Le Linee guida del Garante Privacy del 10 giugno 2021, entrate in vigore il 10 gennaio 2022, hanno alzato in modo significativo l’asticella della conformità sui cookie. Da allora le contestazioni e le sanzioni sui cookie banner non conformi non sono mancate, e il tema rientra tra i fronti di controllo più attivi dell’Autorità. Per un ecommerce, banner e cookie policy non sono dettagli formali: sono il primo punto di contatto con l’utente e una fonte di rischio se mal progettati. Allo stesso tempo, un banner eccessivamente aggressivo penalizza l’esperienza e la conversione. L’equilibrio tra conformità e usabilità è il vero tema operativo.
Tipi di cookie e cosa serve davvero il consenso
Il primo passo è distinguere le categorie di cookie, perché la disciplina è diversa.
I cookie tecnici sono quelli indispensabili per il funzionamento del sito (sessione, carrello, autenticazione, preferenze di lingua, sicurezza). Non richiedono consenso: il loro utilizzo deriva da una necessità tecnica e va solo segnalato nell’informativa.
I cookie analitici misurano l’uso del sito. Possono essere assimilati ai tecnici, e quindi esenti da consenso, solo se anonimizzati (in modo che non identifichino l’utente) e gestiti direttamente dal titolare del sito, oppure da un fornitore che non li riutilizzi per altri scopi. Google Analytics 4, anche in configurazione “anonima”, è considerato un caso da gestire con attenzione: la conformità dipende dalla configurazione precisa e dalle clausole con il fornitore. Senza queste condizioni, gli analitici richiedono consenso.
I cookie di profilazione e marketing (Meta Pixel, Google Ads, retargeting, advertising in generale) richiedono sempre consenso esplicito prima dell’attivazione. Sono i cookie più diffusi sugli ecommerce e quelli che fanno la differenza in termini di obblighi.
I cookie di terze parti (provenienti da domini diversi dal sito principale) richiedono consenso, eccetto i casi in cui rientrino nella categoria dei tecnici.
La distinzione è importante perché determina cosa si può attivare prima del consenso e cosa va attivato solo dopo. Un errore frequente: il pixel di Meta o gli script di Google Ads vengono caricati al momento del page load, prima che l’utente abbia espresso una scelta. È una violazione, anche se il banner è correttamente presente.
Banner conforme: le regole pratiche
Le Linee guida del Garante hanno definito alcuni principi che il banner deve rispettare.
Pari dignità tra accetta e rifiuta. Il pulsante “Accetta tutti” e il pulsante “Rifiuta tutti” devono avere stessa visibilità grafica: stesse dimensioni, colore, posizione, font, contrasto. Un banner in cui “Accetta” è colorato e visibile e “Rifiuta” è un link grigio piccolo nascosto è non conforme. La regola vale anche per i banner a livelli: il rifiuto deve essere facile e immediato come l’accettazione.
Scroll non vale come consenso. Il vecchio approccio “scorrendo questa pagina accetti i cookie” è espressamente bandito. Il consenso deve essere espresso con un’azione attiva, inequivocabile e specifica.
Granularità. L’utente deve poter scegliere quali categorie di cookie accettare e quali no, non solo “tutto sì” o “tutto no”. Le scelte vengono fatte normalmente in un secondo livello del banner, accessibile da un link “personalizza”.
Cookie wall. Vietare l’accesso al sito a chi non accetta i cookie (cookie wall puro) non è consentito. Il sito deve essere accessibile anche a chi rifiuta i cookie di profilazione.
Persistenza della scelta. Il consenso (o il rifiuto) raccolto vale 12 mesi al massimo, dopodiché va rinnovato. Nel periodo di validità, il banner non deve riapparire ogni volta che l’utente torna sul sito. La buona prassi è permettere all’utente di modificare la scelta in qualunque momento tramite un link permanente nel footer (di norma “Preferenze cookie” o equivalente).
Documentabilità del consenso. Il titolare deve poter dimostrare il consenso raccolto: chi, quando, per cosa. Le piattaforme di Consent Management (Iubenda, OneTrust, Cookiebot, CookieYes) gestiscono questa parte registrando i consensi in modo strutturato.
