Cookie banner: perché molti non sono validi e come riconoscerlo

Aprite il sito della vostra azienda, compare un banner con la scritta «Questo sito utilizza i cookie», cliccate su «OK» e tutto sembra a posto. In realtà, molto spesso, il banner è soltanto una scenografia: i servizi di tracciamento si sono già attivati prima ancora che il visitatore abbia scelto qualcosa. Per un imprenditore è un rischio concreto, perché la responsabilità ricade sul titolare del sito, non su chi lo ha realizzato. La buona notizia è che per capire se il banner funziona non serve essere tecnici: bastano cinque minuti e il browser.

Cosa deve fare davvero un banner valido

Le regole di riferimento sono l'art. 122 del D.Lgs. 196/2003 (Codice Privacy), il GDPR (Reg. UE 2016/679, in particolare gli artt. 6 e 7 sul consenso) e le Linee guida cookie e altri strumenti di tracciamento del Garante del 10 giugno 2021, in vigore dal 10 gennaio 2022. Da questi testi discendono requisiti molto pratici:

• Consenso preventivo: i cookie e gli strumenti che non sono strettamente necessari possono essere attivati solo dopo una scelta positiva dell'utente.
• Blocco preventivo degli script: non basta mostrare il banner, gli script di analisi, pubblicità e social devono restare spenti finché non c'è il consenso.
• Accetta e rifiuta equivalenti: rifiutare deve essere semplice quanto accettare, con pulsanti di pari evidenza. Anche la «X» di chiusura del banner vale come rifiuto.
• Personalizzazione per categorie: l'utente deve poter scegliere, ad esempio, di accettare le statistiche ma non il marketing.
• Nessun dark pattern: niente colori che spingono verso «Accetta» e relegano il rifiuto a un link grigio e minuscolo.
• Lo scroll non è consenso: continuare a navigare o scorrere la pagina non può essere interpretato come accettazione.
• Rinnovo: dopo un rifiuto, il banner non va riproposto a ogni visita; il consenso, di norma, viene richiesto di nuovo non prima di sei mesi, salvo cambiamenti rilevanti.
• Registro dei consensi: il titolare deve poter dimostrare chi ha scelto cosa e quando (art. 7 GDPR).
• Collegamento alla cookie policy: il banner deve rimandare a un'informativa chiara e aggiornata.

Cookie tecnici, analitici e di profilazione

Non tutti i cookie richiedono il consenso. La distinzione è la base di tutto:

Attenzione ai servizi di terze parti: uno strumento di statistica che trasferisce dati a un fornitore esterno non è, di norma, equiparabile a un cookie tecnico. Sul tema dei dati inviati negli Stati Uniti, il Garante si è espresso sull'uso di Google Analytics con il provvedimento del 9 giugno 2022, e il quadro è oggi in parte cambiato con il Data Privacy Framework UE-USA (decisione di adeguatezza del 10 luglio 2023): una ragione in più per verificare cosa il vostro sito carica davvero.

Gli errori più frequenti

1. Il banner decorativo: compare, ma non blocca nulla. I tracker partono comunque.
2. Solo «Accetta»: manca un pulsante di rifiuto visibile al primo livello.
3. Rifiuto nascosto: per rifiutare bisogna aprire tre menu, deselezionare decine di voci o cliccare un link quasi invisibile.
4. Cookie wall: l'accesso al sito è subordinato all'accettazione, senza alternativa reale.
5. Analytics caricati comunque: gli strumenti di statistica si attivano al primo caricamento, a prescindere dalla scelta.
6. Caselle preselezionate: le categorie di marketing risultano già spuntate; il consenso, così, non è valido.
7. Nessun link alla cookie policy, oppure una policy generica copiata altrove e non coerente con i servizi realmente installati.
8. Il banner si ricorda male: il rifiuto non viene memorizzato e il messaggio ricompare a ogni pagina.

