⚖️ Normativa cookie: come gestire consenso e tracciamenti sul tuo sito

La normativa cookie stabilisce a quali condizioni un sito può utilizzare cookie e altri strumenti di tracciamento. Per capire quali obblighi si applicano, bisogna partire dalla finalità per cui vengono utilizzati. Analizzare le visite, mantenere i prodotti nel carrello o riconoscere un visitatore per proporgli annunci personalizzati sono attività diverse e possono richiedere regole diverse.

Per questo, quando scegli uno strumento per il tuo sito o per quello di un cliente, devi sapere che cosa raccoglie e per quale scopo verranno utilizzate le informazioni. La finalità determina quando devi chiedere il consenso e quali condizioni rispettare.

La stessa verifica serve per configurare correttamente il banner. Le preferenze proposte all’utente devono corrispondere ai tracciamenti effettivamente attivi sul sito e al loro utilizzo. Chi progetta il sito e chi gestisce le campagne devono quindi condividere queste informazioni prima di attivare gli strumenti.

Normativa cookie: quali regole si applicano al tuo sito

La normativa cookie si basa su tre riferimenti:

1. direttiva ePrivacy,
2. articolo 122 del Codice Privacy,
3. GDPR.

I primi due disciplinano la memorizzazione di informazioni sul dispositivo dell’utente e l’accesso a quelle già presenti. Il GDPR si aggiunge quando le informazioni raccolte permettono di identificare una persona, anche indirettamente. Sullo stesso sito possono quindi applicarsi entrambe le discipline.

Quando uno strumento salva un cookie nel browser o legge un cookie già presente, si applica l’articolo 122 del Codice Privacy, che recepisce la direttiva ePrivacy. È richiesto il consenso preventivo, salvo le eccezioni previste per le operazioni necessarie a trasmettere una comunicazione o a fornire un servizio espressamente richiesto dall’utente. Questa protezione vale anche quando le informazioni non sono dati personali: dichiarare che uno strumento non raccoglie nomi o indirizzi email non esclude gli obblighi relativi ai cookie.

Se le informazioni raccolte consentono invece di identificare una persona, anche indirettamente, si applica anche il GDPR. Un identificativo che permette di riconoscere un visitatore e associargli le visite successive può essere un dato personale, pur senza riportarne il nome. Occorre allora stabilire per quale attività verranno utilizzate quelle informazioni, quali dati sono necessari e per quanto tempo conservarli. Se la piattaforma consente di acquisire ulteriori informazioni, anche quella raccolta deve essere giustificata rispetto alla finalità prevista e descritta nell’informativa.

Quando è richiesto il consenso, questo deve essere libero, specifico, informato e inequivocabile. Le Linee guida del Garante sui cookie e sugli altri strumenti di tracciamento spiegano come applicare questi requisiti al funzionamento del sito, dalla raccolta delle preferenze alle impostazioni degli strumenti e del banner.

Quali cookie richiedono il consenso

I cookie pubblicitari e di profilazione richiedono il consenso preventivo; quelli tecnici ne sono esenti. Per gli analytics, l’esenzione dipende dall’utilizzo e dalle condizioni della raccolta.

Non è invece la provenienza del cookie a stabilire se serve il consenso: i cookie di terze parti possono svolgere funzioni diverse. Per stabilire quali obblighi si applicano, occorre verificare a cosa servono sul tuo sito.

Cookie tecnici: le funzioni necessarie al servizio richiesto

Un cookie può essere utilizzato senza consenso quando è strettamente necessario a fornire un servizio richiesto dall’utente. È il caso, per esempio, del cookie che mantiene attiva la sessione dopo il login a un’area riservata: senza quel cookie, l’utente dovrebbe autenticarsi di nuovo a ogni pagina. Deve comunque essere descritto nell’informativa, come precisano le FAQ del Garante.

