Cookie, banner e cookie policy: le regole del Garante

Quali cookie richiedono il consenso e quali no, come deve essere fatto il banner secondo le linee guida del Garante del 2021, cosa deve contenere la cookie policy e quali sono gli errori che espongono a sanzioni chi gestisce un sito.

In breve — I cookie tecnici non richiedono consenso: basta l’informativa. I cookie di profilazione — quelli che tracciano la navigazione per costruire profili e mostrare pubblicità mirata — richiedono invece il consenso preventivo dell’utente, raccolto con un banner fatto secondo le regole del Garante: pulsanti di pari evidenza per accettare e rifiutare, una X che chiude senza tracciare, niente muri che condizionano l’accesso al sito. Gli analytics stanno nel mezzo: sono equiparati ai tecnici solo se i dati sono minimizzati. Il tutto va documentato in una cookie policy chiara e aggiornata. Le regole vengono dalle Linee guida del Garante del 10 giugno 2021, in vigore da gennaio 2022 — e i banner fuori norma sono tra le violazioni più facili da contestare, perché sono sotto gli occhi di tutti.

1. Cosa sono i cookie (e gli altri strumenti di tracciamento)

I cookie sono piccoli file di testo che i siti salvano sul dispositivo di chi li visita, per riconoscerlo alle visite successive. Alcuni servono semplicemente a far funzionare il sito: tenere aperto il carrello, ricordare la lingua scelta, mantenere l’accesso all’area riservata. Altri servono a osservare l’utente: registrare quali pagine visita, quanto tempo si ferma, cosa clicca — informazioni che, messe insieme, permettono di costruire un profilo dei suoi interessi e di vendergli pubblicità su misura.

In questo articolo esaminiamo le diverse tipologie di cookie e le regole a cui devono sottostare per essere ammissibili: quando serve il consenso e come va raccolto, come deve essere costruito il banner e cosa deve contenere la cookie policy, secondo il GDPR e le linee guida del Garante del 2021.

2. I tre tipi: tecnici, analytics, di profilazione

I cookie si distinguono in tre tipologie, a seconda della loro funzione.

I cookie tecnici sono quelli necessari a far funzionare il sito e a erogare il servizio che l’utente stesso ha richiesto: mantenere la sessione aperta, ricordare il contenuto del carrello o la lingua scelta, garantire la sicurezza della navigazione. Senza di loro il sito semplicemente non funzionerebbe come l’utente si aspetta.

I cookie analytics misurano il traffico del sito: quante visite, da dove, su quali pagine. L’esempio che tutti conoscono è Google Analytics, lo strumento di misurazione più diffuso al mondo. Sono la categoria di mezzo, e la loro qualificazione dipende da come sono configurati. Se i dati sono minimizzati — l’indirizzo IP mascherato nella sua parte finale, nessun incrocio con altre informazioni, uso solo aggregato e statistico — l’utente non è identificabile e il Garante li equipara ai cookie tecnici. Se invece l’IP viaggia in chiaro, o i dati di navigazione vengono incrociati con altre informazioni, l’utente torna riconoscibile: l’analytics smette di essere “innocuo” e viene trattato come uno strumento di tracciamento vero e proprio.

I cookie di profilazione, infine, osservano l’utente per costruirne un profilo: registrano quali pagine visita, cosa clicca, cosa acquista, e usano queste informazioni per mostrargli pubblicità e contenuti su misura. Sono l’applicazione ai siti web dell’attività di profilazione a cui abbiamo dedicato una guida specifica — e sono la categoria a cui il GDPR riserva le regole più severe.

3. Quando serve il consenso (e come si esprime)

Per l’utilizzo dei cookie non sempre serve il consenso dell’utente. Il consenso è necessario solo se il sito web utilizza cookie analytics senza IP mascherato — ad esempio un Google Analytics non configurato con le misure di minimizzazione — oppure se sono installati cookie di profilazione. In questi casi l’utente deve esprimere il consenso attraverso un apposito banner, che deve rispettare, come vedremo nel prosieguo, precise condizioni.

