Le linee guida cookie del Garante aiutano a progettare un sito nel quale la scelta dell’utente produca effetti reali. Il punto di partenza è verificare che cosa viene memorizzato o letto sul dispositivo, per quale scopo e prima di quale azione. Un banner ben disegnato non risolve il problema se, nel frattempo, partono richieste pubblicitarie o identificatori non necessari.
Le linee guida del 10 giugno 2021 restano il riferimento per cookie e altri strumenti di tracciamento. Vanno lette insieme all’articolo 122 del Codice Privacy, al GDPR e, per i pixel nelle email, alle indicazioni specifiche adottate nel 2026. Questa guida propone un percorso per classificare gli strumenti, configurare le scelte e conservarne una prova proporzionata.
Quando serve il consenso: funzione e necessità dello strumento
L’articolo 122 del Codice Privacy riguarda l’archiviazione di informazioni nel terminale e l’accesso a quelle già archiviate. Non è limitato ai file chiamati cookie: tecniche di riconoscimento del dispositivo possono ricadere nella disciplina anche senza depositare il classico identificatore nel browser. Cambiare tecnologia o spostare una parte dell’elaborazione sul server non dimostra, da solo, che il tracciamento sia esente.
La regola è il consenso preventivo informato. Le eccezioni riguardano le operazioni finalizzate esclusivamente alla trasmissione di una comunicazione sulla rete oppure strettamente necessarie a erogare un servizio della società dell’informazione esplicitamente richiesto dall’utente. Un carrello che ricorda gli articoli selezionati può rientrare nella seconda ipotesi; l’identificatore che costruisce un profilo pubblicitario attraverso più siti richiede una valutazione diversa. L’utilità economica per l’editore non equivale alla necessità per il servizio richiesto.
La provenienza non decide da sola la classificazione. Un cookie di prima parte può servire alla profilazione; uno fornito da un soggetto esterno può avere una funzione strettamente tecnica. Per ciascuno occorre quindi descrivere l’operazione effettiva, i destinatari e la configurazione. Il legittimo interesse non sostituisce il consenso richiesto dalla disciplina speciale sul terminale. Separatamente, gli eventuali trattamenti di dati personali successivi devono rispettare il GDPR.
Considerate un video incorporato nella pagina. La sola presenza del lettore non prova quali informazioni siano inviate: può limitarsi a erogare il contenuto richiesto oppure contattare servizi ulteriori e associare identificatori. Prima di classificarlo, verificate la documentazione e le richieste effettive. Se le funzioni non necessarie non sono separabili, valutate un’alternativa tecnica o un caricamento subordinato a una scelta adeguatamente informata.
Analytics: l’esenzione richiede condizioni concrete
Le FAQ ufficiali del Garante chiariscono che gli analytics non sono automaticamente cookie tecnici. La loro assimilazione è possibile nel rispetto delle condizioni descritte nelle linee guida, con finalità statistiche aggregate e misure che riducano il potere identificativo. Non basta cambiare il nome della categoria nel pannello delle preferenze.
Per analytics di terze parti, il Garante richiede interventi di minimizzazione, come il mascheramento di parte dell’indirizzo IP, e limiti all’impiego dei risultati. Le informazioni non devono essere combinate con altre elaborazioni per identificare gli utenti né trasmesse ulteriormente a terzi. Le linee guida contemplano specifiche possibilità di statistiche relative a più domini dello stesso editore o gruppo imprenditoriale: non autorizzano il fornitore a riutilizzare liberamente i dati per una propria rete pubblicitaria.
Anche per statistiche gestite direttamente dall’editore occorre verificare che l’impiego resti effettivamente statistico. Se gli eventi alimentano un profilo individuale per offerte commerciali personalizzate, l’etichetta analytics non rende tecnico quel trattamento. La riduzione dell’IP è una misura utile, ma non dimostra da sola un’anonimizzazione completa quando rimangono identificatori persistenti o altre possibilità di collegamento.
Tenete distinta questa analisi dalla disciplina dei trasferimenti internazionali di dati. Un servizio configurato per beneficiare dell’esenzione dal consenso sul terminale può comunque richiedere verifiche sul trasferimento di dati personali. Viceversa, la presenza di un trasferimento non è il criterio che, da solo, trasforma un cookie tecnico in cookie di profilazione. Documentate entrambe le valutazioni, evitando di usare il consenso al banner come autorizzazione indistinta per qualsiasi destinazione.
Il primo accesso deve rispettare le impostazioni iniziali
Al primo accesso, senza una scelta positiva valida, devono restare inattivi i cookie e gli strumenti per i quali occorre consenso. Questo richiede un coordinamento tra banner, gestore dei tag, componenti della pagina e fornitori. La classificazione fatta dal pannello è inefficace se un componente carica autonomamente lo stesso tracciatore prima che il pannello sia disponibile.
Il modello proposto dal Garante prevede un banner immediatamente riconoscibile, proporzionato allo schermo e comprensibile. La chiusura attraverso la X mantiene le impostazioni iniziali e consente di proseguire senza gli strumenti non tecnici. Questa conseguenza deve essere spiegata. La possibilità di continuare senza consentire deve risultare immediata, accessibile e utilizzabile quanto quella di accettare, con adeguata evidenza grafica dei comandi.
