Un modello di cookie policy è utile se aiuta a descrivere ciò che il sito fa davvero. Non basta sostituire il nome dell’azienda in un testo standard: bisogna conoscere strumenti installati, finalità, destinatari, durate e comportamento dopo il rifiuto. La policy informa l’utente, mentre la configurazione tecnica deve rispettarne le scelte. Nessuna formulazione rende lecito un tracciatore pubblicitario attivo prima del consenso.
Qui trovi una struttura da adattare e un metodo per compilarla, basati sull’articolo 122 del Codice Privacy e sulle linee guida del Garante del 10 giugno 2021. Il fac-simile contiene campi da verificare: non è una dichiarazione già completa per qualsiasi sito. Le spiegazioni distinguono cookie tecnici, analytics, pubblicità e altri strumenti di tracciamento, senza attribuire durate universali ai prodotti dei fornitori.
Prima del testo: costruire l’inventario reale
Il punto di partenza è un elenco dei cookie e degli altri strumenti utilizzati nelle diverse aree del sito. Considerate autenticazione, carrello, moduli, video incorporati, chat, statistiche, campagne pubblicitarie e servizi caricati solo dopo un’interazione. La prima pagina visitata può avere un comportamento diverso dalla pagina prodotto o dal completamento dell’ordine; una verifica limitata alla homepage rischia di produrre una policy incompleta.
Per ciascuno strumento annotate nome o criterio identificativo, fornitore, dominio, scopo, dati coinvolti e durata effettiva. Individuate anche quando si attiva: prima della scelta, dopo un consenso specifico oppure soltanto quando viene richiesta una funzione. Il nome tecnico non rivela da solo la finalità: un medesimo servizio può essere configurato in modi diversi, e un aggiornamento può introdurre nuove operazioni.
Confrontate documentazione del fornitore, configurazione scelta e comportamento osservato. Se non riuscite a spiegare perché un identificatore venga inviato a un destinatario, quel punto deve essere chiarito prima di descriverlo come “necessario”. La policy deve riflettere una decisione verificata, non colmare con una frase vaga un’integrazione che nessuno nello studio o nell’azienda sa ricostruire.
Immaginate che il sito aggiunga una chat per l’assistenza. Il fornitore propone anche statistiche sui visitatori e collegamenti con campagne pubblicitarie. Prima di inserire una sola riga “chat tecnica”, distinguete la funzione richiesta dall’utente dalle opzioni ulteriori, controllate quali siano attive e quali dati riceva il fornitore anche quando nessuno apre la chat. Questa ricostruzione determina cosa dichiarare e cosa bloccare in attesa della scelta. Il documento commerciale del servizio è un punto di partenza, ma la configurazione del vostro sito rimane decisiva.
Classificare in base alla funzione, non al dominio
L’articolo 122 disciplina l’archiviazione di informazioni nel terminale e l’accesso a informazioni già archiviate. Prevede l’eccezione per operazioni finalizzate esclusivamente alla trasmissione di una comunicazione o strettamente necessarie a un servizio della società dell’informazione espressamente richiesto. Per esempio, un cookie indispensabile a mantenere il carrello può rientrare nell’eccezione; aggiungervi un impiego pubblicitario richiede una valutazione diversa.
“Prima parte” e “terza parte” descrivono una provenienza tecnica, non una conclusione automatica sul consenso. Un cookie pubblicitario del dominio del sito non diventa tecnico per questo motivo. Un servizio esterno strettamente necessario a una funzione richiesta non è invece soggetto a consenso soltanto perché appartiene a un fornitore. La classificazione va motivata sulla funzione effettiva e sui limiti dell’eccezione.
Anche strumenti diversi dai cookie possono rientrare nella disciplina: cambiare tecnologia, usare identificatori alternativi o presentare una soluzione come priva di cookie non dimostra l’assenza di tracciamento. Separatamente, quando vengono trattati dati personali, si applicano le condizioni del GDPR. La formula generica “legittimo funzionamento” non è una base giuridica autonoma da inventare nel documento.
