Conformità DSA UE: banner cookie e rischio sanzioni

Sanzione DSA, status VLOP e rischio cookie: calcolo

Il Digital Services Act (regolamento (UE) 2022/2065) limita le sanzioni al 6% del fatturato mondiale annuo e le penalità di mora al 5% del fatturato giornaliero medio. Una piattaforma diventa di dimensioni molto grandi (VLOP) a partire da 45 milioni di utenti attivi mensili nell'UE. Lo strumento calcola questi massimali, quello del GDPR per i cookie (20 M€ o 4%) e un indice di conformità indicativo.

Che cosa calcola lo strumento

• Massimale di sanzione DSA = 6% del fatturato mondiale annuo.
• Penalità di mora giornaliera massima = fatturato ÷ 365 × 5%.
• Massimale GDPR applicato ai cookie = il più alto tra 20 M€ e il 4% del fatturato.
• Status VLOP: raggiunto a partire da 45 milioni di utenti attivi mensili nell'UE, qualunque sia il tipo di servizio.
• Indice di conformità (euristica propria dello strumento) = 100 meno punti di rischio, tra 5 e 100: 0,8 per punto di voto del banner sotto il 70%, 35 per i dark pattern, 25 senza segnalazione dei contenuti illeciti, 30 per un marketplace senza verifica dei venditori (art. 30), 15 per una VLOP. Critico sotto 50, moderato fino a 74, basso oltre.

Esempio

Marketplace, 12 milioni di utenti, 45 M€ di fatturato, banner con voto del 40%, dark pattern presenti, segnalazione e verifica dei venditori in atto: (70 − 40) × 0,8 + 35 = 59 punti, indice 41/100, rischio critico. Massimale DSA: 2.700.000 €. Penalità massima: 6.164 € al giorno. Massimale GDPR: 20.000.000 €, perché il 4% darebbe solo 1,8 M€.

Limiti

Gli importi sono massimi di legge, non una previsione. L'articolo 25 del DSA (interfacce ingannevoli) esclude le pratiche coperte dal GDPR o dalla direttiva sulle pratiche commerciali sleali: per un banner cookie, «rifiutare con la stessa facilità con cui si accetta» è un requisito delle linee guida della CNIL. Non è una consulenza legale. Per una violazione del GDPR diversa dai cookie, vedete il simulatore di sanzioni GDPR; per la cancellazione dei dati, la guida ai tempi di conservazione.

Fonti e date: regolamento (UE) 2022/2065, art. 25, 33 (soglia di 45 milioni), 52, 74 (6%) e 76 (penalità di mora del 5%), applicabile a tutte le piattaforme dal 17/02/2024 (Commissione europea, applicazione del DSA); GDPR, art. 83 §5, applicabile dal 25/05/2018 (CNIL, capitolo VIII del GDPR); linee guida cookie della CNIL del 17/09/2020 (CNIL, FAQ cookie) (verificato il 14/10/2026).

Domande frequenti

Qual è l'importo massimo di una sanzione DSA?

La sanzione non può superare il 6% del fatturato mondiale annuo del fornitore nell'esercizio precedente. Per 45 M€ di fatturato, il massimale è di 2,7 M€. Questo massimale vale sia per le sanzioni degli Stati membri sia per quelle della Commissione nei confronti delle piattaforme di dimensioni molto grandi.

A partire da quanti utenti una piattaforma è una VLOP?

La soglia è di 45 milioni di destinatari attivi mensili medi nell'Unione, cioè circa il 10% della popolazione dell'UE. La Commissione designa poi la piattaforma, e gli obblighi rafforzati si applicano quattro mesi dopo la notifica di tale designazione.

Come si calcola la penalità di mora giornaliera del DSA?

Può arrivare al 5% del fatturato mondiale giornaliero medio dell'esercizio precedente, per giorno di ritardo. Lo strumento divide il fatturato annuo per 365 e poi applica il 5%: 45 M€ danno al massimo 6.164 € al giorno.

Il DSA vieta i dark pattern nei banner cookie?

L'articolo 25 del DSA vieta le interfacce ingannevoli delle piattaforme, ma esclude le pratiche già coperte dal GDPR. I banner cookie ricadono quindi soprattutto nel GDPR e nelle norme ePrivacy. In Francia, la CNIL esige dalle sue linee guida del 2020 che rifiutare sia semplice quanto accettare, per esempio con un pulsante «Rifiuta tutto».

Lo strumento è davvero gratuito?

Sì, tutti gli strumenti di Kristools sono gratuiti al 100% e accessibili senza registrazione.

I miei dati sono protetti?

Sì. Tutte le elaborazioni vengono eseguite direttamente e in modo sicuro nel tuo browser. Nessun dato personale viene inviato ai nostri server.