazione che ha funzionato”. GDPR ed ePrivacy hanno richiesto alle aziende uno sforzo importante e i banner sono figli di quel cambiamento. La consent fatigue è reale, ma eliminarla non significa necessariamente risolvere il problema del consenso.

È su questo equilibrio che interviene il Digital Omnibus proposto dalla Commissione europea. Il pacchetto di semplificazione si sviluppa lungo due direttrici. La parte dedicata all’intelligenza artificiale ha seguito un iter particolarmente rapido: il regolamento Digital Omnibus sull’AI, pubblicato il 24 luglio 2026, è entrato in vigore il 27 luglio. L’altra parte interviene sul data acquis, cioè l’insieme della normativa europea in materia di dati, e comprende le nuove regole sui cookie.

“La nostra attenzione è molto alta perché ci sono due articoli che ci toccano direttamente, l’88a e l’88b”, spiega Stancampiano. I due articoli agiscono su piani differenti ma collegati: il primo ridefinisce quando serve il consenso, il secondo stabilisce come la scelta può essere comunicata.

Che cosa prevedono gli articoli 88a e 88b

Nella proposta originaria della Commissione, l’articolo 88a trasferisce dall’articolo 5 della direttiva ePrivacy al GDPR le regole sull’archiviazione di dati personali o sull’accesso a dati già presenti nel dispositivo dell’utente. Il consenso resta la regola generale, ma non sarebbe necessario per le operazioni strettamente indispensabili alla trasmissione di una comunicazione, alla fornitura di un servizio richiesto dall’utente, alla produzione per uso interno di statistiche aggregate sull’audience o alla sicurezza del servizio e del dispositivo. Lo stesso articolo prevede inoltre il rifiuto in un solo clic e vieta di riproporre per almeno sei mesi una richiesta già respinta per la medesima finalità.

L’articolo 88b riguarda invece le modalità tecniche della scelta. I siti dovrebbero permettere agli utenti di accettare, rifiutare o opporsi al trattamento attraverso segnali automatizzati e leggibili dalle macchine, e i titolari dovrebbero rispettare le preferenze ricevute. I principali fornitori di browser sarebbero tenuti a mettere a disposizione questi strumenti dopo la definizione di standard comuni europei. La proposta originaria esenta i fornitori di servizi media dall’obbligo di rispettare questi segnali automatici quando erogano un servizio media. È questo passaggio dal singolo banner a una preferenza gestita dal browser a sollevare le maggiori perplessità di iubenda.

Il consenso unico perde il contesto

Sulla carta, il vantaggio è immediato: meno finestre da chiudere e meno richieste ripetitive durante la navigazione. Ma secondo Stancampiano la soluzione non considera fino in fondo le conseguenze.

“Sembra bellissimo: togliamo il cookie banner e tutti saranno più contenti. Spostare il consenso a livello del browser, però, rischia di eliminare proprio la sua specificità, che è invece una parte fondamentale del GDPR”.

Il consenso non riguarda infatti il tracciamento in astratto. È legato a un titolare, a determinate finalità e ai soggetti che potranno utilizzare i dati. Una preferenza generale, impostata una sola volta, deve riuscire a rappresentare ciò che la stessa persona sceglierebbe nei diversi contesti.

“Se mi chiedi di fare una scelta valida per tutti, sfido chiunque a rispondere: ‘Sì, accetto tutto, mi va bene’. Si trasformerà necessariamente in un rifiuto di tutto. Abbiamo già visto esempi molto simili”.

L’utente potrebbe esprimere preferenze per categorie, ma rimarrebbe difficile pretendere che conosca in anticipo tutti i possibili utilizzatori dei suoi dati. A questa complessità si aggiunge l’impatto economico. Stancampiano richiama l’esperienza dell’App Tracking Transparency di Apple, che ha reso esplicita la richiesta di autorizzazione al tracciamento nelle applicazioni.

“In quel caso c’è stato un calo dei consensi vicino all’80%. Una scelta del genere può avere un impatto molto importante sulle piccole e medie imprese italiane ed europee”.

