💻 computer science

A history of GDPR cookie banner compliance: the roles of publishers, regulators and CMPs

Questo articolo analizza l'evoluzione storica della conformità dei banner dei cookie GDPR su 11.364 siti web, rivelando un aumento significativo delle opzioni "rifiuta tutto" guidato principalmente dalle azioni degli editori e dalla pressione normativa, evidenziando al contempo la necessità di una guida unificata dell'UE e di una supervisione delle Piattaforme di Gestione del Consenso per migliorare ulteriormente la privacy degli utenti.

Autori originali: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Pubblicato 2026-07-01

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina Internet come un enorme e frenetico mercato. Nel 2018, è stato introdotto un nuovo insieme di regole chiamato GDPR per proteggere i clienti (gli utenti) dal fatto di essere tracciati senza il loro permesso. Lo strumento principale utilizzato per far rispettare queste regole è il Banner dei Cookie — quel riquadro pop-up che vedi su quasi tutti i siti web che ti chiede: "Vuoi che ti tracciamo?".

Questo documento è come un documentario di sei anni (2018–2024) che osserva come questi pop-up siano cambiati, chi stia effettivamente portando avanti i cambiamenti e se le regole vengano rispettate. I ricercatori hanno esaminato oltre 11.000 siti web in 30 paesi europei per raccontare questa storia.

Ecco la suddivisione della storia usando semplici analogie:

1. I tre personaggi principali

Il documento identifica tre gruppi che influenzano l'aspetto e il comportamento di questi pop-up:

Gli Editori (Proprietari dei siti web): Pensali come i Commercianti. Possiedono i siti web e sono legalmente responsabili di chiedere il permesso.
I Regolatori (DPA): Pensali come gli Agenti di Polizia. Scrivono le regole, fornisano consigli e emettono multe (multe stradali) ai commercianti che infrangono la legge.
Le CMP (Piattaforme di Gestione del Consenso): Pensale come Distributori Automatici Pop-up. Molti commercianti non costruiscono i propri pop-up; comprano una "macchina" pre-confezionata da un'azienda (come OneTrust o Cookiebot) che visualizza automaticamente il banner. I ricercatori volevano vedere se queste aziende di distributori automatici stessero aiutando i commercianti a seguire le regole.

2. La grande storia: Le cose stanno migliorando, ma lentamente

All'inizio (2018), la situazione era disordinata. Solo circa il 3% dei siti web aveva un pulsante "Rifiuta tutto". La maggior parte aveva solo un grande pulsante "Accetta", ingannando di fatto le persone per farle dire di sì.

Entro il 2024, la situazione è migliorata significativamente. Ora, circa il 30% dei siti web ha un pulsante "Rifiuta" chiaro. È un salto enorme, ma significa che 7 siti su 10 non sono ancora pienamente conformi.

L'effetto a catena della Polizia:
Il documento ha trovato un forte legame tra gli "Agenti di Polizia" (Regolatori) e il fatto che i commercianti facciano la cosa giusta.

Esempio: In Francia, il regolatore (CNIL) ha multato Google e Meta per avere pop-up che rendevano difficile dire "No".
Il Risultato: Immediatamente dopo le multe, i siti web in Francia (e anche in altri paesi) hanno iniziato ad aggiungere pulsanti "Rifiuta". È come quando un agente di polizia inizia a multare le persone perché non indossano la cintura di sicurezza; improvvisamente, tutti iniziano ad allacciare la cintura.
Il Contrasto: Nei paesi in cui i regolatori erano silenziosi o non emettevano molte multe (come Lituania o Polonia), i siti web sono rimasti pigri e non hanno aggiunto pulsanti "Rifiuta".

3. La sorpresa: I "Distributori Automatici" non hanno aiutato molto

I ricercatori avevano una teoria: pensavano che le aziende che vendono il software per i pop-up (le CMP) avrebbero aggiornato le loro macchine per essere più rispettose della privacy automaticamente quando le leggi cambiavano.

La verifica della realtà:
Lo studio ha scoperto che questo non è accaduto.

Alcuni "Distributori Automatici" (come Cookiebot) hanno aggiornato i loro design per includere pulsanti "Rifiuta" per circa il 55% dei loro clienti.
Altri "Distributori Automatici" (come Cookies Consent) hanno fatto questo solo per circa il 13% dei loro clienti.
La Conclusione: Le CMP sono rimaste per lo più inerti. Non hanno costretto i loro clienti a cambiare. Invece, sono stati i Commercianti (Editori) quelli che sono effettivamente andati, hanno aperto la macchina e hanno cambiato manualmente le impostazioni per essere più conformi. Il documento suggerisce che se un sito web ha un buon pulsante "Rifiuta", è perché il proprietario del sito ha scelto di metterlo lì, non perché l'azienda del software glielo abbia detto.

4. Lo stato attuale del mercato

Consolidamento: Il mercato di queste macchine pop-up si sta restringendo a pochi grandi attori. Grandi aziende come OneTrust e Cookiebot sono ora utilizzate dalla maggioranza dei siti web.
Il Problema: Poiché queste grandi aziende impostano le configurazioni "predefinite", e non sempre scelgono le opzioni più rispettose della privacy come impostazione predefinita, molti siti finiscono con cattivi pop-up a meno che il proprietario non li corregga manualmente.