La qualificazione come cookie tecnico dipende quindi dalla funzione che svolge rispetto al servizio richiesto. Un cookie che conserva i prodotti inseriti nel carrello può essere necessario per permettere all’utente di completare l’acquisto. Un cookie utilizzato per ricordare quali prodotti ha consultato e proporgli successivamente annunci personalizzati svolge invece una finalità pubblicitaria e richiede il consenso.

Cookie analytics: quando puoi utilizzarli senza consenso

I cookie analytics possono essere assimilati ai cookie tecnici e utilizzati senza consenso solo quando servono esclusivamente a produrre statistiche aggregate e rispettano le condizioni indicate dal Garante.

Se il servizio è fornito da una terza parte, i dati devono essere preventivamente minimizzati e il fornitore non può combinarli con altre informazioni né trasmetterli ad altri soggetti. Le statistiche devono inoltre riferirsi a un singolo sito o a un’applicazione, salvo le eccezioni previste per più domini appartenenti allo stesso titolare o gruppo imprenditoriale.

Se gli stessi strumenti vengono utilizzati anche per finalità pubblicitarie, bisogna valutare separatamente questo utilizzo. Se usi Google Analytics, per esempio, devi distinguere l’analisi statistica dalla creazione di pubblici per il remarketing. Quando i dati raccolti servono a raggiungere nuovamente i visitatori con annunci pubblicitari, quel tracciamento richiede il consenso.

L’informativa resta necessaria anche quando gli analytics possono essere utilizzati senza consenso. Se il servizio comporta trasferimenti di dati personali fuori dallo Spazio economico europeo, bisogna inoltre verificare su quale base possano avvenire. Per i trasferimenti verso gli Stati Uniti, il Data Privacy Framework consente di utilizzare la decisione di adeguatezza quando l’organizzazione destinataria aderisce al Framework e il trasferimento è coperto dalla certificazione. Restano applicabili gli altri obblighi previsti dal GDPR.

Cookie pubblicitari e di profilazione: il consenso deve precedere l’attivazione

I cookie di profilazione raccolgono informazioni sul comportamento del visitatore per ricostruirne interessi e preferenze. Possono essere utilizzati, per esempio, per mostrargli annunci collegati ai prodotti che ha consultato o alle azioni compiute sul sito.

Questi cookie possono essere attivati soltanto dopo aver ottenuto il consenso, anche quando vengono installati direttamente dal sito e non da una piattaforma esterna.

Se il visitatore rifiuta il consenso, i cookie devono restare inattivi. Le informazioni raccolte attraverso quel tracciamento non possono quindi essere utilizzate per creare o aggiornare pubblici destinati alle campagne pubblicitarie.

Banner e cookie policy: come gestire le scelte dell’utente

Quando il sito utilizza cookie o altri strumenti di tracciamento che richiedono il consenso, il visitatore deve ricevere le informazioni necessarie prima di scegliere se accettarli. Il cookie banner costituisce il primo livello dell’informativa: indica le finalità dei tracciamenti e permette di accettarli, rifiutarli o scegliere quali autorizzare. La cookie policy contiene invece le informazioni complete sugli strumenti utilizzati e deve essere sempre accessibile, anche dal footer.

Se il sito utilizza esclusivamente cookie tecnici, il consenso non è richiesto e non occorre mostrare un banner per raccoglierlo. Resta però necessario fornire l’informativa, come precisano le FAQ del Garante.

La cookie policy deve corrispondere agli strumenti effettivamente utilizzati sul sito e descriverne le finalità, indicando le terze parti coinvolte, la durata dei cookie e i tempi di conservazione dei dati pertinenti. L’elenco delle terze parti deve restare aggiornato e permettere di raggiungere le relative informazioni tramite link specifici o attraverso il sito di un intermediario che le rappresenti.

Anche la descrizione delle finalità deve corrispondere all’uso dei dati. Se le informazioni raccolte servono per mostrare annunci personalizzati, non possono essere presentate soltanto come dati utilizzati a fini statistici: il visitatore deve sapere che sta autorizzando anche un utilizzo pubblicitario.

