Diritto · 7 novembre 2026 · 4 min di lettura
Cookie in Austria: il § 165 TKG 2021 spiegato
Cosa richiede il § 165 Abs. 3 TKG 2021 per cookie e tracciamento: consenso, eccezioni, rapporto con il GDPR e chi controlla in Austria.
In Austria non esiste un paragrafo sui cookie nella legge sulla protezione dei dati. La regola si trova nella legge sulle telecomunicazioni 2021 (TKG 2021) e sfugge perciò facilmente. Questo articolo spiega che cosa richiede il § 165 Abs. 3 TKG 2021, quali eccezioni valgono e come la norma interagisce con il GDPR.
Cosa dice la legge
Il testo del § 165 Abs. 3 TKG 2021 si trova nel sistema di informazione giuridica federale. Contiene due obblighi per i fornitori di un servizio della società dell'informazione, quindi anche per i gestori di siti web:
- Informazione. Deve informare l'utente su quali dati personali tratta, su quale base giuridica, per quali scopi e per quanto tempo i dati vengono conservati.
- Consenso. Una rilevazione di tali dati è ammessa solo se l'utente ha prestato il proprio consenso in modo attivo e sulla base di informazioni chiare e complete.
La norma recepisce l'art. 5, par. 3 della direttiva ePrivacy. Per le imprese in Germania vale la regola parallela nel § 25 TDDDG.
Quale tecnica rientra?
Il testo di legge non nomina i cookie. L'autorità per la protezione dei dati (DSB) legge la norma in modo ampio nelle sue FAQ sui cookie: secondo questa lettura comprende la memorizzazione di informazioni nel dispositivo terminale e l'accesso ad esse, non solo i cookie. Include tecniche analoghe come la memoria locale del browser.
Esiste anche una lettura più stretta. Riferisce il testo („rilevazione di tali dati“) ai dati personali e restringe così l'ambito di applicazione. Per la pratica è un rischio, non un lasciapassare. Chi si basa sulla lettura stretta dovrebbe discuterne con la propria consulenza sulla protezione dei dati.
Le eccezioni
Non serve alcun consenso se
- l'unico scopo è l'esecuzione della trasmissione di un messaggio su una rete di comunicazione, oppure
- la memorizzazione o l'accesso è strettamente necessario affinché il fornitore possa mettere a disposizione un servizio espressamente richiesto dall'utente.
Entrambe sono formulate in modo restrittivo. Secondo la DSB i cookie tecnicamente necessari non richiedono consenso. Né la direttiva né il TKG 2021 forniscono però un elenco, la DSB si basa su criteri del precedente Gruppo di lavoro Articolo 29. I cookie di tracciamento secondo la sua opinione non ne fanno parte. Casi tipici senza consenso preventivo sono il carrello, l'accesso e la memorizzazione della decisione sul banner. Gli strumenti di statistica e marketing di norma non rientrano.
Rapporto con il GDPR
Valgono due passaggi di verifica affiancati, come nel resto dell'UE:
| Passaggio di verifica | Domanda | Regola determinante |
|---|---|---|
| 1. Dispositivo terminale | Si memorizza o si legge sul dispositivo? | § 165 Abs. 3 TKG 2021 |
| 2. Trattamento | Esiste una base giuridica per i dati? | Art. 6 GDPR |
Un primo passaggio superato non sostituisce il secondo. Chi ottiene un consenso per lo script può spesso usarlo anche come base ai sensi dell'art. 6, par. 1, lett. a GDPR. Quando regge invece il legittimo interesse è in Legittimo interesse secondo il GDPR: i 3 passaggi di verifica.
Chi controlla e che cosa si rischia
Secondo le FAQ della DSB, l'applicazione in caso di violazioni del § 165 Abs. 3 TKG 2021 spetta alle autorità per le telecomunicazioni. La DSB può essere competente se con l'impiego si trattano contemporaneamente dati personali, ad esempio nella creazione di profili. Per le violazioni del GDPR valgono le sanzioni dell'art. 83 GDPR.
Il TKG 2021 stesso prevede nel § 188 Abs. 4 Z 24 una sanzione amministrativa fino a 50.000 euro se gli utenti non vengono informati in violazione del § 165 Abs. 3. Per il caso di consenso mancante questa disposizione non indica una sanzione propria. Ciò non significa che una violazione resti senza conseguenze, perché accanto vale il GDPR.
Checklist per l'Austria
- Elenchi tutti gli script, i pixel e gli accessi alla memoria del Suo sito.
- Ordini in „strettamente necessario“ e „tutto il resto“.
- Carichi tutto il resto solo dopo un consenso attivo.
- Informi nell'informativa sulla privacy e nel banner su dati, base, scopo e durata di conservazione.
- Offra rifiuto e revoca con la stessa facilità del consenso.
Domande frequenti
Il § 165 Abs. 3 TKG 2021 vale anche per le imprese tedesche? Dipende dal singolo caso, ad esempio da dove ha sede la Sua impresa e a chi si rivolge l'offerta. Lo chiarisca con la Sua consulenza sulla protezione dei dati. In Germania vale il § 25 TDDDG, in entrambi i paesi la prassi è: script non necessari solo dopo il consenso.
Basta un avviso „Utilizzando il sito acconsente“? No. La legge richiede un consenso attivo. Il semplice proseguire nell'uso del sito non è un'azione attiva.
La Svizzera è altrettanto severa? No, lì vale un altro modello con informazione e possibilità di rifiuto. Lo spiega Tracciamento dei siti web in Svizzera: nLPD e LTC.
