Cosa sono i cookie: spiegazione semplice, tipi e novità

Cosa sono i cookie? Sono piccoli file di testo che un sito web chiede al tuo browser di conservare e di rispedirgli a ogni visita successiva. Servono a riconoscerti: tengono aperto il carrello, ricordano la lingua, evitano che tu debba rifare il login a ogni pagina e, nei casi meno simpatici, seguono quello che fai da un sito all’altro per mostrarti pubblicità su misura. Li incontri ogni giorno sotto forma di banner con “Accetta” e “Rifiuta”, eppure quasi nessuno sa davvero cosa contengono, quanto durano, chi li legge e cosa succede quando dici di no. Ho iniziato a lavorare su internet nel 1993, un anno prima che i cookie venissero inventati, e da allora li ho visti da tre punti di osservazione diversi: come ethical hacker che sa come si rubano, come consulente privacy che sa cosa il Garante ha scritto nero su bianco, e come consulente tecnico del tribunale che sa come si dimostra in giudizio che un consenso è stato davvero prestato. In questa guida trovi tutto quello che ti serve per capirli, gestirli sul tuo browser e, se hai un sito, non sbagliare.

Cosa sono i cookie in parole semplici

Un cookie è un frammento di testo, di solito poche decine di caratteri, che il server di un sito web invia al browser insieme alla pagina. Il browser lo salva sul tuo dispositivo e lo rimanda al server ogni volta che torni su quel sito. Tutto qui. Non è un programma, non si esegue, non può “infettare” il computer: è un post-it che il sito ti appiccica addosso per riconoscerti la volta dopo.

Il motivo per cui esiste è semplice. Il protocollo che regge il web, HTTP, non ha memoria: ogni richiesta di pagina è un evento a sé, senza alcun legame con quella precedente. Per un server, la seconda pagina che apri e la seconda pagina che apre un’altra persona dall’altra parte del mondo sono indistinguibili. Senza un meccanismo di riconoscimento non potrebbe esistere il carrello di un e-commerce, l’area riservata di una banca, il “resta connesso” della posta elettronica. Il cookie è quel meccanismo: un piccolo identificativo che permette al sito di dire “ah, sei ancora tu”.

Chi lavora con i siti ne parla come di una cosa ovvia, ma per un imprenditore che deve decidere se il banner sul proprio sito è a norma, o per un utente che si chiede se cliccare “Accetta tutto”, la domanda “cosa sono i cookie” resta aperta. Nei prossimi paragrafi la chiudiamo per bene, partendo da come funzionano davvero.

Come funziona un cookie, passo per passo

Immagina di entrare per la prima volta in un negozio online. Il tuo browser chiede la home page al server. Il server risponde con la pagina e, nell’intestazione della risposta, aggiunge una riga simile a questa:

Set-Cookie: carrello=7f3a9c21; Path=/; Max-Age=2592000; Secure; HttpOnly; SameSite=Lax

Questa riga dice al browser: “conserva un cookie chiamato carrello con il valore 7f3a9c21, valido per tutto il sito, per trenta giorni, inviato solo su connessioni cifrate, non leggibile dagli script della pagina e non spedito quando arrivi qui da un altro sito”. Da quel momento, ogni volta che chiedi una pagina di quel negozio, il browser aggiunge in automatico Cookie: carrello=7f3a9c21 alla richiesta. Il server legge il valore, lo cerca nel proprio database e ritrova il tuo carrello.

Nota un dettaglio che spiega molto: nel cookie non c’è il contenuto del carrello, né il tuo nome, né la tua email. C’è solo un codice. I dati veri stanno sul server, e il cookie è la chiave che li collega a te. Questo vale per la stragrande maggioranza dei cookie ben progettati. Vale anche il contrario: chi entra in possesso di quella chiave, anche senza conoscere la tua password, può presentarsi al server come se fosse te. Ci torniamo nella parte dedicata alla sicurezza, perché è il punto che più spesso viene ignorato.

