Cookie e Garante privacy: cosa chiedono le Linee guida

Cosa prevedono le Linee guida cookie del Garante privacy?

Le Linee guida cookie del Garante privacy chiedono che nessun cookie o strumento di tracciamento diverso da quelli tecnici venga usato prima di un consenso libero e consapevole, e che rifiutare sia semplice quanto accettare. Il provvedimento “Linee guida cookie e altri strumenti di tracciamento” è del 10 giugno 2021, è stato pubblicato in Gazzetta Ufficiale il 9 luglio 2021 e prevedeva sei mesi per adeguarsi. Da gennaio 2022 vale quindi per tutti i siti che si rivolgono a utenti in Italia.

La base è l'articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy: l'accesso alle informazioni sul dispositivo dell'utente è consentito solo con il suo consenso, salvo che serva a trasmettere la comunicazione o a fornire un servizio richiesto esplicitamente. Il GDPR definisce poi cosa sia un consenso valido. Questo articolo non è una consulenza legale: traduce le Linee guida in controlli concreti sul tuo sito, quella che molti chiamano ancora la cookie law.

Cosa deve contenere il banner cookie secondo il Garante

Il banner è il primo livello dell'informativa. Deve avere dimensioni adeguate al dispositivo, non coprire l'intero contenuto in modo da forzare la scelta e indicare chiaramente se il sito usa cookie di profilazione, anche di terze parti. Al primo accesso non deve essere installato nessun cookie diverso da quelli tecnici.

Nell'area per la scelta analitica, ogni finalità deve essere disattivata di default. Caselle già spuntate non producono un consenso valido. Il comando per accettare tutto può stare accanto alla X e al link per le preferenze, ma non deve essere l'unico comando ben visibile. L'obiettivo delle Linee guida è che l'utente possa fare una scelta reale in pochi secondi, senza essere spinto verso l'accettazione da colori, dimensioni o posizioni dei pulsanti.

• un'informativa breve sulle finalità, inclusa l'eventuale profilazione
• un link all'informativa estesa, la cookie policy
• un comando per accettare tutti i cookie
• un comando per chiudere il banner con la X, che mantiene le impostazioni predefinite
• un link a un'area dove scegliere in modo analitico le singole finalità o terze parti

→ Banner cookie con Consent Mode v2: conforme, senza canone mensile

X di chiusura, scroll e cookie wall

Tre punti delle Linee guida creano più errori degli altri. La X di chiusura equivale a un rifiuto: il sito continua a usare solo cookie tecnici e deve dare alla X la stessa evidenza grafica degli altri pulsanti. Lo scroll della pagina, da solo, non vale come consenso: può far parte di un processo più articolato solo se genera una scelta registrabile e inequivocabile. Il cookie wall, cioè bloccare l'accesso a chi non accetta, non è lecito, salvo che il titolare offra un contenuto o un servizio equivalente senza consenso, valutato caso per caso.

Quando riproporre il banner e come documentare il consenso

Una volta espressa la scelta, il banner non va riproposto a ogni accesso. Il Garante indica tre casi in cui può tornare: quando cambiano in modo significativo le condizioni del trattamento, per esempio con nuove terze parti; quando non è possibile sapere se il cookie con la scelta è già presente, per esempio perché l'utente ha cancellato i cookie; oppure quando sono trascorsi almeno sei mesi dalla presentazione precedente.

La scelta può essere conservata in un cookie tecnico, che non richiede a sua volta il consenso. Il titolare deve poter dimostrare il consenso raccolto, quindi conviene registrare data, versione del banner e finalità accettate, senza conservare più dati del necessario. L'utente deve poter modificare le proprie scelte in qualsiasi momento: un link fisso nel piè di pagina, come “Preferenze cookie”, è il modo più semplice.

→ Configurare correttamente Google Consent Mode v2: nessun avviso in Tag Assistant

Come controllare il tuo sito in dieci minuti

Un controllo nel browser basta per scoprire gli errori più comuni. Apri una finestra in incognito, poi gli strumenti per sviluppatori con le schede Rete e Applicazione. Guarda cosa si carica prima di qualsiasi clic, poi dopo la X o il rifiuto, poi dopo l'accettazione.

• Prima del clic: nessuna richiesta verso Google Ads, Meta o altre piattaforme pubblicitarie
• Dopo la X: ancora nessun tag di profilazione, il banner non ricompare alla pagina successiva
• Dopo Accetta tutti: i tag partono anche nelle pagine seguenti
• Link alle preferenze cookie presente e funzionante
• Cookie policy aggiornata con i cookie e le terze parti realmente presenti

Un esempio tipico: un'agenzia immobiliare di Bologna usa un banner corretto nella forma, ma il Meta Pixel è inserito direttamente nel tema del sito. A colpo d'occhio sembra tutto in ordine, mentre il pixel parte a ogni visita anche dopo la X. Solo il controllo delle richieste di rete nelle tre situazioni mostra il problema.

E la Svizzera italiana?

Le Linee guida del Garante valgono per l'Italia. In Svizzera si applica la nuova legge federale sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, con le indicazioni dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Un sito ticinese che si rivolge anche a utenti in Italia o in altri Paesi dell'UE fa bene ad applicare il livello di tutela più alto, cioè le regole europee sul consenso.

Banner, tag e consenso allineati

Il problema raramente è il testo del banner: di solito è il collegamento tra banner e tag. Ogni tag deve aspettare il consenso giusto, e Google deve ricevere lo stato della scelta tramite il Google Consent Mode v2. Il check gratuito di Trackum (trackum.app/check) apre la tua home page tre volte in un browser vero, senza risposta al banner, dopo il rifiuto e dopo l'accettazione, più due pagine interne, e mostra quali tag e cookie si caricano ogni volta. È gratuito, senza registrazione e richiede due minuti.

Se il check trova problemi, Trackum li corregge nel tuo Google Tag Manager per 79 € IVA esclusa, con test e un breve rapporto. Per un sito senza configurazione, l'installazione con Google Tag Manager, Google Analytics 4 e Consent Mode v2 costa 150 € IVA esclusa.