Dato personale
Qualsiasi informazione collegata a una persona identificata o identificabile. Gli identificatori online, come cookie, ID pubblicitari e indirizzo IP, di norma contano come dato personale.
Guida · Normativa britannica
UK GDPR e cookie nel Regno Unito, senza legalese
Dopo la Brexit, il Regno Unito ha avuto regole proprie su privacy e cookie. Nel 2026 sono cambiate di nuovo: sono comparse eccezioni al consenso, le sanzioni sui cookie sono aumentate e l'autorità di controllo ha cambiato nome. Questa guida spiega cosa vale oggi per un sito con AdSense o Ad Manager che riceve visitatori britannici.
- ✓Basato sulla legislazione britannica e sulle indicazioni ufficiali dell'autorità di controllo
- ✓Esempi di siti con annunci, anche brasiliani
- ✓Lettura senza modificare il sito
£17,5 mlntetto delle sanzioni più gravi del UK GDPR
4%del fatturato mondiale annuo, quando questo valore è superiore al tetto fisso
5eccezioni al consenso per i cookie previste dalle indicazioni ufficiali del 2026
72 htermine per avvisare l'autorità di controllo di una violazione dei dati che crei rischio per le persone
Che cos'è
Tre regole che funzionano insieme
Quando il Regno Unito è uscito dall'Unione europea, ha copiato il GDPR europeo nella propria legislazione. Questa copia, in vigore dal 1° gennaio 2021, si chiama UK GDPR. Lavora insieme alla Data Protection Act 2018, la legge britannica che completa e adatta il testo, e al PECR, il regolamento del 2003 che riguarda cookie, marketing via e-mail e comunicazioni elettroniche.
In pratica, il UK GDPR definisce cos'è un dato personale, quando può essere usato e quali diritti hanno le persone. Il PECR risponde a una domanda più specifica: quando un sito può scrivere o leggere informazioni sul dispositivo del visitatore. Cookie, pixel, archiviazione locale del browser, fingerprinting del dispositivo e script di tracciamento rientrano tutti in questa regola.
La legge vale per le aziende stabilite nel Regno Unito e anche per quelle estere che offrono prodotti o servizi a persone nel paese o che ne monitorano il comportamento. Un sito brasiliano che usa cookie pubblicitari per creare profili di visitatori britannici sta monitorando il comportamento, anche senza un ufficio a Londra.
Nel 2025, la Data (Use and Access) Act 2025 ha modificato tutte e tre le norme. La maggior parte delle modifiche è entrata in vigore il 5 febbraio 2026. E, il 30 settembre 2026, l'ICO ha lasciato il posto alla Information Commission, che ha assunto le stesse funzioni e poteri.
Checklist
Cosa devi rispettare
Questi sono i punti che l'autorità britannica e Google richiedono a un sito con annunci che riceve visitatori dal Regno Unito.
Usa una CMP certificata da Google
Dal 16 gennaio 2024, Google richiede una CMP certificata e integrata con IAB TCF per mostrare annunci personalizzati nel Regno Unito. Senza di essa, quel traffico può ricevere solo annunci non personalizzati o limitati.
EsempioIn Privacy e messaggi, crea il messaggio sulle normative europee, che vale per lo SEE, il Regno Unito e la Svizzera.
Chiedi il consenso per ogni cookie pubblicitario
La guida ufficiale dice che la pubblicità online non è mai stata esclusa dall'obbligo di consenso. I cookie e i pixel pubblicitari possono essere salvati solo dopo un consenso valido.
EsempioIl pixel di remarketing si carica solo dopo il clic su Acconsento.
Rendi il rifiuto facile quanto l'accettazione
L'autorità si aspetta che rifiutare richieda lo stesso sforzo di accettare. Il silenzio o la mancanza di risposta non valgono come consenso.
EsempioAcconsento e Non acconsento appaiono insieme nella prima schermata, con la stessa dimensione.
Parti con tutto disattivato
Le opzioni per le tecnologie che dipendono dal consenso devono essere disattivate per impostazione predefinita. Solo la scelta attiva del visitatore può attivarle.
EsempioNella schermata delle preferenze, i pulsanti di pubblicità e di misurazione degli annunci partono in posizione disattivata.
Dì chi sono le terze parti
Perché il consenso sia valido, il sito deve indicare l'identità delle terze parti che ricevono i dati.
