In questa guida
In breve: in Italia un cookie banner è a norma quando, prima di qualsiasi scelta del visitatore, il sito non installa cookie diversi da quelli tecnici, e il banner offre una X per chiudere che equivale al rifiuto, un pulsante per accettare tutto e l'accesso alle scelte per categoria. Sono le regole delle Linee guida cookie e altri strumenti di tracciamento del Garante privacy del 10 giugno 2021, in vigore dal 10 gennaio 2022.
Da dove vengono le regole
Le norme di riferimento sono due. L'articolo 122 del Codice privacy (d.lgs. 196/2003), che recepisce la direttiva ePrivacy, stabilisce che memorizzare informazioni sul dispositivo dell'utente, o leggerle, è permesso solo con il suo consenso, salvo quando serve a fornire il servizio richiesto. Il GDPR (Regolamento UE 2016/679) definisce invece com'è fatto un consenso valido: libero, specifico, informato e inequivocabile (articolo 4, punto 11, e articolo 7).
Il Garante ha tradotto queste regole in indicazioni pratiche con il provvedimento n. 231 del 10 giugno 2021, pubblicato in Gazzetta Ufficiale il 9 luglio 2021. I siti hanno avuto sei mesi per adeguarsi: dal 10 gennaio 2022 le linee guida si applicano a tutti.
Cosa deve contenere il banner
Il banner compare al primo accesso e deve essere abbastanza grande da essere notato, ma senza impedire la lettura della pagina in modo sproporzionato. Secondo il Garante deve contenere:
Gli elementi del banner
- Un'informativa breve: quali cookie usa il sito e per quali scopi
- Il link all'informativa estesa (la cookie policy)
- Un comando di chiusura, la X, che mantiene solo i cookie tecnici
- Un pulsante per accettare tutti i cookie
- Il link a un'area dove scegliere per categoria o per fornitore
- Nessuna casella già spuntata nelle scelte di dettaglio
Le categorie non necessarie devono partire disattivate: un consenso dato con caselle pre-selezionate non è valido, come ha chiarito anche la Corte di giustizia dell'Unione europea nella sentenza Planet49 del 2019.
La X, il pulsante «Rifiuta» e la parità tra le scelte
Per il Garante chiudere il banner con la X significa rifiutare: il sito deve continuare a usare solo i cookie tecnici. Le linee guida non impongono un pulsante «Rifiuta» con quel nome, ma la tendenza delle autorità europee va chiaramente in quella direzione. Nel report della Cookie Banner Taskforce del Comitato europeo per la protezione dei dati (EDPB), pubblicato a gennaio 2023, la maggioranza delle autorità considera una violazione l'assenza di un'opzione per rifiutare al primo livello del banner. Considera scorretti anche colori o contrasti che rendono il rifiuto meno visibile dell'accettazione.
Cosa non si può fare
- Scroll come consenso: continuare a scorrere la pagina non è, da solo, un consenso valido.
- Cookie wall: bloccare l'accesso al sito finché l'utente non accetta è illecito, salvo che si offra un accesso equivalente senza consenso, da valutare caso per caso.
- Cookie installati prima della scelta: gli script di statistica e marketing non devono partire finché il visitatore non li accetta. È l'errore più frequente: il banner c'è, ma Google Analytics o il pixel di Facebook si attivano lo stesso.
- Riproporre il banner a ogni visita: insistere fino a ottenere un sì non è un consenso libero.
Quando riproporre il banner
La scelta del visitatore va ricordata con un cookie tecnico, e il banner non va riproposto prima di 6 mesi. Fanno eccezione tre casi:
- cambiano in modo significativo le condizioni del trattamento, per esempio si aggiunge un nuovo servizio di terze parti;
- non è possibile sapere se la scelta sia ancora memorizzata, per esempio perché il visitatore ha cancellato i cookie;
- il visitatore chiede di modificare le preferenze, cosa che deve poter fare in ogni momento, ad esempio con un link «Preferenze cookie» nel footer.
Metti in regola il tuo sito in 5 minuti
Banner conforme al Garante, blocco preventivo degli script e registro dei consensi. 14 giorni gratis, senza carta.
Informativa e prova del consenso
Accanto al banner serve un'informativa estesa: quali cookie usa il sito, a cosa servono, per quanto restano sul dispositivo e chi sono le terze parti. Il titolare del sito deve anche poter dimostrare il consenso ricevuto (articolo 7 del GDPR): per questo conviene registrare ogni scelta. Lo spieghiamo nella guida al registro dei consensi.
Cosa si rischia
Le violazioni dell'articolo 122 del Codice privacy sono punite con le sanzioni amministrative previste dall'articolo 83 del GDPR, che arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Il Garante può anche ordinare di adeguare il sito e di cancellare i dati raccolti senza consenso.
Checklist per il tuo sito
-
1
Fai l'inventario dei cookie
Scopri quali cookie e servizi usa davvero il sito, anche quelli caricati da plugin e temi. Una classificazione corretta è il punto di partenza. -
2
Blocca gli script prima del consenso
Statistiche e marketing devono partire solo dopo il sì del visitatore, categoria per categoria. -
3
Imposta il banner
X per chiudere, «Accetta tutti» e «Rifiuta» con pari evidenza, scelte per categoria tutte spente all'inizio. -
4
Aggiorna l'informativa
Cookie policy completa e linkata dal banner, con l'elenco dei cookie e delle terze parti. -
5
Registra le scelte
Conserva la prova di ogni consenso e lascia al visitatore un link per cambiare idea.
Domande frequenti
Il cookie banner è obbligatorio?
Serve quando il sito usa cookie o altri strumenti di tracciamento che richiedono il consenso, come quelli di profilazione o di statistica di terze parti non anonimizzati. Se il sito usa solo cookie tecnici il banner non è necessario, ma l'informativa sì.
Chiudere il banner con la X vale come rifiuto?
Sì. Secondo le linee guida del Garante del 10 giugno 2021 il banner deve avere un comando di chiusura (la X) che mantiene le impostazioni predefinite, cioè nessun cookie diverso da quelli tecnici.
Lo scroll della pagina vale come consenso?
No. Il Garante esclude che il semplice scorrimento della pagina sia di per sé un consenso valido.
Ogni quanto si può riproporre il banner?
Non prima di 6 mesi dalla scelta, salvo che cambino in modo significativo le condizioni del trattamento (ad esempio nuove terze parti) o che non sia possibile sapere se il cookie con la scelta sia ancora memorizzato.
Il cookie wall è vietato?
Il Garante lo considera illecito, salvo che il sito offra all'utente, senza il consenso, l'accesso a un contenuto o servizio equivalente: una situazione da valutare caso per caso.
Questa guida ha scopo informativo e non sostituisce una consulenza legale. I riferimenti normativi sono aggiornati alla data indicata in alto.