Quando invece il sito utilizza soltanto cookie tecnici — o analytics minimizzati, equiparati ai tecnici — il consenso non è richiesto: è sufficiente che i cookie siano descritti nell’informativa, cioè nella cookie policy pubblicata sul sito.

Quando serve, il consenso deve essere espresso con un atto positivo e documentabile: il clic su “Accetta” nel banner, o la selezione delle singole categorie nel pannello delle preferenze — perché la scelta può anche essere granulare, accettando alcuni tipi di cookie e rifiutandone altri. E deve poter essere revocata in qualsiasi momento, con la stessa facilità con cui è stata data.

C’è poi un aspetto che molti gestori di siti trascurano: i consensi devono essere registrati. Il GDPR pone l’onere della prova in capo al titolare (art. 7): in caso di contestazione — un reclamo al Garante, un’ispezione — è il proprietario del sito a dover dimostrare che quell’utente, quel giorno, ha espresso quel consenso. Per questo la piattaforma di gestione dei consensi deve conservare una traccia di ogni scelta: quando è stata fatta, cosa è stato accettato o rifiutato, con quale versione del banner. Un banner perfetto ma senza registro dei consensi protegge a metà: al momento del bisogno, non c’è modo di provare nulla.

4. Il banner: quando è obbligatorio e come deve essere fatto

Una precisazione che sorprende molti: il banner non è sempre obbligatorio. Serve solo se il sito utilizza cookie diversi da quelli tecnici — di profilazione, o analytics non minimizzati. Un sito che usa soltanto cookie tecnici può farne a meno: basta l’informativa nella cookie policy. Il banner ovunque, anche dove non serve, è una delle abitudini più diffuse — e più inutili — del web italiano.

Quando invece serve, non è un adempimento di fantasia: le Linee guida del Garante del 10 giugno 2021 (in vigore dal gennaio 2022) dicono con precisione come va costruito.

5. Cosa non vale come consenso

Il principio di fondo delle linee guida è che l’impostazione predefinita è il rifiuto. Alla prima visita il sito non può installare alcun cookie diverso da quelli tecnici: gli strumenti di tracciamento partono solo dopo che l’utente ha detto sì. E se l’utente non sceglie — ignora il banner, o lo chiude con la X — la navigazione prosegue senza tracciamento: il silenzio vale come un no, mai come un sì.

Da questo principio discende l’elenco delle scorciatoie che non valgono. Lo scroll della pagina non è consenso: continuare a navigare non significa accettare. Le caselle già spuntate non sono consenso: la scelta deve essere un’azione positiva dell’utente, non una preimpostazione da subire. E la semplice prosecuzione della navigazione davanti a un banner senza una vera alternativa non è consenso: è rassegnazione.

La regola per orientarsi è semplice: il consenso valido è un atto documentabile e inequivocabile — un clic consapevole su un’opzione chiara. Tutto ciò che si limita a presumere la volontà dell’utente non regge, né davanti al Garante né davanti a un reclamo.

6. La cookie policy: cosa deve contenere

A prescindere dalla tipologia di cookie utilizzati, il sito deve invece sempre contenere una cookie policy: è l’informativa dedicata agli strumenti di tracciamento, e — a differenza del banner — è dovuta anche dal sito che usa soltanto cookie tecnici. È il documento completo a cui il banner rimanda, e a cui l’utente deve poter accedere in ogni momento.

Il suo cuore è l’elenco preciso dei cookie realmente in uso: per ciascuno vanno indicati il nome, la funzione svolta, la classificazione (tecnico, analytics o di profilazione), se è di prima o di terza parte e la durata — quanto resta sul dispositivo prima di scadere. Attorno all’elenco, la policy deve poi indicare le terze parti coinvolte con i link alle loro informative, i tempi di conservazione dei dati, le modalità per modificare o revocare le scelte espresse e per esercitare i diritti dell’interessato.