EsempioIl banner ha un link all'elenco dei partner, con Google e ogni rete pubblicitaria del sito.
Permetti di revocare il consenso in qualsiasi momento
La legge richiede che il visitatore possa revocare il consenso quando vuole. Anche la politica di Google chiede istruzioni chiare per farlo.
EsempioUn link fisso nel footer, Preferenze sulla privacy, riapre il banner.
Usa le eccezioni solo con informativa e rifiuto semplice
I cookie statistici e di aspetto possono non richiedere il consenso, ma il sito deve spiegarne la finalità e offrire un modo semplice e gratuito per rifiutarli. Queste eccezioni non coprono la pubblicità.
EsempioNella pagina dei cookie: usiamo cookie statistici per migliorare il sito, e puoi disattivarli con questo pulsante.
Verifica se devi pagare la tariffa all'autorità
Le organizzazioni che usano dati personali devono pagare la tariffa per la protezione dei dati, a meno che non siano esenti. Controlla sul sito dell'autorità se è il tuo caso.
In pratica
Giusto e sbagliato
✕SbagliatoC'è solo il pulsante accetta, e per rifiutare bisogna aprire vari menu. ✓GiustoAccetta e rifiuta sono nella stessa schermata e richiedono lo stesso sforzo. ✕SbagliatoI pulsanti della pubblicità sono già attivi quando la schermata si apre. ✓GiustoPubblicità e misurazione degli annunci partono disattivate nella schermata delle preferenze. ✕SbagliatoIl pixel di remarketing scatta appena la pagina si carica. ✓GiustoPixel e cookie pubblicitari aspettano il clic su accetta.
Strumenti ufficiali
CMP certificate e link ufficiali
Per gli annunci personalizzati nel Regno Unito, Google richiede una CMP certificata, e queste sono le pagine ufficiali per sceglierla e configurarla.
- Elenco delle CMP certificate da GooglePagina del Centro assistenza con la regola per SEE, Regno Unito e Svizzera e l'elenco delle CMP certificate, aggiornato ogni settimana.support.google.com/admanager/answer/13554116
- Elenco delle CMP registrate nel TCF di IAB EuropeMostra le CMP registrate nel TCF, con il numero di identificazione di ciascuna.iabeurope.eu/cmp-list
- Privacy e messaggi di GoogleSpiega lo strumento di AdSense che crea i messaggi sulle normative europee e sulle leggi dei singoli stati USA.support.google.com/adsense/answer/10924669
- Autorità britannica: come gestire il consenso in praticaGuida ufficiale su rifiuto facile quanto l'accettazione, opzioni disattivate e revoca del consenso.ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
- Autorità britannica: eccezioni al consensoElenca le eccezioni per i cookie e chiarisce che nessuna copre la pubblicità.ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
Definizioni
Le parole che compaiono ovunque
Sono gli stessi concetti del GDPR europeo, con alcuni nomi nuovi portati dalla riforma del 2025.
Titolare e responsabile del trattamento
Il titolare decide perché e come i dati vengono usati, come il proprietario del sito. Il responsabile tratta i dati per suo conto, come una società di hosting o di e-mail.
Tecnologie di archiviazione e accesso
È il nome che l'autorità di controllo ha iniziato a usare per i cookie e per tutto ciò che svolge lo stesso ruolo: pixel, web storage, fingerprinting e script che leggono dati dal dispositivo.
Consenso
Una scelta libera, specifica, informata e compiuta con un'azione chiara, come cliccare su accetta. Silenzio, caselle preselezionate o continuare a navigare non valgono come consenso.
Basi giuridiche e consenso
Quando bisogna chiedere il permesso
Il UK GDPR richiede una base giuridica per ogni uso di dati personali. Le più comuni sono consenso, esecuzione di un contratto, obbligo di legge e legittimo interesse. La riforma del 2025 ha creato un elenco di legittimi interessi riconosciuti, come la prevenzione dei reati e le situazioni di emergenza, che dispensano dal test di bilanciamento. La pubblicità non è in questo elenco.
Per i cookie, a dettare le regole è il PECR. La regola generale resta la stessa: scrivere o leggere qualcosa sul dispositivo del visitatore richiede il consenso, a meno che l'uso rientri in un'eccezione. Lo standard di consenso è quello del UK GDPR, e l'autorità di controllo si aspetta che rifiutare sia facile come accettare.
