Cookie banner obbligatorio? Cosa serve davvero a un sito italiano, secondo il Garante

Il banner serve sempre? No, dipende da cosa carica il sito

La regola di partenza è nell'articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy: per salvare o leggere informazioni sul dispositivo del visitatore serve il suo consenso, tranne quando sono strettamente necessarie a far funzionare il servizio che ha chiesto. Il banner è solo lo strumento con cui si chiede quel consenso. Se il sito non ha nulla per cui chiederlo, il banner non serve: basta un'informativa chiara, raggiungibile da ogni pagina.

Per capire in quale caso siete, conviene ragionare per categorie:

Cosa usa il sito	Esempi	Serve il consenso?
Cookie tecnici	Sessione di accesso, carrello, lingua, memoria della scelta sui cookie	No, basta l'informativa
Statistiche anonimizzate	Strumento di analisi configurato secondo le condizioni del Garante (vedere più avanti)	No, sono assimilate ai tecnici
Statistiche non anonimizzate o di terze parti che riusano i dati	La maggior parte delle configurazioni standard dei servizi di analisi esterni	Sì
Profilazione e pubblicità	Pixel dei social, remarketing, tracciamento delle conversioni	Sì
Contenuti incorporati di terzi	Video YouTube, mappe, pulsanti e feed social	Di solito sì, perché quei servizi installano i propri cookie

Il sito vetrina di un artigiano con testi, foto, una mappa come immagine e un modulo di contatto può stare tutto nella prima riga. Basta però un video incorporato o un pixel pubblicitario per entrare nelle righe successive.

Le linee guida del Garante del 2021

Il riferimento per l'Italia sono le Linee guida cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali, adottate il 10 giugno 2021, pubblicate in Gazzetta Ufficiale il 9 luglio 2021 e applicabili dopo sei mesi, quindi da gennaio 2022. Sono ancora il testo da seguire. Quando il banner serve, secondo il Garante deve contenere almeno:

1. un comando per chiuderlo, di regola una X in alto a destra, che lascia attive solo le impostazioni di partenza, cioè nessun cookie non tecnico, e un avviso che chiudere equivale a questo;
2. una breve informativa su quali strumenti usa il sito e perché;
3. il collegamento all'informativa completa, che deve essere raggiungibile anche dal fondo di ogni pagina;
4. un pulsante per accettare tutto;
5. un collegamento a un'area per scegliere in modo dettagliato, per categoria o per fornitore, con le opzioni preimpostate su «no».

A questo si aggiunge un collegamento sempre presente in fondo alle pagine, per esempio «Rivedete le vostre scelte sui cookie», per cambiare idea in qualsiasi momento, in entrambe le direzioni. E la scelta del visitatore va registrata, così da poter dimostrare il consenso se qualcuno lo chiede.

Cosa il Garante dice che non va

• Lo scorrimento della pagina come consenso. Il Garante scrive che lo scroll da solo non è adatto a esprimere un consenso. Il «continuando a navigare accettate» non basta più.
• Il cookie wall. Obbligare ad accettare i cookie per vedere il sito è, in linea di principio, illecito. L'eccezione è molto stretta: solo se il visitatore può ottenere un contenuto o un servizio equivalente senza consenso, da valutare caso per caso.
• Il banner che ricompare a ogni visita. Se il visitatore ha rifiutato, la scelta va ricordata. Il banner si può riproporre solo se cambiano in modo significativo le condizioni (per esempio nuovi fornitori), se non è possibile sapere se il visitatore ha già scelto (perché ha cancellato i cookie), oppure dopo almeno sei mesi.
• Le caselle già spuntate. Nell'area delle scelte le opzioni non tecniche devono partire disattivate: il consenso deve venire da un'azione attiva del visitatore.

Il problema più comune: il banner c'è, ma non blocca niente

È l'errore che vediamo più spesso, e non dipende dalla grafica. Molti siti hanno un banner perfetto sulla carta, ma il codice di statistiche, il pixel pubblicitario o il video partono comunque appena si apre la pagina, prima di qualsiasi clic. Il banner diventa una decorazione: chiede un permesso per qualcosa che è già successo.

Si verifica da soli, senza strumenti a pagamento:

1. aprite il sito in una finestra di navigazione in incognito, così non ci sono scelte precedenti;
2. prima di toccare il banner, premete F12 e aprite la scheda Rete (Network), poi ricaricate la pagina;
3. guardate a quali domini si collega la pagina: se compaiono servizi di statistiche, pubblicità o social prima del consenso, il blocco non funziona;
4. nella scheda Applicazione (Application), alla voce Cookie, controllate quali cookie sono già stati scritti;
5. chiudete il banner con la X e ricontrollate: non deve comparire nulla di nuovo.

