Consenso ai cookie e GDPR: i requisiti spiegati

Secondo il diritto dell’UE, ti serve il consenso preventivo opt-in del visitatore prima di installare o leggere qualsiasi cookie che non sia strettamente necessario per fornire il servizio che ha richiesto. Quel consenso deve rispettare lo standard del Regolamento generale sulla protezione dei dati (GDPR): libero, specifico, informato e inequivocabile. I visitatori devono poter rifiutare con la stessa facilità con cui accettano e cambiare idea in qualsiasi momento, e tu devi essere in grado di dimostrare cosa hanno scelto.

Quali leggi regolano i cookie nell’UE?

Due norme lavorano insieme. La direttiva ePrivacy stabilisce quando serve il consenso per un cookie, mentre il GDPR definisce come deve essere un consenso valido.

L’articolo 5, paragrafo 3, della direttiva ePrivacy riguarda l’archiviazione di informazioni sul dispositivo dell’utente e la lettura di informazioni già presenti. Sono inclusi i cookie, ma anche il local storage, i pixel di tracciamento, gli identificativi del dispositivo e tecniche analoghe. La regola si applica indipendentemente dal fatto che le informazioni siano o meno dati personali.

Il GDPR fornisce lo standard del consenso. L’articolo 4, punto 11, definisce il consenso e l’articolo 7 ne fissa le condizioni. Quando i cookie raccolgono dati personali, come fa la maggior parte dei cookie di analisi e pubblicitari, il GDPR disciplina anche tutto ciò che fai successivamente con quei dati. Per capire meglio come le due norme si dividono i compiti, leggi direttiva ePrivacy e GDPR a confronto.

Poiché la direttiva ePrivacy è una direttiva e non un regolamento, ogni Paese dell’UE la recepisce nel proprio diritto nazionale. La regola di base è la stessa ovunque, ma le autorità di controllo differiscono per linee guida e priorità nei controlli.

Quali cookie richiedono il consenso?

Qualsiasi cookie o tecnologia analoga richiede il consenso, a meno che non sia strettamente necessario per fornire un servizio esplicitamente richiesto dall’utente o non venga usato al solo scopo di trasmettere una comunicazione. Ciò che conta è la finalità, non il fatto che il cookie sia di prima o di terza parte.

Finalità del cookie	Esempio	Serve il consenso?
Autenticazione	Mantiene l’utente connesso durante una sessione	No, strettamente necessario
Carrello	Ricorda gli articoli aggiunti al carrello	No, strettamente necessario
Bilanciamento del carico	Indirizza le richieste sempre allo stesso server	No, strettamente necessario
Memorizzazione del consenso	Ricorda le scelte del visitatore sui cookie	No, strettamente necessario
Preferenze	Impostazioni di lingua o di visualizzazione	Dipende dal fatto che l’utente abbia scelto esplicitamente l’impostazione
Analisi	Conta le visite e traccia i percorsi di navigazione	Sì, nella maggior parte dei casi
Pubblicità	Retargeting, monitoraggio delle conversioni, profilazione	Sì
Contenuti social incorporati	Pulsanti di condivisione, post incorporati, pixel	Sì, quando installano o leggono identificativi

Due aspetti traggono spesso in inganno. Primo: un cookie di analisi di prima parte richiede comunque il consenso nella maggior parte dei Paesi dell’UE. Alcune autorità accettano esenzioni limitate per strumenti di misurazione dell’audience configurati in modo rigoroso, ma consideralo un’eccezione legata al singolo Paese.

Secondo: “strettamente necessario” significa necessario per il servizio richiesto dall’utente, non necessario per il tuo modello di business. La nostra guida ai cookie strettamente necessari approfondisce le zone grigie.

Cosa rende valido il consenso ai cookie?

Il consenso è valido solo se è libero, specifico, informato e inequivocabile, ed espresso con un’azione positiva chiara. In un banner dei cookie, questo si traduce in alcune regole concrete.

• Opt-in, non opt-out. Le categorie non essenziali partono disattivate. Nella sentenza Planet49 (C-673/17, 2019), la Corte di giustizia dell’Unione europea (CGUE) ha stabilito che una casella preselezionata non costituisce un consenso valido.
• Nessun consenso implicito. Secondo il Comitato europeo per la protezione dei dati (EDPB), l’organismo che emana linee guida comuni per le autorità di controllo dell’UE, scorrere la pagina o continuare a navigare non equivale a prestare il consenso.
• Scelte granulari. Le persone devono poter accettare i cookie di analisi rifiutando quelli di marketing, invece di trovarsi davanti a un unico interruttore “tutto o niente”.
• Informazioni reali. Spiega chi installa i cookie, a cosa servono, quanto durano e quali terze parti ricevono i dati.
• Consenso libero. Rifiutare deve essere facile quanto accettare, e l’accesso al tuo sito non dovrebbe dipendere dall’accettazione di cookie non essenziali.

