Cookie banner: quando serve davvero, e quando no

Molti siti mostrano un banner dei cookie per abitudine, perché “si fa così”. A volte non servirebbe affatto. Altre volte il banner c’è, ma non blocca niente: i traccianti partono comunque all’apertura della pagina. È il caso peggiore, perché disturba i visitatori e non protegge te.

Vediamo quando il banner serve davvero e come deve funzionare. È una guida pratica, non una consulenza legale.

La regola in una riga

Per salvare o leggere informazioni sul dispositivo del visitatore serve il suo consenso, prima, salvo quando sono strettamente necessarie al servizio che ha chiesto. Lo prevede l’art. 122 del Codice privacy, e il Garante lo ha spiegato nelle linee guida su cookie e altri strumenti di tracciamento del 10 giugno 2021, in vigore dal 10 gennaio 2022.

Due dettagli che spesso sfuggono:

• non riguarda solo i cookie: vale anche per strumenti simili, come il salvataggio nel browser (localStorage), i pixel e le tecniche di riconoscimento del dispositivo;
• serve sempre un’informativa, anche quando il consenso non serve.

Cookie tecnici: nessun consenso

Sono quelli senza i quali il sito non fa ciò che il visitatore ha chiesto: la sessione dopo il login, il carrello di un negozio, la lingua o il tema scelti, le protezioni di sicurezza e antibot del fornitore di hosting o della CDN.

Per questi non serve il banner. Basta spiegarli nell’informativa, che può stare nella privacy policy.

Statistiche: dipende da come le raccogli

Le statistiche di visita possono essere trattate come cookie tecnici, quindi senza consenso, solo a condizioni precise:

• servono a produrre statistiche aggregate, per il solo sito che le raccoglie;
• l’indirizzo IP viene mascherato (almeno l’ultima parte);
• il fornitore non incrocia quei dati con altri e non li usa per i propri scopi.

Rientrano, per esempio, strumenti che non usano cookie e non identificano il visitatore, come le statistiche aggregate offerte da alcuni hosting e CDN, o Matomo installato sul proprio server e configurato correttamente.

Google Analytics di norma non soddisfa queste condizioni, perché Google può usare i dati anche per i propri servizi. La strada prudente è attivarlo solo dopo il consenso.

Pubblicità e profilazione: sempre consenso prima

Qui non ci sono eccezioni. Servono il consenso prima di partire:

• Meta Pixel (Facebook e Instagram), Google Ads, LinkedIn Insight, TikTok Pixel;
• strumenti che registrano le sessioni dei visitatori, come Hotjar o Microsoft Clarity;
• in generale, tutto ciò che serve a riconoscere il visitatore su più siti o a mostrargli pubblicità mirata.

Contenuti esterni: i più dimenticati

Un video di YouTube, una mappa di Google Maps o i Google Fonts caricati dai server di Google: all’apertura della pagina il servizio esterno riceve l’indirizzo IP del visitatore, e alcuni impostano anche i propri cookie.

Le soluzioni sono semplici:

• i font si ospitano sul proprio sito, invece di caricarli da Google;
• video e mappe si caricano dopo un clic del visitatore, o dopo il consenso. La “modalità privacy avanzata” di YouTube riduce i cookie ma non elimina il collegamento con Google.

Quindi: al tuo sito serve il banner?

• Solo cookie tecnici e statistiche anonime aggregate, nessun contenuto esterno: il banner non serve. Basta l’informativa.
• Anche un solo strumento di pubblicità, di registrazione delle sessioni, Google Analytics o un contenuto esterno caricato all’apertura: serve il banner, con il consenso raccolto prima.

Un esempio concreto è questo sito: non imposta cookie, misura le visite con statistiche aggregate senza cookie, ospita i propri font e non carica video o mappe esterne. Il tema chiaro o scuro scelto dal visitatore viene ricordato nel browser, ma è una preferenza richiesta da lui, quindi tecnica. Risultato: nessun banner.

Se il banner serve, deve funzionare davvero

Il problema più comune non è l’assenza del banner, ma un banner che non blocca nulla. Un banner corretto:

• non fa partire nessun tracciante prima della scelta: statistiche non anonime, pixel e contenuti esterni si attivano solo dopo il consenso;
• chiudere con la X vale come rifiuto: restano attivi solo i cookie tecnici;
• scorrere la pagina non è consenso, e non ci sono caselle già spuntate;
• permette di accettare tutto, rifiutare tutto o scegliere per finalità, con comandi chiari;
• non ricompare prima di sei mesi se il visitatore ha rifiutato, salvo cambi importanti;
• lascia cambiare idea in ogni momento, con un link sempre raggiungibile, di solito nel piè di pagina;
• non blocca l’accesso al sito a chi rifiuta (il cosiddetto cookie wall, in generale non ammesso).

Gli strumenti di consenso più diffusi in Italia (iubenda, Cookiebot, CookieYes, Complianz e altri) fanno quasi tutto questo, ma solo se sono configurati bene: lo script del tracciante va collegato al consenso, non semplicemente aggiunto alla pagina.

Come controllare il tuo sito

Due modi rapidi:

• dal browser: apri il sito in una finestra in incognito e, senza cliccare nulla, guarda i cookie salvati (negli strumenti per sviluppatori, sezione Application o Archiviazione). Se compaiono cookie come _ga, _fbp o _gcl_au, i traccianti partono prima del consenso;
• con Ronda, il nostro controllo gratuito: legge la home page e segnala traccianti e pubblicità, cookie impostati alla prima visita, servizi esterni caricati all’apertura e la presenza dei link a privacy e cookie policy.

In breve

Il banner serve solo se usi strumenti che non sono strettamente necessari: pubblicità, profilazione, Google Analytics o contenuti esterni. Se serve, deve bloccare davvero quegli strumenti finché il visitatore non sceglie. E spesso la soluzione migliore è la più semplice: togliere ciò che non usi, e il banner non serve più.