Cookie policy: cosa deve contenere e come scriverla

Come scriverla in sei passi

1. Scopri cosa installa davvero il sito

   Fai il controllo descritto nell’articolo sul cookie banner: apri il sito in incognito, guarda i cookie e le chiamate verso terzi prima e dopo aver accettato. Ripeti su home, pagina contatti, carrello e una pagina con video.

2. Fai l’elenco degli strumenti

   Per ogni cookie o script segna nome, fornitore (il tuo sito o un terzo), a cosa serve e quanto dura. La durata la vedi nella colonna «Scadenza» degli strumenti per sviluppatori del browser.

3. Dividili per categoria

   Tecnici, statistica, funzionalità (video, mappe, chat), marketing e profilazione. Scrivi con quale criterio li hai classificati: il Garante lo chiede, perché non esiste una classificazione unica.

4. Scrivi le parti generali

   Titolare e contatti, eventuale responsabile della protezione dei dati, basi giuridiche, diritti, reclamo al Garante, trasferimenti fuori dall’UE. Riprendi quanto già scritto nell’informativa privacy, senza contraddirla.

5. Spiega come dare e togliere il consenso

   Rimanda al link in fondo alla pagina che riapre le preferenze.

6. Pubblica, collega e metti una data

   Pagina raggiungibile da ogni pagina del sito e dal banner, con la data dell’ultimo aggiornamento in alto. Segna in agenda un controllo dopo ogni modifica del sito e almeno una volta l’anno.

Banner, cookie policy, privacy policy: chi fa cosa

Sono tre testi che spesso si confondono. Ognuno ha un compito diverso:

La regola di partenza è l’articolo 122 del Codice privacy: si possono salvare o leggere informazioni sul dispositivo del visitatore solo dopo averlo informato e, se non sono strettamente necessarie, con il suo consenso. Il banner copre il consenso, la cookie policy copre l’informazione completa. Le linee guida del Garante del 10 giugno 2021 chiedono che sia conforme agli articoli 12 e 13 del GDPR, cioè con le stesse voci di ogni informativa, più quelle specifiche dei cookie.

Come si scrive la privacy policy generale lo spiega l’articolo sull’informativa privacy; come si costruisce il banner, quello sul cookie banner.

Le voci obbligatorie, una per una

• Titolare: nome dell’azienda o del professionista, indirizzo, email per le richieste. Se l’hai nominato, i contatti del responsabile della protezione dei dati.
• Cosa sono i cookie e gli altri strumenti: due righe semplici. Le regole valgono anche per strumenti diversi dai cookie, come la memoria locale del browser, i pixel e le tecniche che riconoscono il dispositivo dalle sue caratteristiche: se il sito li usa, vanno descritti.
• Categorie e finalità: tecnici, statistica, funzionalità, marketing. Per ognuna, a cosa serve in parole concrete, non «migliorare l’esperienza».
• Base giuridica: per i tecnici la necessità di fornire il servizio richiesto; per gli altri il consenso.
• Elenco dei cookie, con durata e fornitore: vedi la sezione successiva.
• Terze parti e destinatari: chi riceve i dati, con il link alla loro informativa. Il Garante chiede che l’elenco dei terzi sia tenuto aggiornato.
• Trasferimenti fuori dall’UE: verso quali Paesi e con quale garanzia. Per gli Stati Uniti oggi c’è il Data Privacy Framework per le aziende certificate.
• Tempi di conservazione: la durata di ogni cookie e, se diverso, quanto tempo il fornitore conserva i dati raccolti.
• Come dare, negare e revocare il consenso: il link sempre visibile che riapre le preferenze. Revocare deve essere facile come accettare.
• Diritti e reclamo al Garante.
• Data dell’ultimo aggiornamento.

Il testo deve essere in italiano se il sito si rivolge a un pubblico italiano, chiaro e leggibile anche da chi usa lettori di schermo: il Garante chiede di verificare anche l’accessibilità.

La tabella dei cookie: come compilarla

La parte più utile e più spesso sbagliata è l’elenco. Una tabella chiara ha queste colonne:

I nomi e le durate qui sopra sono un esempio: nella tua tabella vanno quelli veri, presi dal browser o dalla piattaforma che gestisce il banner. Tre accortezze:

• indica le durate reali: un cookie di statistica che dura due anni non può essere descritto come «temporaneo»;
• se uno strumento è dichiarato «tecnico» ma è di un fornitore esterno, spiega perché: per le statistiche servono le condizioni del Garante, cioè dati aggregati, indirizzo IP mascherato e nessun incrocio da parte del fornitore;
• la tabella deve corrispondere alle scelte nel banner: se nel pannello c’è la categoria «marketing», nella policy devono esserci i cookie di marketing, e viceversa.

Terze parti: di cosa rispondi tu

Molti pensano che i cookie di un video o di un pulsante social siano «affare del fornitore». Non è così: sei tu che hai scelto di inserirli nel sito. Già nel 2019 la Corte di giustizia UE ha stabilito che il gestore di un sito con un pulsante social che trasmette i dati dei visitatori è contitolare di quella raccolta e di quella trasmissione: deve informare i visitatori e, dove serve, chiedere il consenso.