Il problema non è mettere in discussione la libertà di rifiutare, ma evitare che l’architettura della scelta ne determini il risultato senza una valutazione delle conseguenze. Per questo, secondo la manager di iubenda, la versione originaria del Digital Omnibus non offre ancora una risposta adeguata alla consent fatigue.

La centralizzazione rischia inoltre di cancellare parte del lavoro svolto dalle aziende che hanno investito nella privacy come elemento di fiducia e differenziazione. “Chi si è impegnato a fare le cose per bene e a rispettare davvero la privacy degli utenti viene appiattito da una proposta del genere. L’utente non si trova più davanti al titolare e non può premiarne l’impegno, perché la decisione viene presa a un livello più alto, senza il contesto di quel sito”.

Un approccio basato sul rischio

Una via intermedia consisterebbe nel ridurre le situazioni in cui il consenso deve essere richiesto, adottando un approccio basato sul rischio e distinguendo gli impieghi in base all’impatto effettivo sulla persona.

“Si poteva lavorare di più sulle eccezioni e definire quali finalità comportano un rischio concreto per l’utente e quali, invece, presentano un rischio molto minore e potrebbero non richiedere ogni volta il consenso”, osserva Stancampiano.

È una logica vicina a quella adottata dall’AI Act, che modula gli obblighi in funzione del rischio. Applicata ai cookie, permetterebbe di concentrare l’attenzione sulle attività con le conseguenze più rilevanti.

La distinzione è importante anche nel mercato pubblicitario. “La pubblicità contestuale e il tracciamento comportamentale non sono sullo stesso piano e non possono essere trattati allo stesso modo”. La prima seleziona un annuncio in base al contenuto consultato; il secondo costruisce invece un profilo attraverso l’osservazione del comportamento dell’utente.

Una riduzione indiscriminata dei consensi non eliminerebbe necessariamente la pubblicità. Potrebbe renderla meno pertinente senza ridurne la quantità, o persino aumentandola.

Per Stancampiano, alcuni limiti della proposta derivano dalla velocità con cui il legislatore sta cercando di aggiornare il quadro normativo. “È vero che tutto si muove molto rapidamente, ma con l’obiettivo di correre non si è approfondito abbastanza. Non è stato svolto, per esempio, un assessment dell’impatto sulle imprese”.

Anche il confronto con i soggetti che lavorano ogni giorno sulla gestione del consenso sarebbe iniziato tardi. iubenda ha avviato un dialogo con la Commissione quando il processo era già in una fase avanzata e continua ora a interloquire con le istituzioni europee.

Il potere dei browser e un iter ancora aperto

Spostare la scelta dal sito al browser modifica anche gli equilibri tra gli operatori. Oggi è il titolare del trattamento a presentare le finalità e a raccogliere il consenso. Nel modello immaginato dall’articolo 88b, una parte decisiva dell’interazione passerebbe ai produttori dei browser e dei sistemi operativi.

“Si dà moltissimo potere agli operatori dei browser. È un potere che, peraltro, non vogliono necessariamente neanche loro. Google, per esempio, non è un grande sostenitore della proposta: sarebbe una bella gatta da pelare anche per l’azienda”.

Il compito non si esaurisce infatti nella creazione di una nuova impostazione. Il browser dovrebbe comunicare preferenze capaci di rappresentare finalità, destinatari e contesti differenti, mentre i siti dovrebbero interpretarle, applicarle e conservarne una prova.

Nel confronto emerge anche un possibile contrasto con gli interventi delle corti sui gatekeeper, che tendono a individuare vincoli precisi per le singole funzioni controllate dalle grandi piattaforme. Affidare ai browser una scelta generale sul consenso muoverebbe invece la decisione verso pochi operatori, proprio mentre altre decisioni cercano di circoscriverne il potere.

La riforma non è però definita. Stancampiano ricorda che l’articolo 88b è stato rimosso da uno degli ultimi documenti di compromesso circolati in Consiglio. Alcuni Stati membri hanno chiesto di valutarne meglio l’impatto sulle imprese e di condurre almeno un impact assessment.

Il cambio della presidenza del Consiglio dell’Unione europea, passata all’Irlanda il 1° luglio 2026, ha aperto un’altra fase del negoziato. Nel frattempo, il fascicolo al Parlamento europeo è ancora all’esame delle commissioni competenti.

