Cookie banner sul sito web: quando serve e cosa controllare

Distingui informativa privacy e scelta sui cookie

L'informativa privacy spiega come vengono trattati i dati personali: per esempio quelli inviati attraverso una richiesta di preventivo. L'informativa sui cookie descrive gli strumenti usati durante la navigazione e può essere inserita nell'informativa generale. Il banner è invece un'interfaccia per informare subito e raccogliere le scelte sui tracciamenti che richiedono consenso.

Se il sito usa soltanto cookie tecnici, non occorre chiedere il consenso per installarli, ma rimane l'obbligo di informativa. Per quelli di profilazione occorre un consenso preventivo. La distinzione è spiegata nelle FAQ del Garante sui cookie.

Un sito vetrina può avere pochi contenuti e numerose integrazioni esterne. La decisione sul banner va quindi presa in base al funzionamento reale, non al numero di pagine o alla presenza di un carrello. Aggiungere un avviso standard, da solo, non risolve questa verifica.

Compila un inventario dei servizi presenti

Apri le pagine principali e annota gli elementi che arrivano da altri servizi: statistiche, pubblicità, chat, prenotazioni, moduli, mappe, video e pulsanti social. Per ciascuno scrivi chi lo fornisce, dove compare, a cosa serve e se è ancora utilizzato. Includi anche le integrazioni inserite per una vecchia campagna e poi dimenticate.

Una mappa nella pagina contatti e un video aziendale incorporato non si classificano soltanto dal loro aspetto. Il comportamento dipende dal servizio e dall'implementazione: un collegamento esterno, un'anteprima locale e un contenuto caricato automaticamente non sono la stessa soluzione.

Segna come “da verificare” ciò che non conosci. Questa lista permette di confrontare i servizi effettivi con quelli descritti nell'informativa e nel pannello delle preferenze. Può anche far emergere strumenti inutili da eliminare, riducendo la complessità da gestire.

Controlla le condizioni degli strumenti statistici

La parola “analytics” non basta per escludere il consenso. Le Linee guida del Garante, paragrafo 7.2, prevedono condizioni per assimilare questi cookie ai tecnici: statistiche aggregate, limitazione dell'ambito di utilizzo e, quando intervengono terze parti, misure di minimizzazione e vincoli sulla combinazione e trasmissione dei dati. Il solo mascheramento dell'indirizzo IP non esaurisce la valutazione.

Nel tuo inventario aggiungi tre informazioni: quali dati vengono raccolti, quali funzioni pubblicitarie sono attive e chi può usare i dati. Confronta la configurazione attuale con quella descritta nella documentazione del servizio e nell'informativa. Evita di applicare automaticamente al tuo sito una conclusione valida per un'altra configurazione dello stesso prodotto.

Se vuoi misurare i contatti ricevuti dal sito, definisci prima gli eventi utili all'azienda: raccogliere meno dati può semplificare anche la lettura dei risultati.

Rendi comprensibili accettazione, rifiuto e revoca

Prova a leggere il banner come un cliente che lo vede per la prima volta. Deve essere chiaro quali finalità propone e come continuare senza autorizzare i tracciamenti facoltativi. Se è presente una X di chiusura, controlla che mantenga le impostazioni iniziali senza trasformarsi in un'accettazione.

Il rapporto EDPB sui cookie banner esamina, fra le criticità, opzioni preselezionate, rifiuto poco riconoscibile e interfacce che spingono verso un consenso non voluto. Indica inoltre che revocare deve essere possibile in qualsiasi momento e facile quanto prestare consenso.

Una soluzione pratica è mantenere un comando “Preferenze cookie” facilmente raggiungibile. Provalo anche sul telefono: testo leggibile, pulsanti accessibili e pannello utilizzabile senza coprire i comandi con altri elementi. Verifica che le categorie facoltative partano disattivate e che il testo del pulsante descriva l'azione effettiva.

