Cookie banner: quando è obbligatorio e come deve essere fatto

Controlla il tuo sito in sei passi

1. Fai l’elenco di cosa c’è sul sito

   Statistiche, pixel di Facebook o di altri social, pubblicità, chat, video incorporati, mappe, moduli di prenotazione, font esterni. Chiedi a chi ha fatto il sito l’elenco dei plugin e servizi esterni.

2. Apri il sito «pulito»

   Usa una finestra in incognito, così il browser non ricorda scelte precedenti, e non toccare il banner.

3. Guarda i cookie con gli strumenti per sviluppatori

   Premi F12 (o tasto destro, «Ispeziona»). In Chrome ed Edge apri la scheda «Application», poi «Cookies»; in Firefox «Archiviazione». Se prima di scegliere compaiono cookie come _ga, _fbp o di domini esterni, il blocco preventivo non funziona.

4. Controlla le chiamate verso terzi

   Nella scheda «Network» (Rete) ricarica la pagina e guarda i domini contattati: google-analytics, googletagmanager, facebook, doubleclick, youtube. Prima della scelta dovrebbero mancare.

5. Rifiuta e ripeti

   Clicca la X o «Rifiuta», ricarica e ricontrolla: non deve comparire nulla di nuovo. Poi accetta e verifica che gli strumenti partano solo adesso.

6. Controlla il fondo della pagina

   Deve esserci un link sempre visibile, tipo «Rivedi le tue scelte sui cookie», che riapre le preferenze, e il link alla cookie policy.

Quando serve il banner e quando no

Per l’articolo 122 del Codice privacy si possono salvare o leggere informazioni sul dispositivo dell’utente solo con il suo consenso, salvo che siano strettamente necessarie al servizio che ha chiesto. Le linee guida del Garante del 10 giugno 2021 spiegano come applicarla. Il banner è lo strumento per raccogliere quel consenso: se non c’è niente da chiedere, il banner non serve.

Un sito vetrina con statistiche anonime e senza contenuti esterni può davvero fare a meno del banner. Ma un banner che chiede consensi per strumenti che poi partono comunque è peggio di nessun banner.

Com’è fatto un banner a norma, elemento per elemento

Secondo le linee guida del Garante, al primo accesso il banner deve contenere:

• un’informativa breve: il sito usa cookie tecnici e, solo con il tuo consenso, cookie di profilazione o altri strumenti, con le finalità in poche parole;
• il link alla cookie policy completa;
• un pulsante per accettare tutto;
• una X in alto a destra, che chiude il banner lasciando le impostazioni di partenza, cioè nessun cookie non tecnico; il banner deve dirlo chiaramente. Un pulsante «Rifiuta» è la soluzione più chiara;
• un link per scegliere nel dettaglio per finalità o per fornitore, con tutte le opzioni spente in partenza.

I comandi devono avere uguale dimensione, evidenza e colore: un «Accetta» grande e colorato accanto a un «Rifiuta» grigio e piccolo non va bene. La scelta va registrata, di solito con un cookie tecnico, così il banner non ricompare a ogni pagina. In fondo a ogni pagina serve un link per cambiare idea in ogni momento, e revocare deve essere facile come accettare.

Cosa invece non è ammesso:

• scroll o «se prosegui la navigazione accetti»: lo scorrimento da solo non è un consenso valido;
• cookie wall: «o accetti o non entri» è illecito, salvo che tu offra un contenuto o servizio equivalente senza consenso; il Garante lo valuta caso per caso;
• caselle già attive nella pagina delle preferenze;
• riproporre il banner a chi ha rifiutato prima di 6 mesi. Si può farlo prima solo se cambiano in modo importante i cookie o i fornitori, o se non è più tecnicamente possibile sapere cosa aveva scelto l’utente.

Statistiche e Google Analytics: consenso sì o no

Le statistiche sulle visite possono essere trattate come cookie tecnici, quindi senza consenso, solo se rispettano tutte le condizioni del Garante:

• servono solo a statistiche aggregate di quel sito (o di siti dello stesso titolare);
• riducono l’identificabilità, per esempio mascherando almeno l’ultima parte dell’indirizzo IP;
• il fornitore, se è esterno, non incrocia i dati con altri e non li usa per sé.

Il modo più semplice è uno strumento di statistica ospitato sul tuo server o senza cookie né dati identificativi: ne esistono di gratuiti e open source.

Google Analytics ha una storia a parte. Nel giugno 2022 il Garante ha dichiarato illecito il trasferimento di dati verso gli Stati Uniti fatto da un sito con Google Analytics, osservando che il mascheramento dell’IP offerto allora era solo una pseudonimizzazione, e ha dato 90 giorni per adeguarsi. Dal 10 luglio 2023 è in vigore il Data Privacy Framework UE-USA: le aziende americane certificate, tra cui Google, possono ricevere dati dall’Europa senza garanzie aggiuntive. Il Tribunale UE ha respinto un ricorso contro questo accordo il 3 settembre 2025; l’impugnazione davanti alla Corte di giustizia, per quanto risulta, è ancora pendente.

In pratica oggi: Google Analytics si può usare, ma di regola dopo il consenso, perché è difficile dimostrare che rispetti tutte le condizioni dei cookie tecnici, e va indicato nell’informativa il trasferimento negli Stati Uniti.