Da dove arrivano: una storia più breve di quanto pensi

I cookie nascono nel 1994 nei laboratori di Netscape. Un giovane programmatore, Lou Montulli, doveva risolvere un problema concreto per un cliente che voleva vendere online: come far ricordare al sito cosa l’utente aveva messo nel carrello passando da una pagina all’altra. La soluzione fu il “magic cookie”, un termine preso in prestito dal gergo dei programmatori UNIX, dove indicava un pacchetto di dati che un programma riceve e restituisce senza modificarlo. Nel giro di due anni erano già in tutti i browser e nel 1996 la stampa americana scoprì che potevano servire anche a tracciare le persone, aprendo un dibattito sulla privacy che non si è mai chiuso. Il formato è stato standardizzato nel 2011 con la specifica RFC 6265, ancora oggi il riferimento tecnico.

Trent’anni dopo, la tecnologia di base è rimasta praticamente identica. È cambiato tutto quello che ci sta intorno: chi li usa, per cosa, e quali regole li governano.

A cosa servono i cookie: le quattro famiglie di utilizzo

Quando ti chiedi cosa sono i cookie, in realtà stai chiedendo a cosa servono. Gli usi si possono ricondurre a quattro grandi famiglie, e conoscerle ti permette di leggere qualsiasi banner con occhio critico.

Gestione della sessione. È l’uso originario: tenere insieme le pagine di una stessa visita. Login, carrello, moduli in più passaggi, preferenze temporanee. Senza questi cookie il sito semplicemente non funziona, ed è per questo che la legge non richiede il consenso per installarli.

Personalizzazione. La lingua scelta, il tema chiaro o scuro, la città per le previsioni del tempo, il fatto che tu abbia già chiuso quel pop-up. Sono cookie che migliorano l’esperienza e restano sul dispositivo anche dopo la chiusura del browser.

Misurazione. Gli strumenti di statistica, come Google Analytics, usano un cookie per distinguere un visitatore che torna da uno nuovo, e per ricostruire il percorso di navigazione. Se hai un sito e ti chiedi quante persone lo visitano e da dove arrivano, la risposta passa quasi sempre da un cookie di questo tipo. Nella mia guida a Google Analytics 4 spiego come impostarlo senza violare le regole sul consenso.

Tracciamento e pubblicità. È la famiglia che ha reso i cookie famosi e malvisti. Un circuito pubblicitario presente su migliaia di siti può installare un proprio cookie su ciascuno di essi e, leggendolo, ricostruire l’elenco dei siti che hai visitato. Da lì nasce il profilo di interessi che spiega perché, dopo aver guardato un paio di scarpe, quelle scarpe ti seguono per giorni. Sono i cookie di profilazione, e sono quelli per cui la legge pretende un consenso esplicito.

I tipi di cookie: la tabella che chiarisce tutto

La confusione più frequente nasce dal fatto che i cookie si classificano in tre modi diversi, che si sovrappongono. Un cookie può essere allo stesso tempo “persistente”, “di terze parti” e “di profilazione”. Vediamo le tre classificazioni una per una, poi le mettiamo in tabella.

Per durata: cookie di sessione e cookie persistenti

Il cookie di sessione vive finché resta aperto il browser: quando lo chiudi, sparisce. È tipico del carrello e del login. Il cookie persistente ha invece una data di scadenza, indicata dal sito con l’attributo Expires o Max-Age: può durare un’ora, un mese o, in teoria, anni. In pratica i browser moderni hanno iniziato a tagliare le durate eccessive: Safari, per esempio, limita a sette giorni i cookie impostati via script, e le Linee guida del Garante italiano chiedono che le scelte fatte sul banner vengano ricordate per un tempo ragionevole, non all’infinito.

Per provenienza: cookie di prima parte e cookie di terze parti

Un cookie di prima parte è impostato dal dominio che vedi nella barra degli indirizzi. Un cookie di terze parti è impostato da un dominio diverso, che carica un proprio contenuto dentro la pagina: un video incorporato, un pulsante social, un banner pubblicitario, un widget di chat. Il tuo browser, in quel momento, sta parlando con due server diversi, e ciascuno può lasciare il proprio cookie. È questa la porta da cui entra il tracciamento tra siti: la terza parte è la stessa su mille siti diversi, e legge lo stesso cookie ovunque.