In pratica nella cookie policy, per ogni terza parte:

• nome del fornitore e cosa fa sul tuo sito;
• link alla sua informativa e, se esiste, alla pagina per disattivare la raccolta;
• Paese in cui vanno i dati e garanzia usata per il trasferimento.

Non basta un link all’informativa del fornitore senza dire cosa fa sul tuo sito. Se affidi il sito o le statistiche a un’agenzia che tratta i dati per tuo conto, serve anche la nomina a responsabile esterno.

Se usi solo cookie tecnici

Un sito con soli cookie tecnici non ha bisogno del banner, ma ha comunque bisogno dell’informativa: il Garante ammette che i cookie tecnici siano descritti nell’informativa privacy generale o indicati in home page. La soluzione più semplice è un paragrafo «Cookie» nella privacy policy, con la stessa tabella in versione corta e il link nel fondo di ogni pagina.

Attenzione al punto debole: basta un video incorporato, una mappa nella pagina contatti o un font caricato da un server esterno per installare cookie o mandare dati a terzi. Se succede, non sei più nel caso «solo tecnici» e servono anche banner e cookie policy completa.

Dove metterla e quando aggiornarla

• Dove: una pagina propria, raggiungibile con un clic dal banner e dal fondo di ogni pagina del sito.
• Su più livelli: il Garante ammette un testo breve nel banner e uno completo nella pagina, purché insieme siano completi e coerenti.
• Quando aggiornarla: ogni volta che aggiungi o togli un plugin, un pixel, uno strumento di statistica, una chat, un video o una mappa; quando cambi fornitore del sito o della piattaforma del banner; quando cambia una garanzia per i trasferimenti.
• Data: indica in alto la data dell’ultima modifica e conserva le versioni precedenti: se ti contestano qualcosa, devi poter dimostrare cosa diceva la policy in quel momento.

Se le modifiche aggiungono nuovi fornitori o nuove finalità, aggiornare la pagina non basta: va richiesto di nuovo il consenso con il banner, come spiegato nell’articolo sul cookie banner.

Testi copiati e generatori automatici: i limiti

I generatori di cookie policy e le piattaforme che gestiscono il banner fanno risparmiare tempo: scansionano il sito ed elencano i cookie trovati. Ma vanno controllati, perché:

• la scansione vede spesso solo alcune pagine e solo i cookie installati senza consenso: quelli che partono dopo l’«Accetta» o nel carrello possono mancare;
• molti strumenti vengono classificati come «non classificati», e restano così per anni;
• i testi standard descrivono finalità generiche che non corrispondono a quello che fa davvero il tuo sito;
• il titolare, i contatti e i trasferimenti vanno comunque scritti e verificati da te.

Copiare la policy di un altro sito è peggio: descrive strumenti che non hai e dimentica quelli che hai. Questi sono i segnali che la tua è vecchia o copiata:

• cita come regola in vigore il provvedimento del Garante del 2014, superato dalle linee guida del 2021;
• dice «proseguendo la navigazione acconsenti all’uso dei cookie»: lo scroll non è un consenso valido;
• parla del Privacy Shield, annullato dalla Corte di giustizia UE nel luglio 2020;
• elenca servizi chiusi da anni o plugin che non usi più;
• non ha durate, non ha la data o porta il nome di un’altra azienda.

Nei controlli del 2024 il Garante ha ammonito aziende con informative sui cookie incomplete e superate, ordinando di correggerle. Il GDPR prevede per le informative carenti sanzioni fino a 20 milioni di euro o al 4% del fatturato, graduate in base a gravità e dimensioni: i casi sono raccontati nell’articolo sul cookie banner.

Un esempio: il B&B di Chiara

Chiara gestisce un B&B con un sito per le prenotazioni. La cookie policy l’aveva copiata cinque anni fa dal sito di un hotel: parla del Privacy Shield, cita «proseguendo la navigazione» e non ha date.

• Il controllo con il browser trova: cookie di sessione del modulo di prenotazione, statistiche di un fornitore esterno, una mappa nella pagina «Dove siamo», un video del territorio in home e il pixel di un social attivato dall’agenzia per le campagne.
• Chiara chiede all’agenzia l’elenco degli strumenti e scopre anche una chat installata e mai usata: la fa togliere.
• Scrive la tabella con nome, fornitore, finalità, durata reale e consenso per ogni voce; per mappa, video e pixel indica fornitore, link all’informativa e trasferimento negli Stati Uniti con il Data Privacy Framework.
• Collega la nuova pagina al banner e al fondo del sito, mette la data e salva in una cartella la versione precedente.

Da quel momento ripete il controllo ogni volta che l’agenzia cambia qualcosa.

Cosa fa il consulente privacy su Intervento

Indica l’indirizzo del sito, gli strumenti che usi e allega la cookie policy e la privacy policy attuali. L’orientamento gratuito ti dice quali parti sembrano mancare. Con l’Analisi ottieni una lettura automatica dei testi: voci assenti, riferimenti superati, incoerenze con il banner. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: cosa manca nella policy, quali strumenti vanno dichiarati o bloccati e cosa correggere per primo. Con il livello Soluzione, su preventivo, prepara la cookie policy completa e coerente con il banner e con l’informativa del sito.