Le opzioni proposte devono consentire di accettare, rifiutare o scegliere per quali finalità prestare il consenso. Il visitatore deve poter proseguire senza acconsentire direttamente dal primo livello del banner, attraverso un comando visibile e accessibile quanto quello per accettare. Nel modello descritto dal Garante, questa funzione è svolta dalla X, di regola in alto a destra: chiudere il banner mantiene inattivi i tracciamenti soggetti a consenso. Le finalità soggette a consenso non possono risultare già selezionate e il semplice scorrimento della pagina non esprime un’autorizzazione.

La scelta espressa deve essere registrata, così da poter ricostruire quali finalità l’utente ha autorizzato e quali informazioni gli erano state presentate. Devi inoltre consentirgli di modificare o revocare il consenso con facilità. Le Linee guida del Garante prevedono un’area per rivedere le scelte, accessibile attraverso un collegamento nel footer.

La revoca deve modificare anche il comportamento degli strumenti. Se il visitatore revoca il consenso pubblicitario, i relativi tracciamenti devono interrompersi: registrare la nuova preferenza mentre il sistema continua a raccogliere dati per la stessa finalità renderebbe inefficace la scelta.

CMP, tag e pixel: cosa verificare sul sito

La CMP, cioè la piattaforma di gestione del consenso, registra le preferenze espresse dal visitatore e le comunica agli strumenti presenti sul sito. Se l’utente rifiuta i cookie pubblicitari, tag e pixel che dipendono da quel consenso devono ricevere la scelta e restare inattivi.

La presenza di una CMP, però, non garantisce che tutti i tracciamenti rispettino automaticamente le preferenze raccolte. Un pixel inserito attraverso un plugin o direttamente nel codice della pagina può essere caricato anche senza attendere il segnale della CMP. Per questo bisogna individuare tutti i sistemi attraverso cui vengono attivati i tracciamenti e verificare come si comportano prima e dopo la scelta dell’utente.

Il controllo va eseguito nei diversi momenti in cui il consenso può cambiare:

• prima della scelta, i tracciamenti soggetti a consenso devono restare inattivi;
• dopo un’accettazione parziale o un rifiuto, devono attivarsi soltanto gli strumenti consentiti per le finalità autorizzate;
• dopo la revoca, devono interrompersi i tracciamenti per i quali il consenso è stato ritirato.

Non è sufficiente controllare soltanto quali cookie vengono registrati nel browser. Durante queste prove bisogna esaminare anche le richieste inviate dal sito alle piattaforme esterne, perché possono essere trasmesse informazioni sulle visite anche senza creare nuovi cookie.

La Consent Mode di Google ne offre un esempio. Secondo la documentazione di Google, nella modalità base i tag restano bloccati in assenza di consenso; nella modalità avanzata possono invece essere caricati e inviare misurazioni senza cookie anche quando il consenso è negato. Google precisa che questi invii, chiamati cookieless pings, possono includere l’indirizzo IP, informazioni sul browser e la risoluzione dello schermo, pur dichiarando che Analytics non memorizza né registra gli indirizzi IP.

L’assenza di cookie non rende automaticamente il tracciamento esente dagli obblighi normativi. Le Linee guida dell’EDPB sull’ambito tecnico della direttiva ePrivacy chiariscono che anche altre tecnologie, fra cui pixel e collegamenti tracciati, possono rientrare nella disciplina.

Se utilizzi una modalità di misurazione senza cookie, devi quindi sapere quali informazioni vengono comunque trasmesse, a quali soggetti e per quale utilizzo. Su questi elementi può essere valutata la necessità del consenso e verificata la corrispondenza tra ciò che accade sul sito e quanto dichiarato nell’informativa.

Quando aggiornare cookie policy e configurazione

Cookie policy, banner e configurazione devono essere aggiornati quando cambiano i tracciamenti presenti sul sito. Può succedere quando aggiungi un nuovo servizio, attivi una funzione pubblicitaria oppure modifichi l’utilizzo di uno strumento già installato.