Per finalità: tecnici, analitici, di profilazione

Questa è la classificazione che conta per la legge italiana. I cookie tecnici servono a far funzionare il sito o a erogare un servizio richiesto dall’utente: non richiedono consenso, basta informare. I cookie analitici misurano il traffico: se sono di prima parte, o di terze parti con indirizzo IP mascherato e senza incrocio con altri dati, il Garante li assimila ai tecnici; altrimenti richiedono consenso. I cookie di profilazione costruiscono un profilo dell’utente per inviare messaggi pubblicitari mirati: qui il consenso preventivo, libero e specifico è obbligatorio, sempre.

Se conservi una sola cosa di questa tabella, conserva l’ultima colonna. Tutto il dibattito sui banner cookie, sulle sanzioni e sui dark pattern gira intorno a quella distinzione: cosa può essere installato subito e cosa deve aspettare un tuo “sì”.

Cosa succede quando accetti o rifiuti i cookie

Quando clicchi “Accetta tutto”, il sito è autorizzato a installare anche i cookie di profilazione e quelli analitici di terze parti. Da quel momento i partner pubblicitari del sito possono iniziare a costruire il tuo profilo, e il consenso viene registrato in un cookie tecnico apposito, così che il banner non ricompaia a ogni visita.

Quando clicchi “Rifiuta”, succede una cosa che sorprende molti: il sito continua a funzionare esattamente come prima. I cookie tecnici vengono installati comunque, perché non dipendono dal consenso, e tu puoi navigare, comprare, accedere all’area riservata. Quello che perdi è la pubblicità personalizzata, che viene sostituita da pubblicità generica, e in alcuni casi qualche funzione accessoria, come il video incorporato che richiede un cookie di terze parti per essere riprodotto. Anche il rifiuto viene memorizzato: per le regole italiane il banner non può essere ripresentato prima di sei mesi, salvo che cambino le condizioni del trattamento o che tu cancelli i cookie.

Se invece chiudi il banner con la X, senza scegliere, la scelta equivale a un rifiuto: il sito deve limitarsi ai cookie tecnici. Non è un dettaglio: è una delle regole che ha cambiato l’aspetto di tutti i banner italiani dal 2022 in poi.

Come vedere e cancellare i cookie sul tuo browser

Sapere cosa sono i cookie è utile; sapere dove stanno e come toglierli lo è di più. Ogni browser ha una sezione dedicata, e le procedure sono simili.

• Chrome: menu con i tre puntini, poi Impostazioni, Privacy e sicurezza, Cookie di terze parti. Da lì puoi bloccare le terze parti, cancellare tutti i cookie o gestirli sito per sito. La procedura ufficiale è nella guida di Google Chrome alla gestione dei cookie.
• Safari: Impostazioni, Privacy, Gestisci dati dei siti web. Safari blocca da anni i cookie di terze parti per impostazione predefinita grazie alla tecnologia Intelligent Tracking Prevention.
• Firefox: Impostazioni, Privacy e sicurezza, Cookie e dati dei siti web. La protezione antitracciamento avanzata è attiva per default e isola i cookie di terze parti sito per sito.
• Edge: Impostazioni, Cookie e autorizzazioni sito, Gestisci ed elimina cookie e dati del sito.

Un consiglio da chi li osserva per mestiere: prima di cancellare tutto, apri gli strumenti per sviluppatori del browser (tasto F12, scheda Applicazione o Archiviazione) e guarda i cookie di un sito qualsiasi. Vedrai nomi, valori, scadenze e domini. Bastano due minuti per capire quanti soggetti diversi stanno lasciando qualcosa sul tuo dispositivo mentre leggi un quotidiano online. È un esercizio che consiglio a ogni imprenditore che mi chiede se il suo sito “ha troppi cookie”: la risposta è lì, in chiaro.

