La cookie policy di un sito web è uno di quei documenti che quasi tutti hanno e quasi nessuno tiene davvero a norma. Nella mia attività di consulente, e soprattutto nelle perizie che mi capita di redigere come consulente tecnico del Tribunale, la cookie policy sito web che trovo è quasi sempre la stessa: un modello scaricato da un generatore, incollato una volta e mai più aggiornato. Il guaio è che le regole sono cambiate parecchio. Il Garante Privacy è intervenuto con linee guida vincolanti, sono arrivati il consenso granulare e Google Consent Mode v2, e i famosi cookie wall e dark pattern sono finiti nel mirino delle autorità. In questa guida ti spiego, senza giri di parole, cosa serve oggi per avere cookie policy e banner realmente conformi, quali errori costano sanzioni e cosa controllo per primo quando analizzo un sito.
Cosa si intende per cookie policy di un sito web
La cookie policy è l’informativa specifica che spiega quali cookie e strumenti di tracciamento usa il tuo sito, con quali finalità, per quanto tempo conservano i dati e a quali soggetti terzi vengono eventualmente trasmessi. Va tenuta distinta dalla privacy policy, che è il documento più ampio sul trattamento di tutti i dati personali. Detto in modo pratico: la privacy policy racconta il quadro generale, la cookie policy entra nel dettaglio dei tracciatori. Sono due documenti diversi, con contenuti diversi, e non è corretto fonderli in un unico testo generico. Se vuoi capire come si incastrano nel quadro complessivo degli obblighi di un sito, ho raccolto tutto nella mia guida al GDPR per i siti web.
Il punto di partenza è distinguere le categorie di cookie, perché è da lì che discende l’obbligo o meno di raccogliere il consenso. Il Garante ne individua sostanzialmente tre. I cookie tecnici servono a far funzionare il sito o a fornire un servizio che l’utente ha esplicitamente richiesto, e per questi non serve il consenso. I cookie analytics, se configurati per statistiche aggregate su un solo sito e senza incrocio con altri dati, possono essere assimilati ai tecnici. I cookie di profilazione, invece, tracciano l’utente per costruire profili e proporre pubblicità mirata, e per questi il consenso è sempre obbligatorio. La stessa logica vale per gli altri strumenti di tracciamento, come il fingerprinting, spesso dimenticati proprio perché non sono tecnicamente dei cookie.
Cookie law: cosa dicono davvero le regole in Italia
Quella che chiamiamo cookie law in Italia non è una legge unica, ma l’intreccio di più norme: la direttiva ePrivacy del 2002, recepita negli articoli 122 e seguenti del Codice Privacy, e il Regolamento europeo 2016/679, il GDPR. Su questa base il Garante ha adottato le linee guida cookie e altri strumenti di tracciamento, il provvedimento n. 231 del 10 giugno 2021, pienamente vincolanti dal 10 gennaio 2022. È il testo che oggi definisce come vanno fornite l’informativa e il consenso online.
Il principio cardine è che il consenso, quando serve, deve essere libero, specifico, informato e inequivocabile. Da qui derivano conseguenze molto concrete che rendono illegittime pratiche ancora diffusissime. Le caselle preselezionate non valgono, l’utente deve compiere un’azione positiva. Il legittimo interesse del titolare non è una base giuridica utilizzabile per installare cookie di profilazione, quindi non puoi giustificare il tracciamento appellandoti a un tuo interesse commerciale. E i consensi raccolti in passato restano validi solo se erano già conformi al GDPR e sono documentabili con evidenze informatiche. In pratica, molti banner che vedo in giro raccolgono un consenso che, di fronte a una contestazione, non reggerebbe.
Come deve essere il banner cookie per essere a norma
Il banner è il punto in cui la teoria diventa pratica, ed è anche il punto in cui si concentrano gli errori. Secondo le indicazioni del Garante, al primo accesso il banner deve contenere un’informativa breve sull’uso dei cookie con le relative finalità, un link alla cookie policy estesa e i comandi per scegliere. I pulsanti per accettare e per rifiutare devono avere pari dignità: non puoi mettere un bel bottone verde “Accetta tutto” e nascondere il rifiuto dietro tre clic. Deve esserci la possibilità di operare scelte granulari sulle categorie di cookie e sulle terze parti, e la chiusura tramite la X in alto a destra deve mantenere le impostazioni predefinite, cioè solo i cookie tecnici. Molti dubbi ricorrenti su questi comandi trovano risposta diretta nelle FAQ ufficiali del Garante sui cookie.
C’è poi una regola che continua a essere ignorata: lo scrolling non vale più come consenso. Far scorrere la pagina non equivale ad accettare, salvo che il movimento sia parte di un meccanismo più articolato e inequivocabile disegnato apposta. Allo stesso modo, non puoi riproporre il banner a ogni singola visita per sfinire l’utente fino all’accettazione. Alla seconda visita chi ha già scelto non deve rivedere il banner iniziale, ma deve poter accedere in ogni momento a un’area per modificare le preferenze. Se il tuo sito installa soltanto cookie tecnici, invece, il banner non serve affatto: basta l’informazione nell’informativa o in homepage. Verificare quale di questi scenari sia il tuo è la prima cosa che faccio in un adeguamento GDPR del sito web.
