Banner cookie a norma:
perché non basta se i tracciamenti partono prima

Quasi tutti i siti aziendali oggi hanno un banner dei cookie. Molti però non sono in regola lo stesso, per un motivo che non si vede a occhio nudo: gli strumenti di tracciamento partono appena si apre la pagina, prima che il visitatore abbia cliccato su "Accetta".

In questo articolo vediamo cosa chiede davvero il Garante Privacy, come controllare in due minuti se il tuo sito traccia i visitatori senza consenso e come sistemarlo. Se il tuo sito è su WordPress, trovi anche un plugin gratuito che abbiamo sviluppato proprio per questo.

Cosa dice il Garante sui cookie

Le regole di riferimento in Italia sono le Linee guida cookie e altri strumenti di tracciamento del Garante Privacy, del 10 giugno 2021, in vigore dal gennaio 2022. I punti principali:

• Nessun cookie non tecnico al primo accesso. Strumenti di profilazione e marketing possono partire solo dopo il consenso.
• Il consenso è un'azione positiva. Le caselle non possono essere pre-spuntate e chiudere il banner con la X equivale a rifiutare.
• Scorrere la pagina non è consenso. Il vecchio "proseguendo la navigazione accetti i cookie" non è più valido.
• Niente "cookie wall": obbligare ad accettare per vedere il sito è in genere illecito.
• Il banner non va riproposto a chi ha già scelto, salvo cambiamenti importanti o dopo almeno 6 mesi.
• Gli analytics possono essere trattati come cookie tecnici solo a condizioni precise, ad esempio con l'indirizzo IP mascherato e senza che il fornitore possa incrociare i dati con altri.

Il problema che nessuno vede: tracciamenti prima del consenso

Ecco cosa succede su molti siti. Il banner compare, il visitatore non ha ancora deciso nulla, ma nel frattempo il codice di Google Analytics, del Pixel di Facebook o di Hotjar è già partito. Ha già registrato la visita e già inviato dati a server esterni.

Il banner c'è, ma è solo "di facciata". Le cause più comuni:

• il codice di tracciamento è stato inserito a mano nel tema o con un plugin generico, senza collegarlo al banner;
• il banner è stato installato ma non configurato per bloccare gli script;
• video di YouTube e mappe di Google Maps incorporati nelle pagine, che installano cookie di terze parti appena la pagina si carica;
• Google Tag Manager che attiva tutti i tag senza tenere conto della scelta dell'utente.

Come verificare il tuo sito in 2 minuti

Il modo più semplice

Fai il check gratuito del tuo sito: controlliamo se strumenti come Google Analytics, Meta Pixel, Hotjar, Clarity o TikTok partono prima del consenso, se ci sono video e mappe caricati senza blocco preventivo e se il sito ha l'informativa e il banner.

Il controllo fai-da-te con Chrome

1. Apri una finestra in incognito e vai sul tuo sito. Non cliccare sul banner.
2. Premi F12 (o tasto destro → Ispeziona) e apri la scheda Network (Rete).
3. Ricarica la pagina e scrivi nel filtro google-analytics, poi facebook, poi collect.
4. Se compaiono richieste prima che tu abbia accettato, il sito traccia senza consenso.

Come mettersi in regola

1. Usa una piattaforma di gestione del consenso seria (CMP): iubenda, Cookiebot, Complianz e simili. Sono costruite per seguire le regole europee e si aggiornano quando cambiano. Se il sito è su WordPress puoi usare anche il nostro Plugin Cookie GDPR per WordPress, gratuito e pensato per le Linee guida del Garante.
2. Attiva il blocco preventivo (spesso si chiama "autoblocking" o "blocco automatico"): la piattaforma ferma gli script finché il visitatore non accetta. Nel nostro plugin è attivo di serie per Google Analytics, Meta Pixel, Hotjar, YouTube, Google Maps e gli altri servizi più diffusi.
3. Collega Google Analytics e Google Ads al Consent Mode v2. Dal marzo 2024 Google lo richiede per chi usa le sue funzioni pubblicitarie e di misurazione con utenti europei, e permette di raccogliere dati solo nella misura consentita dal visitatore.
4. Blocca anche video e mappe: la CMP mostra un'anteprima con un pulsante "Attiva contenuto", oppure usa la modalità privacy avanzata di YouTube (indirizzi youtube-nocookie.com).
5. Rifai il test in incognito: prima del consenso non deve partire nessun tracciamento.
6. Aggiorna la cookie policy con l'elenco degli strumenti usati e tienila collegata nel footer, insieme alla privacy policy. Lo scanner del plugin ti aiuta a trovare i cookie installati dal sito, da riportare nella policy.