Dal 5 febbraio 2026 esistono cinque eccezioni: trasmissione della comunicazione, servizio strettamente necessario, statistiche per migliorare il servizio stesso, aspetto o funzionalità scelti dall'utente e assistenza di emergenza. Nelle eccezioni per statistiche e aspetto, il sito deve informare con chiarezza e offrire un modo semplice e gratuito di rifiutare.
L'indicazione ufficiale è diretta: nessuna delle eccezioni copre la pubblicità online. Cookie e pixel per annunci personalizzati, misurazione degli annunci e remarketing continuano a dipendere dal consenso. A maggio 2026 l'autorità di controllo ha suggerito al governo di valutare un'eccezione per la pubblicità a basso rischio, ma finora la legge non è cambiata.
Diritti delle persone
Cosa può chiedere il visitatore al tuo sito
Qualsiasi persona nel Regno Unito può esercitare questi diritti. Il sito deve avere un canale per ricevere le richieste e rispondere entro il termine.
Sapere e accedere
Ricevere informazioni chiare sull'uso dei dati e una copia di ciò che il sito conserva su di lei, di regola entro un mese.
Correggere e cancellare
Chiedere la correzione di dati errati e la cancellazione quando non c'è più motivo di conservarli, ad esempio dopo aver revocato il consenso.
Opporsi al marketing
Rifiutare l'uso dei dati per il marketing diretto in qualsiasi momento. In questo caso l'opposizione è assoluta e il sito deve fermarsi.
Revocare il consenso
Cambiare idea sui cookie con la stessa facilità con cui ha accettato. Un link fisso per riaprire le preferenze risolve il problema.
Decisioni automatizzate
Essere informato, contestare e chiedere una revisione umana quando una decisione importante viene presa solo da un sistema.
Reclamare al titolare
Dal 19 giugno 2026, chi tratta dati deve avere un processo di reclamo e confermare la ricezione entro 30 giorni.
Obblighi
Cosa deve fare un sito con visitatori britannici
- Pubblicare un'informativa completa sulla privacyIndica chi è il responsabile del sito, quali dati raccoglie, per cosa, con quale base giuridica, con chi li condivide, per quanto tempo li conserva e come la persona esercita i diritti. Cita i partner pubblicitari e il trasferimento di dati fuori dal paese.
- Mostrare un banner con una scelta realePrima di qualsiasi cookie pubblicitario o di misurazione degli annunci, chiedi il consenso. Accettare e rifiutare devono avere lo stesso peso visivo e stare nella stessa schermata.
- Bloccare ciò che dipende dal consensoPixel, remarketing e annunci personalizzati possono attivarsi solo dopo l'accettazione. Senza risposta, il sito la tratta come un rifiuto.
- Usare le eccezioni con trasparenzaSe usi cookie statistici o di preferenze senza consenso, spiegalo nella pagina dei cookie e offri un modo semplice per disattivarli.
- Curare sicurezza e violazioni dei datiProteggi i dati e avvisa l'autorità di controllo entro 72 ore quando una violazione può comportare un rischio per le persone. Se il rischio è alto, avvisa anche gli interessati.
- Tenere la casa in ordineStipula contratti con i fornitori che trattano dati, fai una valutazione d'impatto per gli usi ad alto rischio e verifica se l'azienda deve pagare la tariffa annuale all'autorità di controllo.
Controlli e sanzioni
Quanto costa sbagliare
L'autorità di controllo di solito inizia con avvertimenti e ordini di correzione, ma le sanzioni massime sono alte, e la riforma del 2025 ha rafforzato anche i poteri sui cookie.
Tetto più alto del UK GDPR
Fino a 17,5 milioni di sterline o al 4% del fatturato mondiale annuo, a seconda di quale sia maggiore, per le violazioni più gravi, come trattare dati senza base giuridica.
Tetto standard
Fino a 8,7 milioni di sterline o al 2% del fatturato mondiale annuo per carenze come registri incompleti o sicurezza inadeguata.
Maggiori poteri sui cookie
La riforma del 2025 ha ampliato i poteri di controllo e di sanzione dell'autorità sul PECR. Le nuove regole valgono per le condotte a partire dal 5 febbraio 2026.
Controllo attivo
A gennaio 2025 l'autorità di controllo ha annunciato la revisione dei banner dei mille siti più visitati del paese. Ad aprile 2026 ha comunicato che il 99% di essi rispettava già gli standard.