Cookie wall e dark pattern: cosa è vietato
Il cookie wall è la barriera che blocca l’accesso ai contenuti a chi non acconsente al tracciamento, il classico meccanismo prendere o lasciare. Il Garante lo considera illecito, perché rende il consenso tutto fuorché libero. Esiste un’unica apertura, da valutare caso per caso: offrire a chi rifiuta un contenuto o un servizio equivalente, ad esempio una versione a pagamento senza tracciamento pubblicitario, il cosiddetto modello pay or ok. Fuori da questa ipotesi, il muro dei cookie è un problema, non una soluzione.
Accanto ai cookie wall ci sono i dark pattern, le interfacce costruite per spingere l’utente a cliccare “accetta” contro il suo reale interesse. Contrasti cromatici che valorizzano solo il bottone di accettazione, testi che confondono, percorsi di rifiuto volutamente più lunghi, colori grigi sul “rifiuta” e verdi sull'”accetta”. Sono tecniche di nudging che le autorità europee hanno progressivamente qualificato come pratiche ingannevoli, incompatibili con l’idea di un consenso genuino. È interessante notare come spesso non nascano da malafede, ma da template acquistati e mai messi in discussione. Il risultato, però, davanti a un controllo non cambia.
Consenso granulare e Google Consent Mode v2
Il consenso granulare, cioè la possibilità per l’utente di dire sì ad alcune finalità e no ad altre, non è più un dettaglio tecnico ma un requisito. Ed è qui che entra in gioco Google Consent Mode v2, spesso confuso con un banner o con una scorciatoia per la conformità. Non è né l’uno né l’altro. Consent Mode v2 è il meccanismo con cui il tuo sito comunica ai tag di Google le scelte dell’utente, e regola di conseguenza il comportamento di Google Analytics 4 e Google Ads. È diventato obbligatorio da marzo 2024 per chi usa i servizi Google rivolgendosi a utenti dell’Unione Europea, in stretta connessione con il Digital Markets Act.
La versione 2 ha introdotto due parametri nuovi, ad_user_data e ad_personalization, che si aggiungono ai preesistenti ad_storage e analytics_storage e trasmettono a Google il consenso per l’uso dei dati a fini pubblicitari e per la personalizzazione degli annunci. Il punto che ripeto sempre ai clienti è che Consent Mode non sostituisce il banner né la cookie policy: è complementare e va abbinato a una piattaforma di gestione del consenso, una CMP, certificata da Google. In pratica il rapporto tra cookie e GDPR passa oggi anche da qui, perché senza una configurazione corretta rischi due danni insieme: perdere dati preziosi per le campagne e restare comunque non conforme. La parte normativa e quella tecnica vanno tenute allineate, non affrontate in due momenti scollegati.
Cosa controllano le autorità: l’enforcement del Garante
Le regole diventano concrete quando qualcuno le fa rispettare, ed è esattamente ciò che sta accadendo. Nel corso di accertamenti a campione nel settore dell’e-commerce, il Garante è tornato sul tema della chiarezza delle diciture con il provvedimento n. 391 del 10 luglio 2025, imponendo a un titolare di sostituire etichette ambigue come cookie di “esperienza” con formule che spieghino l’effettiva finalità del trattamento. Come riportato da Federprivacy, di cui sono socio, la chiarezza non è un elemento accessorio ma un vero criterio di verifica della tenuta del banner. Tradotto: non basta avere i pulsanti giusti, devono essere anche comprensibili.
Nella pratica professionale i pattern si ripetono. In un caso che ho seguito, un sito aziendale caricava Google Analytics e i pixel dei social prima ancora che comparisse il banner, quindi tracciava a prescindere da qualunque scelta. In un altro, il banner c’era e sembrava perfetto, ma il pulsante “rifiuta” era puramente decorativo e non bloccava nulla lato server. Sono situazioni che, quando finisci al centro di un contendere, un consulente tecnico smonta in pochi minuti con gli strumenti di analisi del traffico. Le sanzioni per la violazione della normativa privacy possono arrivare fino al 4 per cento del fatturato annuo o a venti milioni di euro per i casi più gravi, e anche quando restano lontane dai massimi, il danno reputazionale per un’azienda che tratta dati dei clienti non è trascurabile. Con oltre trent’anni di lavoro sul digitale e le mie certificazioni in ambito privacy e cybersecurity, il consiglio che do è sempre lo stesso: meglio spendere qualche ora a verificare oggi che difendersi domani.
Come mettere a norma la cookie policy del tuo sito
Se vuoi fare un primo controllo da solo, parti da poche domande secche. Il banner mostra “accetta” e “rifiuta” con la stessa evidenza? La X chiude lasciando attivi solo i cookie tecnici? Esiste un pannello per scelte granulari e un’area per cambiare idea in seguito? I tracciatori partono soltanto dopo il consenso, e non prima? La cookie policy elenca davvero i cookie usati, con finalità, durata e terze parti? Se anche una sola risposta è no, il sito va sistemato. Quando la posta in gioco è alta, o quando gestisci un e-commerce con molti tracciatori, conviene affidarsi a chi conosce sia la norma sia l’implementazione tecnica: è il senso della mia consulenza GDPR dedicata a siti e aziende.
