Cookie banner obbligatorio: guida pratica per l'Italia

Il cookie banner è obbligatorio solo se il tuo sito usa cookie di profilazione o altri strumenti di tracciamento non tecnici — come pixel pubblicitari, tracker social o analytics non anonimizzati. Se usi esclusivamente cookie tecnici, il banner non serve: basta inserire l’informativa nella privacy policy. Questa distinzione, chiarita dal Garante per la protezione dei dati personali, è il punto di partenza per capire cosa fare sul tuo sito.

Tre azioni immediate da fare adesso:

• Scansiona i cookie del tuo sito con uno strumento apposito per capire quali categorie sono presenti.
• Blocca preventivamente tutti gli script non essenziali finché l’utente non dà il consenso.
• Aggiorna l’informativa estesa con l’elenco delle terze parti e i link alle loro policy.

Se non sai da dove partire, continua a leggere: trovi tutto quello che ti serve, dalla normativa alla checklist operativa.

Indice

• Quando il cookie banner è obbligatorio in Italia
• Quali tipi di cookie esistono e come riconoscerli
• Cosa deve contenere un banner conforme alle linee guida del Garante
• Come bloccare i cookie prima del consenso: opzioni tecniche
• Come conservare la prova del consenso
• Sanzioni e rischi concreti per il titolare del sito
• Checklist operativa e testi di esempio per l’Italia
• Punti chiave
• Adeguamento cookie: cosa penso davvero
• Polimo include già il cookie banner per il tuo sito
• Fonti utili e riferimenti normativi

Quando il cookie banner è obbligatorio in Italia

La disciplina italiana sui cookie nasce dall’intreccio tra tre fonti normative: il Regolamento europeo GDPR (Reg. UE 2016/679), la Direttiva ePrivacy (2002/58/CE, recepita nel Codice della Privacy italiano) e le linee guida del Garante per la protezione dei dati personali, che traducono queste norme in regole operative concrete per i siti italiani.

Il principio cardine è semplice: il consenso preventivo è richiesto ogni volta che un cookie o uno strumento di tracciamento va oltre la funzione tecnica strettamente necessaria. Il Garante indica che il consenso è obbligatorio per cookie di profilazione e per qualsiasi strumento di tracciamento non strettamente tecnico, mentre per i soli cookie tecnici è sufficiente l’informativa.

Quando scatta l’obbligo del banner:

• Usi pixel pubblicitari (es. pixel di retargeting per campagne advertising).
• Hai analytics non anonimizzati, come Google Analytics 4 configurato senza le impostazioni di anonimizzazione o senza il consenso preventivo.
• Integri tracker social (pulsanti di condivisione, widget di terze parti che leggono il comportamento dell’utente).
• Utilizzi SDK o tag di advertising che raccolgono dati per finalità di profilazione.

Quando il banner non è obbligatorio:

• Il sito usa solo cookie di sessione per il funzionamento tecnico (es. carrello e-commerce, autenticazione).
• Non ci sono script di terze parti che raccolgono dati per finalità diverse da quelle tecniche.

In questi casi, l’informativa resta obbligatoria, ma non serve chiedere il consenso con un banner.

Un consiglio: Non fidarti della configurazione “di default” di plugin o CMS. Molti installano automaticamente script di analytics o social che attivano l’obbligo del banner senza che tu te ne accorga. Fai sempre una scansione prima di decidere.

Quali tipi di cookie esistono e come riconoscerli

Capire la classificazione dei cookie è il primo passo per sapere cosa fare sul tuo sito. Non tutti i cookie sono uguali, e la categoria determina se serve il consenso o no.

Classificazione per origine:

• Cookie di prima parte: impostati direttamente dal tuo dominio. Spesso tecnici (sessione, preferenze di lingua).
• Cookie di terze parti: impostati da domini esterni al tuo sito. Quasi sempre richiedono il consenso, perché raccolgono dati per finalità proprie del terzo. Il titolare del sito rimane responsabile di informare l’utente e di linkare le informative delle terze parti nell’informativa estesa.

Classificazione per finalità:

• Tecnici: necessari al funzionamento del sito (login, carrello, sicurezza). Non richiedono consenso.
• Analytics: misurano il traffico e il comportamento degli utenti. Se configurati con anonimizzazione completa e senza condivisione con terze parti, il Garante li considera assimilabili ai tecnici. Altrimenti, richiedono consenso.
• Funzionali/preferenze: ricordano scelte dell’utente (lingua, valuta). In genere non richiedono consenso se non profilano.
• Profilazione e marketing: tracciano il comportamento per mostrare pubblicità mirata. Richiedono sempre consenso esplicito.