Il primo livello deve spiegare sinteticamente le finalità, offrire il comando per accettare tutti gli strumenti interessati e collegare l’informativa estesa e l’area delle scelte granulari. Le opzioni non necessarie non possono essere preselezionate. La personalizzazione deve permettere di comprendere quali funzionalità, finalità e soggetti siano coinvolti; una lunga lista di nomi commerciali, senza spiegazione dell’uso dei dati, non rende informata la decisione.
Non esiste l’obbligo generale di acquistare una specifica piattaforma di gestione del consenso, spesso chiamata CMP. È possibile scegliere soluzioni diverse, purché rispettino effettivamente i requisiti applicabili e consentano di dimostrarlo. Se il sito utilizza esclusivamente strumenti tecnici non è necessario introdurre un banner di consenso: resta l’obbligo di informare adeguatamente. Una richiesta superflua rischia di confondere l’utente su ciò che può realmente scegliere.
Scroll, muri di consenso e libertà della scelta
Lo scorrimento della pagina, considerato da solo, non esprime un consenso valido. La persona potrebbe semplicemente cercare informazioni o tentare di raggiungere un contenuto. Nemmeno il silenzio, l’inattività o la prosecuzione generica della navigazione devono attivare automaticamente le finalità facoltative. I requisiti del consenso GDPR richiedono una manifestazione libera, specifica, informata e inequivocabile.
Le linee guida non escludono che un gesto di scorrimento sia una componente di un processo più articolato, ma il processo deve rendere l’effetto comprensibile e produrre un evento inequivoco, registrabile e documentabile. Questa possibilità non riabilita formule come “continuando accetti”. Per la maggior parte dei siti, un comando esplicito e leggibile riduce l’ambiguità senza richiedere percorsi difficili da spiegare.
Il cookie wall che impone il consenso come unica via per accedere al sito compromette la libertà della scelta. Le linee guida ammettono una valutazione caso per caso quando viene offerto un contenuto o servizio equivalente senza prestare quel consenso, nel rispetto dei principi del GDPR. La presenza formale di una seconda opzione non dimostra automaticamente che l’alternativa sia equivalente e lecita. Occorre esaminare concretamente il servizio e le condizioni di accesso.
Nella revisione dell’interfaccia considerate anche gli ostacoli meno evidenti: un rifiuto poco leggibile sul telefono, una scelta che richiede molti passaggi o un testo che presenta la profilazione come indispensabile senza esserlo. Conservare schermate dei diversi percorsi aiuta a spiegare la progettazione adottata, ma va accompagnato dalla verifica di ciò che il sito fa dopo ciascuna azione.
Quando si può ripresentare il banner
Dopo un rifiuto o un consenso soltanto parziale, la scelta deve essere registrata. Il banner non deve tornare a ogni visita per ottenere un’accettazione attraverso l’insistenza. Le linee guida individuano tre circostanze che consentono di sollecitare nuovamente la scelta: un mutamento significativo delle condizioni, l’impossibilità di conoscere la scelta precedente oppure il decorso di almeno sei mesi dalla precedente presentazione del banner.
Il primo caso può riguardare, per esempio, una modifica significativa delle terze parti coinvolte. Il secondo comprende la cancellazione dei cookie da parte dell’utente quando il gestore non ha più modo di riconoscere la scelta registrata. Non dovrebbe diventare una giustificazione abituale per un sistema che non conserva correttamente le preferenze. Registrate la ragione dell’eventuale nuova richiesta e limitatela a ciò che deve essere nuovamente spiegato o deciso.
I sei mesi non sono una scadenza universale di tutti i cookie, né un obbligo di chiedere il consenso a intervalli fissi. Non coincidono neppure con il periodo di conservazione dei dati analitici o dei registri che documentano la scelta. Per questi occorrono valutazioni distinte, legate alle rispettive finalità e alla necessità dei dati. Una modifica sostanziale non può essere ignorata solo perché i sei mesi non sono ancora trascorsi.
Informativa estesa, durata e revoca
Banner, informativa estesa e pannello delle preferenze hanno funzioni diverse, ma non devono necessariamente diventare tre documenti scollegati. Il primo livello rende comprensibile la decisione immediata; il secondo espone le informazioni necessarie; il pannello permette di esercitare la scelta. Un modello di cookie policy è un punto di partenza da adattare all’inventario reale, non una prova di conformità da pubblicare senza verifiche.
L’informativa deve descrivere titolare, finalità, destinatari, tempi di conservazione o criteri pertinenti, eventuali trasferimenti e diritti secondo la disciplina applicabile. Spiegate la durata degli strumenti e i criteri di classificazione utilizzati, senza nascondere le funzioni dietro codici incomprensibili. Coordinate queste informazioni con l’informativa privacy del sito, che deve coprire anche moduli di contatto, acquisti o account quando presenti.
