Cookie law cheat sheet: banner e consenso secondo il Garante
Cosa chiedono le linee guida cookie del Garante privacy, in vigore da gennaio 2022: tipi di cookie, banner, prova del consenso, Google Analytics 4. Uno schema per controllare il tuo sito punto per punto.
In sintesi
Questo cookie law cheat sheet riassume le Linee guida cookie del Garante privacy (provvedimento del 10 giugno 2021, in vigore da gennaio 2022): quali cookie richiedono il consenso, come deve essere fatto il banner, come si conserva la prova della scelta e come si configura Google Analytics 4. SqueezeMind ha sviluppato CookieMetrix per verificare in modo ripetibile cosa installa un sito prima e dopo il consenso.
- Fonte
- Linee guida cookie del Garante, 10 giugno 2021
- In vigore
- Da gennaio 2022
- Senza consenso
- Cookie tecnici e analitici anonimizzati
- Con consenso
- Profilazione, pubblicità, analytics non anonimizzati
Sezione da confermare testo normativo riscritto il 28/09/2026 sulle Linee guida cookie del Garante (10/06/2021): da validare con il consulente privacy
Quali cookie richiedono il consenso?
Le tre categorie delle linee guida del Garante e cosa serve per ciascuna.
Cookie tecnici
Servono al funzionamento del sito o a un servizio chiesto dall'utente
Esempi: sessione, carrello, lingua, scelta fatta sul banner
Consenso: non serve
Informativa: sì, nella cookie policy
Cookie analitici
Misurano visite e uso del sito in forma aggregata
Equiparati ai tecnici solo se anonimizzati e senza incrocio con altri dati
Consenso: non serve se equiparati, serve negli altri casi
Informativa: sì, con il nome del fornitore
Profilazione e terze parti
Creano profili per pubblicità e contenuti personalizzati, anche tramite servizi esterni
Esempi: pixel pubblicitari, remarketing, video e pulsanti social che tracciano
Consenso: sempre, prima dell'installazione
Blocco preventivo: nessuno script parte prima della scelta
Sezione da confermare requisiti del banner da validare con il consulente privacy (Linee guida cookie del Garante, 10/06/2021)
Cosa deve avere il banner dei cookie?
I requisiti del banner secondo le linee guida del Garante, da controllare uno per uno sul tuo sito.
Una X per chiudere
Chiudere il banner con la X equivale a rifiutare: il sito continua a funzionare con i soli cookie tecnici.
Rifiutare facile quanto accettare
Accanto ad Accetta serve un modo altrettanto semplice per dire di no. Un pulsante Rifiuta con lo stesso peso grafico è la soluzione più chiara.
Le scelte per categoria
Un secondo livello permette di accettare o rifiutare categoria per categoria e rimanda alla cookie policy completa.
Niente scroll come consenso
Scorrere la pagina o continuare a navigare, da soli, non valgono come consenso: serve un'azione attiva, come un clic su Accetta.
Niente cookie wall
Non si blocca l'accesso a chi rifiuta, salvo offrirgli contenuti o servizi equivalenti senza cookie non tecnici, da valutare caso per caso.
Banner di nuovo solo dopo 6 mesi
Dopo una scelta il banner non si ripropone prima di 6 mesi, salvo cambi nei cookie usati o se il sito non può sapere che la scelta è già stata fatta.
Sezione da confermare prova del consenso, GA4, Consent Mode e informativa da validare con il consulente privacy
Come si dimostra il consenso ai cookie?
Chi gestisce il sito deve poter dimostrare che l'utente ha scelto: il GDPR lo chiede per ogni consenso, all'articolo 7. In pratica si registra la scelta con data e ora, versione del banner e categorie accettate o rifiutate.
La scelta si salva in un cookie tecnico sul dispositivo e, se il sito lo prevede, in un registro lato server. Il consenso deve essere revocabile in ogni momento: un link fisso, per esempio "Preferenze cookie" nel footer, riapre le scelte.
Google Analytics 4 richiede il consenso?
Nella maggior parte delle configurazioni sì. GA4 invia i dati a Google, un soggetto terzo: per equipararlo ai cookie tecnici servirebbero dati anonimizzati e nessun incrocio con altri dati, condizioni difficili da garantire con le impostazioni standard. La scelta più prudente è attivarlo solo dopo il consenso.
