In questa guida
In breve: i cookie tecnici sono quelli strettamente necessari a far funzionare il sito o a fornire un servizio che il visitatore ha chiesto: la sessione, il login, il carrello, la lingua scelta, la scelta fatta sul banner. Si possono usare senza consenso, ma vanno sempre descritti nell'informativa. Se il sito usa solo cookie tecnici, il banner non serve.
Cosa sono i cookie tecnici
La definizione viene dall'articolo 122 del Codice privacy, che recepisce la direttiva ePrivacy: non serve il consenso per gli strumenti usati al solo fine di trasmettere una comunicazione oppure strettamente necessari a fornire un servizio esplicitamente richiesto dall'utente. Le linee guida del Garante del 10 giugno 2021 chiamano «tecnici» proprio questi cookie.
Il criterio non è chi installa il cookie né la sua durata, ma la finalità: un cookie è tecnico se, senza di lui, il sito non potrebbe fare quello che il visitatore gli sta chiedendo.
Esempi di cookie tecnici
- cookie di sessione e di autenticazione, che tengono il visitatore collegato al suo account;
- cookie del carrello in un e-commerce;
- cookie di sicurezza, come la protezione CSRF dei moduli o la protezione dagli attacchi automatici;
- cookie di bilanciamento del carico, che smistano le richieste tra più server;
- cookie di funzionalità che ricordano una scelta del visitatore, come la lingua o la valuta;
- il cookie che memorizza la scelta fatta sul banner, altrimenti il banner ricomparirebbe a ogni pagina.
Alcuni nomi che si incontrano spesso:
| Cookie | Dove si trova | A cosa serve |
|---|---|---|
PHPSESSID | Siti in PHP | Sessione del visitatore |
wordpress_logged_in_*, wordpress_sec_* | WordPress | Accesso degli utenti registrati |
woocommerce_cart_hash, wp_woocommerce_session_* | WooCommerce | Contenuto del carrello |
PrestaShop-* | PrestaShop | Sessione, carrello e lingua |
laravel_session, XSRF-TOKEN | Laravel | Sessione e protezione dei moduli |
__cf_bm | Cloudflare | Protezione dai bot |
Serve il consenso?
No. I cookie tecnici si installano appena il visitatore apre il sito, senza chiedere nulla. Il consenso non serve nemmeno quando il cookie è impostato da un fornitore esterno, purché lo usi solo per far funzionare il servizio (ad esempio la protezione di un CDN).
I cookie statistici sono un caso a parte: il Garante li equipara ai tecnici solo a condizioni precise (statistiche aggregate, dati meno identificativi, nessun incrocio da parte del fornitore). Lo spieghiamo nella guida su cookie statistici, tecnici e di profilazione.
Cookie tecnici e privacy policy: cosa scrivere
Anche se non serve il consenso, il visitatore va informato (articolo 13 del GDPR e articolo 122 del Codice privacy). Per un sito che usa solo cookie tecnici il Garante lascia scegliere al titolare il modo più adatto, ad esempio inserendo le indicazioni nell'informativa generale del sito, raggiungibile da ogni pagina. Indica almeno:
Cosa indicare per i cookie tecnici
- Che il sito usa solo cookie tecnici, per quali finalità (sessione, carrello, sicurezza, preferenze)
- Il nome dei cookie principali e chi li installa, se c'è un fornitore esterno
- Per quanto tempo restano sul dispositivo (durata)
- Che per questi cookie non serve il consenso, e come il visitatore può comunque cancellarli dal browser
- I riferimenti del titolare e i diritti del visitatore, come nel resto dell'informativa
Con solo cookie tecnici serve il banner?
No. Il banner serve a chiedere il consenso, e per i cookie tecnici il consenso non è richiesto: le linee guida del Garante lo dicono in modo esplicito. Basta l'informativa.
Il problema è esserne sicuri. Molti siti credono di avere solo cookie tecnici, ma un video di YouTube incorporato, una mappa di Google, un font caricato da un server esterno o un plugin di statistiche cambiano le cose. Prima di togliere il banner, controlla cosa parte davvero quando un visitatore apre il sito.
Il tuo sito usa solo cookie tecnici?
La verifica gratuita di Cookie Smart apre la home del sito come un nuovo visitatore e ti dice se partono cookie o servizi di tracciamento prima del consenso.
Come verificare i cookie del sito
-
1
Apri il sito in una finestra anonima
Così il browser non ha cookie salvati e vedi quello che vede un nuovo visitatore. -
2
Controlla i cookie
Negli strumenti per sviluppatori del browser, scheda Applicazione (Chrome) o Archiviazione (Firefox), elenca i cookie impostati senza toccare il banner. -
3
Controlla le richieste esterne
Nella scheda Rete cerca richieste a servizi di terze parti: statistiche, social, video, mappe. -
4
Classifica ogni cookie
Per ognuno chiediti a cosa serve e a chi: se non serve al visitatore per usare il sito, non è tecnico.
Puoi farlo anche in automatico con la verifica cookie gratuita. Se invece il sito usa anche cookie che richiedono il consenso, leggi la guida ai cookie di profilazione e quella sul cookie banner a norma.
Domande frequenti
Cosa sono i cookie tecnici?
Sono i cookie strettamente necessari a far funzionare il sito o a fornire un servizio richiesto dal visitatore: sessione, login, carrello, sicurezza dei moduli, lingua scelta e la scelta fatta sul banner dei cookie.
I cookie tecnici richiedono il consenso?
No. L'articolo 122 del Codice privacy esonera dal consenso gli strumenti strettamente necessari al servizio richiesto dall'utente. Vanno però descritti nell'informativa.
Se uso solo cookie tecnici serve il banner?
No. Il banner serve a raccogliere il consenso, che per i cookie tecnici non è richiesto. Basta indicarli nell'informativa, ad esempio nella privacy policy generale del sito.
Cosa scrivere nella privacy policy per i cookie tecnici?
Che il sito usa solo cookie tecnici e per quali finalità, i nomi dei cookie principali e chi li installa, la loro durata, che non serve il consenso e come il visitatore può comunque cancellarli dal browser.
Google Analytics è un cookie tecnico?
Di norma no. I cookie statistici sono equiparati ai tecnici solo se producono statistiche aggregate, riducono il potere identificativo dei dati e il fornitore non li incrocia con altre informazioni: con Google Analytics, nella pratica, si raccoglie quasi sempre il consenso.
Questa guida ha scopo informativo e non sostituisce una consulenza legale. I riferimenti normativi sono aggiornati alla data indicata in alto.