La nostra checklist per un consenso valido li analizza uno per uno.

Cosa significa in pratica consenso “preventivo”?

Significa che nulla di non essenziale viene eseguito finché il visitatore non ha detto sì. Un banner che registra una scelta quando i tag di analisi e pubblicitari sono già partiti al caricamento della pagina non è conforme, per quanto curato possa sembrare.

È soprattutto una questione tecnica. Script di terze parti, container del tag manager e widget incorporati devono restare bloccati finché la categoria corrispondente non viene autorizzata, e lo stato del consenso va verificato a ogni visualizzazione di pagina, così che un rifiuto resti un rifiuto.

Se usi i tag pubblicitari o di misurazione di Google per i visitatori dello Spazio economico europeo (SEE), da marzo 2024 Google richiede anche i segnali di Consent Mode. Questi segnali trasmettono la scelta del visitatore ai tag di Google. Sono un requisito delle norme di Google e non sostituiscono l’obbligo di legge di ottenere prima il consenso.

Cos’altro serve per la conformità, oltre al banner?

Il banner è solo la parte visibile. Una configurazione conforme in genere segue otto passaggi:

1. Esegui un audit del sito. Elenca ogni cookie, chiave di local storage, pixel e script di terze parti, compresi quelli aggiunti da plugin e tag manager.
2. Classifica per finalità. Assegna ogni elemento a una categoria (necessari, preferenze, analisi o marketing) e rimuovi tutto ciò che non usi più.
3. Blocca prima del consenso. Trattieni ogni script non essenziale finché la sua categoria non viene autorizzata.
4. Chiedi in modo chiaro. Mostra le opzioni per accettare e per rifiutare con la stessa evidenza nel primo livello, insieme a un modo per scegliere categoria per categoria.
5. Documenta. Pubblica una cookie policy che corrisponda a ciò che il tuo sito installa davvero.
6. Rendi semplice la revoca. Ai sensi dell’articolo 7, paragrafo 3, revocare il consenso deve essere facile quanto prestarlo, quindi mantieni sempre disponibile un link o un pulsante che riapra le impostazioni.
7. Conserva le registrazioni. L’articolo 7, paragrafo 1, richiede che tu possa dimostrare il consenso, quindi registra la scelta, il momento e la versione del banner mostrata.
8. Ripeti a intervalli regolari. Esegui una nuova scansione ogni volta che aggiungi tag, cambi fornitori o riprogetti il sito.

Cosa succede se sbagli?

Le sanzioni possono essere pesanti. Ai sensi dell’articolo 83, paragrafo 5, del GDPR, le violazioni più gravi, comprese quelle relative alle condizioni del consenso, possono comportare sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo, se superiore. Le violazioni in materia di cookie perseguite in base alle leggi nazionali sull’ePrivacy seguono le regole sanzionatorie di ciascun Paese.

Le autorità hanno dimostrato di voler usare questi poteri. Nel dicembre 2021 l’autorità francese per la protezione dei dati, la CNIL, ha sanzionato Google per 150 milioni di euro e Facebook per 60 milioni di euro perché sui loro siti rifiutare i cookie richiedeva più passaggi che accettarli. Le autorità possono anche ordinare modifiche al tuo banner. La nostra analisi su cosa insegnano ai gestori di siti web le sanzioni sui cookie esamina gli schemi che continuano a essere sanzionati.

In sintesi

Il consenso ai cookie secondo il GDPR si riduce a una sequenza semplice: sapere cosa installa il tuo sito, bloccare tutto ciò che non è essenziale, chiedere in modo chiaro con un’opzione di rifiuto equivalente, rispettare la risposta su ogni pagina e conservare le prove. La maggior parte degli errori nasce negli spazi tra un passaggio e l’altro, come un tag aggiunto al di fuori dell’audit o un banner che registra le scelte senza applicarle. Strumenti come Cookiesh possono automatizzare la scansione dei cookie, il blocco degli script e la registrazione del consenso, ma decidere di quali cookie hai davvero bisogno resta una tua scelta.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.