Con un solo clic si autorizzerebbe il trattamento dei dati da parte di oltre 1.700 aziende. È lo scenario finito nel mirino di noyb, che ha preso di mira dict.cc, il popolare dizionario online multilingue, con un reclamo depositato il 30 luglio 2026 davanti all’autorità austriaca per la protezione dei dati. Al centro della questione c’è ancora una volta il consenso cookie e la sua reale validità. Secondo l’organizzazione fondata da Max Schrems, il banner mostrato agli utenti non consentirebbe di esprimere un consenso davvero informato.
Il nodo è sempre lo stesso, quel cookie banner tanto discusso che dovrebbe permettere di accettare o rifiutare i cookie traccianti, quelli usati soprattutto per finalità pubblicitarie. noyb fa un calcolo che colpisce, considerando appena 6 minuti per leggere e capire l’informativa di ogni partner, servirebbero circa 170 ore per esaminarle tutte. Più di 7 giorni consecutivi solo per valutare cosa comporta un singolo clic.
Il reclamo e la macchina della pubblicità programmatica
Chi ha avviato la contestazione, assistito da noyb ai sensi dell’articolo 80, paragrafo 1, del GDPR, dichiara di aver premuto il pulsante di accettazione per entrare nel dizionario. La sessione sarebbe stata documentata con una registrazione video e con file HAR, cioè archivi che conservano richieste HTTP, risposte, intestazioni, domini contattati e altri elementi utili a ricostruire il traffico del browser. Analizzando quei file si può capire quali connessioni partono davvero, in che momento e verso quali host, verificando se cookie o richieste pubblicitarie compaiono prima della scelta, dopo l’accettazione o persino dopo un rifiuto.
Per noyb, dict.cc non avrebbe una base giuridica valida, perché il consenso raccolto tramite il banner non soddisferebbe il requisito dell’informazione. Da qui la richiesta di cancellazione dei dati trattati, la comunicazione della cancellazione ai destinatari, il divieto di proseguire senza un consenso valido e una sanzione efficace. Sullo sfondo c’è tutto il meccanismo della pubblicità programmatica, dove browser o app inviano richieste a più operatori in pochi millisecondi. Entrano in gioco indirizzo IP, identificatori pubblicitari, caratteristiche del dispositivo, pagina visitata, posizione approssimativa e segnali di consenso. Molti banner si appoggiano a una Consent Management Platform, la CMP, che presenta le opzioni e comunica la scelta agli strumenti pubblicitari. Uno dei sistemi più diffusi in Europa è il Transparency and Consent Framework di IAB Europe, con la sua TC String che la Corte di giustizia dell’Unione europea, nella causa C-604/22, ha qualificato come dato personale quando è riconducibile a un utente.
Cosa può decidere l’autorità e i punti deboli del reclamo
Il reclamo non è una condanna. Spetta alla Datenschutzbehörde austriaca, l’equivalente del Garante Privacy italiano, verificare i fatti, esaminare la configurazione tecnica, ascoltare dict.cc e stabilire se il trattamento avesse una base giuridica valida. L’autorità può ordinare la cancellazione dei dati, imporre limiti o divieti e proporre una sanzione. C’è anche l’ipotesi di deferire la questione allo European Data Protection Board, viste le ricadute generali, perché liste di centinaia o migliaia di fornitori compaiono su moltissimi siti finanziati dalla pubblicità.
Guardando lo screenshot allegato, emerge una sfumatura. Nel primo livello del banner di dict.cc ci sono due pulsanti, uno per modificare le preferenze e uno per accettare tutto e visitare il sito. Un rifiuto diretto non compare nella prima schermata, per arrivarci bisogna aprire le opzioni. Il reclamante non lo fa, preme volontariamente Accetta tutto e poi lamenta di non aver potuto dare un consenso informato. La task force dell’EDPB considera problematica l’assenza di un’opzione di rifiuto allo stesso livello del consenso, ma non è una regola automatica, servono valutazioni caso per caso.
C’è poi un aspetto sorprendente. Il reclamo non punta sull’attivazione preventiva di cookie o tracker. noyb dice di avere video e file HAR, ma non elenca cookie, domini o identificatori caricati prima del clic. La tesi centrale è un’altra, i 1.721 destinatari renderebbero impossibile capire le conseguenze dell’accettazione. Se dict.cc non attiva tracker facoltativi prima della scelta e rispetta il rifiuto, la contestazione resta quasi teorica. Se invece partono richieste prima della scelta o dopo un rifiuto, la violazione sarebbe molto più concreta. Il GDPR, del resto, non fissa una soglia numerica oltre la quale l’autorizzazione perde valore, chiede che la scelta sia libera, specifica, informata e inequivocabile. La stessa noyb spinge per superare i banner con un consenso gestito direttamente dal browser, dove un segnale di rifiuto può essere impostato una volta e applicato ovunque.