Cronologia
Come si è arrivati a queste regole
Le date che pesano di più per chi ha visitatori dal Regno Unito.
- 2003
Nasce il PECR
Il regolamento britannico sulle comunicazioni elettroniche inizia a occuparsi di cookie e marketing elettronico.
- 25 maggio 2018
GDPR e Data Protection Act 2018
Il GDPR europeo entra in vigore nel Regno Unito, insieme alla nuova legge britannica sulla protezione dei dati.
- 1° gennaio 2021
Inizia il UK GDPR
Con la fine della transizione della Brexit, il paese ha la propria versione del GDPR.
- 16 gennaio 2024
CMP certificata per gli annunci di Google
Per gli annunci personalizzati nel Regno Unito, AdSense e Ad Manager iniziano a richiedere una CMP certificata e integrata con l'IAB TCF.
- 19 giugno 2025
Data (Use and Access) Act 2025
La legge che riforma il UK GDPR, la Data Protection Act e il PECR riceve la sanzione reale.
- 5 febbraio 2026
Nuove eccezioni e più poteri
Entrano in vigore le nuove eccezioni per i cookie, i legittimi interessi riconosciuti e i nuovi poteri di controllo dell'autorità sul PECR.
- 29 aprile 2026
Indicazioni finali sui cookie
L'autorità di controllo pubblica la versione finale delle indicazioni sulle tecnologie di archiviazione e accesso.
- 30 settembre 2026
Information Commission
L'ICO viene sostituito dalla Information Commission, un organo collegiale con le stesse funzioni e poteri.
Per chi ha AdSense o Ad Manager
Cosa cambia in pratica per i ricavi
Google tratta il Regno Unito come lo Spazio economico europeo. Per mostrare annunci personalizzati ai visitatori britannici, il sito ha bisogno di una CMP certificata da Google e integrata con l'IAB TCF. Senza di essa, questo traffico riceve solo annunci non personalizzati o limitati, che di solito rendono molto meno.
La CMP registra la scelta del visitatore in una TC string e trasmette i segnali di Consent Mode ai tag di Google. Se il sito usa anche Google Analytics o Google Ads, i quattro segnali di Consent Mode devono riflettere ciò che la persona ha scelto nel banner.
Pensa a un portale brasiliano di ricette che riceve una piccola quota di visitatori dal Regno Unito, molti dei quali brasiliani che vivono lì. Per il pubblico del Brasile vale la LGPD; per quello britannico valgono il UK GDPR e il PECR. La configurazione giusta mostra il messaggio TCF solo a chi si trova nel Regno Unito, nel SEE e in Svizzera, senza disturbare il pubblico brasiliano.
Il messaggio sulla privacy di AdSense e Ad Manager è certificato e copre già il Regno Unito. Chi usa un'altra CMP deve confermare che sia nell'elenco di Google e che il Regno Unito sia tra le regioni configurate.
In pratica
Cosa è consentito e cosa no nel Regno Unito
Esempi comuni in siti di notizie, ricette, finanza e offerte di lavoro che ricevono visitatori britannici.
Consentito
- Usare cookie statistici per migliorare il sito stesso senza consenso, purché si informi e si offra un modo semplice di rifiutare
- Salvare la preferenza di lingua o di tema scuro del visitatore in base all'eccezione per l'aspetto
- Mostrare il messaggio TCF solo ai visitatori del Regno Unito, del SEE e della Svizzera
- Mostrare annunci non personalizzati a chi ha rifiutato
- Usare il Messaggio sulla privacy di AdSense o di Ad Manager, che è già certificato
Non consentito
- Caricare pixel di remarketing o cookie pubblicitari prima del clic su accetta
- Far rientrare la misurazione degli annunci nell'eccezione per le statistiche
- Mettere solo il pulsante accetta nella prima schermata e nascondere il rifiuto in un menu
- Usare un normale plugin per i cookie, fuori dall'elenco di Google, per il traffico britannico
- Trattare il continuare a navigare come se fosse un consenso
Errori comuni
Dove i siti sbagliano di più
Sono errori che compaiono spesso negli audit di siti con traffico dal Regno Unito.
Pensare che la Brexit abbia tolto il Regno Unito dalla regola
Molti configurano la CMP solo per l'Unione europea. Il visitatore britannico resta senza messaggio e Google inizia a consegnare annunci limitati.
