Nel 2015 l’entrata in applicazione delle prime regole italiane sui cookie generò una corsa all’adeguamento dei siti web. Da allora il quadro è cambiato sensibilmente: sono intervenuti il GDPR, nuove indicazioni del Garante per la protezione dei dati personali e orientamenti europei che hanno chiarito meglio obblighi e modalità di raccolta del consenso.
Oggi, soprattutto, parlare semplicemente di Cookie Law è riduttivo. Il problema riguarda più in generale cookie e altri strumenti di tracciamento utilizzati da siti, applicazioni e servizi digitali.
Prima del banner bisogna sapere cosa utilizza il sito
Il primo problema è tecnico prima ancora che grafico: occorre sapere quali strumenti vengono effettivamente caricati durante la navigazione.
Un sito può utilizzare cookie propri, servizi esterni, sistemi statistici, video incorporati, mappe, strumenti pubblicitari, social widget o altre tecnologie capaci di accedere a informazioni presenti sul dispositivo dell’utente o di memorizzarne di nuove.
Installare un banner senza aver prima analizzato queste componenti rischia quindi di produrre una conformità soltanto apparente.
Cookie tecnici: quando non serve il consenso
I cookie tecnici sono quelli utilizzati per effettuare la navigazione o fornire un servizio richiesto dall’utente. Possono servire, ad esempio, a mantenere una sessione, ricordare il contenuto di un carrello o gestire determinate preferenze necessarie al funzionamento del servizio.
Per questi strumenti non è richiesto il consenso preventivo, ma il loro utilizzo deve comunque essere correttamente descritto nell’informativa.
Se un sito utilizza esclusivamente strumenti tecnici, non è quindi necessario mostrare un banner costruito per la raccolta del consenso a cookie di profilazione.
Analytics: non sono automaticamente cookie tecnici
Un aspetto che continua a generare confusione riguarda gli strumenti di analisi statistica.
Il Garante chiarisce che i cookie analytics non sono automaticamente cookie tecnici. Possono però essere assimilati ad essi quando vengono utilizzati per produrre statistiche aggregate sul funzionamento e sull’utilizzo del sito e rispettano determinate condizioni.
Nel caso di servizi forniti da terze parti assumono particolare importanza la minimizzazione delle informazioni raccolte e l’assenza di utilizzi ulteriori, combinazioni con altri dati o trasferimenti verso ulteriori soggetti incompatibili con questa finalità statistica.
La configurazione concreta dello strumento è quindi importante quanto il nome del prodotto utilizzato.
Quando è necessario il consenso
Quando vengono utilizzati cookie di profilazione o altri strumenti di tracciamento non strettamente necessari, la regola generale prevede che essi non vengano attivati prima che l’utente abbia espresso un consenso valido.
Il consenso deve essere libero, informato e frutto di un’azione positiva dell’utente. Il semplice proseguimento della navigazione o lo scrolling della pagina, da soli, non rappresentano una modalità sufficiente per raccoglierlo.
Anche la chiusura del banner deve consentire di continuare la navigazione mantenendo le impostazioni predefinite, e quindi senza attivare gli strumenti che richiedono consenso.
Accettare non deve essere l’unica possibilità
Il sistema di gestione delle preferenze deve permettere all’utente di comprendere cosa viene utilizzato e di effettuare scelte coerenti con le finalità dichiarate.
Oltre all’eventuale accettazione complessiva, deve essere possibile accedere a un’area nella quale gestire le preferenze in maniera più analitica.
Le scelte già espresse devono inoltre poter essere modificate successivamente in modo agevole.
Anche i cosiddetti cookie wall, che subordinano l’accesso al sito all’accettazione del tracciamento, non possono essere considerati automaticamente compatibili con un consenso libero: la loro legittimità deve essere valutata sulla base delle effettive alternative offerte all’utente.
Il banner non dovrebbe comparire continuamente
Raccogliere il consenso non significa richiederlo a ogni visita.
Il Garante indica che, quando l’utente non abbia prestato il consenso o abbia effettuato una scelta parziale, il banner non deve essere riproposto continuamente. Può tornare necessario, ad esempio, se cambiano significativamente le condizioni del trattamento, se non è più possibile conoscere la scelta precedente oppure dopo il periodo previsto dalle indicazioni dell’Autorità.
Anche questo aspetto deve essere gestito tecnicamente e non soltanto attraverso il testo dell’informativa.
Non esistono soltanto i cookie
L’evoluzione tecnologica rende ormai insufficiente controllare soltanto l’elenco dei cookie presenti nel browser.
Gli orientamenti europei sull’applicazione dell’articolo 5, paragrafo 3, della direttiva ePrivacy prendono in considerazione un ambito tecnico più ampio, nel quale possono rientrare differenti modalità di accesso o memorizzazione delle informazioni sul terminale dell’utente.
Tra le tecnologie da considerare possono quindi esserci, a seconda dei casi, pixel di tracciamento, identificatori e tecniche di fingerprinting.
Nel 2026 il Garante italiano ha inoltre pubblicato specifiche linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica. È un ambito diverso dal classico banner di un sito web, ma mostra chiaramente come la disciplina del tracciamento non possa più essere affrontata pensando esclusivamente ai cookie.
La verifica deve riguardare il sito reale
Per gestire correttamente cookie e strumenti di tracciamento è quindi utile procedere partendo dall’implementazione effettiva:
- individuare i servizi e gli strumenti realmente caricati;
- comprenderne finalità e funzionamento;
- individuare eventuali soggetti terzi coinvolti;
- classificare correttamente gli strumenti utilizzati;
- bloccare preventivamente quelli che richiedono consenso;
- configurare il meccanismo di scelta e revoca;
- mantenere informative e configurazioni aggiornate quando il sito cambia.
Il punto centrale è che un banner, da solo, non rende conforme un sito. Il banner rappresenta soltanto l’interfaccia attraverso cui vengono comunicate e raccolte alcune scelte: dietro deve esserci una configurazione tecnica coerente con quanto viene dichiarato.
Riferimenti da verificare nel tempo
Per gli aspetti operativi è opportuno fare riferimento alle fonti ufficiali e verificarne periodicamente gli aggiornamenti:
- FAQ Cookie del Garante per la protezione dei dati personali;
- Linee guida cookie e altri strumenti di tracciamento;
- Orientamenti EDPB sull’ambito tecnico dell’art. 5(3) ePrivacy;
- Linee guida 2026 del Garante sui tracking pixel nelle email.
Per chi gestisce un sito web, la verifica dovrebbe essere ripetuta ogni volta che vengono aggiunti nuovi servizi, script, sistemi di analisi, strumenti pubblicitari o integrazioni esterne.
Questo articolo ha finalità informativa e tecnica e non sostituisce una valutazione giuridica specifica del trattamento effettuato dal singolo titolare.