Esegui cinque prove e registra l'esito

Il Garante chiarisce che i tracciamenti soggetti a consenso devono restare inattivi prima della scelta. Non basta che il banner compaia. Prepara una sessione senza preferenze già salvate e annota browser, dispositivo, pagina e data. La navigazione privata, da sola, non dimostra il corretto blocco: il browser potrebbe impedire attività che il sito tenta comunque di avviare.

• Prima della scelta: apri anche una pagina interna e verifica quali servizi vengono caricati.
• Dopo il rifiuto: visita contatti e pagine con contenuti esterni; confronta il comportamento con lo stato iniziale.
• Dopo un consenso parziale: verifica che si attivino soltanto le finalità selezionate.
• Dopo l'accettazione: controlla che i servizi autorizzati funzionino e che le preferenze restino consultabili.
• Dopo la revoca: ripeti la navigazione e verifica che cessino i tracciamenti revocati.

Per la parte tecnica, confronta cookie, altri dati salvati e richieste ai servizi esterni nei diversi stati. Conserva un resoconto delle anomalie: la sola schermata del banner non mostra quello che avviene dietro le quinte.

Applica il controllo a un caso concreto

Esempio ipotetico: una piccola azienda di serramenti usa un modulo preventivi, un video di presentazione, una mappa e un sistema statistico. Durante la verifica scopre che il video parte automaticamente nella pagina “Chi siamo” prima di qualsiasi scelta.

Il primo intervento è identificare quali attività produce quel caricamento. Se l'integrazione esegue tracciamenti soggetti a consenso, l'azienda può predisporre un'anteprima locale e caricare il contenuto esterno attraverso una scelta informata. La semplice scritta “clicca per vedere” non dimostra che il consenso sia stato gestito correttamente.

Nel frattempo, indirizzo e indicazioni testuali restano disponibili nella pagina contatti. Il modulo preventivi viene provato separatamente per assicurarsi che il rifiuto dei tracciamenti facoltativi non lo abbia reso inutilizzabile. Il risultato da cercare è un sito in cui ogni scelta ha un effetto comprensibile e verificato.

Ripeti le verifiche quando il sito cambia

Inserisci questi controlli nella manutenzione del sito dopo l'aggiunta di un servizio, una campagna pubblicitaria o un aggiornamento del sistema di gestione del consenso. Assegna a una persona il compito di aggiornare l'inventario e raccogliere gli esiti, così le modifiche non restano disperse fra più fornitori.

Controlla anche il ritorno sul sito: le preferenze non dovrebbero essere richieste nuovamente a ogni visita senza motivo. Il Garante indica specifiche condizioni per riproporre la richiesta, fra cui cambiamenti significativi del trattamento, impossibilità di conoscere la scelta precedente o decorso di almeno sei mesi.

La checklist individua problemi operativi e non certifica la conformità: l'inquadramento dei trattamenti e delle responsabilità va valutato con il professionista privacy competente.

Domande frequenti

Se non vendo online, posso evitare il cookie banner?

La presenza di un negozio online non decide l'obbligo. Conta quali cookie e altri strumenti usa il sito e per quali finalità. Un sito informativo con tracciamenti pubblicitari può averne bisogno; uno con soli cookie tecnici richiede l'informativa senza consenso per quei cookie.

Un programma che rileva i cookie basta per controllare il sito?

È utile per raccogliere indizi, ma una scansione può non coprire tutte le pagine, interazioni e scelte. Affiancala alle prove di rifiuto, consenso parziale e revoca, includendo le integrazioni che si attivano solo dopo un clic.

Posso copiare il banner e l'informativa da un altro sito?

I testi devono corrispondere ai servizi e ai trattamenti effettivi del tuo sito. Puoi prendere spunto dalla chiarezza dell'interfaccia, ma nomi, finalità, destinatari, tempi e preferenze devono descrivere la tua situazione.