Cookie banner: le regole del Garante privacy spiegate in pratica

Secondo le linee guida del Garante privacy, un cookie banner è a norma quando permette di rifiutare con la stessa facilità con cui si accetta: la X in alto chiude il banner e mantiene solo i cookie tecnici, lo scorrimento della pagina non vale come consenso, nessun cookie di profilazione parte prima della scelta, e la richiesta non va riproposta prima di sei mesi salvo cambiamenti. Sembra semplice, eppure buona parte dei banner che vedo sui siti delle piccole imprese sbaglia almeno uno di questi punti.

Le regole italiane di riferimento sono le Linee guida cookie e altri strumenti di tracciamento, adottate dal Garante il 10 giugno 2021 e pienamente applicabili dal gennaio 2022. Al 30 ottobre 2026 sono ancora quelle in vigore.

Quali cookie richiedono il consenso e quali no?

Il Garante distingue due grandi famiglie:

• cookie tecnici: servono a far funzionare il sito o a fornire un servizio richiesto dall'utente (il carrello di un e-commerce, l'accesso all'area riservata, la memoria della lingua scelta, la stessa scelta sui cookie). Non richiedono consenso, ma vanno indicati nell'informativa;
• cookie di profilazione e altri strumenti di tracciamento: servono a costruire profili, mostrare pubblicità personalizzata, seguire l'utente tra siti diversi. Richiedono il consenso preventivo, libero e specifico.

In mezzo stanno i cookie analitici. Quelli di prima parte, o di terza parte con accorgimenti che impediscono di risalire alla persona (indirizzo IP mascherato almeno in parte, dati usati solo per statistiche aggregate su quel sito, nessun incrocio con altre informazioni), possono essere trattati come i tecnici. Gli altri richiedono il consenso. Su questo punto ho scritto una guida a parte su Google Analytics 4 e privacy.

Come deve essere fatto il banner?

Le caratteristiche che il Garante indica, tradotte in pratica:

1. Un comando per accettare tutto, ben visibile.
2. Un modo altrettanto semplice per rifiutare: la X di chiusura in alto a destra, che equivale a continuare senza cookie diversi da quelli tecnici. Molti siti aggiungono anche un pulsante «Rifiuta» accanto ad «Accetta», con la stessa evidenza grafica: è la soluzione più chiara.
3. Un collegamento alle preferenze, per scegliere in modo granulare per finalità o per fornitore.
4. Un rimando all'informativa estesa sui cookie.
5. Un testo breve e comprensibile, che dica a cosa servono i cookie per cui si chiede il consenso.

Il banner deve interrompere solo in parte la navigazione: si deve poter leggere che cosa si sta accettando.

Lo scroll della pagina vale come consenso?

No. Le linee guida dicono chiaramente che il semplice scorrimento della pagina non è un'azione idonea a esprimere il consenso. Lo stesso vale per il proseguire la navigazione cliccando altrove. Il consenso deve nascere da un gesto inequivocabile, come il clic su «Accetta» o la scelta nelle preferenze.

Posso bloccare l'accesso al sito a chi rifiuta?

In linea generale no. Il meccanismo chiamato cookie wall, che subordina l'accesso ai contenuti all'accettazione dei cookie, è considerato illegittimo. L'eccezione, da valutare caso per caso, riguarda i siti che offrono comunque un accesso equivalente ai contenuti senza consenso.

Ogni quanto si può riproporre il banner?

La scelta dell'utente va ricordata: chi ha rifiutato non deve trovarsi il banner a ogni pagina o a ogni visita. Il Garante indica che la richiesta non va riproposta prima che siano trascorsi sei mesi, a meno che cambino in modo significativo le condizioni del trattamento (ad esempio un nuovo fornitore di pubblicità), che sia impossibile sapere se il cookie con la scelta è già stato memorizzato, o che sia l'utente stesso a voler modificare le proprie preferenze.

Per questo serve un collegamento sempre disponibile, di solito nel piè di pagina, per riaprire le preferenze e revocare il consenso con la stessa facilità con cui lo si è dato.

Quali errori vedo più spesso nei banner?