Esempi pratici che trovi spesso sui siti italiani:

• Un pixel pubblicitario di una piattaforma di advertising attiva il tracciamento non appena la pagina si carica, anche senza che l’utente abbia fatto nulla.
• Un widget social integrato nella pagina può inviare dati al social network di riferimento al semplice caricamento della pagina.
• Google Analytics 4 senza Consent Mode v2 attivo raccoglie dati prima del consenso.

Un consiglio: Apri il tuo sito in una finestra in incognito e usa gli strumenti per sviluppatori del browser (scheda “Applicazione” > “Cookie”) per vedere quali cookie vengono impostati prima di qualsiasi interazione. Quelli presenti subito sono quasi sempre un problema.

Per l’inventario delle terze parti, le linee guida del Garante richiedono che l’elenco sia aggiornato e accessibile dall’informativa estesa.

Cosa deve contenere un banner conforme alle linee guida del Garante

Il Garante raccomanda un sistema a due livelli (multilayer): un banner breve alla prima visita, con link a un’informativa estesa dove l’utente può fare scelte granulari. Questo schema è descritto nelle linee guida ufficiali e va rispettato per essere in regola.

Elementi obbligatori nel banner:

• Informativa breve: una frase che spiega che il sito usa cookie tecnici e, previo consenso, cookie di profilazione o altri strumenti di tracciamento, con indicazione delle finalità.
• Link all’informativa estesa (privacy/cookie policy completa).
• Pulsante “Accetta tutti”: per dare il consenso a tutte le categorie.
• Pulsante “Rifiuta” o comando di chiusura (X): la chiusura del banner tramite la X mantiene le impostazioni di default, impedendo l’installazione di qualsiasi cookie non tecnico.
• Link o pulsante “Personalizza”: per accedere alla scelta analitica per categoria.
• Icona persistente nel footer: per richiamare e modificare le preferenze in qualsiasi momento, su ogni pagina del sito.

Regole che non puoi ignorare:

• Nessun cookie non essenziale deve essere attivato prima del consenso.
• Nessuna casella pre-selezionata: il consenso deve essere un’azione positiva e inequivocabile. Il Garante è esplicito: scrolling, inattività o semplice navigazione non costituiscono consenso valido.
• Pulsante “Accetta” e pulsante “Rifiuta” devono avere la stessa evidenza grafica. Non puoi rendere il rifiuto difficile da trovare.
• Nessun “cookie wall”: non puoi bloccare l’accesso al sito a chi rifiuta i cookie non essenziali.

Esempio di testo per il banner:

Dos and don’ts:

Come bloccare i cookie prima del consenso: opzioni tecniche

Il blocco preventivo degli script non essenziali è un requisito tecnico, non solo una buona pratica. Finché l’utente non ha espresso il consenso, nessuno script di profilazione o analytics non anonimizzato deve essere eseguito. Ecco le opzioni concrete.

Approcci tecnici principali:

• Script gating con type="text/plain": cambia il tipo degli script da text/javascript a text/plain per impedirne l’esecuzione. Al consenso, uno script di gestione li riattiva dinamicamente.
• Data-attributes: aggiungi attributi personalizzati agli script (es. data-category="analytics") e usa una libreria di gestione del consenso per attivarli selettivamente.
• Caricamento condizionato via callback: la funzione di callback della CMP attiva gli script solo dopo che l’utente ha scelto le categorie.
• Soluzioni server-side: gli script vengono iniettati nel DOM solo dopo la verifica del consenso lato server. Più complesso, ma più affidabile per siti ad alto traffico.

Tipologie di strumenti disponibili:

• Plugin per CMS (es. per WordPress): gestiscono il blocco degli script e la visualizzazione del banner tramite interfaccia grafica, senza scrivere codice.
• Tag manager con layer di consenso: Google Tag Manager supporta Consent Mode v2, che permette di condizionare il firing dei tag al consenso dell’utente per categoria.
• Snippet personalizzati: per chi ha un sito custom, librerie open source come neiki-cookie-banner implementano il blocco automatico degli script fino al consenso con controllo granulare per categorie.
• CMP commerciali o open source: soluzioni complete che gestiscono banner, registro del consenso, versioning della configurazione e integrazione con terze parti.

