Conformità web nei Paesi Bassi: cookie, GDPR e accessibilità

I Paesi Bassi sono uno Stato membro UE, quindi le regole principali sono le stesse di tutta l’Unione: il GDPR per i dati personali, la Direttiva ePrivacy per cookie e storage e l’European Accessibility Act per l’accessibilità digitale. Il punto critico è che ciascuna raggiunge un sito olandese tramite una legge nazionale e un’autorità diverse. Questa guida mappa i tre quadri come si applicano davvero nei Paesi Bassi nel 2026.

I tre quadri applicabili

• GDPR + UAVG. Il GDPR si applica direttamente; l’Uitvoeringswet AVG (UAVG) aggiunge il dettaglio nazionale. L’autorità di controllo è l’Autoriteit Persoonsgegevens (AP).
• ePrivacy tramite la Telecommunicatiewet. La regola di consenso sui cookie è l’articolo 11.7a della Telecommunicatiewet, in vigore dal 2012. È questa a richiedere il banner — non il GDPR.
• EAA tramite l’Implementatiewet. L’European Accessibility Act è recepito dall’Implementatiewet toegankelijkheidsvoorschriften producten en diensten, applicabile a prodotti e servizi al consumo rientranti dal 28 giugno 2025.

Cookie: articolo 11.7a Telecommunicatiewet

L’articolo 11.7a richiede che, prima di memorizzare o leggere informazioni sul terminale dell’utente, il sito informi in modo chiaro e completo sulle finalità e ottenga il consenso. Due eccezioni ristrette: un cookie strettamente necessario a trasmettere la comunicazione e un cookie strettamente necessario a un servizio esplicitamente richiesto (ad esempio di sessione o carrello).

Tutto il resto — analytics, pixel pubblicitari, embed social, test A/B, registrazione di sessione — richiede consenso opt-in preventivo. Come nel resto dell’UE, la regola è tecnologicamente neutra: sostituire un cookie con localStorage o un pixel non la elude.

La campagna cookie dell’AP

Nel 2025 l’Autoriteit Persoonsgegevens ha reso i banner cookie una priorità di controllo dichiarata. Diverse organizzazioni hanno ricevuto una «lettera cookie» con la richiesta di correggere banner non conformi, e l’AP ha esaminato le implementazioni di Google Analytics 4. La sua posizione sul design del banner è precisa:

• Se c’è un pulsante «Accetta tutto» nel primo livello, deve esserci un «Rifiuta tutto» nello stesso livello, con pari evidenza.
• Un link «Impostazioni» o «Gestisci» non conta come rifiuto — rifiutare deve essere facile quanto accettare.
• Nessun cookie o tracker non essenziale può attivarsi prima del consenso attivo.

Ciò rispecchia il consenso UE (vedi il nostro articolo sulla parità del rifiuto) ed è di gran lunga il difetto riproducibile più frequente che Veracly rileva sui siti olandesi.

Accessibilità: l’EAA nel diritto olandese

L’European Accessibility Act si applica in tutta l’UE dal 28 giugno 2025. Nei Paesi Bassi è recepito dall’Implementatiewet toegankelijkheidsvoorschriften producten en diensten, che modifica varie leggi esistenti tra cui la Warenwet, la Telecommunicatiewet e il Codice civile. Per i servizi digitali, siti, app e negozi online al consumo devono essere accessibili — misurati in pratica rispetto a WCAG 2.1 AAtramite la norma armonizzata EN 301 549.

L’applicazione è ripartita tra autorità a seconda del prodotto o servizio; l’Authority for Consumers and Markets (ACM) vigila sull’e-commerce. Esiste un’agevolazione per le microimprese di servizi (meno di 10 addetti e fatturato o bilancio fino a 2 mln €), ma è ristretta e non copre i prodotti. Il settore pubblico era già coperto separatamente dalla Direttiva sull’accessibilità web.

Una checklist pratica per un sito olandese

1. Nessun cookie, pixel o scrittura di storage non essenziale si attiva prima del consenso.
2. Il banner offre «Rifiuta tutto» nel primo livello, evidente quanto Accetta tutto.
3. Un’informativa privacy nomina i tracker e la base giuridica GDPR/UAVG.
4. Gli analytics (inclusa GA4) sono subordinati al consenso, e ogni trasferimento verso gli USA si basa su un meccanismo valido del Capo V.
5. Il sito rispetta WCAG 2.1 AA (EN 301 549) per i contenuti al consumo.

Come Veracly verifica un sito olandese

Veracly valuta una URL olandese rispetto ai tre quadri in un’unica scansione. Il modulo cookie registra ogni richiesta di rete, cookie e scrittura di storage che avviene prima dell’interazione con il banner e segnala i problemi dell’articolo 11.7a (attivazione prima del consenso, assenza di percorso di rifiuto, banner mancante). Il modulo di accessibilità esegue axe-core sul DOM renderizzato per WCAG 2.1 AA. Ogni rilievo è associato al quadro effettivamente coinvolto ed è riproducibile da te negli strumenti per sviluppatori del tuo browser.

Vedi anche: Conformità web in Finlandia · GDPR vs ePrivacy: cosa governa i cookie? · L’EAA per le PMI