Controllando i siti che mi arrivano, la lista è lunga e ripetitiva:

• cookie di profilazione e pixel pubblicitari che partono prima di qualsiasi scelta;
• pulsante «Accetta» grande e colorato, «Rifiuta» nascosto in un secondo livello o scritto in grigio chiaro;
• X che chiude il banner ma attiva comunque tutti i cookie;
• preferenze tutte attive per impostazione predefinita;
• banner generato da un servizio esterno ma mai configurato, con l'elenco dei cookie vuoto o sbagliato;
• informativa copiata da un altro sito, con fornitori che non c'entrano;
• contenuti incorporati (video, mappe, recensioni, chat) che caricano cookie di terze parti senza passare dal banner.

L'ultimo punto è il più sottovalutato. Una mappa o un video incorporato da piattaforme esterne può impostare cookie appena la pagina si apre. La soluzione è caricarli solo dopo il consenso o dopo un clic dell'utente, mostrando al loro posto un'anteprima con un pulsante.

Cosa c'entra il Consent Mode di Google?

Se usi strumenti pubblicitari o di statistica di Google, avrai sentito parlare del Consent Mode. È un meccanismo con cui il banner comunica ai servizi di Google la scelta dell'utente: consenso dato o negato per statistiche, pubblicità e personalizzazione. Per chi usa le funzioni pubblicitarie di Google con visitatori europei è di fatto un requisito.

Due cose da sapere. La prima: il Consent Mode non sostituisce il banner e non rende lecito niente da solo; trasmette una scelta che deve essere stata raccolta correttamente. La seconda: esiste una modalità «avanzata» in cui, anche senza consenso, i tag di Google inviano segnali ridotti senza cookie. Se sia compatibile con le regole italiane è una valutazione da fare con attenzione insieme al consulente privacy; la modalità «di base», che non invia niente finché l'utente non accetta, è la scelta più prudente.

Il banner deve essere anche accessibile?

Sì, ed è un punto che si lega alle norme sull'accessibilità. Il banner deve poter essere usato con la tastiera, letto dai lettori di schermo, avere un contrasto sufficiente e non coprire i contenuti in modo da renderli irraggiungibili sul telefono. Un banner che intrappola chi naviga senza mouse è un problema sia di privacy sia di accessibilità.

Cosa sta cambiando a livello europeo?

A livello europeo si discute da tempo di una semplificazione delle regole sui cookie, nell'ambito del pacchetto di proposte chiamato Digital Omnibus. Al momento in cui scrivo il negoziato è ancora in corso e non c'è niente di applicabile: le regole da rispettare restano quelle del Garante del 2021. Quando cambierà qualcosa, aggiornare un banner progettato bene sarà questione di configurazione, non di rifacimento.

Come verifico se il mio banner è a norma?

Una prova che puoi fare da solo, in cinque minuti:

1. apri il sito in una finestra anonima del browser;
2. prima di toccare il banner, apri gli strumenti per sviluppatori e guarda i cookie e le richieste verso domini esterni: non dovrebbero esserci cookie pubblicitari o di profilazione;
3. chiudi il banner con la X e ricarica la pagina: niente cookie non tecnici, e il banner non deve ricomparire;
4. riapri le preferenze dal collegamento nel piè di pagina e verifica che si possa cambiare idea;
5. apri una pagina con un video o una mappa e controlla cosa si carica.

Se al punto 2 compaiono già cookie pubblicitari o di profilazione, il banner è solo una decorazione.

Ne parliamo?

Se vuoi sapere se il banner del tuo sito rispetta davvero le regole del Garante, scrivimi dalla pagina contatti. Controllo cosa si carica e quando, sistemo la configurazione e, se serve, inserisco il banner in un sito web aziendale o in un e-commerce progettato per rispettare la privacy fin dall'inizio. Per i testi dell'informativa leggi anche la mia guida alla privacy policy del sito web, e ricorda che la responsabilità legale resta del titolare: il confronto con il tuo consulente privacy è sempre utile.

Fonti

• Garante privacy, Linee guida cookie e altri strumenti di tracciamento (10 giugno 2021)
• Garante privacy, FAQ sui cookie

Crediti delle immagini

• Copertina: foto di No Revisions su Unsplash