In breve
- Cookie tecnici: niente consenso. Cookie di profilazione e di terze parti non anonimizzati: consenso prima dell’installazione.
- Il banner deve avere un comando per rifiutare (anche la X di chiusura) e uno per scegliere nel dettaglio.
- Non si può ripresentare il banner a chi ha rifiutato prima di 6 mesi, salvo cambiamenti importanti.
- Gli strumenti di analisi possono essere equiparati ai tecnici solo se configurati in modo da non identificare i visitatori.
- Moduli di contatto e newsletter richiedono un’informativa chiara e, per il marketing, un consenso specifico.
Quali cookie e strumenti richiedono il consenso
| Tipo | Esempi | Consenso |
|---|---|---|
| Tecnici | Sessione, carrello, lingua, login, memorizzazione della scelta sui cookie. | No, solo informativa |
| Analisi di prima parte, aggregate | Statistiche anonime gestite dal sito, senza incroci con altri dati. | No, se rispettano le condizioni del Garante |
| Analisi di terze parti | Strumenti esterni di statistica. | Sì, salvo configurazioni che li rendano equiparabili ai tecnici |
| Profilazione e pubblicità | Pixel dei social, remarketing, reti pubblicitarie. | Sì, sempre |
| Contenuti incorporati | Video, mappe, pulsanti social, alcuni font esterni. | Dipende da cosa installano: spesso sì |
Il primo passo è sapere cosa installa davvero il sito: una scansione tecnica dei cookie e delle chiamate verso terzi spesso rivela strumenti che nessuno ricordava di aver attivato.
Come deve essere il banner
- Compare alla prima visita e blocca i cookie non tecnici finché l’utente non sceglie.
- Ha un pulsante per accettare, uno per rifiutare (o una X che equivale al rifiuto) e un link per scegliere per finalità.
- Rifiutare deve essere facile come accettare: niente pulsanti di rifiuto nascosti o grigi.
- Indica in breve le finalità e rimanda alla cookie policy.
- Lo scroll, la prosecuzione della navigazione o il clic su un altro elemento non valgono come consenso.
- La scelta va registrata e deve poter essere cambiata in ogni momento, con un link sempre visibile.
- Il cookie wall, cioè l’accesso al sito solo accettando, non è ammesso, salvo casi particolari valutati caso per caso.
Strumenti di analisi delle visite
Gli strumenti di analisi possono essere trattati come cookie tecnici, quindi senza consenso, solo se servono a statistiche aggregate del singolo sito, riducono l’identificabilità (per esempio mascherando parte dell’indirizzo IP) e il fornitore non incrocia i dati con altri. Se lo strumento è di un fornitore esterno, verifica anche dove finiscono i dati: per i trasferimenti verso gli Stati Uniti oggi si può contare sul quadro europeo con le aziende certificate, ma serve indicarlo nell’informativa. In caso di dubbio, la scelta prudente è chiedere il consenso o usare uno strumento di statistica ospitato in proprio.
Cookie policy e informativa privacy del sito
- Cookie policy: elenco dei cookie e degli strumenti, finalità, durata, terze parti con i link alle loro informative, come dare e revocare il consenso.
- Informativa privacy: dati raccolti tramite moduli, account, acquisti, newsletter; basi giuridiche; tempi di conservazione; diritti degli utenti. Vedi GDPR e informative.
- Moduli di contatto: chiedi solo i dati necessari, collega l’informativa, non pre-spuntare consensi.
- Newsletter: consenso specifico, meglio con conferma via email, e link per disiscriversi in ogni messaggio.
- Negozi online: in più condizioni di vendita, diritto di recesso e informazioni obbligatorie per i consumatori.
Gli errori più frequenti
- Banner con solo «Accetta» o con il rifiuto nascosto in una seconda pagina.
- Pixel e strumenti di analisi che partono prima del consenso.
- Cookie policy generata anni fa e mai aggiornata con i nuovi plugin.
- Video e mappe incorporati che installano cookie di terze parti senza blocco preventivo.
- Informativa copiata da un altro sito, con trattamenti che non fai o senza quelli che fai.
Molti di questi problemi si risolvono con una piattaforma di gestione del consenso configurata bene e un controllo periodico, magari dopo ogni modifica importante del sito. Se il sito ha problemi tecnici, vedi siti e hosting.
Controlli e sanzioni
Il Garante interviene su segnalazione o con campagne di controllo; le sanzioni seguono le regole del GDPR, proporzionate alla gravità e alle dimensioni dell’azienda, e spesso sono accompagnate dall’ordine di mettere in regola il sito. Anche le associazioni dei consumatori e i concorrenti possono segnalare. Un sito in ordine è anche una questione di fiducia: molti utenti abbandonano i siti con banner aggressivi.
Cosa fa il consulente su Intervento
Indica l’indirizzo del sito, gli strumenti che usi (analisi, pubblicità, newsletter, e-commerce) e allega cookie policy e informativa attuali. L’orientamento gratuito ti dice quali sono i punti critici più probabili. Con l’Esperto un consulente privacy verificato ti risponde per iscritto entro 4 ore: cosa non va nel banner e nelle informative, cosa correggere e in che ordine. Con il livello Soluzione prepara i testi aggiornati, su preventivo.
Questa guida descrive le regole generali in vigore al 20 ottobre 2026, basate sulle linee guida del Garante. Ogni sito è diverso: la verifica richiede di sapere quali strumenti installa davvero.