Passi pratici per implementare il blocco:

1. Inventaria tutti gli script presenti nel sito (analytics, pixel, widget social, tag advertising).
2. Categorizza ogni script in base alla finalità (tecnico, analytics, profilazione/marketing).
3. Applica il blocco preventivo a tutti gli script non tecnici con uno dei metodi sopra.
4. Configura il banner per attivare gli script solo dopo il consenso per la categoria corrispondente.
5. Testa il risultato con uno scanner di cookie: apri il sito in incognito e verifica che nessun cookie non tecnico venga impostato prima dell’interazione con il banner.

Il registro dei consensi con UUID e timestamp è una buona pratica tecnica che molte librerie open source già implementano, utile anche per la prova del consenso richiesta dal GDPR.

Ricorda: le linee guida richiedono un’icona persistente nel footer che permetta all’utente di riaprire le preferenze e modificare il consenso in qualsiasi momento.

Come conservare la prova del consenso

Il GDPR impone al titolare del sito di poter dimostrare che il consenso è stato raccolto correttamente (principio di responsabilizzazione, art. 7 GDPR). Questo significa conservare un registro strutturato, bilanciando la necessità di prova con il principio di minimizzazione dei dati.

Cosa conservare per ogni consenso:

• UUID (identificatore tecnico anonimo, non il nome o l’email dell’utente).
• Timestamp preciso dell’azione.
• Versione della configurazione del banner al momento del consenso.
• Categorie scelte (accettate, rifiutate, personalizzate).
• URL della pagina su cui è avvenuto il consenso.
• User agent del browser (opzionale ma utile per verifiche tecniche).

Non conservare dati personali non indispensabili: l’obiettivo è dimostrare il consenso, non profilare ulteriormente l’utente. La conservazione del consenso deve bilanciare dimostrazione e minimizzazione.

Quando riproporre il banner:

Le linee guida del Garante indicano tre condizioni che giustificano la ripresentazione del banner:

• Cambiano significativamente le condizioni del trattamento (es. aggiungi nuove terze parti o nuove finalità).
• Il sito non è in grado di sapere se un cookie è già stato memorizzato nel dispositivo dell’utente.
• Sono trascorsi almeno 6 mesi dalla precedente presentazione del banner.

Formato e modalità di conservazione:

• Storage lato client (localStorage o cookie di consenso): soluzione semplice per siti piccoli.
• Registro centralizzato lato server (webhook o database): consigliato per siti con traffico elevato o soggetti a verifiche frequenti.
• Versioning della configurazione: ogni modifica significativa al banner deve generare una nuova versione, così da poter riproporre il consenso agli utenti che avevano già scelto con la versione precedente.

Sanzioni e rischi concreti per il titolare del sito

Non adeguarsi non è solo un rischio teorico. Il Garante per la protezione dei dati personali ha poteri di intervento concreti e li usa.

Tipi di provvedimenti che il Garante può adottare:

• Avviso e richiesta di adeguamento: il Garante segnala la non conformità e fissa un termine per rimediare.
• Ordine di adeguamento: misura più formale, con obbligo di intervento entro un termine preciso.
• Sanzione pecuniaria: le sanzioni per violazioni del GDPR possono arrivare fino al 4% del fatturato annuo globale dell’organizzazione, secondo quanto previsto dal Regolamento europeo.

Errori frequenti che causano interventi:

• Cookie di analytics o pixel pubblicitari attivi al caricamento della pagina, prima di qualsiasi interazione con il banner.
• Informativa estesa non aggiornata: mancano terze parti aggiunte di recente o i link alle loro policy sono scaduti.
• Assenza di blocco tecnico per script di terze parti: il banner c’è, ma gli script partono comunque.
• Pulsante “Rifiuta” assente o nascosto, oppure pre-selezione di categorie non tecniche.
• Considerare la chiusura della X come consenso: il Garante è molto chiaro su questo punto. La X non è consenso e le impostazioni di default devono bloccare la profilazione.

Scenari pratici da evitare:

Un sito e-commerce che integra un pixel pubblicitario per il retargeting senza banner conforme espone il titolare a una segnalazione da parte di qualsiasi utente che si accorge del tracciamento. Un blog con Google Analytics non anonimizzato e senza banner è in una situazione analoga. In entrambi i casi, il rischio non è solo la sanzione economica: c’è anche la perdita di fiducia degli utenti e il danno reputazionale.

Checklist operativa e testi di esempio per l’Italia

Ecco una guida passo-passo per adeguare il tuo sito, con modelli di testo pronti da adattare.

