Conformità web nei Paesi Bassi: cookie, GDPR e accessibilità

I Paesi Bassi sono uno Stato membro UE, quindi le regole principali sono le stesse di tutta l’Unione: il GDPR per i dati personali, la Direttiva ePrivacy per cookie e storage e l’European Accessibility Act per l’accessibilità digitale. Il punto critico è che ciascuna raggiunge un sito olandese tramite una legge nazionale e un’autorità diverse. Questa guida mappa i tre quadri come si applicano davvero nei Paesi Bassi nel 2026.

I tre quadri applicabili

• GDPR + UAVG. Il GDPR si applica direttamente; l’Uitvoeringswet AVG (UAVG) aggiunge il dettaglio nazionale. L’autorità di controllo è l’Autoriteit Persoonsgegevens (AP).
• ePrivacy tramite la Telecommunicatiewet. La regola di consenso sui cookie è l’articolo 11.7a della Telecommunicatiewet, in vigore dal 2012. È questa a richiedere il banner, non il GDPR.
• EAA tramite l’Implementatiewet. L’European Accessibility Act è recepito dall’Implementatiewet toegankelijkheidsvoorschriften producten en diensten, applicabile a prodotti e servizi al consumo rientranti dal 28 giugno 2025.

Cookie: articolo 11.7a Telecommunicatiewet

L’articolo 11.7a richiede che, prima di memorizzare o leggere informazioni sul terminale dell’utente, il sito informi in modo chiaro e completo sulle finalità e ottenga il consenso. Le eccezioni sono tre — una in più che nella maggior parte degli Stati membri. Le prime due sono quelle consuete: un cookie strettamente necessario a trasmettere la comunicazione e un cookie strettamente necessario a un servizio esplicitamente richiesto (ad esempio di sessione o carrello).

La terza è ciò che rende diversi i Paesi Bassi. L’articolo 11.7a comma 3, introdotto dalla legge del 4 giugno 2014 (disegno di legge 33902), elimina l’obbligo di consenso per i cookie che raccolgono informazioni su de kwaliteit of effectiviteit di un servizio erogato, purché abbiano geen of geringe gevolgen voor de persoonlijke levenssfeer, cioè conseguenze nulle o minime per la vita privata. È un’eccezione per gli analytics, senza equivalenti nelle trasposizioni tedesca o francese.

Pixel pubblicitari, embed social, test A/B e registrazione di sessione richiedono quindi il consenso opt-in preventivo. Gli analytics sono l’eccezione olandese, e ristretta: le linee guida pubblicate dall’AP ammettono che un Google Analytics configurato rigorosamente secondo le sue impostazioni rispettose della privacy oggi non richiede consenso. Ogni impostazione deve essere corretta e, appena i dati vengono riutilizzati a fini pubblicitari o condivisi, l’eccezione smette di valere. Come nel resto dell’UE, la regola è tecnologicamente neutra: sostituire un cookie con localStorage o un pixel non la elude.

La campagna cookie dell’AP

Nel 2025 l’Autoriteit Persoonsgegevens ha reso i banner cookie una priorità di controllo dichiarata. Diverse organizzazioni hanno ricevuto una «lettera cookie» con la richiesta di correggere banner non conformi, e l’AP ha esaminato le implementazioni di Google Analytics 4. Agisce qui sul versante AVG: l’articolo 15.1 comma 3 della Telecommunicatiewet affida la vigilanza sull’art. 11.7a stesso all’Autoriteit Consument en Markt, motivo per cui nel marzo 2025 l’AP ha chiesto al Ministro di essere designata al suo posto. La sua posizione sul design del banner è precisa:

• Se c’è un pulsante «Accetta tutto» nel primo livello, deve esserci un «Rifiuta tutto» nello stesso livello, con pari evidenza.
• Un link «Impostazioni» o «Gestisci» non conta come rifiuto, rifiutare deve essere facile quanto accettare.
• Nessun cookie o tracker non essenziale può attivarsi prima del consenso attivo.

Ciò rispecchia il consenso UE (vedi il nostro articolo sulla parità del rifiuto) ed è di gran lunga il difetto riproducibile più frequente che Veracly rileva sui siti olandesi.

Accessibilità: l’EAA nel diritto olandese

L’European Accessibility Act si applica in tutta l’UE dal 28 giugno 2025. Nei Paesi Bassi è recepito dall’Implementatiewet toegankelijkheidsvoorschriften producten en diensten, che modifica varie leggi esistenti tra cui la Warenwet, la Telecommunicatiewet e il Codice civile. Per i servizi digitali, siti, app e negozi online al consumo devono essere accessibili, misurati in pratica rispetto a WCAG 2.1 AA tramite la norma armonizzata EN 301 549.

L’applicazione è ripartita tra autorità a seconda del prodotto o servizio; l’Autoriteit Consument en Markt (ACM) vigila sull’e-commerce. Esiste un’agevolazione per le microimprese di servizi (meno di 10 addetti e fatturato o bilancio fino a 2 mln €), ma è ristretta e non copre i prodotti. Il settore pubblico era già coperto separatamente dalla Direttiva sull’accessibilità web.

Una checklist pratica per un sito olandese

1. Nessun cookie, pixel o scrittura di storage non essenziale si attiva prima del consenso.
2. Il banner offre «Rifiuta tutto» nel primo livello, evidente quanto Accetta tutto.
3. Un’informativa privacy nomina i tracker e la base giuridica GDPR/UAVG.
4. Gli analytics sono subordinati al consenso oppure configurati rigorosamente secondo le impostazioni di privacy dell’AP ai sensi dell’art. 11.7a comma 3; in entrambi i casi, ogni trasferimento verso gli USA si basa su un meccanismo valido del Capo V.
5. Il sito rispetta WCAG 2.1 AA (EN 301 549) per i contenuti al consumo.

Come Veracly verifica un sito olandese

Veracly valuta una URL olandese rispetto ai tre quadri in un’unica scansione. Il modulo cookie registra le richieste a terze parti, i cookie e le scritture di storage presenti prima che il banner venga toccato — e noi il banner non lo tocchiamo mai, perché cliccare sarebbe di per sé un gesto di consenso e falserebbe la lettura precedente al consenso. Le richieste verso il tuo stesso host non vengono registrate, quindi un tracciamento veicolato in prima parte resta invisibile. Segnala storage non essenziale prima del consenso, banner mancante e percorso di rifiuto assente o non equivalente — quest’ultimo letto dal banner renderizzato, non testato cliccando Rifiuta.

Un limite da conoscere prima di leggere il report: i rilievi sono associati a un pacco di regole per giurisdizione, non al testo olandese. Nel prodotto non esiste ancora una mappatura della Telecommunicatiewet, quindi il pacco GDPR cita il § 25 TDDDG, la trasposizione tedesca dello stesso articolo ePrivacy. Per un sito olandese l’osservazione è quella giusta; la citazione non è ancora localizzata, e l’eccezione analytics dell’art. 11.7a comma 3 non è modellata affatto. Tratta perciò un rilievo sugli analytics come un invito a verificare la tua configurazione rispetto alle impostazioni dell’AP, non come un verdetto. Il modulo di accessibilità esegue axe-core sul DOM renderizzato per WCAG 2.1 AA, e i rilievi sui tracker arrivano con una ricetta DevTools che puoi rieseguire da te.

Vedi anche: Conformità web in Finlandia · GDPR vs ePrivacy: cosa governa i cookie? · L’EAA per le PMI