Ricorda però che cancellare i cookie ha due effetti collaterali. Il primo è che dovrai rifare il login ovunque. Il secondo è che i banner di consenso ricompariranno su tutti i siti, perché anche la tua scelta di rifiutare era conservata in un cookie.

I cookie sono pericolosi? Il punto di vista di un ethical hacker

La domanda arriva sempre, e la risposta onesta è: il cookie in sé no, quello che ci si può fare sì. Come Certified Professional Ethical Hacker mi capita di verificare la sicurezza di applicazioni web, e i cookie sono tra i primi elementi che si controllano. Ecco perché.

Il cookie di sessione è, di fatto, la tua identità sul sito per tutta la durata della visita. Se qualcuno riesce a copiarlo può presentarsi al server al posto tuo, senza conoscere password né codici di sicurezza. La tecnica si chiama session hijacking e le strade per arrivarci sono note: una rete Wi-Fi pubblica senza cifratura, uno script malevolo iniettato nella pagina, un’estensione del browser che legge più di quanto dovrebbe, un malware sul dispositivo che esporta l’archivio dei cookie. Negli ultimi anni i cosiddetti infostealer, programmi progettati per rubare credenziali, hanno aggiunto proprio i cookie di sessione alla lista dei bottini più ricercati, perché permettono di scavalcare anche l’autenticazione a due fattori.

Gli attributi che hai visto nell’esempio di intestazione servono esattamente a ridurre questi rischi. Secure impedisce che il cookie viaggi su connessioni non cifrate. HttpOnly lo rende invisibile agli script della pagina, e quindi a molti attacchi di tipo cross-site scripting. SameSite evita che venga inviato quando la richiesta parte da un altro sito, disinnescando una classe di attacchi chiamati cross-site request forgery. Quando analizzo un sito e trovo cookie di sessione senza questi tre attributi, so già che il proprietario non ha mai fatto un controllo di sicurezza. Se vuoi capire da dove partire, nella pagina dedicata alla sicurezza informatica per le aziende ho raccolto i controlli minimi.

Per l’utente le regole di buon senso sono poche. Esci dai servizi importanti con il logout invece di chiudere la scheda, perché il logout invalida il cookie sul server. Evita di accedere alla banca da reti pubbliche. Tieni sotto controllo le estensioni installate. E quando un sito ti chiede di “accettare i cookie per motivi di sicurezza”, diffida: la sicurezza dipende dagli attributi, non dal tuo consenso.

Cookie e legge: cosa dice davvero la normativa nel 2026

Qui è dove il mio lavoro di consulente privacy, iscritto a Federprivacy, entra in gioco. La disciplina dei cookie in Italia poggia su tre pilastri, e vale la pena conoscerli perché molte delle cose che si leggono in giro sono imprecise.

Il primo pilastro è la Direttiva ePrivacy, l’articolo 5, paragrafo 3, recepito in Italia dall’articolo 122 del Codice Privacy. È la norma che dal 2012 impone di ottenere il consenso prima di archiviare informazioni sul dispositivo dell’utente, salvo che siano strettamente necessarie al servizio richiesto. Si applica a chiunque, a prescindere dal fatto che i dati siano personali o meno.

Il secondo pilastro è il GDPR, in vigore dal 25 maggio 2018, che entra in gioco quando il cookie consente di identificare una persona, anche indirettamente: un identificativo univoco è un dato personale. Il GDPR fissa i requisiti del consenso (libero, specifico, informato, inequivocabile, revocabile) e le sanzioni, che possono arrivare al quattro per cento del fatturato mondiale annuo.

Il terzo pilastro, quello che ha cambiato concretamente i banner italiani, sono le Linee guida cookie del Garante per la protezione dei dati personali, adottate con provvedimento numero 231 del 10 giugno 2021 e diventate pienamente operative dal gennaio 2022. Dicono cose molto pratiche: il semplice scorrimento della pagina non vale come consenso; il cookie wall, cioè “accetti o non entri”, non è ammesso salvo casi eccezionali; il banner deve avere un comando per chiudere senza acconsentire e un pulsante per rifiutare con la stessa evidenza di quello per accettare; una volta espressa la scelta, il banner non va ripresentato prima di sei mesi. Il testo integrale è consultabile sul sito del Garante Privacy, Linee guida cookie e altri strumenti di tracciamento.