Un plugin gratuito per WordPress

Per i siti WordPress abbiamo sviluppato Nexta Cookie Consent, lo stesso che usiamo su nextastudio.it. Nella versione gratuita:

• mostra un banner con Accetta e Rifiuta equivalenti, dove la X vale come rifiuto;
• blocca gli strumenti di tracciamento, i video e le mappe finché il visitatore non sceglie;
• permette il consenso per categorie (preferenze, statistiche, marketing) e la revoca in ogni momento;
• registra le scelte dei visitatori, per poter dimostrare il consenso;
• è già pronto per Google Consent Mode v2 e include uno scanner dei cookie.

Lo scarichi gratis dalla pagina del plugin: lasci nome ed email e ti mandiamo il link. Per siti più grandi o per chi deve conservare a lungo il registro dei consensi c'è la versione Premium, a pagamento unico.

Cosa rischi se non lo fai

Le violazioni sui cookie rientrano nel GDPR e nel Codice privacy: le sanzioni sono proporzionate alla gravità e alle dimensioni dell'azienda, e nei casi più gravi il GDPR prevede fino a 20 milioni di euro o il 4% del fatturato annuo. Per una piccola attività il rischio più concreto è una segnalazione, magari di un concorrente o di un cliente scontento, seguita da un'istruttoria del Garante. E sistemare dopo costa sempre più che fare bene subito.

Domande frequenti

Se uso solo Google Analytics, mi serve il banner?

Di norma sì. Google Analytics può essere equiparato a un cookie tecnico solo rispettando condizioni precise indicate dal Garante, difficili da garantire con la configurazione standard. Nella pratica serve il consenso.

Il banner gratuito del mio tema è sufficiente?

Dipende da cosa fa. Se mostra solo un avviso con "OK" e non blocca nessuno script, non è a norma. Il banner deve permettere di accettare, rifiutare e scegliere, e deve davvero fermare i tracciamenti finché l'utente non sceglie. Se cerchi un'alternativa gratuita per WordPress, prova il nostro Plugin Cookie GDPR.

Il pulsante "Rifiuta" deve essere visibile come "Accetta"?

Il Garante chiede che il comando per chiudere senza accettare (la X) sia ben visibile. Molte autorità europee considerano scorretto anche un "Rifiuta" nascosto o meno evidente di "Accetta": meglio dare ai due pulsanti la stessa evidenza.

Devo rifare tutto se cambio strumenti di marketing?

Ogni volta che aggiungi uno strumento (un nuovo pixel, una chat, un widget) va inserito nella CMP e nella cookie policy, e il banner va riproposto se cambia in modo significativo quello che fai con i dati.

Basta installare un plugin per essere in regola?

No. Il plugin è lo strumento tecnico che mostra il banner e blocca i tracciamenti, ma va configurato con gli strumenti che usi davvero. Privacy policy e cookie policy devono descrivere correttamente i trattamenti del tuo sito.

Scopri se il tuo sito traccia senza consenso

Il check gratuito di Nexta Studio ti dice in pochi secondi se il tuo sito attiva strumenti di tracciamento prima del consenso, insieme a sicurezza, velocità e altri obblighi di legge. Se hai WordPress puoi partire dal nostro plugin cookie gratuito. Se invece vuoi metterti in regola senza perdere i dati delle tue campagne, configuriamo noi banner, Consent Mode e blocco preventivo: chiamaci al 351 358 7973.

Questo articolo ha scopo informativo e non sostituisce una consulenza legale.