Prima dell’attivazione, bisogna verificare quali dati verranno raccolti, a chi saranno trasmessi e per quale finalità. Se il nuovo utilizzo richiede il consenso, anche il banner e l’informativa devono descriverlo correttamente. Un consenso raccolto per una determinata finalità non autorizza attività diverse introdotte in un secondo momento.

L’aggiornamento è necessario anche quando uno strumento viene eliminato. Se interrompi un’attività pubblicitaria, i relativi tracciamenti devono essere disattivati e devono essere rimosse dal banner e dalla cookie policy le informazioni che non corrispondono più alle attività svolte dal sito. Altrimenti il visitatore potrebbe trovarsi a esprimere una preferenza per trattamenti che non esistono più.

È quanto accaduto nel caso Squeezemind, esaminato dal Garante nel provvedimento n. 594 del 9 ottobre 2025. La società aveva dichiarato di aver cessato dal 2022 i tracciamenti diversi da quelli tecnici, ma il sito continuava a descrivere attività di analytics e pubblicità e a chiedere il consenso per il loro utilizzo. Il Garante ha rilevato che anche la registrazione delle preferenze relative a trattamenti ormai inesistenti comportava una raccolta di dati eccedente rispetto alle necessità della società, in violazione del principio di minimizzazione.

Chi risponde dei cookie installati sul sito

Il titolare del trattamento è chi decide perché raccogliere i dati e quali strumenti utilizzare. Se la tua azienda raccoglie dati dal sito per le proprie campagne, resta responsabile di queste scelte anche quando affida a un’agenzia l’installazione o la gestione degli strumenti.

Il ruolo dell’agenzia dipende invece dalle attività che svolge. Se tratta i dati per conto dell’azienda e segue le sue istruzioni, opera come responsabile del trattamento e il rapporto deve essere regolato da un contratto che rispetti l’articolo 28 del GDPR. Se partecipa invece alle decisioni sulle finalità e sui mezzi essenziali del trattamento, può essere necessario valutare un diverso rapporto, compresa l’eventuale contitolarità. Le Linee guida dell’EDPB sui ruoli privacy richiedono che il ruolo attribuito a ciascun soggetto corrisponda alle attività effettivamente svolte.

Se, per esempio, l’agenzia propone un nuovo pixel per misurare gli acquisti generati da una campagna, deve indicare quali eventi vuole rilevare e a quale piattaforma verranno inviati. L’azienda può così valutare la raccolta prevista prima dell’attivazione e definire con chi segue la parte legale e tecnica come configurare lo strumento e quali informazioni fornire agli utenti.

Nel lavoro di adeguamento privacy del sito, queste responsabilità devono essere definite anche nell’incarico, soprattutto quando agenzia, consulente legale e sviluppatore lavorano separatamente.

Cookie e marketing: adegua il tuo sito con Legal for Digital

Cookie, pixel e analytics fanno parte del modo in cui un sito misura le campagne, attribuisce le conversioni e acquisisce clienti. Per questo l’adeguamento alla normativa cookie deve partire dalle attività effettivamente svolte sul sito e dagli strumenti utilizzati per il marketing.

Legal for Digital è lo studio legale delle performance. Dal 2018 lavoriamo per migliorare le performance delle aziende attraverso la legge, intervenendo sulle regole che accompagnano siti web, advertising, analytics e processi di acquisizione.

Conosciamo il funzionamento degli strumenti che raccolgono e utilizzano i dati perché lavoriamo ogni giorno con aziende che fanno marketing online. Questo ci permette di valutare la normativa partendo da ciò che vuoi ottenere: misurare le campagne, usare i dati per l’advertising, conoscere le conversioni e continuare a utilizzare gli strumenti che servono alla crescita del business.

Se stai adeguando il tuo sito o vuoi verificare come sono configurati cookie, pixel e sistemi di misurazione, parlane con uno studio legale che conosce il marketing digitale e sa come usare la legge per sostenerne le performance.