C’è poi un quarto elemento, più recente e meno conosciuto. Nel novembre 2023 il Comitato europeo per la protezione dei dati ha adottato le Linee guida 2/2023 sull’ambito tecnico dell’articolo 5(3), chiarendo che le stesse regole dei cookie si applicano a pixel di tracciamento, local storage, identificativi generati dal browser e tecniche di fingerprinting. In altre parole, spostare il tracciamento dai cookie a un altro strumento non fa uscire dalla normativa. Il documento è pubblicato dall’EDPB, Guidelines 2/2023 on the technical scope of Art. 5(3). Chi mi dice “ho tolto i cookie, uso il fingerprinting, così non serve il banner” sta commettendo un errore costoso.

Per l’adeguamento completo del sito, dal banner alla cookie policy fino alla configurazione del Consent Mode, ho scritto un approfondimento dedicato: Cookie Law, tutto quello che devi sapere. Qui mi limito a quello che serve per capire cosa sono i cookie e perché la legge se ne occupa.

Il 2026 dei cookie: la retromarcia di Google e cosa cambia davvero

Per anni ci è stato raccontato che i cookie di terze parti stavano per morire. Safari li blocca dal 2017, Firefox dal 2019, e Google aveva annunciato che Chrome, il browser di due utenti su tre, li avrebbe eliminati entro il 2022. Poi il 2023. Poi il 2024. Nel luglio 2024 la prima retromarcia: niente eliminazione, ma una finestra di scelta per l’utente. Il 22 aprile 2025 la seconda e definitiva: Google ha comunicato che non introdurrà alcun prompt separato per i cookie di terze parti in Chrome, che restano disponibili con le impostazioni attuali, mentre le protezioni aggiuntive si concentrano sulla modalità in incognito. Nei mesi successivi diverse tecnologie della Privacy Sandbox, pensate per sostituire i cookie nella pubblicità, sono state ridimensionate o accantonate.

Cosa significa, in concreto, per chi ha un sito o fa pubblicità online? Tre cose.

La prima: i cookie di terze parti non sono morti, ma funzionano in un mondo frammentato. Su Safari e Firefox, che insieme valgono una fetta importante del traffico italiano da mobile, sono già bloccati. Su Chrome ci sono ma l’utente può disattivarli con un clic. Chi costruisce la misurazione o il marketing solo sui cookie di terze parti sta lavorando con una bilancia rotta.

La seconda: il baricentro si è spostato sui dati di prima parte. Il cookie impostato dal tuo dominio, con il consenso dell’utente, resta pienamente funzionante ovunque. Ecco perché strumenti come il Consent Mode di Google, che comunica ai tag pubblicitari e di analisi lo stato del consenso e adatta il comportamento di conseguenza, sono diventati obbligatori per chi fa pubblicità con Google in Europa: la documentazione tecnica è nella guida ufficiale al Consent Mode. Il vero vantaggio competitivo, per una piccola impresa, è avere un sito che raccoglie consensi validi e dati di prima parte puliti.

La terza, e qui parlo da chi ha visto l’editoria online italiana vivere di banner per vent’anni: la fine annunciata dei cookie ha spinto molti verso soluzioni “creative” per continuare a tracciare senza consenso. Sono esattamente le tecniche che l’EDPB ha ricondotto alle regole dei cookie. Chi le adotta si espone a sanzioni senza avere nemmeno il vantaggio tecnico che cercava.

