Cookie policy obbligatoria: quando serve e cosa scrivere

La cookie policy è obbligatoria?

Sì, la cookie policy è obbligatoria per quasi tutti i siti, anche quelli che usano solo cookie tecnici. I cookie tecnici non richiedono il consenso, ma il Garante privacy ricorda che va comunque fornita l'informativa. Se il sito usa anche cookie di profilazione o analytics non assimilati ai tecnici, all'informativa si aggiunge il banner per il consenso. La cookie policy, o informativa estesa sui cookie, è quindi la base di tutto.

L'obbligo di informare deriva dall'articolo 122 del Codice privacy, che recepisce la direttiva ePrivacy, e dal GDPR, in particolare dall'articolo 13. Il Garante lo ha precisato nelle “Linee guida cookie e altri strumenti di tracciamento” del 10 giugno 2021. Questo articolo non è una consulenza legale: spiega cosa deve contenere l'informativa e come mantenerla allineata a ciò che il sito fa davvero.

Informativa breve e informativa estesa

Il Garante prevede un'informativa su più livelli. Il primo livello è il banner, che contiene un'informativa breve: dice se il sito usa cookie di profilazione, anche di terze parti, e offre i comandi per accettare, rifiutare con la X o scegliere in modo analitico. Il secondo livello è l'informativa estesa, la cookie policy vera e propria, raggiungibile dal banner con un link. Conviene renderla raggiungibile anche dal piè di pagina di ogni pagina, insieme al link per modificare le preferenze.

L'informativa deve essere comprensibile per chi non è un esperto. Frasi brevi, nomi chiari delle categorie e niente rimandi tecnici senza spiegazione. Deve funzionare bene anche da smartphone, dove arriva gran parte delle visite: una tabella larga che non si legge su un telefono è un problema pratico prima ancora che formale. La lingua deve essere quella del sito. Un sito in italiano con una cookie policy solo in inglese mette l'utente in difficoltà, e per un sito svizzero in più lingue conviene avere l'informativa in ogni lingua offerta.

→ Banner cookie con Consent Mode v2: conforme, senza canone mensile

Cosa deve contenere la cookie policy secondo il Garante

Secondo le indicazioni del Garante, l'informativa estesa descrive le caratteristiche e le finalità dei cookie, gli eventuali destinatari, i tempi di conservazione e le modalità per esercitare i diritti. Deve permettere di distinguere i cookie tecnici da quelli analytics e di profilazione. Per i cookie di terze parti, il titolare inserisce i link alle informative e ai moduli di consenso delle terze parti.

Se cookie policy e privacy policy sono pagine separate, la privacy policy copre gli altri elementi richiesti dall'articolo 13 del GDPR, come la base giuridica di ogni trattamento, i contatti dell'eventuale responsabile della protezione dei dati e il diritto di proporre reclamo all'autorità di controllo. Le due pagine devono rimandarsi a vicenda e usare gli stessi nomi per gli stessi strumenti, così l'utente non trova descrizioni diverse dello stesso servizio.

• identità e contatti del titolare del sito
• elenco dei cookie divisi per categoria: tecnici, analytics, profilazione
• finalità e durata di ogni cookie o gruppo di cookie
• terze parti coinvolte, con link alle loro informative
• come modificare o revocare il consenso in qualsiasi momento
• diritti dell'interessato e possibilità di reclamo al Garante

Una tabella dei cookie che corrisponde al sito

Il punto debole di molte cookie policy non è la forma, ma il contenuto. La tabella dei cookie viene compilata al lancio del sito e poi dimenticata. Nel frattempo arrivano un pixel per le campagne, una chat, un video incorporato, un plugin di recensioni. L'informativa descrive un sito che non esiste più.

Le durate indicate per i cookie di terze parti dipendono dalle impostazioni del fornitore e possono cambiare. Per questo la tabella va confrontata regolarmente con ciò che il browser riceve davvero. Una scansione del sito in tre situazioni, senza scelta, dopo il rifiuto e dopo l'accettazione, mostra quali cookie compaiono e quando.

→ Configurare correttamente Google Consent Mode v2: nessun avviso in Tag Assistant

Errori frequenti nella cookie policy

Gli errori si ripetono da un sito all'altro e sono quasi sempre legati a modelli copiati o generatori non aggiornati. Riconoscerli è semplice se metti l'informativa accanto all'elenco dei cookie che il sito installa.

• Testo che cita ancora Universal Analytics o la vecchia normativa
• Pixel di marketing presenti sul sito ma assenti dall'informativa
• Nessun link per modificare le preferenze dopo la prima scelta
• Cookie di profilazione descritti come tecnici

Esempio: un hotel sul lago di Garda

Un hotel usa un modulo di prenotazione esterno, Google Analytics 4 e il Meta Pixel. La cookie policy, creata anni prima con un generatore, elenca solo i cookie tecnici e un vecchio codice di Google Analytics. Il modulo di prenotazione installa però propri cookie, e il Meta Pixel non è citato. La correzione richiede una scansione del sito, un nuovo elenco per categorie, i link alle informative del modulo di prenotazione e di Meta, e un controllo che il pixel parta solo dopo il consenso.

Per evitare che la situazione si ripeta, conviene legare l'aggiornamento della cookie policy a momenti precisi: l'avvio di una nuova piattaforma pubblicitaria, l'installazione di un plugin o di una chat, un rifacimento del sito, il cambio del sistema di prenotazione o di pagamento. In fondo alla pagina è utile indicare la data dell'ultimo aggiornamento. Chi lavora con un'agenzia può chiedere che ogni nuovo tag venga comunicato anche a chi cura l'informativa, prima della pubblicazione e non dopo.

Tenere allineati informativa, banner e tag

Il check gratuito di Trackum (trackum.app/check) apre la tua home page tre volte in un browser vero, senza risposta al banner, dopo il rifiuto e dopo l'accettazione, più due pagine interne, e mostra quali tag e cookie si caricano ogni volta. È un buon punto di partenza per confrontare la cookie policy con la realtà. Come opzione, Trackum offre anche una scansione dei cookie con i testi per l'informativa, a 50 € IVA esclusa.