Serve ancora un banner cookie nel 2026?

Dipende da ciò che il tuo sito scrive o legge nel terminale del visitatore. La regola in vigore al 1º settembre 2026 resta l’articolo 5(3) della direttiva ePrivacy 2002/58/CE: il consenso è richiesto non appena un sito accede al terminale per una finalità non strettamente necessaria al servizio richiesto. Un sito che carica pixel pubblicitari rientra in questo campo. Un sito la cui misurazione del pubblico non accede al terminale non ha alcun cookie analitico da far accettare, ma deve comunque verificare tutti gli altri strumenti. Questa pagina espone fatti datati, non sostituisce la tua analisi legale.

No, e non è adottato. Il Digital Omnibus è una proposta di regolamento presentata dalla Commissione europea il 19 novembre 2025 con il riferimento COM(2025) 837. Al 1º settembre 2026 è ancora in negoziato e non produce alcun effetto giuridico. L’articolo 88b, quello che avrebbe reso vincolanti i segnali di consenso del browser, è stato addirittura ritirato dalla posizione del Consiglio del 18 giugno 2026: solo il Parlamento europeo potrebbe reintrodurlo. Nessun testo in vigore elimina oggi i banner cookie.

Ancora in negoziato. Il Consiglio dell’Unione europea non ha raggiunto la maggioranza qualificata: la presidenza cipriota ha ritirato il suo testo di compromesso prima di passare la mano alla presidenza irlandese il 1º luglio 2026. Il Parlamento europeo non ha fissato la sua posizione. Nello scenario più ottimistico l’adozione arriverebbe a fine 2026 e l’applicazione nel 2027 al più presto. Fino ad allora il testo può ancora cambiare in modo sostanziale, come ha dimostrato la soppressione dell’articolo 88b.

Non è un obbligo di legge, è un requisito di Google. Da inizio marzo 2024 i visitatori dello Spazio economico europeo la cui scelta di consenso non viene trasmessa a Google escono dai pubblici usati dai suoi prodotti pubblicitari. Il consent mode v2 aggiunge due parametri, ad_user_data e ad_personalization, introdotti a novembre 2023 nel quadro del regolamento sui mercati digitali, accanto ad analytics_storage e ad_storage. Se il tuo sito non usa alcun prodotto pubblicitario o di misurazione Google, la domanda non ti riguarda.

Shopify posiziona da sé cookie che la sua stessa politica sui cookie classifica sotto Reporting e analisi, tra cui _shopify_y, della durata di un anno. Questi rientrano nel consenso nell’Unione europea e vengono depositati qualunque sia lo strumento di misurazione che aggiungi: cambiare analytics non toglie quella riga. Shopify fornisce un banner di consenso integrato e una Customer Privacy API per registrare la scelta del visitatore. La risposta è quindi sì, e non dipende da te.

No: la Commissione europea l’ha ritirato. Il ritiro figura nel programma di lavoro 2025 della Commissione, COM(2025) 45 final dell’11 febbraio 2025, alla voce 29 del suo allegato dei ritiri, con il riferimento COM(2017) 10 final / 2017/0003 (COD). Il motivo indicato è l’assenza di accordo atteso dai colegislatori e il carattere superato della proposta, dopo otto anni di blocco. La direttiva ePrivacy 2002/58/CE e le sue trasposizioni nazionali restano invece in vigore: si applica sempre quel testo del 2002.

Se il tuo sito carica solo Snorklee, non c’è alcun cookie analitico da far accettare: per contare una visita Snorklee non scrive né legge informazioni nel terminale, né cookie, né localStorage, né sessionStorage. L’unica scrittura possibile è un indicatore di opposizione, snorklee_optout, che il visitatore attiva da sé. Ma Snorklee toglie una sola causa di banner, non tutte: gli altri strumenti della tua pagina mantengono i loro obblighi. La risposta dipende quindi dall’intera pagina, mai dal solo strumento di misurazione.

Sì. Con due deliberazioni del 1º settembre 2025 la CNIL ha inflitto 325 milioni di euro a Google LLC e Google Ireland Limited e 150 milioni di euro a Infinite Styles Services Co. Limited, filiale irlandese del gruppo Shein. Da Google, rifiutare i traccianti pubblicitari alla creazione dell’account era più difficile che accettarli, e nulla indicava che l’accesso ai servizi fosse subordinato a quel deposito. Da Shein, traccianti pubblicitari venivano depositati prima di ogni consenso e il rifiuto restava senza effetto.

No: quella scadenza è indiana, non europea. Viene dalla legge indiana sulla protezione dei dati personali digitali, il DPDP Act, e dalle sue regole attuative: un soggetto che vuole operare come Consent Manager deve registrarsi presso il Data Protection Board of India entro il 13 novembre 2026. Nessun testo dell’Unione europea crea un registro ufficiale di Consent Manager, né il GDPR, né la direttiva ePrivacy, né la proposta Digital Omnibus. Confondere le due cose significa preparare un sito europeo a un obbligo che non lo riguarda.