L’errore più comune è la policy fotocopia: scaricata da un generatore, mai aggiornata, con terze parti che non corrispondono ai cookie realmente installati. Basta un’analisi tecnica del sito — la fa anche il Garante, in istruttoria — per far emergere lo scarto tra ciò che la policy dichiara e ciò che il sito fa davvero. E lo scarto è esso stesso una violazione: un’informativa non veritiera.

7. Cosa si rischia

Il banner fuori norma è tra le violazioni più facili da contestare: è pubblico, visibile a chiunque, verificabile in trenta secondi — e i reclami al Garante in materia di cookie partono spesso proprio da un utente infastidito. Le conseguenze seguono la scala già vista per le altre violazioni della privacy: installare cookie di profilazione senza consenso significa trattare dati senza base giuridica, con sanzioni che possono arrivare ai massimi dell’art. 83 del GDPR, oltre agli ordini di adeguamento e — per i dati raccolti illecitamente — al divieto di utilizzo.

Per un’impresa il rischio va pesato anche in chiave commerciale: il sito è la vetrina, e un provvedimento del Garante sul proprio banner è una pubblicità che nessuno vorrebbe.

8. Come ti assiste lo Studio Legale Calzoni

Mettere in regola i cookie di un sito è un lavoro a due mani: serve la ricognizione tecnica (quali cookie il sito installa davvero, di chi sono, quando partono) e la costruzione giuridica (classificazione, banner conforme, policy veritiera, registro delle scelte). Lo Studio Legale Calzoni segue questo percorso dentro la consulenza privacy e GDPR: verifichiamo lo stato del sito, riscriviamo cookie policy e informative, impostiamo il banner secondo le linee guida e colleghiamo il tutto agli altri adempimenti — registro, consensi, nomine dei fornitori. Un sito in regola si costruisce una volta e si mantiene con poco.

Domande frequenti

Cosa sono i cookie di profilazione? Sono i cookie che tracciano la navigazione dell’utente — pagine visitate, click, tempi — per costruire un profilo dei suoi interessi e mostrargli pubblicità personalizzata. Richiedono il consenso preventivo: senza, non possono essere installati.

Cosa vuol dire accettare i cookie? Significa autorizzare il sito (e le terze parti indicate) a installare sul proprio dispositivo gli strumenti di tracciamento non tecnici — tipicamente quelli di profilazione. Accettare non è obbligatorio: il sito deve funzionare anche per chi rifiuta.

Che differenza c’è tra cookie tecnici e cookie di profilazione? I tecnici servono a far funzionare il sito (sessione, carrello, lingua) e non richiedono consenso. Quelli di profilazione osservano l’utente per costruirne un profilo a fini pubblicitari e richiedono il consenso preventivo.

Google Analytics è un cookie di profilazione? È uno strumento di analytics: è equiparato ai cookie tecnici solo se configurato con misure di minimizzazione (IP mascherato, nessun incrocio con altri dati, uso aggregato). Senza queste misure, richiede il consenso come gli altri strumenti di tracciamento.

La cookie policy è obbligatoria? Sì, per qualunque sito che usi cookie: è l’informativa dedicata agli strumenti di tracciamento. Deve descrivere i cookie realmente usati, le terze parti, i tempi di conservazione e come modificare le proprie scelte.

Il banner può ricomparire a ogni visita? No: una volta che l’utente ha scelto, la richiesta non va riproposta — salvo cambiamenti significativi (nuove terze parti), cancellazione dei cookie da parte dell’utente, o comunque non prima di sei mesi dalla scelta precedente.

Chiudere il banner con la X equivale ad accettare? No, è l’opposto: secondo le linee guida del Garante la X di chiusura deve valere come rifiuto — l’utente prosegue la navigazione senza alcun tracciamento diverso da quello tecnico.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.