Le Linee guida cookie del Garante (2021), insieme alla Direttiva ePrivacy, regolano l’uso di cookie e strumenti di tracciamento sui siti.
Regola di base
Nessun cookie o tracker non tecnico può essere installato prima del consenso dell’utente. I cookie puramente tecnici (necessari al funzionamento) non richiedono consenso.
Regole del banner
-
Pari evidenza tra “Accetta tutti” e “Rifiuta tutti” (niente dark pattern).
-
Granularità per categoria: necessari / preferenze / statistici / marketing.
-
Lo scroll non è consenso.
-
Revoca del consenso sempre disponibile.
-
Il banner non va riproposto a ogni visita dopo un rifiuto: il Garante indica un intervallo di almeno 6 mesi.
I casi che sfuggono
Non servono cookie in senso stretto per far scattare l’obbligo. Un font caricato da un CDN, una mappa incorporata, un video di terze parti trasmettono l’indirizzo IP dell’utente a un soggetto terzo già al caricamento della pagina.
Sono trattamenti che richiedono una base giuridica, e nella maggior parte dei casi il consenso preventivo.
La parte che quasi tutti sbagliano
Installare il banner è facile. Quello che conta è il blocco preventivo: nessuno script di terze parti deve partire prima del consenso.
Un CMP configurato male mostra il banner ma continua a caricare gli script. È il caso più frequente di non conformità, ed è invisibile a chi non controlla il traffico di rete. La verifica si fa in sessione pulita, guardando la scheda Rete degli strumenti per sviluppatori.
Approfondimenti: cookie banner e tracciamento e integrazioni e CMP.
Sanzioni
L’uso di cookie senza un valido consenso è un trattamento illecito di dati personali, sanzionabile ai sensi del GDPR. Il Garante è intervenuto più volte su siti che caricavano Google Analytics prima del consenso.