Come si dimostra un consenso: il punto di vista del consulente del tribunale

C’è un aspetto dei cookie di cui non si parla quasi mai e che invece, nella mia attività di Consulente Tecnico d’Ufficio presso il Tribunale di Lodi, ho visto diventare centrale: la prova. Il GDPR non chiede solo di raccogliere il consenso, chiede al titolare di essere in grado di dimostrare che l’utente lo ha prestato. Quando un reclamo arriva al Garante o una controversia arriva in tribunale, la domanda non è “avevi il banner?” ma “puoi provare che quella persona, quel giorno, ha cliccato accetta, dopo aver visto quale informativa, per quali finalità?”.

Le piattaforme di gestione del consenso serie conservano un registro con data e ora, versione del banner, versione dell’informativa, scelte espresse per ciascuna categoria e un identificativo del consenso, che a sua volta viene scritto in un cookie tecnico sul dispositivo dell’utente. Quel cookie è il ponte tra il dispositivo e il registro. Un banner fatto in casa, che si limita a nascondere se stesso dopo il clic senza registrare nulla, non offre alcuna prova. In un contenzioso equivale a non avere il banner.

Un caso reale, anonimizzato: un’azienda del settore servizi riceve una richiesta di accesso ai dati da un ex cliente, che sostiene di non aver mai acconsentito alla profilazione. Il sito aveva il banner, ma il sistema era stato configurato senza registro dei consensi. L’azienda non ha potuto produrre nulla, e la mancanza di prova ha pesato più della presenza del banner. Il rimedio era tecnicamente banale e avrebbe richiesto un pomeriggio di lavoro, se fatto prima.

Cookie e strumenti collegati: local storage, pixel e fingerprinting

Chi capisce cosa sono i cookie incontra presto i loro parenti, e conviene distinguerli. Il local storage è un’area di memoria del browser più capiente dei cookie, che però non viene inviata automaticamente al server: la usano le applicazioni web per salvare dati in locale. Il pixel di tracciamento è un’immagine invisibile di un solo pixel caricata da un server terzo: il caricamento stesso comunica al server che hai aperto quella pagina o quella email, spesso accompagnato da un cookie. Il fingerprinting non salva nulla sul dispositivo: raccoglie decine di caratteristiche del browser (risoluzione, font installati, fuso orario, versione, schede grafiche) e ne ricava un’impronta abbastanza unica da riconoscerti senza cookie.

Dal punto di vista legale, come abbiamo visto, sono tutti trattati allo stesso modo dei cookie quando servono a tracciare. Dal punto di vista tecnico, il fingerprinting è il più insidioso proprio perché l’utente non può cancellare nulla. Se sul tuo sito usi strumenti di terze parti, anche solo un video incorporato o una mappa, è probabile che almeno uno di questi meccanismi sia attivo senza che tu lo sappia. È uno dei controlli che eseguo per primi nell’analisi di un sito, e nella guida all’adeguamento GDPR di un sito web trovi la lista completa dei punti da verificare.

Cosa deve fare chi ha un sito web: la checklist

Arriviamo alla parte che interessa a chi un sito ce l’ha, o lo sta facendo. Sapere cosa sono i cookie serve a fare le scelte giuste nell’ordine giusto. Questa è la sequenza che seguo con i clienti.

1. Censisci i cookie reali del sito. Non quelli che pensi di avere: quelli che il browser riceve davvero. Uno scanner o gli strumenti per sviluppatori ti restituiscono l’elenco completo, terze parti comprese. Quasi sempre il numero sorprende.
2. Classifica ciascun cookie per finalità: tecnico, analitico, di profilazione. Per ciascuno annota chi lo imposta e quanto dura. È la base della cookie policy.
3. Blocca prima del consenso tutto ciò che non è tecnico. Il banner che chiede il consenso mentre i cookie di profilazione sono già installati è il difetto più comune, ed è il primo che un controllo rileva.
4. Configura un banner conforme: pulsante per rifiutare con la stessa evidenza di quello per accettare, comando di chiusura che equivale a un rifiuto, scelte per categoria, nessun pre-flag, memoria della scelta per almeno sei mesi, possibilità di cambiare idea da un link sempre raggiungibile.
5. Attiva il registro dei consensi, per i motivi visti nel paragrafo sulla prova.
6. Collega il consenso ai tag: Google Analytics, pixel pubblicitari e strumenti di marketing devono rispettare la scelta dell’utente. Con Google questo passa dal Consent Mode.
7. Scrivi la cookie policy partendo dal censimento, non da un modello scaricato. E aggiorna la privacy policy generale, che deve citare i cookie e rimandare alla policy dedicata. Il censimento ti serve anche per il registro dei trattamenti.
8. Riverifica ogni volta che aggiungi uno strumento. Un nuovo plugin, una chat, un widget di recensioni: ognuno porta con sé i propri cookie.