L’utente deve poter modificare le preferenze e revocare il consenso con facilità. Un collegamento stabile e riconoscibile, disponibile nelle pagine, può riportarlo all’area dedicata. La revoca deve raggiungere gli strumenti interessati: cambiare il colore di un interruttore mentre continuano a partire gli stessi eventi non realizza la scelta. La revoca non pregiudica la liceità del trattamento effettuato prima di essa sulla base del consenso.
Quando i dati attraversano più sistemi, definite chi riceve il cambiamento e come viene applicato. Il percorso descritto nella guida sulla sincronizzazione della revoca del consenso aiuta a individuare disallineamenti tra interfaccia, code di invio e strumenti operativi. Conservate soltanto le informazioni necessarie a dimostrare la scelta, con accessi limitati e tempi motivati: l’accountability non impone di raccogliere ogni possibile identificatore del visitatore.
Verificare il sito e organizzare le responsabilità
Partite da un inventario delle pagine e dei componenti: sito principale, versione mobile, area acquisti, moduli, video, strumenti di assistenza e tag aggiunti dalle agenzie. Per ogni componente annotate scopo, fornitore, informazioni trattate, momento di attivazione e dipendenze. Una scansione automatica può aiutare, ma potrebbe non rilevare strumenti che partono solo dopo un acquisto, un accesso autenticato o una specifica interazione.
Controllate quindi un primo accesso senza preferenze, il rifiuto, il consenso parziale, l’accettazione e la successiva revoca. Verificate richieste di rete e memoria del browser, considerando che il tracciamento non si limita ai cookie. Ripetete il controllo sulle pagine rilevanti e dopo modifiche sostanziali. Queste sono attività operative per dimostrare l’efficacia della configurazione, non una frequenza di verifica imposta indistintamente a ogni sito.
La distribuzione dei ruoli deve rispecchiare le operazioni effettive. Un fornitore può trattare dati per conto dell’editore in un servizio e perseguire finalità proprie in un altro. Chiarite quindi la distinzione tra titolare e responsabile del trattamento, gli accordi necessari e gli accessi consentiti. L’acquisto di una CMP non trasferisce automaticamente al suo fornitore tutte le responsabilità del gestore.
Per un negozio online, coordinate queste attività con gli altri adempimenti della guida GDPR per l’e-commerce. Attribuite una responsabilità concreta per l’approvazione di nuovi tag e per la rimozione di quelli non più utilizzati. Nel fascicolo conservate inventario, configurazioni, versioni dell’informativa, motivazione delle esenzioni e risultati delle verifiche. Sono documenti più utili di una dichiarazione generica del fornitore secondo cui il sito sarebbe conforme.
L’aggiornamento del 2026 sui pixel nelle email
Le linee guida sui tracking pixel del 17 aprile 2026, pubblicate in Gazzetta Ufficiale il 29 aprile, affrontano anche il monitoraggio delle aperture delle email. Quando non opera un’eccezione dell’articolo 122, occorre acquisire preventivamente il consenso al tracciamento. L’invio lecito di una newsletter non risolve automaticamente questa distinta questione.
Il Garante ammette in linea di principio un unico consenso informato per comunicazioni promozionali e pixel, con richiesta neutra e senza forzature. Deve però essere possibile revocarlo anche soltanto per il tracciamento, continuando a ricevere messaggi senza marcatori. Non deriva quindi una regola universale che imponga due caselle separate; deriva l’esigenza di una scelta consapevole e di una revoca realmente granulare. Le linee guida distinguono inoltre il regime dei trattamenti già in corso da quello dei nuovi trattamenti.
Il termine di adeguamento è di sei mesi dalla pubblicazione in Gazzetta, dunque il 29 ottobre 2026. Alla data di aggiornamento di questa guida, il termine non è ancora trascorso. Questo periodo transitorio è diverso dalla regola sulla riproposizione del banner dopo un rifiuto. Chi gestisce sia il sito sia le campagne email deve mantenere distinti i due percorsi, pur coordinandone informative e preferenze.
FAQ operative
Basta installare un banner per essere conformi?
No. Il banner deve corrispondere al funzionamento dei componenti del sito. Servono una classificazione motivata, il blocco preventivo ove richiesto, informazioni comprensibili e scelte effettive. La grafica è una parte della verifica, insieme ai flussi tecnici e alle responsabilità organizzative.
Tutti i cookie di terze parti richiedono consenso?
No: la provenienza non sostituisce l’analisi della finalità e della stretta necessità. Gli analytics possono beneficiare delle condizioni specifiche descritte dal Garante; un cookie di prima parte può invece richiedere consenso quando serve alla profilazione. La documentazione commerciale va confrontata con la configurazione reale.
Il Garante applica una multa fissa per un banner sbagliato?
Non esiste una sanzione unica applicabile automaticamente a ogni difetto. L’autorità valuta violazioni, circostanze e misure correttive secondo il quadro applicabile. La guida al Garante privacy illustra il ruolo dell’autorità; il riepilogo delle sanzioni italiane offre esempi da leggere con le rispettive date e vicende. Per decidere una correzione, partite dal trattamento e dal rischio concreto, evitando confronti meccanici con importi di altri casi.