Con Google Consent Mode v2 il banner comunica ai tag di Google la scelta dell'utente con quattro segnali: analytics_storage, ad_storage, ad_user_data e ad_personalization. Da marzo 2024 Google lo richiede a chi usa i suoi servizi pubblicitari con utenti nello Spazio economico europeo.
Consent Mode non sostituisce il consenso: regola il comportamento dei tag in base alla scelta. In modalità base i tag partono solo dopo il consenso; in modalità avanzata inviano segnali senza cookie anche prima, ed è una scelta da valutare con il consulente privacy. Configuriamo GA4 e Consent Mode nei progetti di analytics e conversion optimization.
Cosa deve contenere l'informativa sui cookie?
Il banner è l'informativa breve, la cookie policy quella completa. La cookie policy dice chi è il titolare, quali cookie usa il sito e per quali finalità, quali sono le terze parti con il link alle loro informative, quanto durano i cookie e come si cambia o si revoca la scelta.
Va aggiornata ogni volta che si aggiunge uno strumento: un pixel pubblicitario, una mappa, un video incorporato, una chat. Se il sito usa solo cookie tecnici, l'informativa basta e il banner di consenso non serve.
Come si verifica se un sito rispetta la cookie law?
Si apre il sito in una finestra pulita, senza cookie salvati, e si guarda cosa viene installato prima di qualsiasi scelta: non deve comparire nessun cookie di profilazione né di analytics non anonimizzati. Poi si ripete il controllo dopo aver rifiutato e dopo aver accettato, su più pagine.
Fatto a mano è lungo e facile da sbagliare. Per questo abbiamo sviluppato CookieMetrix, il servizio di verifica della cookie law di SqueezeMind, che rende il controllo ripetibile. La differenza tra le categorie, con esempi, è spiegata anche nella guida ai cookie tecnici, di profilazione e di terze parti.
Sezione da confermare risposte normative riscritte sulle Linee guida cookie del Garante (10/06/2021): da validare con il consulente privacy
Domande frequenti
- Chiudere il banner dei cookie con la X vale come rifiuto?
- Sì. Per le linee guida del Garante la X del banner equivale a un rifiuto: il sito deve continuare a funzionare con i soli cookie tecnici, senza installare nulla che richieda il consenso. Non si può interpretare come accettazione implicita né la chiusura del banner né lo scroll della pagina.
- Ogni quanto si può riproporre il banner dei cookie?
- Non prima di 6 mesi dalla scelta dell'utente, salvo due casi: cambiano in modo significativo i cookie o le finalità, oppure il sito non può sapere se la scelta è già stata fatta, per esempio perché l'utente ha cancellato i cookie. Riproporlo a ogni visita per ottenere un sì non è corretto.
- I cookie analitici hanno bisogno del consenso?
- Dipende da come sono configurati. Sono equiparati ai cookie tecnici, quindi senza consenso, se producono solo statistiche aggregate per un singolo sito, con l'indirizzo IP mascherato almeno in parte e senza incrocio con altri dati da parte del fornitore. Se manca una di queste condizioni serve il consenso.
- Si può bloccare l'accesso al sito a chi rifiuta i cookie?
- Come regola generale no. Il Garante considera illegittimo il cookie wall, cioè il meccanismo che obbliga ad accettare i cookie per vedere i contenuti. L'eccezione, da valutare caso per caso, è un sito che offre un accesso equivalente agli stessi contenuti o servizi senza cookie non tecnici.
- Il banner dei cookie serve anche se il sito usa solo cookie tecnici?
- No. Se il sito usa solo cookie tecnici, o analitici equiparati ai tecnici, il banner di consenso non serve: basta l'informativa, per esempio nella cookie policy raggiungibile dal footer. Diventa necessario appena si aggiunge uno strumento che richiede il consenso, come un pixel pubblicitario o GA4 non anonimizzato.
Vuoi mettere in regola i cookie del tuo sito?
Verifichiamo cosa installa il sito prima e dopo il consenso e configuriamo banner, GA4 e Consent Mode.
Oppure chiama 051 0217318 o scrivi a [email protected]