Riepilogo dei punti chiave
La cookie policy di un sito web è l’informativa specifica sui cookie e gli strumenti di tracciamento usati, distinta dalla privacy policy. In Italia la cookie law nasce dall’intreccio tra direttiva ePrivacy, articolo 122 del Codice Privacy e GDPR, ed è dettagliata dalle linee guida del Garante del 10 giugno 2021, vincolanti dal gennaio 2022. Il consenso serve per i cookie di profilazione, non per quelli tecnici, e deve essere libero, specifico, informato e inequivocabile. Il banner deve avere accetta e rifiuta di pari dignità, chiusura con X che lascia attivi solo i tecnici, scelte granulari e nessun tracciamento prima del consenso. Lo scrolling non vale come consenso, i cookie wall sono illeciti salvo alternativa equivalente e i dark pattern sono pratiche ingannevoli da evitare. Dal 2024 chi usa i servizi Google verso utenti UE deve implementare Google Consent Mode v2, che affianca il banner ma non lo sostituisce. Gli accertamenti del Garante, come il provvedimento sull’e-commerce del 2025, insistono sulla chiarezza delle diciture. Le sanzioni possono arrivare al 4 per cento del fatturato o a venti milioni di euro.
Domande frequenti sulla cookie policy sito web
La cookie policy è obbligatoria per ogni sito web?
Se il sito installa cookie o strumenti di tracciamento diversi da quelli strettamente tecnici, sì. La cookie policy deve indicare quali tracciatori vengono usati, con quali finalità, per quanto tempo conservano i dati e a quali terze parti sono trasmessi. Un sito che usa soltanto cookie tecnici può limitarsi a un’informazione essenziale, ma appena entrano in gioco analytics non anonimizzati, pixel pubblicitari o social, la cookie policy e il banner con richiesta di consenso diventano necessari.
Che differenza c’è tra cookie policy e privacy policy?
La privacy policy è il documento generale che descrive tutti i trattamenti di dati personali svolti dal sito e dall’azienda. La cookie policy è un’informativa più circoscritta, dedicata esclusivamente ai cookie e agli altri strumenti di tracciamento. Sono due documenti distinti, con contenuti diversi, e non è corretto sostituirne uno con l’altro né fonderli in un testo unico generico.
Lo scrolling della pagina vale come consenso ai cookie?
In linea generale no. Le linee guida del Garante hanno superato l’idea che il semplice scorrimento della pagina equivalga ad accettare i cookie. Lo scrolling può concorrere a manifestare il consenso solo se inserito in un meccanismo più articolato, progettato appositamente per rendere l’azione inequivocabile. Nella pratica quotidiana, affidarsi allo scroll come base del consenso espone a contestazioni.
Il cookie wall è legale in Italia?
Il cookie wall che impedisce l’accesso al sito a chi non acconsente al tracciamento è considerato illecito dal Garante, perché rende il consenso non libero. L’unica eccezione, da valutare caso per caso, è offrire a chi rifiuta un contenuto o un servizio equivalente, ad esempio una versione a pagamento senza pubblicità profilata. Fuori da questa ipotesi, il muro dei cookie non è una soluzione conforme.
Devo attivare Google Consent Mode v2?
Se usi servizi Google come Google Analytics 4 o Google Ads rivolgendoti a utenti dell’Unione Europea, sì, Consent Mode v2 è richiesto da marzo 2024. Va però abbinato a un banner e a una CMP certificata: non sostituisce l’informativa sui cookie né la raccolta del consenso, li completa dal lato tecnico trasmettendo a Google le scelte dell’utente. Senza una configurazione corretta rischi di perdere dati e di restare comunque non conforme.
Cosa si rischia con una cookie policy o un banner non a norma?
Le violazioni della normativa privacy possono comportare sanzioni fino al 4 per cento del fatturato annuo o a venti milioni di euro per i casi più gravi. Anche quando restano lontane dai massimali, gli accertamenti del Garante possono imporre di correggere banner e diciture, come avvenuto negli accertamenti sull’e-commerce del 2025. A questo si aggiunge il danno reputazionale verso clienti e utenti che affidano al sito i propri dati.
Trasforma la conformità in un vantaggio
Mettere in ordine la cookie policy sito web non è solo un adempimento da spuntare, ma un modo per trattare i dati dei tuoi utenti con trasparenza e, allo stesso tempo, per raccogliere dati di qualità migliore per il tuo marketing. Le regole ci sono, sono chiare e vengono fatte rispettare: la buona notizia è che, una volta impostato bene, un banner conforme lavora da solo. Se hai il dubbio che il tuo sito non sia in regola, la cosa più utile è farlo verificare da chi conosce sia la norma sia l’implementazione tecnica.
Vuoi una verifica della conformità del tuo sito: prenota una consulenza e analizziamo insieme cookie policy e banner.
