In questa guida
In breve: i cookie tecnici si possono usare senza consenso; quelli di profilazione e marketing solo dopo il consenso; i cookie statistici stanno nel mezzo: sono equiparati ai tecnici solo se producono statistiche aggregate, riducono il potere identificativo dei dati e non vengono incrociati con altre informazioni. In tutti i casi vanno descritti nell'informativa.
Le tre categorie in una tabella
| Categoria | A cosa servono | Consenso | Esempi |
|---|---|---|---|
| Tecnici | Far funzionare il sito o fornire un servizio richiesto dall'utente | Non serve | Sessione, carrello, login, lingua, scelta sul banner |
| Statistici (analytics) | Misurare le visite e l'uso del sito | Dipende dalle condizioni | Google Analytics, Matomo, Hotjar |
| Profilazione e marketing | Creare profili, mostrare pubblicità mirata, fare remarketing | Sempre | Pixel di Facebook e TikTok, Google Ads, LinkedIn Insight |
Cookie tecnici: quando non serve il consenso
L'articolo 122 del Codice privacy esonera dal consenso gli strumenti strettamente necessari a trasmettere una comunicazione o a fornire un servizio esplicitamente richiesto dall'utente. Sono tecnici, ad esempio:
- i cookie di sessione e di autenticazione, che mantengono l'utente collegato;
- quelli del carrello in un e-commerce;
- i cookie di sicurezza, come la protezione CSRF dei moduli;
- i cookie di funzionalità che ricordano una scelta dell'utente, come la lingua o la valuta;
- il cookie che memorizza proprio la scelta fatta sul banner.
Cookie statistici: le condizioni per usarli senza consenso
Il Garante equipara i cookie statistici a quelli tecnici quando servono solo a produrre statistiche aggregate sul singolo sito. Il fornitore può essere anche esterno, a tre condizioni:
- Le statistiche sono aggregate e riguardano un solo sito o una sola app
- Si riduce il potere identificativo dei dati, ad esempio mascherando una parte significativa dell'indirizzo IP
- Il fornitore non incrocia i dati con altre informazioni e non li usa per scopi propri
- Le condizioni sono indicate nell'informativa
Se anche una sola condizione manca, servono il consenso e il blocco preventivo dello script. Per Google Analytics, nella pratica, si raccoglie quasi sempre il consenso: lo spieghiamo nella guida su Google Analytics 4 e GDPR.
Cookie di profilazione e marketing
Servono a costruire un profilo dell'utente e a mostrargli pubblicità in linea con i suoi interessi, anche su altri siti. Richiedono sempre il consenso preventivo: lo script non deve partire, e non deve nemmeno essere scaricato, prima del sì alla categoria marketing.
Rientrano qui pixel di social network (Meta, TikTok, LinkedIn), tag di remarketing di Google Ads, molti widget di terze parti e i video incorporati che installano cookie di tracciamento. Per i video di YouTube esiste la modalità a privacy avanzata (dominio youtube-nocookie.com), che limita i cookie finché l'utente non avvia il video.
Classifica i cookie del tuo sito in automatico
La scansione di Cookie Smart visita il sito prima e dopo il consenso, riconosce i cookie e ti segnala quelli che partono senza permesso.
Prima parte e terza parte
Un cookie è di prima parte quando lo installa il dominio del sito che stai visitando, di terza parte quando lo installa un altro dominio, come quelli di Google o Meta. La distinzione conta per l'informativa: per le terze parti vanno indicati i fornitori e i link alle loro informative. Non cambia però la regola del consenso, che dipende dallo scopo del cookie e non da chi lo installa.
Come classificare i cookie del tuo sito
-
1
Fai l'elenco
Apri il sito in una finestra anonima, guarda i cookie dagli strumenti per sviluppatori del browser (scheda Applicazione o Archiviazione) e annota nome, dominio e durata. Ripeti dopo aver accettato il banner. -
2
Assegna lo scopo
Per ogni cookie individua il servizio che lo installa e a cosa serve. In caso di dubbio considera il cookie non tecnico. -
3
Blocca quello che richiede il consenso
Gli script di statistica e marketing vanno caricati solo dopo il consenso alla rispettiva categoria. -
4
Ripeti periodicamente
Nuovi plugin, temi o campagne aggiungono cookie: una scansione ogni volta che il sito cambia evita sorprese.
Domande frequenti
I cookie tecnici richiedono il consenso?
No. I cookie strettamente necessari al funzionamento del sito o richiesti dall'utente (sessione, carrello, lingua, scelta sul banner) non richiedono consenso, ma vanno indicati nell'informativa.
I cookie di Google Analytics sono tecnici?
Gli analytics sono assimilabili ai tecnici solo a condizioni precise: statistiche aggregate, riduzione del potere identificativo (ad esempio mascheramento dell'IP) e nessun incrocio dei dati da parte del fornitore. Nella pratica, per Google Analytics si raccoglie quasi sempre il consenso.
Il pixel di Facebook è un cookie di profilazione?
Sì: serve a misurare e personalizzare la pubblicità, quindi va attivato solo dopo il consenso alla categoria marketing.
Le regole valgono solo per i cookie?
No. Le linee guida riguardano anche gli altri strumenti di tracciamento, come pixel, fingerprinting e local storage, quando accedono a informazioni sul dispositivo dell'utente.
Questa guida ha scopo informativo e non sostituisce una consulenza legale. I riferimenti normativi sono aggiornati alla data indicata in alto.