“Speriamo vengano ascoltate le voci che stanno cercando di spiegare la portata e l’impatto dell’articolo 88b. Così com’è, non dovrebbe andare avanti: serve almeno una versione modificata”.

Trattandosi di un regolamento, il provvedimento avrebbe applicazione diretta e lascerebbe meno margine agli ordinamenti nazionali. I tempi restano comunque lunghi. Stancampiano indica almeno il 2027 per l’evoluzione dell’iter e ricorda che alcune norme richiederebbero un periodo ulteriore, anche perché mancano ancora le specifiche tecniche necessarie. “È futuro, ma le decisioni si prendono adesso”.

I diversi prodotti di compliance nel gruppo team.blue

Il confronto sulla normativa si intreccia con l’evoluzione del mercato delle Consent Management Platform. L’acquisizione di iubenda da parte di team.blue ha inserito la società italiana in un gruppo europeo che riunisce diversi prodotti per la compliance con posizionamenti distinti.

Stancampiano, che si occupa soprattutto degli aspetti legali legati al prodotto, indica nella piattaforma di riferimento una delle principali differenze. Consentmo è concentrata soprattutto sull’ecosistema Shopify, mentre iubenda copre un perimetro più ampio che comprende siti web e applicazioni, inclusi numerosi siti editoriali.

Nel gruppo è presente anche consentmanager. In questo caso la distinzione riguarda in parte la presenza geografica: consentmanager è storicamente più forte in Germania, mentre il mercato principale di iubenda rimane l’Italia. team.blue rafforza ciascuna realtà nel Paese in cui è nata e, nello stesso tempo, ne estende la presenza in altri mercati.

iubenda non offre consulenza legale personalizzata, ma integra giuristi nel processo di sviluppo. “Dietro al prodotto ci sono effettivamente dei legali, come me e il mio team. Lavoriamo con il team di prodotto e controlliamo quello che viene pubblicato. C’è davvero un essere umano nel processo”.

Secondo Stancampiano, questo apporto è destinato a diventare più importante con la diffusione dell’intelligenza artificiale. “Più usiamo l’AI — e ormai la usiamo tutti — più serve qualcuno che dia la conferma finale e la sicurezza che ciò che è uscito da ChatGPT abbia senso e non sia un’allucinazione. Da questo punto di vista, l’elemento umano acquista importanza invece di perderne”.

Quando a navigare è un agente AI

Mentre l’Europa discute se trasferire il consenso dal sito al browser, gli agenti AI cambiano ancora una volta il soggetto che interagisce con i servizi online. Un assistente software può visitare pagine, confrontare prodotti, compilare moduli e completare acquisti per conto dell’utente. Rimane però da stabilire come possa esprimere una scelta privacy valida.

“È un cambiamento totale di prospettiva. Finora la legislazione si è basata sul fatto che l’utente visita il sito e compie una scelta. L’agente è invece un terzo, un assistente”.

Il primo problema è dimostrare che la decisione presa dal software corrisponda davvero alle preferenze della persona nel momento e nel contesto in cui viene applicata. “Come possiamo provare che l’agente stia agendo entro i limiti che gli sono stati assegnati? Dove si trova questa prova?”.

Le implicazioni vanno oltre i cookie. Durante un acquisto, un agente può incontrare condizioni contrattuali o una richiesta di iscrizione a una newsletter. Deve quindi distinguere decisioni diverse e documentare le istruzioni sulle quali ha basato ciascuna azione.

Quando è stato scritto l’AI Act, osserva Stancampiano, gli agenti non avevano ancora l’attuale diffusione e il regolamento non contiene una risposta specifica. Alcune autorità nazionali per la protezione dei dati stanno iniziando a pubblicare linee guida, lo strumento più rapido a loro disposizione per affrontare fenomeni nuovi. Rimane però aperto il tema dell’accountability, che per la manager sarà “il prossimo grande tema della privacy”.

Per le CMP, il cambiamento riguarda soprattutto ciò che avviene dietro il banner. L’interfaccia visibile è solo una parte del sistema: la piattaforma deve leggere il segnale, trasformarlo e trasmetterlo lungo la catena di strumenti pubblicitari, analitici e commerciali.