Leggere la riforma del 2025 come un via libera generale
Le nuove eccezioni servono per statistiche, preferenze ed emergenza. Gli annunci continuano a richiedere il consenso.
Banner solo decorativo
Il banner compare, ma i cookie pubblicitari sono già stati scritti prima della risposta. Per l'autorità di controllo, equivale a non chiedere il consenso.
Rifiuto più difficile dell'accettazione
Accettare con un clic e rifiutare con cinque è il tipo di design che l'autorità di controllo contesta ai grandi siti.
Informativa sulla privacy generica
Testo copiato da un altro sito, senza citare Google, i partner pubblicitari, i trasferimenti internazionali né il canale per le richieste.
Eccezione senza opzione di rifiuto
Usare cookie statistici o di aspetto senza consenso e non offrire un modo semplice per disattivarli viola la condizione stessa dell'eccezione.
In ConsentMode
Cosa controlla l'audit per il Regno Unito
- Apre il sito come visitatore del Regno Unito e di fuori e registra dove compare il banner e quali pulsanti offre.
- Identifica la CMP dal codice della pagina e indica se è nell'elenco delle CMP certificate di Google.
- Legge la TC string e i segnali di Consent Mode e li confronta con ciò che il visitatore ha scelto.
- Elenca i cookie e le richieste di rete prima e dopo l'accettazione e segnala ciò che si attiva troppo presto.
- Verifica se la pagina della privacy cita i partner pubblicitari, le basi giuridiche, i diritti e un canale di contatto.
Domande frequenti
Il mio sito è brasiliano e non ha un'azienda nel Regno Unito. La legge si applica a me?
Vale per i visitatori che si trovano nel Regno Unito quando il sito ne monitora il comportamento, come accade con i cookie degli annunci personalizzati. E, anche senza guardare alla legge, Google richiede una CMP certificata per mostrare annunci personalizzati a questo pubblico.
I cookie di Google Analytics richiedono ancora il consenso?
Dipende dall'uso. L'eccezione per le statistiche vale quando i dati servono solo a misurare e migliorare il sito stesso, con un avviso chiaro e un'opzione semplice per rifiutare. Se lo strumento usa i dati per gli annunci o per finalità del fornitore stesso, l'eccezione non si applica.
L'ICO non esiste più? Chi controlla adesso?
Dal 30 settembre 2026, le funzioni dell'ICO sono passate alla Information Commission. Il ruolo e i poteri dell'autorità non sono cambiati e il lavoro quotidiano continua; cambia il modello di governance, che ora è collegiale.
La riforma del 2025 ha reso il Regno Unito più flessibile dell'Unione europea?
In alcuni punti sì, come le nuove eccezioni per statistiche e preferenze. Per gli annunci personalizzati, il risultato pratico è lo stesso: consenso prima di scrivere o leggere qualsiasi cosa sul dispositivo.
Posso usare una CMP solo per il Regno Unito e un'altra per l'Europa?
Puoi, ma raramente conviene. La maggior parte delle CMP certificate copre SEE, Regno Unito e Svizzera con la stessa configurazione, per regione.
Cosa succede ai ricavi se il visitatore rifiuta?
Google può comunque mostrare annunci non personalizzati o limitati a quella persona. I ricavi per visita di solito sono inferiori, ma il sito continua a monetizzare senza violare la regola.
Biblioteca
Fonti ufficiali
Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:
- Autorità di controllo britannica: guida sull'uso delle tecnologie di archiviazione e accesso (eccezioni)ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
- legislation.gov.uk: Data (Use and Access) Act 2025 (Commencement No. 6) Regulations 2026www.legislation.gov.uk/uksi/2026/82/made
- GOV.UK: piano di entrata in vigore della Data (Use and Access) Act 2025www.gov.uk/guidance/data-use-and-access-act-2025-plans-for-commencement
- GOV.UK: la Information Commission succede all'ICOwww.gov.uk/government/news/information-commission-succeeds-the-ico-as-uks-data-protection-regulator
- Google Ad Manager: requisiti di gestione del consenso nel SEE, nel Regno Unito e in Svizzerasupport.google.com/admanager/answer/13554116
- Autorità britannica: come gestire il consenso in praticaico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
Scopri come appare il tuo sito a un visitatore britannico
L'audit apre il sito dal Regno Unito, registra banner e cookie e mostra cosa correggere, senza modificare nulla.