In breve: Secondo le linee guida del Garante (10 giugno 2021) al primo accesso un sito non deve installare cookie diversi da quelli tecnici. Il banner deve avere chiusura con la X, comando per accettare tutto, area per scelte granulari preimpostate sul diniego e comandi con la stessa evidenza grafica. Lo scroll non è consenso e il cookie wall è illecito.
Il banner dei cookie è la parte della privacy che tutti vedono e che quasi tutti configurano male. Il Garante per la protezione dei dati personali ha fissato le regole con le linee guida del 10 giugno 2021, pubblicate in Gazzetta Ufficiale il 9 luglio 2021 con sei mesi di tempo per adeguarsi. Non sono un parere: sono il criterio con cui in Italia si valuta un sito.
Questa è una guida pratica e non una consulenza legale.
La regola di partenza
Al primo accesso il sito non deve installare cookie o altri strumenti diversi da quelli tecnici e non deve usare tecniche di tracciamento attive o passive come il fingerprinting. Gli strumenti di profilazione e di marketing partono solo dopo il consenso.
- Cookie tecnici: servono al funzionamento (carrello, login, sicurezza, lingua). Bastano informativa e cookie policy.
- Cookie analytics: sono assimilati ai tecnici solo a condizioni precise (vedi sotto).
- Cookie di profilazione e di marketing: pixel pubblicitari, retargeting, social. Richiedono consenso preventivo.
Come deve essere fatto il banner
Secondo le linee guida il banner deve:
- Comparire al primo accesso e creare una discontinuità percepibile nella navigazione.
- Avere una X di chiusura che lascia attive le impostazioni predefinite: nessun cookie non tecnico. Chiudere il banner equivale a proseguire senza essere tracciati.
- Offrire un comando per accettare tutti i cookie, con evidenza grafica pari a quella degli altri comandi.
- Dare un'area per scelte granulari per finalità, con le caselle preimpostate sul diniego.
- Contenere il link alla cookie policy e al sito delle informazioni sulla privacy.
- Permettere di cambiare idea in qualsiasi momento con un link sempre raggiungibile.
Scroll e cookie wall
Lo scorrimento della pagina non basta a dare il consenso. Può servire solo dentro un percorso in cui l'utente compie un'azione positiva che il sistema può registrare. Il cookie wall (il blocco del sito per chi non accetta i cookie) è ritenuto illecito. Fanno eccezione casi da valutare uno per uno in cui esista un'alternativa equivalente per accedere al servizio.
Quando riproporre il banner
Chi ha rifiutato non deve rivedere il banner a ogni visita: la scelta va registrata. Si può riproporlo solo in tre casi:
- cambiano in modo significativo le condizioni del trattamento, per esempio arrivano nuove terze parti;
- non si può sapere se un cookie è già memorizzato nel dispositivo;
- sono trascorsi almeno sei mesi dalla precedente presentazione.
Cookie analytics: quando sono esenti
Gli strumenti di statistica possono essere trattati come cookie tecnici solo se:
- servono a statistiche aggregate su un singolo sito o app;
- riducono il potere identificativo, di regola mascherando almeno la quarta parte dell'indirizzo IPv4;
- il fornitore terzo non combina i dati con altre elaborazioni e non permette di arrivare all'individuazione diretta della persona.
Con configurazioni standard di molti strumenti queste condizioni non sono soddisfatte: va verificato caso per caso.
La prova del consenso
Il titolare deve poter documentare le scelte dell'utente con evidenze informatiche e tenere aggiornata la documentazione. Serve quindi un registro dei consensi con data e versione del banner. I consensi raccolti in precedenza restano validi solo se conformi e registrati in modo documentabile.
Controllo in dieci minuti
- Apri il sito in una finestra privata senza interagire con il banner.
- Apri gli strumenti per sviluppatori del browser e guarda cookie e richieste di rete.
- Verifica che non ci siano cookie o richieste a pixel e servizi di marketing prima del consenso.
- Chiudi il banner con la X e controlla che nulla parta.
- Accetta, poi ricarica e verifica che la scelta sia ricordata.
- Rifiuta da un nuovo browser privato e ripeti la verifica.
- Controlla che il link per cambiare le scelte sia sempre raggiungibile.
Approfondimenti: privacy di un negozio online · tracciamento server-side
Domande frequenti
Lo scorrimento della pagina vale come consenso ai cookie?
No. Secondo le linee guida del Garante lo scroll da solo non è un consenso valido. Può far parte di un processo più articolato in cui l'utente compie un'azione positiva registrabile.
Dopo quanto tempo posso riproporre il banner a chi ha rifiutato?
La scelta va registrata e il banner non va riproposto a ogni accesso. Può essere riproposto se cambiano in modo significativo le condizioni del trattamento; se non è possibile sapere che il cookie è già memorizzato nel dispositivo; oppure dopo almeno sei mesi dalla precedente presentazione.
I cookie di Google Analytics richiedono il consenso?
Dipende da come sono configurati. I cookie analytics sono assimilati ai tecnici e quindi esenti da consenso, solo se limitati a statistiche aggregate su un singolo sito; se il potere identificativo è ridotto (di regola si maschera almeno la quarta parte dell'indirizzo IPv4); se il fornitore non combina i dati con altre elaborazioni.
Il cookie wall è consentito?
In linea di principio no. Obbligare ad accettare i cookie per accedere al sito è considerato illecito salvo che si offra un'alternativa equivalente da valutare caso per caso.