Checklist step-by-step

1. Analisi cookie: scansiona il sito con uno strumento dedicato e annota tutti i cookie e script presenti, con dominio di origine e finalità.
2. Categorizzazione: classifica ogni cookie/script in tecnico, analytics, funzionale o profilazione/marketing.
3. Blocco preventivo: applica il blocco a tutti gli script non tecnici (script gating, plugin CMS, tag manager con Consent Mode v2).
4. Implementazione banner: configura il banner con tutti gli elementi obbligatori (vedi sezione precedente), inclusa l’icona nel footer.
5. Informativa estesa: aggiorna la cookie policy con l’elenco completo delle terze parti e i link alle loro informative.
6. Registro del consenso: attiva il salvataggio di UUID, timestamp, versione config e categorie scelte.
7. Test finale: apri il sito in incognito, verifica che nessun cookie non tecnico sia presente prima del consenso, poi accetta e verifica che gli script si attivino correttamente.
8. Monitoraggio periodico: ripeti la scansione ogni volta che aggiungi nuove integrazioni o terze parti.

Modelli di testo per il banner

Testo breve (banner):

Testo per il pulsante di chiusura (X):

Testo per l’informativa estesa (estratto):

Timeline orientativa delle attività

• Giorno 1–2: scansione cookie e categorizzazione (attività tecnica).
• Giorno 3–4: blocco preventivo degli script e configurazione del banner (sviluppatore).
• Giorno 5: aggiornamento informativa estesa e verifica testi (consulente privacy o titolare).
• Giorno 6–7: test, correzioni e attivazione del registro del consenso.

Per siti semplici senza molte integrazioni, l’intero processo può richiedere anche meno di una settimana. La parte più lunga è spesso l’inventario delle terze parti, soprattutto se il sito è cresciuto nel tempo senza una gestione sistematica degli script.

Punti chiave

Il cookie banner è obbligatorio in Italia ogni volta che il sito usa cookie di profilazione o strumenti di tracciamento non tecnici, e la conformità richiede blocco preventivo degli script, consenso attivo, registro del consenso e informativa aggiornata.

Adeguamento cookie: cosa penso davvero

La maggior parte dei siti italiani ha un problema che non è la mancanza del banner, ma la qualità di quello che hanno. Un banner che carica gli script prima del consenso, o che nasconde il pulsante Rifiuta in un angolo quasi invisibile, non è conformità: è un rischio mascherato da adeguamento.

Il punto che trovo spesso sottovalutato è il versioning della configurazione. Ogni volta che aggiungi una nuova integrazione, un pixel, un widget, stai cambiando le condizioni del trattamento. Se non aggiorni la versione del banner e non riproponi il consenso agli utenti esistenti, tutto il lavoro fatto in precedenza perde valore probatorio. Non è un dettaglio tecnico secondario: è esattamente il tipo di lacuna che emerge in caso di verifica.

Un altro errore che vedo spesso: delegare tutto allo sviluppatore senza coinvolgere chi conosce le finalità del trattamento. Il tecnico può bloccare gli script, ma solo chi gestisce il sito sa davvero perché usa quel pixel o quell’analytics. La conformità funziona quando tecnico e titolare lavorano insieme, anche solo per un’ora.

Polimo include già il cookie banner per il tuo sito

Adeguare un sito alla normativa cookie richiede tempo, attenzione tecnica e aggiornamenti periodici. Se stai costruendo un nuovo sito o vuoi ripartire da zero senza gestire tutto questo manualmente, Polimo ti offre un percorso più diretto.

Con Polimo, il cookie banner e la policy GDPR sono già integrati nella piattaforma: non devi configurare plugin, scrivere testi legali da zero o preoccuparti di aggiornare le informative ogni volta che cambia qualcosa. Il sito viene creato dall’AI in pochi minuti, con struttura, testi e impostazioni di base già conformi. Se hai domande specifiche sulla tua situazione, Enrico è disponibile direttamente per risponderti.

Per i titolari di sito che vogliono essere online in modo professionale e in regola, senza diventare esperti di GDPR, crea il tuo sito su Polimo e parti già con le basi a posto.

Fonti utili e riferimenti normativi

Le fonti elencate qui sono quelle citate nell’articolo. Consultale direttamente per verifiche, approfondimenti e testi ufficiali aggiornati.

Questo articolo ha finalità informative generali e non sostituisce una consulenza legale o privacy personalizzata. Per la tua situazione specifica, verifica le regole aggiornate con il Garante o un professionista qualificato.

Raccomandati

• Polimo — Il tuo sito web professionale, creato dall’AI