GDPR e cookie: come tracciare gli utenti in modo conforme

Chi gestisce un sito, un e-commerce o le campagne di un cliente prima o poi si scontra con la stessa domanda: cookie GDPR, cosa possiamo davvero misurare senza rischiare una sanzione? Il banner c’è, Google Analytics è installato, il pixel di Meta pure. Ma basta un tag che parte prima del consenso, o un pulsante “Rifiuta” nascosto in un secondo livello, per trasformare un sito apparentemente in regola in un sito che raccoglie dati senza base giuridica.

In questa guida mettiamo ordine sul tema cookie GDPR per il mercato italiano: quali norme si applicano, quali cookie richiedono il consenso e quali no, come deve essere fatto un cookie banner secondo il Garante per la protezione dei dati personali, come conservare la prova del consenso e come far convivere tutto questo con GA4, Consent Mode V2 e gli strumenti di marketing. Non è una consulenza legale: è la parte tecnica e operativa che noi marketer dobbiamo conoscere per lavorare bene con il DPO o con il legale dell’azienda. L’articolo fa parte della categoria Data Tracking.

Cookie e GDPR: quali regole valgono in Italia

Il primo equivoco da togliere di mezzo è che “i cookie li regola il GDPR”. In realtà le regole sono due e lavorano in coppia. La prima è la direttiva ePrivacy (2002/58/CE), recepita in Italia dall’art. 122 del Codice privacy (d.lgs. 196/2003): stabilisce che per archiviare informazioni sul dispositivo dell’utente, o per leggere quelle già presenti, serve il consenso, salvo che lo strumento sia strettamente necessario al servizio richiesto. La seconda è il GDPR (Regolamento UE 2016/679), che definisce che cosa sia un consenso valido: libero, specifico, informato, inequivocabile, dimostrabile e revocabile con la stessa facilità con cui è stato dato.

Pensatela così: la direttiva ePrivacy è il buttafuori all’ingresso del locale, decide chi può entrare (quali cookie possono essere installati e a quali condizioni); il GDPR è il regolamento interno, che stabilisce come vanno trattati i dati di chi è entrato e come dimostrare di aver chiesto il permesso nel modo giusto.

In Italia il riferimento operativo sono le Linee guida cookie e altri strumenti di tracciamento del Garante, adottate il 10 giugno 2021 (registro dei provvedimenti n. 231) e pubblicate nella Gazzetta Ufficiale n. 163 del 9 luglio 2021. Il Garante ha concesso 6 mesi dalla pubblicazione per adeguarsi, quindi da gennaio 2022 queste regole sono pienamente applicabili. Le linee guida non riguardano solo i cookie in senso stretto: includono anche gli altri identificatori, compreso il fingerprinting, cioè la tecnica che riconosce il dispositivo dall’insieme delle sue caratteristiche (browser, sistema operativo, risoluzione e così via) senza salvare nulla.

Ecco i quattro principi che ritroverete in tutto l’articolo:

• Consenso preventivo: i cookie non tecnici si attivano solo dopo una scelta attiva dell’utente, mai prima.
• Rifiutare deve essere facile quanto accettare: niente percorsi a ostacoli per dire di no.
• Granularità: l’utente deve poter scegliere per finalità e, se lo desidera, per singola terza parte.
• Accountability: siete voi, come titolari, a dover dimostrare che il consenso è stato raccolto correttamente.

I tipi di cookie: tecnici, analytics, profilazione, prima e terza parte

Prima di configurare qualsiasi banner serve una mappa. Le linee guida del Garante distinguono i cookie soprattutto in base alla finalità, non alla tecnologia. Un cookie è una piccola stringa di testo che il sito visitato (la prima parte) o un dominio diverso (la terza parte, per esempio una piattaforma pubblicitaria) salva nel browser. Il punto non è “che cos’è”, ma “a cosa serve”.

Un esempio concreto: in un negozio online il cookie che ricorda i prodotti nel carrello è tecnico, perché senza di esso l’acquisto non funziona. Il pixel che registra la visita alla scheda prodotto per mostrarvi lo stesso paio di scarpe su Instagram il giorno dopo è di profilazione, e senza consenso non deve partire. Lo stesso vale per i tag delle piattaforme pubblicitarie che trattiamo nella guida alla Meta Conversions API: anche quando l’invio avviene lato server, la base giuridica resta il consenso.