Analytics: verificare tutte le condizioni dell’assimilazione
Le FAQ del Garante sui cookie ammettono l’assimilazione degli analytics ai tecnici alle condizioni indicate. Per le statistiche raccolte direttamente dal titolare rilevano l’uso per ottimizzare il sito e l’elaborazione aggregata sul numero degli utenti e sulle visite. La parola “statistiche” nella denominazione commerciale del servizio non basta a dimostrare che quel servizio rientri nel perimetro.
Quando l’analisi è affidata a terzi, i dati devono essere preventivamente minimizzati, non combinati con altre elaborazioni né trasmessi a ulteriori terzi. Le indicazioni prevedono una specifica eccezione per statistiche relative a più domini, siti o applicazioni riconducibili allo stesso titolare o gruppo. Non si può estenderla a una raccolta trasversale fra clienti indipendenti del fornitore per costruire profili commerciali.
Controllate quindi impostazioni di condivisione, uso autonomo del fornitore e collegamenti con account pubblicitari. La mascheratura dell’indirizzo IP, da sola, non dimostra l’anonimato o il rispetto di tutte le condizioni. Se l’assimilazione non è giustificata, non descrivete gli analytics come esenti solo perché lo erano nel modello originario. Adeguate sia il testo sia il meccanismo di attivazione.
Una struttura di policy da compilare
Il blocco seguente è una traccia redazionale. I campi devono essere completati o rimossi dopo la verifica del sito; non vanno pubblicati come formule alternative contraddittorie. Coordinate questo documento con l’informativa privacy generale, in modo che titolare, contatti, destinatari e diritti siano coerenti. Non serve duplicare interi paragrafi se il rinvio è chiaro e accessibile.
Cookie e strumenti di tracciamento di [sito] — versione [data]
Titolare e contatti: [identità, contatti pertinenti, eventuale DPO].
Strumenti necessari: [elenco o criterio identificativo, funzione richiesta dall’utente, dominio e durata]. Spiegare perché ricorre l’eccezione al consenso prevista dall’articolo 122.
Statistiche: [strumento, fornitore, dati e configurazione]. Indicare se ricorrono le condizioni dell’assimilazione ai tecnici oppure se l’attivazione dipende dal consenso, descrivendo la scelta effettivamente adottata.
Ulteriori finalità soggette a consenso: [finalità distinte, strumenti, fornitori e durate]. Descrivere cosa viene attivato dopo la scelta positiva e come modificarla.
Destinatari e trasferimenti: [soggetti, ruoli, eventuali paesi e garanzie pertinenti; collegamenti aggiornati alle informazioni dei fornitori].
Gestione delle preferenze: [collegamento e istruzioni concrete per rifiutare, selezionare e revocare; conseguenze sulle sole funzioni coinvolte].
Conservazione e diritti: [periodi o criteri applicabili ai dati raccolti; contatti e rinvio all’informativa completa sui diritti e sul reclamo].
Il testo pubblicato deve eliminare i campi vuoti e gli strumenti non utilizzati. Un elenco indiscriminato di servizi possibili non rende l’informazione più completa: impedisce all’utente di capire chi riceve davvero i suoi dati. Se una categoria non è presente, ditelo soltanto dopo aver verificato che nessuna integrazione la attivi, compresi i componenti gestiti dall’agenzia esterna.
Come compilare durate e conservazione
Distinguete la durata del cookie nel browser dal periodo per cui il destinatario conserva gli eventi o i profili ricavati. Un identificatore può scadere presto mentre i dati associati restano nel sistema del fornitore; viceversa, un cookie di preferenza può durare più dei dati relativi a una singola visita. Descrivere un solo numero senza precisare a cosa si riferisca può risultare fuorviante.
Non riportate automaticamente valori trovati in un fac-simile, come una durata fissa per un noto cookie analitico. Verificate la configurazione effettiva, gli eventuali rinnovi e il comportamento a ogni visita. Se il periodo dipende da un evento, indicate un criterio comprensibile e controllabile. “Per il tempo necessario” senza ulteriori spiegazioni non aiuta il visitatore a comprendere la conservazione concreta.
