1.741 consensi cookie con un clic: nuova denuncia per violazione del GDPR

Un solo clic per autorizzare il trattamento dei dati da parte di oltre 1.700 aziende. È la situazione contestata da noyb a dict.cc, popolare dizionario online multilingue, con un reclamo presentato il 30 luglio 2026 all’autorità austriaca per la protezione dei dati. Secondo l’organizzazione fondata da Max Schrems, il banner mostrato agli utenti non permetterebbe di esprimere un consenso realmente informato.

Ancora una volta, al centro del contendere vi è il tanto vituperato cookie banner che consente di esprimere l’accettazione o, viceversa, il diniego per la ricezione di cookie traccianti, generalmente utilizzati per finalità pubblicitarie.

noyb osserva che considerando appena 6 minuti per leggere e comprendere l’informativa di ciascun partner, servirebbero circa 170 ore per analizzarle tutte: più di 7 giorni consecutivi per valutare le conseguenze di un clic.

noyb torna alla carica sul contenuto del banner cookie

Il soggetto che ha deciso di avviare una contestazione, assistito da noyb ai sensi dell’articolo 80, paragrafo 1, del GDPR, sostiene di avere premuto il pulsante di accettazione per entrare nel dizionario online. La sessione sarebbe stata documentata attraverso una registrazione video e file HAR, cioè archivi che conservano richieste HTTP, risposte, intestazioni, domini contattati e altri elementi utili a ricostruire il traffico generato dal browser.

L’analisi del traffico di rete attraverso il file HAR permette di verificare quali connessioni partono davvero, in quale momento e verso quali host. Si può così controllare se cookie, identificatori o richieste pubblicitarie compaiono prima della scelta, dopo l’accettazione oppure anche in seguito a un rifiuto.

Secondo noyb, dict.cc non disporrebbe di una base giuridica valida per i trattamenti contestati, perché il consenso ottenuto tramite il banner non soddisfarebbe il requisito dell’informazione. L’organizzazione chiede inoltre la cancellazione dei dati trattati illecitamente, la comunicazione della cancellazione ai destinatari, il divieto di proseguire senza un consenso valido e l’adozione di una sanzione efficace e dissuasiva.

Cookie banner, CMP e pubblicità programmatica

I banner visualizzati sul web spesso si appoggiano a una Consent Management Platform, abbreviata in CMP. Il componente presenta le opzioni, registra le preferenze e comunica la scelta agli strumenti pubblicitari collegati alla pagina. In molti casi la decisione confluisce in una stringa codificata, letta dai soggetti che partecipano all’asta pubblicitaria o alla misurazione delle campagne.

Uno dei sistemi più diffusi nel settore europeo è il Transparency and Consent Framework di IAB Europe. Nel relativo modello, la TC String può rappresentare le finalità accettate, i fornitori autorizzati e altri parametri. La Corte di giustizia dell’Unione europea, nella causa C-604/22, ha stabilito che tale stringa costituisce un dato personale quando può essere associata a un identificatore e ricondotta a un utente.

Il segnale che descrive le preferenze privacy non è sempre un dato neutro o anonimo: può partecipare allo stesso insieme informativo usato per riconoscere il dispositivo, selezionare annunci e registrare le decisioni dell’utente.

Durante la pubblicità programmatica, browser o app possono inviare richieste a più operatori in pochi millisecondi. Entrano in gioco indirizzo IP, identificatori pubblicitari, caratteristiche del dispositivo, pagina visitata, posizione approssimativa, categorie d’interesse e segnali di consenso. Non tutti i partecipanti ricevono necessariamente ogni dato, né tutte le operazioni hanno la stessa base giuridica; la struttura resta comunque difficile da spiegare attraverso un unico pulsante.

Proprio per questo il consenso deve essere granulare. Finalità differenti, come personalizzazione degli annunci, misurazione, sviluppo dei servizi o geolocalizzazione precisa, non dovrebbero fondersi in un’autorizzazione indistinta.

Cosa può decidere l’autorità austriaca

Il reclamo non equivale a una decisione e, al momento della sua presentazione, le violazioni descritte rappresentano le tesi di noyb. Spetta alla Datenschutzbehörde austriaca – l’equivalente del Garante Privacy italiano – verificare i fatti, esaminare la configurazione tecnica, ascoltare dict.cc e stabilire se il trattamento disponesse di una base giuridica valida.

L’autorità può ordinare la cancellazione dei dati, imporre limitazioni o divieti al trattamento e richiedere che i destinatari siano informati della cancellazione. noyb propone inoltre una sanzione amministrativa.

Nel documento compare anche l’ipotesi di deferire la questione allo European Data Protection Board (EDPB) per la sua rilevanza generale. Una simile evoluzione potrebbe ampliare gli effetti del procedimento, perché la pratica contestata non riguarda soltanto un dizionario online. Liste di centinaia o migliaia di fornitori compaiono su numerosi siti finanziati dalla pubblicità.