Un’ultima raccomandazione che deriva da trent’anni di siti visti da vicino: il banner non è un adempimento da fare una volta e dimenticare. È un pezzo del sito che va manutenuto come il resto, e che conviene affidare a chi capisce sia la parte tecnica sia quella normativa. La differenza tra un banner “presente” e un banner “a norma e dimostrabile” è tutta lì.

Un caso pratico: l’e-commerce che rifiutava i clienti

Un piccolo e-commerce di prodotti alimentari mi contatta perché “il sito perde carrelli”. Analizzo i cookie e scopro che il gestore, per essere “a posto con la privacy”, aveva impostato la piattaforma di consenso in modo da bloccare tutti i cookie fino al clic su accetta, compreso quello di sessione del carrello. Chi rifiutava, e con il pulsante ben visibile erano molti, vedeva svuotarsi il carrello a ogni pagina. Il cookie del carrello è tecnico, non richiede consenso e non doveva essere bloccato. Corretta la classificazione, i carrelli abbandonati per “errore tecnico” sono spariti in una settimana. La morale è che una classificazione sbagliata costa in entrambe le direzioni: troppo permissiva espone a sanzioni, troppo restrittiva rompe il sito.

Se vuoi approfondire come le regole sulla privacy si intrecciano con gli strumenti di comunicazione più usati dalle piccole imprese, tieni presente che la logica del consenso e della prova è la stessa anche per la messaggistica e le newsletter: cambia lo strumento, non la regola.

Riepilogo dei punti chiave

I cookie sono piccoli file di testo che un sito chiede al browser di conservare e rispedire a ogni visita, per riconoscere l’utente. Nascono nel 1994 per far funzionare il carrello degli acquisti e restano la base di login, preferenze, statistiche e pubblicità mirata. Si distinguono per durata (di sessione o persistenti), per provenienza (di prima parte o di terze parti) e per finalità (tecnici, analitici, di profilazione): solo l’ultima classificazione decide se serve il consenso. I cookie tecnici si installano senza consenso; quelli di profilazione richiedono un sì esplicito, e chiudere il banner o scorrere la pagina equivale a un rifiuto secondo le Linee guida del Garante del 2021. Il cookie in sé non è pericoloso, ma il cookie di sessione è la tua identità sul sito e va protetto con gli attributi Secure, HttpOnly e SameSite. Nel 2025 Google ha rinunciato a eliminare i cookie di terze parti da Chrome, mentre Safari e Firefox li bloccano già: il futuro è nei dati di prima parte raccolti con consenso valido e dimostrabile. Chi ha un sito deve censire, classificare, bloccare prima del consenso, registrare le scelte e collegarle ai tag.

Domande frequenti su cosa sono i cookie

Cosa sono i cookie in parole semplici?

I cookie sono piccoli file di testo che un sito web salva nel tuo browser per riconoscerti alla visita successiva. Contengono di solito un codice identificativo, non i tuoi dati: il sito lo usa per ritrovare il tuo carrello, tenerti connesso, ricordare la lingua o, nel caso dei cookie di profilazione, collegare la tua navigazione a un profilo pubblicitario. Non sono programmi e non possono eseguire nulla sul dispositivo.

A cosa servono i cookie?