Il Consent Mode di Google è un meccanismo che comunica ai servizi Google la scelta fatta nel banner; per usare le funzioni pubblicitarie di Google con visitatori europei è richiesto. Non sostituisce il banner. Nella modalità «avanzata» i tag Google inviano segnali senza cookie anche prima della scelta: va valutata con il consulente. La modalità «base», che non carica nulla fino al consenso, è la più prudente.

Video, mappe, font e pixel: le trappole nascoste

Molti siti «senza cookie» ne installano tramite contenuti incorporati:

• video di piattaforme esterne: usa, se disponibile, la modalità a privacy avanzata e fai caricare il video solo dopo il clic o dopo il consenso, con un’immagine al posto del riquadro;
• mappe nella pagina contatti: stessa soluzione, oppure un’immagine statica con link alla mappa;
• font caricati da server esterni: meglio ospitarli sul proprio sito, così non parte nessuna chiamata verso terzi;
• pixel dei social e tag di conversione: sempre e solo dopo il consenso.

Le stesse regole valgono per i pixel nelle email, che registrano chi apre le newsletter: dal 29 ottobre 2026 si applicano le linee guida del Garante del 17 aprile 2026. Ne parliamo nell’articolo sul GDPR per piccole aziende.

Con quale strumento fare il banner

Il banner si fa con una piattaforma di gestione del consenso (CMP): un programma che mostra il banner, blocca gli script finché l’utente non sceglie e registra le scelte. Esistono librerie gratuite e open source, plugin per i CMS più diffusi e servizi a pagamento: la marca conta poco, conta la configurazione. Controlla che:

• blocchi davvero gli script prima della scelta, compresi quelli inseriti dal tema o da altri plugin;
• abbia X o «Rifiuta» con la stessa evidenza di «Accetta» e opzioni dettagliate spente in partenza;
• ricordi la scelta e permetta di cambiarla dal fondo pagina;
• sia in italiano e collegata alla tua cookie policy aggiornata.

Se mostri annunci pubblicitari di Google sul sito, Google chiede anche una CMP certificata. E dopo ogni modifica del sito (un plugin nuovo, un video, un pixel) ripeti il controllo dei sei passi: è lì che i banner smettono di funzionare. Per i problemi tecnici del sito vedi siti e hosting.

Controlli e sanzioni: cosa è successo davvero

Il Garante ha fatto controlli a campione sui siti. Due casi del settembre 2024:

• un tour operator con un banner che diceva «se prosegui la navigazione, dedurremo che tu sia felice di restare con noi», una X di cui nessuno spiegava l’effetto e nessuna possibilità di scegliere cookie per cookie: violazione accertata, ammonimento e ordine di correggere la cookie policy;
• una società di escursioni con banner e informative incomplete e superate: anche qui ammonimento.

Niente multa, anche perché le aziende avevano collaborato e corretto il sito. Non è però una regola: per il consenso mancante il GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato, graduate su gravità, durata e dimensioni, e un ammonimento resta registrato e pesa in caso di nuova violazione. Se arriva una sanzione, di regola si può chiudere pagando la metà entro 30 giorni.

Le nuove regole UE in arrivo: il Digital Omnibus

Il 19 novembre 2025 la Commissione europea ha proposto il Digital Omnibus, che tra l’altro cambierebbe le regole sui cookie. La proposta della Commissione spostava la materia nel GDPR, prevedeva segnali automatici dal browser per accettare o rifiutare e una pausa di 6 mesi prima di richiedere il consenso. Il 21 ottobre 2026 il Consiglio ha approvato una versione diversa: le regole restano nella direttiva ePrivacy, ci sarebbero sei usi senza consenso (tra cui le statistiche anonime e aggregate del proprio sito e la sicurezza), il rifiuto con un solo clic e una nuova richiesta non prima di 4 mesi; l’obbligo dei segnali del browser è stato tolto.

Al 9 novembre 2026 il Parlamento europeo non ha ancora votato la sua posizione e il negoziato finale non è iniziato. Non è cambiato nulla: valgono le linee guida del Garante e i 6 mesi. Le novità, se approvate, arriverebbero realisticamente non prima del 2028: non smontare il banner per articoli che le danno per fatte.

Un esempio concreto

Sara ha un negozio di fiori e un sito con prenotazione dei bouquet. Il banner ha solo «Accetta» e «Impostazioni». Fa il controllo in incognito con F12 e trova, prima di ogni scelta, i cookie _ga di Google Analytics, il pixel di Facebook e una chiamata a YouTube dal video in home page.

• Fa installare una CMP gratuita con «Accetta», «Rifiuta» e «Personalizza» uguali, X che equivale al rifiuto e link «Preferenze cookie» nel fondo pagina.
• Google Analytics e il pixel partono solo dopo il consenso; il video e la mappa si caricano con un clic.
• Aggiorna la cookie policy con l’elenco degli strumenti, i fornitori e il trasferimento negli Stati Uniti.
• Ripete il controllo: prima della scelta restano solo il cookie di sessione e quello del carrello.

Le statistiche calano, perché non tutti accettano: per l’andamento generale può aggiungere uno strumento anonimo senza consenso.

Cosa fa il consulente privacy su Intervento

Indica l’indirizzo del sito, gli strumenti che usi e allega cookie policy e screenshot del banner. L’orientamento gratuito ti dice se il banner ti serve e quali sono i punti critici più probabili. Con l’Analisi ottieni una lettura automatica di informative e screenshot. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: cosa non va nel banner, quali strumenti vanno bloccati, se Google Analytics e i pixel sono impostati correttamente e cosa correggere per primo. Con il livello Soluzione, su preventivo, prepara cookie policy e testi del banner aggiornati.