Con una decisione vincolante del 28 maggio 2026, resa nota il 14 luglio, il Comitato europeo per la protezione dei dati (EDPB) ha stabilito che un’autorità di controllo non può liberarsi di un reclamo sui cookie banner qualificandolo come abuso del diritto di reclamare. L’autorità belga, capofila di un reclamo presentato dall’organizzazione non governativa austriaca NOYB contro l’emittente radiotelevisiva pubblica fiamminga (VRT), intendeva archiviarlo per ragioni procedurali; l’EDPB, chiamato a comporre il contrasto con l’autorità austriaca, le ha ordinato di pronunciarsi nel merito. La posta in gioco va oltre il singolo banner: il diritto di presentare un reclamo e di farsi rappresentare da un’associazione non è una formalità che l’autorità possa neutralizzare, e i cookie banner restano un fronte aperto dell’applicazione del GDPR.
Il caso: un banner, due autorità, una controversia
All’origine c’è un reclamo presentato da NOYB, per conto di una persona fisica, dinanzi all’autorità austriaca, avente a oggetto i cookie banner utilizzati sul sito di VRT. Poiché l’emittente ha sede in Belgio, l’autorità belga ha agito come autorità di controllo capofila e ha proposto una bozza di decisione volta all’archiviazione, deducendo un presunto abuso degli articoli 77 e 80, paragrafo 1, del GDPR, ossia del diritto di proporre reclamo e del diritto di conferire mandato a un ente senza scopo di lucro. L’autorità austriaca, quale autorità interessata, ha sollevato un’obiezione di segno opposto: il reclamo non andava chiuso su un piano procedurale, ma esaminato nel merito. Non avendo l’autorità belga inteso seguire l’obiezione, il caso è stato rimesso all’EDPB attraverso il meccanismo di coerenza previsto dall’articolo 65 del GDPR per le controversie transfrontaliere tra autorità.
La decisione: rivolgersi a un’associazione non è un abuso
L’EDPB ha ritenuto l’obiezione austriaca pertinente e motivata ai sensi dell’articolo 4, punto 24, del GDPR e l’ha valutata nel merito. Applicando il test elaborato dalla Corte di giustizia dell’Unione europea in materia di abuso del diritto, ha concluso che la persona reclamante non aveva abusato delle facoltà riconosciute dagli articoli 77 e 80, paragrafo 1, non risultando dimostrati né l’elemento oggettivo né quello soggettivo che l’abuso presuppone. Ha quindi ordinato all’autorità capofila di non archiviare il reclamo, bensì di valutarlo nel merito e di sottoporre una nuova bozza di decisione alle autorità interessate ai sensi dell’articolo 60, paragrafo 3. In termini concreti, la scelta di un cittadino di affidarsi a un’organizzazione come NOYB per far valere i propri diritti non può essere trattata, di per sé, come un espediente: è l’esercizio legittimo di una facoltà che il legislatore ha previsto in modo espresso.
Perché i cookie banner restano sotto osservazione
La vicenda non stabilisce se il banner di VRT fosse conforme: rimuove l’ostacolo procedurale e restituisce la questione al merito. La colloca, però, in un contesto ben noto. I cookie banner sono da anni un fronte sistematico di contenzioso: a partire dal maggio 2021 NOYB ha presentato oltre settecento reclami contro gestori di siti i cui banner, a suo giudizio, violavano le regole europee, e l’EDPB ha istituito un’apposita task force i cui esiti, adottati il 17 gennaio 2023, hanno fissato una soglia minima di pratiche accettabili, considerando problematici, tra l’altro, l’assenza del tasto di rifiuto nel primo livello del banner, le caselle pre-selezionate e i pulsanti dal design ingannevole. Non a caso l’attenzione delle autorità nazionali sui trattamenti online è in crescita, come mostra il piano ispettivo del Garante italiano per il 2026, e il ruolo dell’EDPB quale custode di un’applicazione uniforme torna centrale proprio mentre si discute di ridefinire, con il Digital Omnibus, la nozione stessa di dato personale.
La lezione per chi gestisce un sito e per chi vigila
Per i titolari e i gestori di siti il messaggio è duplice. Sul piano sostanziale, un banner conforme non è un dettaglio grafico: il consenso deve essere libero, specifico, informato e revocabile con la stessa facilità con cui è prestato, il che presuppone un’opzione di rifiuto tanto accessibile quanto quella di accettazione e l’assenza di caselle già spuntate. Sul piano procedurale, la decisione ricorda che il meccanismo dello sportello unico non serve a definire i casi in via breve, ma a coordinarli: il reclamo va istruito, non aggirato. È una linea coerente con l’intensa attività dell’EDPB di queste settimane, dalle regole sull’anonimizzazione e sul web scraping per l’IA generativa alle prese di posizione sulla riforma in corso.
In ragione di quanto precede, ci si chiede se il vero banco di prova del consenso non sia il banner che l’utente vede, ma la disponibilità dell’autorità a guardarci dietro, e se una tutela effettiva dipenda meno dall’armonizzazione delle decisioni e più dalla garanzia che un reclamo, una volta presentato, venga davvero deciso.