Servono a quattro cose: gestire la sessione (login, carrello, moduli), personalizzare l’esperienza (lingua, preferenze), misurare il traffico (statistiche come Google Analytics) e tracciare l’utente per la pubblicità mirata. Le prime due funzioni sono necessarie al funzionamento del sito e non richiedono consenso; la misurazione lo richiede solo in alcuni casi; il tracciamento pubblicitario lo richiede sempre.

Cosa succede se rifiuto i cookie?

Il sito continua a funzionare normalmente, perché i cookie tecnici vengono installati comunque. Perdi la pubblicità personalizzata, sostituita da annunci generici, e talvolta qualche contenuto di terze parti come i video incorporati. La tua scelta viene ricordata e, secondo le regole italiane, il banner non può essere ripresentato prima di sei mesi, a meno che tu non cancelli i cookie o cambino le condizioni del trattamento.

I cookie sono pericolosi per la privacy o la sicurezza?

Il cookie in sé non è pericoloso: è un file di testo che non può eseguire codice. I rischi sono due. Per la privacy, i cookie di terze parti permettono di seguire la navigazione da un sito all’altro e costruire un profilo. Per la sicurezza, il cookie di sessione rappresenta la tua identità sul sito: se viene rubato, per esempio su una rete Wi-Fi non protetta o tramite un malware, chi lo possiede può accedere al tuo account senza password. Usare il logout e connessioni cifrate riduce il rischio.

Cosa sono i cookie di terze parti?

Sono cookie impostati da un dominio diverso da quello del sito che stai visitando, attraverso contenuti caricati nella pagina come banner pubblicitari, video incorporati o pulsanti social. Poiché la stessa terza parte è presente su molti siti, può leggere il proprio cookie ovunque e ricostruire la tua navigazione. Safari e Firefox li bloccano per impostazione predefinita; Chrome ha deciso nell’aprile 2025 di mantenerli, lasciando all’utente la possibilità di disattivarli nelle impostazioni.

Qual è la differenza tra cookie tecnici e cookie di profilazione?

I cookie tecnici servono a far funzionare il sito o a erogare un servizio richiesto dall’utente, come il carrello o il login, e possono essere installati senza consenso, con la sola informativa. I cookie di profilazione servono a costruire un profilo delle preferenze dell’utente per inviare pubblicità mirata e richiedono un consenso preventivo, esplicito, specifico e revocabile. La distinzione è alla base delle Linee guida del Garante Privacy del 2021.

Come si cancellano i cookie dal browser?

In tutti i browser la funzione si trova nelle impostazioni, nella sezione dedicata a privacy o cookie: da lì puoi eliminare tutti i cookie, quelli di un singolo sito o bloccare i cookie di terze parti. Dopo la cancellazione dovrai rifare il login sui siti a cui eri connesso e i banner di consenso ricompariranno, perché anche la memoria della tua scelta era conservata in un cookie.

Quanto durano i cookie?

Dipende dal tipo. I cookie di sessione vengono eliminati alla chiusura del browser. I cookie persistenti hanno una scadenza fissata dal sito, che può andare da pochi minuti a due anni o più; i browser moderni tendono però a limitare le durate eccessive, e Safari riduce a sette giorni quelli impostati tramite script. Il cookie che memorizza la scelta fatta sul banner dura di norma almeno sei mesi, in linea con le indicazioni del Garante.

Il prossimo passo per il tuo sito

Adesso sai cosa sono i cookie, come funzionano, quali richiedono un consenso e cosa cambia dopo la retromarcia di Google. La distanza tra questa conoscenza e un sito davvero in regola sta in tre operazioni: sapere esattamente quali cookie il tuo sito installa, bloccare quelli non tecnici prima del consenso e conservare la prova delle scelte dei tuoi utenti. Sono operazioni tecniche e normative insieme, e vanno fatte da chi le padroneggia entrambe. Da oltre trent’anni aiuto le piccole e medie imprese italiane a costruire siti che funzionano e che reggono a un controllo, unendo la competenza da ethical hacker certificato a quella di consulente privacy.

Richiedi una consulenza gratuita: racconta come è messo il tuo sito e verifichiamo insieme cookie, banner e consensi.