5. La conclusione finale

Il documento conclude che, sebbene Internet stia diventando leggermente più rispettoso della privacy dell'utente, ciò accade perché i Commercianti stanno finalmente ascoltando la Polizia, non perché le aziende dei Distributori Automatici siano state d'aiuto.

Gli autori suggeriscono che, per rendere Internet davvero sicuro per tutti, abbiamo bisogno di:

Regole più uniformi: Tutti gli "Agenti di Polizia" in Europa devono concordare esattamente quali siano le regole, in modo che i commercianti non siano confusi.
Maggiore supervisione dei Distributori Automatici: Le aziende che vendono il software per i pop-up dovrebbero essere ritenute più responsabili. Se sono loro a impostare le configurazioni predefinite, dovrebbero essere responsabili di garantire che quelle impostazioni siano legali e giuste.

In breve: le regole funzionano, ma solo quando la polizia controlla da vicino, e gli strumenti utilizzati per seguirle hanno bisogno di un serio aggiornamento.

Sintesi Tecnica: Una Storia della Conformità dei Banner dei Cookie al GDPR

Problematica
Dall'implementazione del Regolamento Generale sulla Protezione dei Dati (GDPR) nel maggio 2018, i banner dei cookie sono diventati l'interfaccia primaria attraverso cui gli utenti esprimono il consenso riguardo al tracciamento online e alla pubblicità. Tuttavia, il panorama di questi banner è stato caratterizzato da interfacce non conformi, design manipolatori (dark patterns) e una significativa variazione tra le diverse regioni geografiche. Mentre la ricerca precedente ha documentato la prevalenza della non conformità e l'esistenza di dark pattern, vi è stata una focalizzazione limitata sulle motivazioni dietro i miglioramenti della conformità nel tempo. Nello specifico, i ruoli di tre attori chiave — editori (proprietari di siti web), regolatori (Autorità per la Protezione dei Dati o DPA) e Piattaforme di Gestione del Consenso (CMP) — nel guidare o ostacolare la conformità rimangono sottesplorati in un contesto longitudinale. Questo articolo mira ad analizzare l'evoluzione storica dei banner dei cookie per determinare quali attori siano responsabili delle tendenze di conformità e come le azioni regolatorie influenzino le scelte di design.

Metodologia
Gli autori hanno condotto un'analisi longitudinale di 11.364 siti web in 30 paesi dello Spazio Economico Europeo (SEE) durante un periodo di sei anni (settembre 2018 - settembre 2024).

Fonti dei dati: Per superare i limiti del crawling in tempo reale e garantire la riproducibilità, lo studio ha utilizzato un approccio a doppio archivio combinando HTTPArchive (che traccia la composizione web dal 2012) e la Wayback Machine. Ciò ha permesso la riproduzione retrospettiva di snapshot storici di pagine web.
Meccanismo di riproduzione: I ricercatori hanno sviluppato un metodo per riprodurre gli snapshot archiviati intercettando il traffico tramite un proxy HTTP. Le risorse mancanti (comuni negli archivi a causa dei limiti di interruzione) sono state recuperate dinamicamente tramite l'API della Wayback Machine, mentre immagini e font sono stati omessi per concentrarsi sulla logica del layout del banner. Ciò ha garantito una riproduzione offline e coerente dei contenuti dinamici.
Selezione dei siti web: Il campione è stato derivato dalla lista Chrome User Experience Report (CrUX), filtrata per domini di primo livello con codice paese (ccTLD) per garantire che i siti target si rivolgesse a un pubblico europeo. Sono stati selezionati casualmente 500 siti web per paese (ove disponibile), con un totale di 11.364 domini unici.
Rilevamento e analisi: È stato utilizzato uno strumento di rilevamento automatizzato, esteso da Bouhoula et al. Per rilevare i banner. Il framework ha impiegato il filtraggio HTML, l'ispezione dello z-index e un modello linguistico per identificare termini relativi ai cookie con una precisione del 100% e un richiamo (recall) dell'86,9%. Lo strumento ha classificato le opzioni del banner (Accetta, Rifiuta, Impostazioni) e ha rilevato la presenza o l'assenza di un pulsante "Rifiuta".
Proxy di conformità: Lo studio si è concentrato sulla presenza di un pulsante "Rifiuta" ugualmente accessibile come proxy primario per la conformità al GDPR. Questo parametro obiettivo evita giudizi legali soggettivi riguardanti i "cookie wall" o specifiche interpretazioni nazionali, concentrandosi invece sul requisito fondamentale secondo cui negare il consenso deve essere semplice quanto accettarlo.
Correlazione con l'attività delle DPA: Gli autori hanno correlato i tassi di conformità con l'attività delle DPA, estraendo dati su sanzioni, multe e linee guida regolatorie da "GDPRhub" e "Consent Banner Report".

