«Il banner dei cookie ce l’ho, quindi sono a posto.»
Magari. Il problema è che la maggior parte dei banner in giro non è conforme, e averne uno sbagliato non ti protegge: ti espone. Il Garante è stato chiaro più volte su cosa serve e su cosa è vietato. Vediamo la differenza tra un banner che ti mette davvero in regola e uno che ti dà solo una falsa tranquillità.
Premessa onesta: questa è una guida pratica, non una consulenza legale sul tuo caso. Per la configurazione del tuo sito fatti sempre validare da un professionista.
Cosa deve avere un banner cookie (davvero)
Un banner a norma, secondo le indicazioni del Garante, deve dare all’utente scelte vere e paritarie. In concreto servono, tutte ugualmente in vista:
- Accetta tutti
- Rifiuta tutti (che rifiuta tutto tranne i cookie strettamente necessari)
- Personalizza (per scegliere nel dettaglio)
- una X per chiudere senza dare consenso
La regola d’oro è una: accettare e rifiutare devono avere lo stesso peso visivo. Stesso colore, stessa dimensione, stessa evidenza. La furbata del pulsante «Accetta» grande e bello colorato e del «Rifiuta» nascosto in grigetto piccolo è esattamente quello che viene considerato un «dark pattern» e sanzionato. Non è furbizia, è un autogol.
Cosa il banner NON deve fare
Qui casca la maggior parte dei siti. Un banner conforme non può:
- Bloccarti la lettura della pagina finché non clicchi (la cosiddetta accettazione forzata).
- Considerare consenso lo scroll o il clic su un link. Continuare a navigare non vale come «sì»: per il consenso ci vuole un’azione chiara e voluta.
- Caricare i cookie di profilazione prima del consenso. Ed è l’errore tecnico più diffuso di tutti: un mucchio di siti fa partire Google Analytics o il pixel di Meta appena apri la pagina, quando invece dovrebbero accendersi solo dopo il sì dell’utente.
Non tutti i cookie sono uguali
La distinzione da tenere a mente è semplice.
- Cookie tecnici (la sessione, il carrello, la lingua scelta): servono a far funzionare il sito e non richiedono consenso.
- Cookie di profilazione e tracciamento (Google Analytics, Meta Pixel, remarketing, pubblicità): servono a seguire l’utente in giro e richiedono consenso esplicito, prima di essere caricati.
Confondere le due categorie è all’origine di quasi tutte le non conformità. E occhio: il consenso non è per sempre. Il Garante indica di riproporre il banner dopo un periodo ragionevole (intorno ai sei mesi) per far confermare o aggiornare le scelte.
Quanto rischi davvero
Niente allarmismo da titolone. Per una PMI italiana, a seguito di un reclamo, le sanzioni del Garante in materia di cookie si sono collocate in una fascia che va, indicativamente, da qualche migliaio fino a diverse decine di migliaia di euro. Non le multe milionarie dei giornali, ma cifre concrete e fastidiose per una piccola impresa. E spesso a innescare tutto è proprio un utente infastidito che segnala.
Come metterti in regola senza impazzire
La strada pratica per una PMI è usare una Consent Management Platform: uno strumento che gestisce il banner, blocca gli script di tracciamento finché non arriva il consenso, registra le scelte e ti genera anche le informative. Uno dei più usati è Iubenda, che ti copre banner conforme, blocco preventivo degli script e generazione di privacy e cookie policy in un posto solo.
Occhio però: installare lo strumento non basta. Va configurato bene, in particolare la parte che impedisce ad Analytics e ai pixel di partire prima del consenso. È lì che si gioca la conformità vera, non nell’aver appiccicato un banner qualunque tanto per averlo.
Questa cosa si aggiunge agli altri obblighi digitali che stanno arrivando: l’AI Act per chi usa l’intelligenza artificiale e il pulsante di recesso per gli e-commerce. Conviene guardarli insieme, come un unico tema di conformità, invece che a pezzi sparsi ogni volta che ti arriva una scadenza.
Il pezzo tecnico che quasi nessuno configura
Torniamo un attimo sul «blocco preventivo degli script», perché è il punto dove la conformità si fa sul serio o si finge soltanto. Cosa vuol dire in pratica? Che gli script di tracciamento (Google Analytics, il pixel di Meta, i vari codicilli di remarketing) non devono partire da soli al caricamento della pagina. Devono restare «congelati», fermi, finché l’utente non clicca «accetta». Solo a quel punto la Consent Management Platform li sblocca e li fa girare.
Il problema è che un mucchio di siti installa il banner ma lascia gli script liberi di partire prima. Così ottieni il peggio dei due mondi: hai il banner bello in vista, che dà l’impressione di essere a posto, e intanto stai tracciando le persone prima del loro sì, che è esattamente la cosa vietata. Il banner è la vetrina, il blocco degli script è il motore. Se il motore non c’è, la vetrina non ti salva: ti condanna e basta.
Come lo verifichi senza essere un tecnico? Un modo spiccio: apri il sito in una finestra pulita e, prima di toccare il banner, controlla con gli strumenti giusti se Analytics o il pixel si sono già accesi. Se sì, sei non conforme, per quanto elegante sia il banner sopra.
L’errore comune
Trattare il banner come una formalità da spuntare e dimenticare. Il banner è solo la punta che si vede: sotto, quello che conta è il comportamento tecnico del sito (cosa carica e quando) e la coerenza con le informative. Un banner elegantissimo che però fa partire il pixel di Meta già al caricamento della pagina è non conforme, per quanto bello sia da vedere.
Domande frequenti
Ho un sito piccolo, mi riguarda comunque?
Sì. Le regole sui cookie valgono a prescindere dalla dimensione. Anzi, le PMI sono spesso quelle col banner non conforme, quindi le più esposte a un reclamo.
Se uso solo Google Analytics devo chiedere il consenso?
Sì. Analytics rientra tra gli strumenti che richiedono consenso preventivo: va bloccato finché l’utente non accetta. È uno degli errori più comuni in assoluto.
Basta il pulsante «Accetta» per semplificare?
No, è proprio quello che rende il banner non conforme. Accetta e Rifiuta devono avere lo stesso risalto.
Ogni quanto devo richiedere il consenso?
Le scelte non durano all’infinito: l’indicazione è riproporre il banner dopo alcuni mesi perché l’utente confermi o cambi le preferenze.
Uno strumento come Iubenda mi mette automaticamente a norma?
Ti dà gli strumenti giusti, ma la conformità dipende da come lo configuri, soprattutto il blocco degli script prima del consenso. Vale la pena farlo con attenzione o farsi seguire.
Se non sei sicuro che il tuo sito sia a norma
La conformità sui cookie non è difficile, ma è piena di dettagli dove è facile sbagliare senza accorgersene, finché non arriva la segnalazione. Un controllo fatto prima vale molto di più di una corsa ai ripari dopo.
Se vuoi capire se il tuo banner e il tuo sito sono davvero a norma, o solo in apparenza, gli diamo un’occhiata insieme, sul piano tecnico. Se posso aiutarti te lo dico, se non posso te lo dico lo stesso, così non perdiamo tempo né io né te.
Parliamo della tua situazione: prenota una call conoscitiva senza impegno.
Nota: contenuto informativo, non consulenza legale. Requisiti basati sulle indicazioni del Garante per la protezione dei dati personali aggiornate a luglio 2026. Per la tua situazione specifica rivolgiti a un professionista e verifica le linee guida ufficiali più recenti.