Occhio alla terza riga della tabella: l’etichetta “analytics” non è un lasciapassare. Un cookie statistico è esente dal consenso solo se è configurato in un certo modo, e lo vediamo nel dettaglio più avanti. Se state ancora scegliendo lo strumento, nel nostro confronto dei migliori software di web analytics trovate anche le alternative più orientate alla privacy, come Matomo.

Come deve essere un cookie banner conforme secondo il Garante

Il cookie banner serve solo se usate cookie diversi da quelli tecnici. Se il sito usa esclusivamente cookie tecnici (e analytics davvero minimizzati), l’informazione può stare nella home page o nell’informativa generale, senza banner da chiudere. In tutti gli altri casi il Garante chiede un banner che compaia al primo accesso, di dimensioni adeguate, e che contenga almeno questi elementi:

1. Un’informativa breve: il sito usa cookie tecnici e, solo con il vostro consenso, cookie di profilazione o altri strumenti di tracciamento, con l’indicazione delle finalità.
2. Il link all’informativa completa (la privacy e cookie policy), con destinatari dei dati, tempi di conservazione e modalità per esercitare i diritti.
3. Un comando per chiudere il banner senza prestare il consenso, tipicamente la X in alto a destra, con l’avvertenza che chiudendo si continua a navigare solo con i cookie tecnici.
4. Un pulsante per accettare tutti i cookie.
5. Il link a un’area di scelta dettagliata, dove selezionare finalità, terze parti e singoli cookie, oppure revocare un consenso già dato.

Il passaggio che molti siti italiani ignorano riguarda la pari evidenza grafica: il comando per proseguire senza consenso deve essere visibile quanto i pulsanti per accettare. Le linee guida lo dicono chiaramente: le modalità per proseguire senza consenso devono essere “immediate, usabili e accessibili” quanto quelle per prestarlo. Un grande pulsante colorato “Accetta” accanto a un link grigio minuscolo “Personalizza” è esattamente lo schema da evitare.

Ci sono poi tre pratiche che il Garante considera non idonee:

• Lo scroll come consenso: scorrere la pagina, di per sé, non vale come consenso. Può essere solo una componente di un processo più articolato che generi un evento positivo, inequivoco e registrabile.
• Il cookie wall: obbligare l’utente ad accettare per accedere ai contenuti è illecito, salvo il caso, da valutare volta per volta, in cui il sito offra un contenuto o un servizio equivalente senza consenso.
• Le caselle pre-selezionate: un consenso deve nascere da un’azione positiva, quindi le finalità facoltative partono disattivate.

Infine l’accessibilità: le informazioni del banner devono essere fruibili anche da chi usa tecnologie assistive, in linea con la legge 9 gennaio 2004, n. 4. Un banner che non si chiude con la tastiera o che uno screen reader non legge non è solo un problema di UX.

Consenso valido: prova, revoca e riproposizione del banner

Raccogliere il clic è solo metà del lavoro. Il GDPR (art. 7) chiede al titolare di dimostrare che l’utente ha prestato il consenso, e le linee guida del Garante insistono sullo stesso punto: la scelta deve essere registrabile e documentabile. In pratica la vostra piattaforma di gestione del consenso deve conservare un registro dei consensi con almeno:

• un identificativo della scelta (non serve il nome della persona: basta un ID pseudonimo legato al browser);
• data e ora;
• le finalità e le terze parti accettate o rifiutate;
• la versione del banner e dell’informativa mostrate in quel momento.

L’ultimo punto è quello che salva in caso di contestazione: se cambiate il testo del banner, dovete sapere quale versione ha visto chi ha accettato sei mesi fa. È come la ricevuta di un pagamento: non basta dire “ha pagato”, bisogna poterlo mostrare.

Poi c’è la revoca. Il consenso deve poter essere ritirato in qualsiasi momento, con la stessa facilità con cui è stato dato. Il Garante indica come buona prassi un’icona o un segno grafico, per esempio nel footer di ogni pagina, che mostri lo stato dei consensi e permetta di modificarli; l’area delle scelte dettagliate deve essere raggiungibile anche da un link nel footer. Un utente che ha accettato tutto per sbaglio deve poter tornare indietro in due clic, senza scrivere una PEC.

Ultimo tema: quando riproporre il banner. Se l’utente chiude il banner senza dare il consenso, quella scelta va rispettata e il banner non va mostrato a ogni pagina o a ogni visita. Il Garante ammette la riproposizione solo in tre casi:

1. quando cambiano in modo significativo le condizioni del trattamento, per esempio le terze parti coinvolte;
2. quando è impossibile sapere se un cookie sia già stato memorizzato (per esempio perché l’utente ha cancellato i cookie);
3. quando sono trascorsi almeno 6 mesi dalla precedente presentazione del banner.