Come testarlo da soli in cinque minuti

Non servono competenze di programmazione. Seguite questi passaggi con Chrome, Edge o Firefox:

1. Aprite il sito in una finestra anonima, così non ci sono cookie o consensi precedenti.
2. Non cliccate nulla sul banner. Premete F12 per aprire gli strumenti per sviluppatori.
3. Andate nella scheda Applicazione (in Firefox: Archiviazione) e aprite la voce Cookie: annotate quali sono presenti già prima di qualsiasi scelta.
4. Passate alla scheda Rete, ricaricate la pagina e cercate richieste verso domini di statistica, pubblicità o social (nomi come analytics, ads, pixel, tag). Se compaiono prima del consenso, il blocco preventivo non funziona.
5. Cliccate Rifiuta (o chiudete con la X) e ricontrollate cookie e richieste: non devono comparire nuovi tracker.
6. Ripetete in una nuova finestra anonima cliccando Accetta: ora i servizi dichiarati devono attivarsi, e solo adesso.

Se i cookie di terze parti ci sono già al punto 3 o 4, il banner non sta facendo il proprio lavoro. Per un controllo più rapido potete usare il nostro Site Check, che rileva i tracker e i cookie impostati prima del consenso e li riporta in un elenco leggibile, insieme ad altri aspetti come dati societari, SEO e performance. Se volete mettere a confronto il vostro sito con quello di un concorrente, c'è anche il confronto tra due siti.

Il rischio sanzionatorio, senza allarmismi

Le violazioni in materia di protezione dei dati possono essere sanzionate ai sensi dell'art. 83 GDPR: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni del par. 4, fino a 20 milioni di euro o al 4% per quelle del par. 5, che comprende i principi di base e le condizioni del consenso. Sono massimali, non valori tipici: nella pratica l'importo dipende da gravità, durata, dimensione dell'azienda e comportamento del titolare. Il punto per un'impresa non è la paura della multa, ma la dimostrabilità: chi ha un banner configurato bene, una policy aggiornata e un registro dei consensi è in grado di rispondere con serenità a una segnalazione o a un controllo.

Cosa chiedere al fornitore

• Il banner blocca gli script finché non c'è il consenso, e come lo posso verificare?
• Rifiutare è semplice quanto accettare? Esiste la chiusura con la X?
• Quali cookie e servizi di terze parti sono installati, e a quale categoria appartengono?
• Dove vengono conservati i consensi e per quanto tempo?
• Chi aggiorna il banner e la cookie policy quando aggiungiamo un nuovo servizio (una mappa, un video, un pixel)?
• Quali servizi esterni caricano dati dai server di terzi? Sul tema leggete anche Google Fonts, mappe e video incorporati: dove finiscono i dati.

Checklist finale

• In finestra anonima, prima di cliccare, non risultano cookie di statistica, pubblicità o social.
• Il banner ha pulsanti «Accetta» e «Rifiuta» di pari evidenza.
• La chiusura con la X vale come rifiuto.
• Le categorie non necessarie non sono preselezionate.
• Lo scroll o la navigazione non attivano alcun tracker.
• Esiste un link alla cookie policy, coerente con i servizi realmente presenti.
• La scelta viene ricordata e riproposta solo dopo un periodo ragionevole.
• Il titolare conserva un registro dei consensi.
• Dopo ogni modifica del sito (nuovo plugin, nuovo video, nuova mappa) si ripete il test.

In conclusione

Un cookie banner valido non è un fastidio da subire, ma una dichiarazione di serietà verso clienti e partner. Il controllo è alla portata di chiunque: prima di fidarvi di una conferma a voce, provate voi stessi. Per partire subito, lanciate il Site Check sul vostro dominio; se vi serve una cookie policy coerente con quanto è realmente installato, c'è il generatore di privacy e cookie policy. Se invece volete una verifica più approfondita o un intervento sul sito, contattaci: ne parliamo senza impegno. Potete leggere anche come scegliere un fornitore con competenze normative.

Le informazioni di questo articolo hanno finalità divulgativa e non costituiscono consulenza legale: riferimenti normativi e importi vanno verificati con un professionista in relazione al caso specifico.