La tabella seguente è uno schema da compilare, non un inventario di cookie realmente installati. Ogni riga deve corrispondere a uno strumento verificato; dove una famiglia di identificatori viene descritta mediante un criterio comune, il criterio deve consentire di riconoscerla e distinguerla dalle altre categorie.
| Campo | Dato da verificare |
|---|---|
| Nome o criterio identificativo | Identificatore effettivo o famiglia precisamente descritta |
| Finalità e categoria | Operazione concreta e ragione della classificazione |
| Dominio e fornitore | Destinatario effettivo e collegamento informativo |
| Durata nel terminale | Scadenza o criterio, con eventuale rinnovo |
| Conservazione successiva | Periodo o criterio applicato ai dati raccolti |
| Attivazione e scelta | Condizione necessaria, consenso pertinente, modalità di revoca |
La limitazione della conservazione riguarda anche gli archivi generati dal tracciamento. Stabilite chi verifica che una modifica dei tempi nel contratto o nella piattaforma venga recepita nella policy. Quando un servizio viene rimosso, controllate la cessazione degli invii e la sorte dei dati già raccolti, anziché limitarsi a cancellare la riga dalla tabella.
Banner e policy devono funzionare insieme
Per un sito che utilizza soltanto cookie tecnici non occorre richiedere un consenso inutile: le informazioni possono essere rese anche nell’informativa generale. Quando è necessario raccogliere il consenso, il banner è una soluzione indicata dal Garante, ma non è l’unico meccanismo ammissibile. Qualunque soluzione deve garantire una manifestazione di volontà libera, specifica, informata e inequivocabile, con prova e possibilità di revoca.
Nel meccanismo descritto dalle linee guida, la chiusura mediante il comando pertinente, normalmente una X, mantiene le impostazioni predefinite senza tracciatori diversi da quelli ammessi senza consenso. La scelta positiva deve essere distinta e devono essere disponibili opzioni analitiche. Evitate comandi ambigui che facciano sembrare necessaria l’accettazione per proseguire, o testi della policy che descrivano un rifiuto inesistente nell’interfaccia.
Il semplice scorrimento della pagina non costituisce consenso. Quanto ai cookie wall, le FAQ indicano il divieto salvo l’ipotesi, da valutare caso per caso, di accesso a un contenuto o servizio equivalente senza consenso, nel rispetto della correttezza. Non trasformate questa precisazione in un’autorizzazione generale a qualsiasi alternativa: occorre valutarne equivalenza e condizioni concrete.
La libertà di scelta deve risultare anche su schermi piccoli e con modalità di navigazione accessibili. Controllate che le opzioni granulari siano comprensibili e che rifiutare non costringa a cercare un comando fuori dalla schermata. Gli esempi di consenso GDPR aiutano a separare le finalità; il testo della policy deve poi corrispondere a quelle stesse opzioni, senza raggruppamenti più ampi nascosti nelle definizioni.
Sei mesi: una condizione per riproporre la scelta, non una scadenza universale
Le FAQ del Garante spiegano che il banner non va ripresentato a ogni visita quando il consenso è mancato o è stato parziale. La riproposizione è ammessa se cambiano significativamente condizioni del trattamento, se non è possibile sapere se un cookie tecnico sia già presente, ad esempio perché l’utente lo ha cancellato, oppure se sono trascorsi almeno sei mesi dalla precedente presentazione.
Questa regola non assegna sei mesi di durata a ogni cookie e non impone di cancellare tutti i dati a quella scadenza. Non giustifica neppure una richiesta insistente mentre le condizioni restano invariate. Conservate una configurazione coerente con la scelta dell’utente e verificate che le diverse pagine o sottosezioni del sito non mostrino continuamente richieste indipendenti per la stessa finalità.
Se introducete una nuova finalità, la vecchia scelta non deve diventare una copertura automatica. Individuate cosa cambia per l’utente, aggiornate l’informazione e gestite il consenso pertinente prima di attivare ciò che lo richiede. Una modifica meramente editoriale della policy e l’aggiunta di un destinatario o di una finalità sono eventi diversi, da non trattare nello stesso modo.
