L'argomento a cui l'autorità ha fatto ricorso

L'autorità belga per la protezione dei dati, in qualità di autorità di controllo capofila, ha provato a chiudere un reclamo sui cookie senza mai esaminare il banner cookie. La sua proposta era archiviare il caso per abuso di diritto ai sensi degli articoli 77 e 80, paragrafo 1, del GDPR. Il reclamo riguardava il banner di consenso della Vlaamse Radio- en Televisieomroeporganisatie, l'emittente pubblica fiamminga, ed era stato presentato da noyb, l'organizzazione per la privacy che deposita reclami su larga scala attraverso il mandato di rappresentanza previsto dall'articolo 80, paragrafo 1, del GDPR.

L'autorità austriaca per la protezione dei dati ha sollevato obiezione. È quell'obiezione ad aver spostato il fascicolo fuori dal Belgio e dentro il meccanismo di coerenza, ed è la ragione per cui alla fine ha deciso il Comitato europeo per la protezione dei dati ai sensi dell'articolo 65, paragrafo 1, lettera a), del GDPR invece che l'autorità belga chiudendo la pratica.

Il risultato è la Decisione vincolante 1/2026. È stata adottata il 28 maggio 2026 e pubblicata il 14 luglio 2026. L'adozione è l'evento più vecchio. La pubblicazione del 14 luglio è ciò che ha messo il ragionamento davanti a chiunque gestisca un banner nell'Unione europea.

Che cosa ha deciso il Comitato il 28 maggio

Il Comitato europeo per la protezione dei dati non ha ravvisato alcun abuso di diritto, e ha ritenuto che non ricorresse nessuno dei due elementi che un simile accertamento richiede. Applicando i criteri elaborati dalla Corte di giustizia dell'Unione europea, ha stabilito che non erano soddisfatti né l'elemento oggettivo né quello soggettivo.

Ha poi ordinato all'autorità di controllo capofila di esaminare il reclamo nel merito e di presentare un nuovo progetto di decisione ai sensi dell'articolo 60, paragrafo 3, del GDPR. Per quel nuovo progetto non è indicato alcun termine.

Letta con attenzione, è una pronuncia procedurale e nulla di più. Non crea una regola sul design dei banner. Non accerta che l'emittente abbia fatto qualcosa di sbagliato. Nulla è stato deciso nel merito, nessuna sanzione è stata fissata, e la questione se il banner fosse lecito resta esattamente dove stava nel 2021, in attesa di risposta.

Il volume non rende sospetto un mandato

Si è appena chiusa una via d'uscita procedurale, ed era quella su cui la maggior parte degli operatori contava in silenzio. L'argomento aveva un'attrattiva evidente. Questo reclamo è uno delle migliaia depositati da un'organizzazione attivista, quindi si tratta il deposito stesso come il vizio e si archivia. Un regolatore nazionale, in veste di autorità capofila, ha davvero sostenuto quella tesi. Il Comitato l'ha respinta con una decisione vincolante.

Il principio, secondo quanto riportato, è che un mandato valido ai sensi dell'articolo 80, paragrafo 1, del GDPR non diventa sospetto per il solo fatto che l'organizzazione rappresentante operi su larga scala. Quella formulazione proviene dalla stampa che ha riferito della decisione e non dal testo della decisione, e per questo va maneggiata con prudenza. L'esito in sé non è in dubbio.

La conseguenza per un imprenditore è diretta. La vostra esposizione su un banner di consenso è decisa dal design del banner, non da chi ha reclamato o da quanti reclami ha depositato. Ogni difesa costruita sull'identità o sul volume del reclamante è ormai una difesa che un'autorità capofila ha tentato e con cui ha perso.

Cinque anni in coda, e ancora viva

Il reclamo è stato presentato il 10 agosto 2021. Solo ora, quasi cinque anni dopo, viene rinviato per una decisione nel merito. È rimasto in coda, e quella attesa non ha cambiato nulla della sua posizione.

La lezione che ne traiamo è che un reclamo dormiente conserva tutta la sua forza. Un banner che avete sistemato nel 2023 non manda in pensione il reclamo che qualcuno ha depositato contro la versione in uso nel 2021. Date per scontato che la versione pubblicata anni fa sia ancora esaminabile, perché in questo caso lo è.

Che cosa cambia sul vostro sito

Lavorate partendo dal presupposto che il banner usato anni fa sia ancora esaminabile, e non dall'età del vostro archivio. Se non riuscite a produrre l'interfaccia di consenso così come appariva nel 2021 o nel 2022, non potete mostrare che cosa un'autorità di controllo esaminerebbe davvero, e finirete a discutere di una schermata che non avete più.

Per questo tenete registri versionati del banner stesso. Il testo, la gerarchia dei pulsanti, gli stati predefiniti, il livello in cui veniva offerto il rifiuto. Sono le cose che un esame nel merito guarda, e sono le cose che cambiano in silenzio ogni volta che una piattaforma di consenso rilascia un aggiornamento.

E smettete di leggere il numero dei depositi come un segnale di rischio. Quanti reclami presenta un'organizzazione non vi dice nulla sul fatto che quello contro di voi verrà esaminato. La Decisione vincolante 1/2026 indica che lo sarà.

Da leggere ora: L'UE sta riscrivendo il GDPR  |  Anche la prima richiesta dati può essere abusiva