“Quel lavoro rimane. Cambia perché, se introduciamo gli agenti, anche noi dobbiamo aggiornare i sistemi e seguire questo nuovo tipo di interazione”. Le CMP dovranno quindi riconoscere anche le preferenze comunicate dalle macchine e conservare gli elementi necessari a provarne la validità. Nella valutazione di Stancampiano, proprio questa funzione rende i fornitori di CMP “fondamentalmente gli unici soggetti che possono occuparsi operativamente di questa parte”.

Gli obblighi di trasparenza sull’AI in vigore dal 2 agosto

Un adeguamento più immediato riguarda l’articolo 50 dell’AI Act. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti per determinati sistemi di intelligenza artificiale, compresa l’informazione alle persone quando interagiscono con un sistema AI nei casi stabiliti dalla norma.

In concreto, l’articolo 50 impone ai fornitori di progettare i sistemi in modo che le persone sappiano quando stanno interagendo con un’AI e possano riconoscere in maniera affidabile i contenuti generati o manipolati artificialmente. Chi utilizza questi sistemi deve inoltre informare le persone quando impiega strumenti di riconoscimento delle emozioni o categorizzazione biometrica e rendere riconoscibili deepfake e testi di interesse pubblico prodotti dall’AI, quando non siano stati sottoposti a revisione umana o controllo editoriale. Per un’impresa che usa un chatbot, l’obbligo più immediato consiste quindi nel dichiarare con chiarezza che l’interlocutore è un sistema di intelligenza artificiale, salvo che risulti già evidente dalle circostanze.

Una nuova funzione del generatore di documenti privacy di iubenda consente ai clienti di segnalare, per esempio, l’impiego di chatbot basati sull’intelligenza artificiale.

“È una piccola aggiunta, ma può aiutare le piccole imprese a fornire la trasparenza richiesta dall’articolo 50”. Per queste aziende si tratta di una necessità più concreta rispetto agli obblighi sui sistemi ad alto rischio, che difficilmente riguardano la maggior parte delle loro attività.

I dati mostrano quanto conta il contesto

Una ricerca pubblicata dalla società svizzera Advance Metrics offre una prospettiva internazionale sul comportamento reale degli utenti davanti ai banner. Lo studio confronta la rilevazione del 2018, condotta su oltre 1,2 milioni di utenti di diversi Paesi, con dati aggregati e anonimizzati raccolti tra gennaio e giugno 2023 su siti B2B internazionali dei settori servizi, industria e commercio. Nel dato complessivo più recente, con un banner che mostrava al primo livello le opzioni per accettare, rifiutare, configurare o chiudere, il 25,4% degli utenti ha accettato tutti i cookie, appena lo 0,4% ha aperto le impostazioni e il 68,9% ha chiuso o ignorato il banner, senza quindi prestare consenso nei Paesi che adottano il modello opt-in.

Il confronto geografico mostra quanto il comportamento cambi da un mercato all’altro. La quota di utenti che chiude o ignora il banner va dal 26% del Regno Unito e dal 29% della Germania all’83% di Malaysia e Russia e all’88% della Bielorussia. L’Italia si colloca al 41%, poco sotto gli Stati Uniti (45%) e sopra Francia (34%) e Spagna (33%). Questa metrica non equivale al rifiuto esplicito: nei sistemi opt-in chiudere o ignorare non produce consenso, mentre nei modelli opt-out i cookie possono essere installati finché l’utente non si oppone.

Anche l’accesso alle preferenze dettagliate resta marginale ovunque: nel grafico per Paese arriva a circa l’1,1% in Germania e all’1% in Austria, mentre in Italia si ferma intorno allo 0,3%. Separatamente, Advance Metrics rileva che Germania e Francia hanno la maggiore propensione al “rifiuta tutto”, mentre gli Stati Uniti registrano il tasso di accettazione più elevato. Lo studio non è una fonte istituzionale né un campione probabilistico rappresentativo della popolazione mondiale, ma offre dati comportamentali raccolti su scala internazionale.

Le differenze tra Paesi, regimi di consenso e modalità di presentazione del banner confermano che la scelta cambia in funzione del contesto, proprio ciò che rende difficile comprimerla in un’unica preferenza valida per tutto il web.