Nel primo livello del cookie banner contestato, il rifiuto non sembra esserci

Dallo screenshot allegato al reclamo emerge una sfumatura importante. Nel caso di dict.cc, il primo livello mostrato da noyb contiene due pulsanti:

• “Auswahlmöglichkeiten anpassen“, cioè modificare le preferenze;
• “Alle akzeptieren und Website besuchen“, cioè accettare tutto e visitare il sito.

Non compare un pulsante diretto Rifiuta tutto nella prima schermata. Per arrivarci, presumibilmente, bisogna aprire le opzioni. Il reclamante non lo fa: preme volontariamente Accetta tutto e poi sostiene di non avere potuto prestare un consenso informato.

Qui noyb possiede un argomento, ma meno devastante di quanto lasci intendere il comunicato. La task force dell’EDPB ha rilevato che la maggioranza delle autorità considera problematica l’assenza di un’opzione di rifiuto nello stesso livello in cui compare il consenso. Non si tratta però di una conclusione automatica valida per qualunque banner: colori, contrasto, gerarchia e percorso concreto richiedono una valutazione caso per caso.

noyb non contesta cookie caricati prima del consenso

L’aspetto più sorprendente è che il reclamo pubblicato non costruisce l’accusa sull’eventuale attivazione preventiva di cookie o tracker. noyb afferma di avere raccolto video e file HAR, ma nel testo non elenca cookie, richieste di rete, domini o identificatori caricati prima del clic. La tesi centrale è un’altra: 1.721 destinatari renderebbero impossibile capire le conseguenze dell’accettazione.

Questa scelta lascia aperta una domanda decisiva: che cosa ha effettivamente osservato noyb nei file HAR?

Se dict.cc non attiva tracker facoltativi prima dell’accettazione, registra correttamente il rifiuto e blocca la trasmissione dei dati ai partner, la contestazione resta quasi interamente teorica: riguarda la capacità dell’utente di comprendere ciò che sceglie premendo Accetta tutto.

Se invece partono richieste pubblicitarie prima della scelta, oppure dopo aver premuto Rifiuta tutto, la violazione sarebbe molto più concreta e tecnicamente verificabile. È quanto accaduto in altri procedimenti.

Dal cookie banner al consenso gestito dal browser

noyb stessa sostiene che la gestione del consenso basata su cookie banner debba essere superata e, insieme ad altri promotori, ha espresso il supporto per una soluzione alternativa che metta al centro il browser web.

Chi scrive auspica una soluzione che permetta di bilanciare i diritti degli utenti e l’interesse dell’editore, che deve comunque necessariamente pagare stipendi, fare i conti con i costi vivi della sua attività e fare continuamente investimenti per adeguarsi alle disposizioni normative.

dict.cc può rappresentare un bersaglio utile per una causa pilota, ma non è ancora dimostrato che abbia commesso tutte le condotte evocate. noyb ha individuato un caso estremo per chiedere all’Autorità di stabilire se esista un limite pratico alla quantità di soggetti e trattamenti aggregabili dietro “Accetta tutto“. È un’attività di “contenzioso strategico”, con una componente comunicativa evidente.

Molti partner non significano automaticamente consenso illecito

Ma è altrettanto opportuno rilevare, sommessamente, che la presenza di un numero molto elevato di partner non dimostra da sola l’esistenza di un trattamento illecito. Se il sito offre un comando chiaro per rifiutare tutti gli usi facoltativi, impedisce realmente l’attivazione dei tracker prima della scelta e rispetta la decisione espressa dall’utente, la questione diventa più sfumata.

Il GDPR non stabilisce una soglia numerica oltre la quale l’autorizzazione perde automaticamente efficacia. Impone piuttosto che la scelta sia libera, specifica, informata e inequivocabile. Spetterà quindi all’Autorità austriaca stabilire se le informazioni mostrate da dict.cc fossero realmente insufficienti e se l’interfaccia orientasse indebitamente l’utente verso l’accettazione.

La proposta di trasferire le preferenze nel browser rende ancora più evidente la distinzione. Un segnale generale di rifiuto può essere configurato una volta e applicato automaticamente, senza costringere l’utente a interagire con decine di banner. Un consenso positivo, invece, resta più delicato: il browser non può trasformare una scelta generica in un’autorizzazione illimitata per migliaia di soggetti e finalità non chiaramente descritti.

Il punto, insomma, non dovrebbe essere demonizzare il finanziamento pubblicitario né considerare ogni editore come il terminale consapevole di una gigantesca operazione di sorveglianza.

Solo così si può evitare che la tutela della privacy si trasformi in una contrapposizione sterile tra utenti ed editori. Senza entrate, l’informazione gratuita e indipendente difficilmente sopravvive; senza regole tecniche applicate e controlli credibili, invece, il consenso rischia di diventare una formalità priva di valore.