Tradotto in configurazione: la durata del cookie che memorizza il rifiuto non dovrebbe essere più breve di 6 mesi, e un banner che ricompare ogni giorno per “convincere” chi ha detto no è fuori regola.

Google Analytics 4, Consent Mode V2 e i cookie analytics

Qui arriviamo al punto che interessa di più a chi fa analisi. Le linee guida del Garante prevedono che i cookie analytics possano essere equiparati a quelli tecnici, quindi usati senza consenso, solo a precise condizioni:

• devono impedire l’individuazione diretta della persona (il cosiddetto single out): per gli indirizzi IPv4 il Garante indica come misura possibile il mascheramento almeno della quarta componente dell’indirizzo, che introduce un’incertezza di 1 su 256;
• devono servire solo a produrre statistiche aggregate;
• devono riguardare un singolo sito o una sola app, senza seguire l’utente su siti diversi;
• il fornitore terzo non deve combinare questi dati con altre elaborazioni né passarli ad altri soggetti.

Con Google Analytics 4 la questione è delicata. Nel provvedimento del 9 giugno 2022 su un sito editoriale, il Garante ha ritenuto illecito il trasferimento dei dati verso Google LLC negli Stati Uniti tramite Google Analytics (allora Universal Analytics), osservando che anche l’IP troncato resta un dato pseudonimo che Google può arricchire, per esempio quando l’utente è collegato al proprio account. Da allora il quadro del trasferimento è cambiato: il 10 luglio 2023 la Commissione europea ha adottato la decisione di adeguatezza sull’EU-US Data Privacy Framework, e i trasferimenti verso aziende statunitensi certificate hanno di nuovo una base di adeguatezza. Questo però risolve il tema del trasferimento, non quello del consenso. Per GA4, che usa identificatori persistenti e si integra con i prodotti pubblicitari di Google, l’approccio prudente che consigliamo in Italia è trattarlo come strumento soggetto a consenso, a meno che il vostro legale non abbia valutato una configurazione specifica che rientri nell’esenzione.

Qui entra in gioco Consent Mode V2. Non è un banner e non raccoglie il consenso: è il sistema con cui il vostro banner comunica ai tag Google la scelta dell’utente. Funziona con quattro segnali:

Google ha aggiornato il Consent Mode a novembre 2023 e da marzo 2024 chiede, per il traffico dello Spazio economico europeo, di trasmettere questi segnali per continuare a usare misurazione, personalizzazione degli annunci e remarketing. Per chi monetizza con AdSense, Ad Manager o AdMob, dal 16 gennaio 2024 serve inoltre una CMP certificata da Google integrata con il TCF di IAB per mostrare annunci personalizzati agli utenti di SEE e Regno Unito.

Attenzione a una distinzione: nella modalità “avanzata” i tag Google si caricano anche prima del consenso e, se l’utente rifiuta, inviano ping senza cookie che servono alla modellazione dei dati; nella modalità “di base” i tag restano bloccati finché l’utente non accetta. Quale scegliere va deciso con chi segue la parte legale, alla luce dell’art. 122 del Codice privacy. Abbiamo spiegato configurazione e differenze nella guida dedicata a Consent Mode V2; se state partendo da zero con lo strumento, trovate le basi nella guida pratica a GA4 per principianti.

Scegliere e configurare una CMP: il blocco preventivo degli script

Una CMP (Consent Management Platform) è il software che mostra il banner, registra le scelte, conserva il registro dei consensi e, soprattutto, blocca gli script finché l’utente non ha deciso. Sul mercato italiano le più diffuse sono soluzioni come iubenda, Cookiebot, CookieYes e, per WordPress, plugin come Complianz. Non indichiamo prezzi perché cambiano spesso e dipendono dal numero di pagine o di domini: verificateli sul sito del fornitore prima di proporli a un cliente.

Quando valutate una CMP, controllate questi punti:

• Testi e layout configurabili per rispettare le indicazioni del Garante: X di chiusura, pulsanti con pari evidenza, link alle scelte dettagliate.
• Scansione automatica dei cookie e degli script presenti sul sito, con classificazione per finalità.
• Blocco preventivo reale, non solo “estetico”: il banner che compare mentre i tag sono già partiti è inutile.
• Integrazione con Consent Mode V2 e, se vendete spazi pubblicitari, certificazione Google e supporto al TCF.
• Registro dei consensi esportabile, con versione del banner e data.
• Integrazione con Google Tag Manager, per gestire i tag in base al consenso.

