Cookie tecnici e consenso: quando serve davvero

I cookie tecnici richiedono il consenso?

No, i cookie tecnici non richiedono il consenso, ma vanno indicati nell'informativa. Il consenso ai cookie serve invece per la profilazione e per gli altri strumenti di tracciamento non necessari. Gli analytics stanno nel mezzo: il Garante privacy li assimila ai cookie tecnici solo se rispettano condizioni precise, altrimenti richiedono il consenso come quelli di profilazione.

La regola viene dall'articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy, e dalle “Linee guida cookie e altri strumenti di tracciamento” del Garante del 10 giugno 2021. Il GDPR definisce le caratteristiche di un consenso valido: libero, specifico, informato e inequivocabile. Questo articolo non è una consulenza legale, ma una guida per classificare correttamente i cookie del tuo sito.

Le regole non riguardano solo i cookie in senso stretto. Le Linee guida parlano di cookie e altri strumenti di tracciamento: pixel, memoria locale del browser, identificatori calcolati dalle caratteristiche del dispositivo, il cosiddetto fingerprinting. Per tutti vale lo stesso criterio. Conta la finalità, non la tecnica: un pixel di conversione senza cookie richiede il consenso come un cookie di profilazione, se serve al marketing.

Tecnici, analytics e profilazione: le tre categorie

Il Garante distingue tre gruppi. Per ognuno cambia la necessità del consenso, mentre l'obbligo di informare resta per tutti. Classificare bene ogni cookie è il primo passo per un banner corretto e una cookie policy credibile.

→ Banner cookie con Consent Mode v2: conforme, senza canone mensile

Quali sono i cookie tecnici

Secondo il Garante, i cookie tecnici servono a navigare o a fornire un servizio richiesto dall'utente, senza altre finalità. Sono di norma installati direttamente dal titolare del sito. Il criterio è la necessità: se il servizio chiesto dall'utente non funziona senza quel cookie, è tecnico.

• cookie di sessione e di autenticazione per l'area riservata
• cookie del carrello in un negozio online
• cookie che ricordano lingua o valuta scelte dall'utente
• cookie di sicurezza, per esempio contro accessi automatizzati
• il cookie che memorizza la scelta fatta nel banner

Non sono tecnici i cookie che servono soprattutto a terzi o a scopi pubblicitari, anche se vengono presentati come utili per migliorare il sito. Un tag di remarketing o un pixel di conversione resta uno strumento di marketing, qualunque sia il nome della categoria nel banner.

Quando gli analytics sono assimilati ai cookie tecnici

Gli analytics sono assimilati ai tecnici quando il titolare li usa solo per migliorare il sito e produrre statistiche aggregate sul numero di utenti e sul modo in cui visitano le pagine. Se l'analisi è affidata a un fornitore esterno, le Linee guida pongono condizioni aggiuntive.

• mascheramento almeno della quarta componente dell'indirizzo IPv4, o procedure analoghe per IPv6
• statistiche aggregate su un singolo sito o app, o su più domini dello stesso titolare o gruppo
• nessuna combinazione dei dati con altre elaborazioni da parte del fornitore
• nessuna trasmissione dei dati ad altri terzi

Strumenti come Matomo, installati sul proprio server e configurati in questo modo, vengono spesso usati senza consenso. Google Analytics 4, nella configurazione abituale, è collegato ad altri servizi Google e viene quindi usato con il consenso, attraverso il banner e il Google Consent Mode v2.

Per capire se il tuo strumento di analisi rientra davvero nell'eccezione, controlla le impostazioni una per una. L'indirizzo IP viene mascherato prima della memorizzazione? Il fornitore usa i dati anche per scopi propri o li condivide con altri servizi? Esiste un contratto che lo vieta? Le statistiche riguardano solo i tuoi siti? Se anche una sola risposta è sfavorevole, lo strumento va trattato come non assimilato e deve partire solo dopo il consenso.

→ Configurare correttamente Google Consent Mode v2: nessun avviso in Tag Assistant

Cookie di terze parti: chi chiede il consenso?

I cookie di terze parti sono installati da soggetti diversi dal gestore del sito: piattaforme pubblicitarie, social network, video incorporati, mappe. Per quelli non tecnici serve il consenso, e il gestore del sito deve fare in modo che partano solo dopo la scelta. Nell'informativa estesa vanno inseriti i link alle informative delle terze parti. Attenzione ai contenuti incorporati come video YouTube o mappe Google Maps, che spesso installano cookie già alla visualizzazione: una versione senza cookie o il caricamento dopo un clic risolvono il problema.

In pratica, il modo più affidabile per gestire i cookie di terze parti è centralizzare i tag in Google Tag Manager. Ogni tag riceve una condizione di consenso: il tag di conversione Google Ads e il Meta Pixel partono solo con il consenso al marketing, gli analytics non assimilati solo con il consenso alle statistiche. Il Google Consent Mode v2 trasmette lo stato della scelta ai tag Google. Così un nuovo strumento aggiunto in futuro segue automaticamente la stessa regola, invece di essere incollato nel tema senza controllo.

Esempio: un e-commerce di vini in Toscana

Un piccolo negozio online di vini dichiara nel banner solo cookie tecnici e analytics, ma nel sito ci sono anche il Meta Pixel e il tag di conversione Google Ads, aggiunti mesi dopo da un'agenzia. I tag partono a ogni visita, senza consenso, e la cookie policy non li cita. La correzione richiede tre passi: classificare di nuovo i cookie, collegare ogni tag in Google Tag Manager al consenso giusto e aggiornare la cookie policy con l'elenco reale. Dopo la correzione, le vendite restano misurate per chi accetta e nessun tag di marketing parte per chi rifiuta.

Verificare cosa si carica davvero

La classificazione sulla carta conta poco se il sito carica altro. Il check gratuito di Trackum (trackum.app/check) apre la tua home page tre volte in un browser vero, senza risposta al banner, dopo il rifiuto e dopo l'accettazione, più due pagine interne, e mostra quali tag e cookie si caricano ogni volta. È gratuito, senza registrazione e richiede due minuti. Se trova problemi, Trackum li corregge nel tuo Google Tag Manager per 79 € IVA esclusa, con test con e senza consenso.