Cookie policy: cosa includere
La cookie policy è il documento dettagliato cui rimanda il banner. È separata dall’informativa privacy (anche se può linkarla) e va resa accessibile dal banner stesso e dal footer.
Contenuti minimi:
- Cos’è un cookie e a cosa serve (con un linguaggio comprensibile).
- Quali categorie di cookie usa il sito (tecnici, analitici, profilazione, terze parti).
- Per ogni cookie specifico: nome, fornitore, finalità, durata, dominio. Questo elenco va aggiornato quando si aggiungono o rimuovono cookie.
- Come gestire i cookie dal browser e dal banner di consenso.
- Link alle informative dei fornitori terzi (Google, Meta, ecc.).
Una cookie policy che elenca generica “cookie di marketing” senza dettaglio è inadeguata. La specificità è il punto: serve un elenco aggiornato per nome.
Equilibrio tra conformità ed esperienza
Un banner conforme penalizza il tasso di consenso? In alcuni casi sì, ma la differenza non è drammatica come a volte si racconta. La buona prassi è progettare il banner in modo che sia conforme ma anche ben fatto sul piano del design: chiaro, sintetico, posizionato in modo che non blocchi totalmente la pagina, con messaggi che spieghino perché conviene accettare. Un banner che dice “Accetta i cookie di marketing per ricevere offerte personalizzate” tipicamente performa meglio di uno che recita “Questo sito usa cookie”.
Su questo punto vale una considerazione strategica: un tasso di consenso più basso significa meno dati per il marketing performance, ma anche un dataset più pulito (chi acconsente è davvero interessato). Le tecnologie di server-side tracking e i sistemi di first-party data stanno spostando la dipendenza degli ecommerce dai cookie di terze parti, riducendo l’impatto del consenso negato sulle campagne.
Per l’impalcatura completa degli obblighi privacy di un ecommerce, il riferimento è l’approfondimento su privacy e GDPR per ecommerce. Per la cornice generale degli obblighi legali, il pillar dedicato è normativa ecommerce e obblighi di chi vende online.
Domande frequenti
Si possono attivare Google Analytics e Meta Pixel senza consenso?
No, almeno per quanto riguarda la versione standard. Google Analytics 4 in configurazione “anonima” e gestita direttamente dal titolare potrebbe rientrare nei cookie analitici esenti da consenso, ma la conformità richiede una configurazione specifica e va valutata caso per caso. Meta Pixel è un cookie di profilazione e richiede sempre consenso esplicito prima dell’attivazione. Caricarlo al page load prima della scelta dell’utente è una violazione comune e contestata.
Cosa succede se un utente rifiuta i cookie?
Il sito deve restare pienamente accessibile: navigazione, acquisto, account funzionano normalmente. Quello che cambia è il tracking pubblicitario e analitico: senza i cookie di profilazione, il retargeting non parte, le campagne hanno meno dati di ottimizzazione, gli analytics raccolgono dati anonimizzati o aggregati. Il design del sito non deve cambiare in funzione del rifiuto: penalizzare chi rifiuta (ridurre funzionalità, mostrare contenuti diversi) è considerato pratica scorretta.
Le piattaforme di Consent Management sono obbligatorie?
Non sono obbligatorie per legge, ma sono di fatto necessarie per gestire il consenso in modo documentabile e per mantenere la cookie policy aggiornata. Una gestione manuale è praticabile solo per ecommerce piccolissimi e diventa rapidamente insostenibile. Iubenda, Cookiebot, OneTrust, CookieYes coprono il fabbisogno tipico di un ecommerce con piani che partono da poche decine di euro al mese.
Ogni quanto va aggiornata la cookie policy?
Ogni volta che cambiano i cookie attivi sul sito: nuovo strumento di marketing, sostituzione del servizio di analytics, nuovo plugin che inserisce cookie di terze parti. Le piattaforme di Consent Management offrono scanner automatici che rilevano i cookie presenti e aggiornano l’elenco. Un audit completo va comunque fatto almeno una volta all’anno per controllare che la cookie policy rifletta lo stato reale del sito.