Il metodo più pulito per la parte tecnica passa da Google Tag Manager. Immaginate GTM come il quadro elettrico di casa: la CMP è l’interruttore generale che decide quali circuiti possono essere accesi, e ogni tag (GA4, Google Ads, Meta, Hotjar, Microsoft Clarity) è collegato al suo circuito. In concreto:

1. Caricate il template della CMP in GTM e impostate i valori predefiniti del consenso su “denied” per le finalità non tecniche, prima di qualsiasi altro tag.
2. Usate le impostazioni di consenso di GTM su ogni tag, indicando quale tipo di consenso richiede.
3. Per gli strumenti non Google (pixel pubblicitari, heatmap, chat) usate attivatori basati sull’evento di aggiornamento del consenso, così partono solo dopo l’accettazione.
4. Togliete dal tema o dai plugin gli script inseriti “a mano” nell’header, che sfuggono a GTM e alla CMP.

Se usate il tracciamento server-side, ricordate che spostare i tag su un server non elimina l’obbligo di consenso: il server deve ricevere e rispettare lo stato del consenso dell’utente. Per la configurazione di base del contenitore potete partire dalla nostra guida a Google Tag Manager; per gli strumenti di heatmap, come quelli descritti nella guida a Microsoft Clarity, verificate sempre se e come sono collegati al consenso.

Checklist di verifica ed errori da evitare

Un sito conforme oggi può non esserlo più domani: basta un nuovo plugin, un video incorporato o un pixel aggiunto da un’agenzia per una campagna. Per questo conviene fare un controllo periodico, almeno a ogni modifica importante del sito e ogni volta che aggiungete uno strumento di marketing. Ecco la checklist che usiamo noi:

1. Navigazione pulita: aprite il sito in una finestra in incognito, senza toccare il banner, e con gli strumenti per sviluppatori del browser (scheda Applicazione o Archiviazione) controllate quali cookie sono già presenti. Devono esserci solo quelli tecnici.
2. Richieste di rete: nella scheda Rete verificate che non partano chiamate verso piattaforme pubblicitarie o di analytics prima del consenso (salvo, se l’avete scelta consapevolmente, la modalità avanzata del Consent Mode).
3. Rifiuto: chiudete con la X o rifiutate e ripetete il controllo. Nessun cookie di profilazione deve comparire.
4. Accettazione parziale: accettate solo le statistiche e verificate che parta GA4 ma non il remarketing.
5. Revoca: dal link nel footer revocate il consenso e controllate che i tag si fermino.
6. Registro: verificate nel pannello della CMP che le vostre prove siano state registrate con data e versione del banner.
7. Informativa: controllate che l’elenco di cookie e terze parti nella cookie policy corrisponda a quelli realmente presenti.

Gli errori che vediamo più spesso nei siti italiani sono sempre gli stessi: pulsante “Rifiuta” assente al primo livello, scroll o prosecuzione della navigazione considerati come consenso, banner che ricompare a ogni visita, tag inseriti fuori da GTM che partono comunque, cookie policy copiata da un altro sito e mai aggiornata, video YouTube incorporati senza modalità privacy avanzata o senza blocco preventivo.

Perché vale la pena di essere rigorosi? Prima di tutto per i rischi: il GDPR (art. 83) prevede, per le violazioni più gravi, tra cui quelle sulle condizioni del consenso, sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo, se superiore. Ma c’è anche una ragione di qualità dei dati: un tracciamento costruito sul consenso vi dice esattamente quale parte del traffico state misurando, e vi permette di leggere i numeri senza sorprese. Un banner chiaro, con scelte oneste, è anche un segnale di fiducia verso chi visita il sito.

In sintesi, lavorare bene sui cookie GDPR significa tre cose: sapere quali strumenti installano identificatori e perché, bloccare tutto ciò che non è tecnico finché l’utente non sceglie, e conservare la prova di quella scelta. Il resto, da GA4 al remarketing, si costruisce sopra queste fondamenta. Se volete approfondire il lato tecnico della raccolta dati, trovate altre guide nella categoria Data Tracking e negli articoli con tag GDPR e Tracciamento server-side.