Revoca e prova del consenso
La revoca deve essere agevole quanto la prestazione del consenso. Indicate il percorso reale, per esempio un comando permanente delle preferenze, e controllate che la modifica abbia effetto sui successivi caricamenti e invii. Non limitatevi a suggerire di cancellare i cookie dal browser: quella operazione non sostituisce un meccanismo gestito dal titolare per revocare le scelte sulle proprie attività.
Il Garante ammette un cookie tecnico o altre modalità idonee a documentare le preferenze. Non impone in ogni caso un unico formato di archivio o la raccolta di dati identificativi aggiuntivi. Scegliete una prova proporzionata che permetta di comprendere scelta, momento e informazione pertinente, evitando di accumulare più dati del necessario soltanto per dimostrare il consenso.
Distinguete la cessazione del tracciamento futuro dalla gestione dei dati già raccolti. La revoca non rende retroattivamente illecito il trattamento precedente, ma occorre valutare cosa possa ancora essere conservato e per quale ragione. Un generico rinvio al fornitore non sostituisce gli obblighi del titolare sulle operazioni che gli competono; ruoli e contatti devono rimanere comprensibili.
Verificate inoltre che il comando delle preferenze sia raggiungibile anche dopo l’accesso all’account e nelle pagine gestite da componenti esterni. Se il sito riconosce la stessa persona su più dispositivi, spiegate l’eventuale collegamento delle scelte e controllate che non estenda un consenso oltre il contesto in cui è stato prestato. Se invece le preferenze restano locali al browser, non promettete una revoca sincronizzata ovunque: descrivete il funzionamento reale e mettete a disposizione un contatto per le operazioni che richiedono assistenza.
Terze parti, trasferimenti e pixel nelle email
Per i servizi di terzi, verificate collegamenti aggiornati alle informative e ai moduli pertinenti, ma spiegate anche perché siano presenti sul vostro sito. Il visitatore non dovrebbe ricostruire da solo una catena di fornitori per capire la finalità principale. Quando vi sono trasferimenti verso destinatari extra SEE, occorre inoltre il meccanismo previsto dal capo V GDPR: il consenso al cookie non costituisce automaticamente una soluzione per il trasferimento.
La policy del sito non esaurisce gli obblighi relativi ai pixel nelle email. Le linee guida del Garante del 17 aprile 2026 affrontano specificamente quel contesto. Ammettono in linea di principio un consenso informato che comprenda comunicazioni promozionali e relativo tracciamento, con le condizioni indicate e revoca anche granulare. Non richiedono quindi, per definizione, due caselle separate in qualsiasi situazione.
Per chi gestisce campagne, conta rendere riconoscibile il tracciamento e attuare concretamente le scelte. Una newsletter può utilizzare processi e fornitori diversi dal sito: documentateli nel punto in cui l’utente riceve l’informazione pertinente. La guida sul GDPR per le agenzie di marketing aiuta a coordinare incarichi e flussi, mentre quella sull’e-commerce distingue ordini, email promozionali e profilazione.
Verificare e mantenere il documento nel tempo
Prima della pubblicazione, confrontate inventario, banner, preferenze e policy su percorsi concreti: visita senza scelta, rifiuto, consenso limitato e revoca. Verificate ciò che viene caricato e trasmesso, non soltanto l’aspetto del banner. La prova dovrebbe includere le integrazioni che compaiono dopo un clic, perché proprio quelle possono sfuggire a un controllo iniziale della pagina.
Assegnate la responsabilità dell’aggiornamento quando cambiano fornitore, finalità, durata o impostazioni. Il confronto fra software per la conformità GDPR può aiutare a valutare come organizzare la documentazione, senza presumere che una piattaforma certifichi automaticamente il sito. Il responsabile del documento deve poter verificare le informazioni ricevute dall’agenzia o dal reparto tecnico.
Per approfondire le indicazioni operative, utilizzate la guida sulle linee guida cookie del Garante. Le decisioni sanzionatorie del Garante possono aiutare a comprendere i problemi accertati nei singoli casi; non sostituiscono la verifica del vostro sito né dimostrano, senza una fonte statistica, quali errori siano i più frequenti. Il risultato atteso è un documento comprensibile che resti allineato alle operazioni e alle scelte effettive.