Lo stesso controllo fa emergere anche le risorse esterne che nessun banner copre, come i font caricati da server altrui. Ne abbiamo parlato nella guida su Google Fonts e GDPR: lì la soluzione non è il consenso, ma ospitare i font in casa.

Le statistiche senza consenso: quando è possibile

Le linee guida permettono di trattare i cookie di statistica come tecnici, quindi senza banner, solo se sono rispettate tutte queste condizioni:

• lo strumento non permette di individuare il singolo visitatore;
• l'indirizzo IP viene mascherato, almeno nell'ultima delle quattro parti per gli indirizzi IPv4;
• i dati servono solo a statistiche aggregate, per quel sito;
• chi fornisce lo strumento non incrocia quei dati con altri e non li passa a terzi.

Con uno strumento di statistica ospitato sul proprio server e configurato bene, queste condizioni si possono rispettare. Con i servizi esterni più diffusi è più difficile: l'ultima condizione dipende da cosa fa il fornitore, non da voi. Per Google Analytics, in particolare, il Garante nel giugno 2022 aveva giudicato illecito il trasferimento dei dati verso gli Stati Uniti in un caso concreto; nel luglio 2023 la Commissione europea ha poi adottato il nuovo accordo sul trasferimento dei dati tra Unione europea e Stati Uniti (Data Privacy Framework), che ha cambiato il quadro sul trasferimento. Il consenso ai cookie, però, è un tema diverso e resta: nel dubbio, mettete le statistiche esterne sotto consenso.

Come si fa in pratica su WordPress

Su WordPress il banner si gestisce con un plugin o un servizio di gestione del consenso. Ce ne sono molti, gratuiti e a pagamento, e qui non indichiamo un vincitore: quello che conta è come viene configurato. Prima di sceglierne uno, verificate che sappia fare tre cose:

1. bloccare davvero gli script finché il visitatore non accetta, compresi quelli inseriti da tema e altri plugin;
2. mostrare la X di chiusura e l'area delle scelte con le opzioni spente all'inizio;
3. registrare le scelte e offrire il collegamento permanente per modificarle.

Poi c'è la parte che nessun plugin fa da solo: sapere cosa carica il sito. Ogni servizio esterno aggiunto negli anni, dalla chat al widget delle recensioni, è un fornitore da elencare e da bloccare. Meno risorse esterne ha il sito, più semplice è il banner, o addirittura inutile. È il motivo per cui il nostro tema Fondamenta non carica font o script da server esterni: si parte puliti e si aggiunge solo ciò che serve.

Checklist in sette punti

1. Fate l'elenco di tutto ciò che il sito carica da server esterni.
2. Eliminate ciò che non usate più e portate in casa ciò che si può (font, immagini delle mappe).
3. Se resta solo roba tecnica, togliete il banner e tenete un'informativa chiara.
4. Se serve il banner, controllate che abbia X, accetta, scelte dettagliate e collegamento all'informativa.
5. Verificate con la scheda Rete che nulla parta prima del consenso.
6. Aggiungete in fondo a ogni pagina il collegamento per rivedere le scelte.
7. Allineate l'informativa: i servizi elencati devono essere quelli reali, né di più né di meno.

Il banner, ovviamente, non ha alcun effetto sul posizionamento su Google, né in positivo né in negativo: serve a rispettare le regole e a trattare bene chi visita il sito. Se volete sapere quanto pesano questi adempimenti in un preventivo, li trovate nell'articolo su quanto costa un sito web.

Questo articolo è informativo e non sostituisce il parere di un consulente privacy o di un avvocato. Per la valutazione di un caso specifico, rivolgetevi a un professionista.

Domande frequenti

Il cookie banner è obbligatorio per tutti i siti?

No. Serve solo se il sito usa cookie o altri strumenti che richiedono il consenso, come statistiche non anonimizzate, pixel pubblicitari o contenuti incorporati di terzi. Un sito che usa solo cookie tecnici non ha bisogno del banner, ma deve comunque avere un'informativa chiara.

Chiudere il banner con la X vale come consenso?

No, il contrario. Secondo le linee guida del Garante del 2021, chiudere il banner con la X mantiene le impostazioni di partenza, cioè nessun cookie non tecnico, e il banner deve avvisare di questo.

Google Analytics richiede il consenso?

Nella maggior parte dei casi conviene trattarlo così. Il Garante consente le statistiche senza consenso solo se l'IP è mascherato, i dati restano aggregati e il fornitore non li incrocia né li cede ad altri: con un servizio esterno l'ultima condizione dipende dal fornitore, quindi la scelta prudente è il consenso.

Ogni quanto si può riproporre il banner a chi ha rifiutato?

La scelta va ricordata. Il banner si può mostrare di nuovo solo se cambiano in modo significativo le condizioni, se non è possibile sapere se il visitatore ha già scelto, o dopo almeno sei mesi dalla volta precedente.