Contributi Chiave

Analisi Longitudinale: L'articolo fornisce una valutazione storica di sei anni sull'evoluzione dei banner dei cookie, andando oltre gli snapshot statici per rivelare le tendenze nei design favorevoli alla privacy.
Impatto Regolatorio Cross-Country: Offre un'analisi granulare delle differenze di conformità tra 30 paesi, quantificando la correlazione tra l'attività di enforcement/linee guida delle DPA e i tassi di conformità.
Valutazione dell'Influenza delle CMP: Lo studio indaga 18 diverse CMP (categorizzate come Comprehensive, Plugin e Open-source) per misurare il loro specifico contributo alla conformità, confrontando i banner forniti dalle CMP con le soluzioni interne.

Risultati

Tendenza generale della conformità: Si osserva un'evoluzione positiva, seppur lenta, nelle pratiche di privacy. Il tasso di siti web che presentano sia l'opzione "Accetta" che quella "Rifiuta" è aumentato dal 2,94% nel 2018 al 30,66% nel 2024.
Spostamenti temporali: Sono stati identificati due periodi significativi di miglioramento:
- 2022: Un aumento del 7,5% nell'adozione del pulsante di rifiuto, in coincidenza con l'azione di enforcement della CNIL contro Google e Meta riguardante il posizionamento dei pulsanti di rifiuto.
- 2024: Un aumento dell'8,82%, potenzialmente legato alle linee guida dell'EDPB e alla continua attività di enforcement.
Variazioni tra i paesi: I tassi di conformità variano significativamente. Danimarca, Francia e Austria mostrano costantemente i livelli più alti di conformità. Al contrario, Lituania, Polonia e Bulgaria mostrano i tassi più bassi.
Correlazione regolatoria: Esiste una forte correlazione positiva ( $r=0,62$ ) tra la pubblicazione di linee guida regolatorie e la conformità. Esiste una moderata correlazione positiva ( $r=0,42$ ) tra le azioni di enforcement (multe/casi) e la conformità. I paesi con DPA attive (ad es. Francia, Spagna) mostrano una maggiore conformità rispetto a quelli con attività limitata.
Performance delle CMP:
- L'adozione delle CMP è aumentata dall'11,60% (2018) al 40,29% (2024), con una consolidamento del mercato attorno ai principali player come OneTrust, Cookiebot e Google Funding Choices.
- Divergenza: I tassi di conformità variano drasticamente tra le CMP. Nel 2024, Cookiebot mostrava un tasso di conformità del 55,16% (pulsante di rifiuto presente), mentre Cookies Consent mostrava solo il 13,39%.
- Motore del cambiamento: Lo studio ha rilevato che le CMP hanno mostrato poca risposta alla pressione regolatoria. I miglioramenti della conformità sono stati guidati principalmente dagli editori (siti web), che hanno scelto attivamente di configurare o passare a impostazioni più conformi. I clienti nuovi ed esistenti delle CMP hanno mostrato tendenze di conformità simili, suggerendo che i cambiamenti siano originati dagli editori e non dalle configurazioni predefinite delle CMP.

Significatività e Rivendicazioni
L'articolo sostiene che i miglioramenti osservati nella conformità al GDPR non sono il risultato di uno standard industriale unificato o di un comportamento proattivo delle CMP, ma piuttosto di un processo reattivo guidato dall enforcement regolatorio e dall' iniziativa degli editori.

Ruolo dei Regolatori: Gli autori sottolineano che l'attività delle DPA è un driver critico. Gli "effetti a catena" di casi di alto profilo (come CNIL contro Google/Meta) dimostrano che l'azione regolatoria può forzare rapidi cambiamenti di design in tutto l'ecosistema.
Ruolo delle CMP: Lo studio mette in discussione l'assunto che le CMP siano la soluzione primaria per la conformità. Evidenzia come le CMP abbiano contribuito poco al miglioramento dei tassi di conformità e spesso forniscano interfacce predefinite divergenti e talvolta non conformi. Gli autori sostengono che le CMP manchino attualmente di incentivi sufficienti per dare priorità a impostazioni predefinite favorevoli alla privacy rispetto alla ritenzione dei clienti o all'"ottimizzazione del consenso".
Responsabilità Condivisa: L'articolo conclude che la conformità è una responsabilità condivisa. Sebbene gli editori siano gli agenti ultimi del cambiamento, la mancanza di supervisione regolatoria sulle CMP permette la persistenza di design manipolatori. Gli autori raccomandano:
- Una maggiore collaborazione uniforme e linee guida tra i regolatori dell'UE per ridurre la divergenza interpretativa.
- La supervisione regolatoria delle CMP, potenzialmente attraverso la chiarificazione della "controllabilità congiunta" o l'imposizione di segnali di consenso tecnici (ad es. tramite i vendor dei browser) per vincolare le interfacce dei banner non conformi.

Il lavoro serve come base per accademici, regolatori e stakeholder del settore per sviluppare strategie che possano motivare meglio i soggetti chiave e migliorare la privacy degli utenti, rilevando che, sebbene il progresso sia positivo, rimangono sfide significative riguardanti il design manipolatorio e la scelta dell'utente.