Cookie e consenso: cosa richiede la normativa e gli errori più frequenti nei siti web

Il banner dei cookie è probabilmente l’elemento legale più visibile di un sito… e uno dei peggio applicati. Dietro ci sono due normative che si combinano: l’articolo 22.2 della legge spagnola 34/2002 (LSSI-CE), che disciplina l’uso di cookie e tecnologie simili (in Italia, l’art. 122 del Codice privacy e le linee guida del Garante), e il Regolamento (UE) 2016/679 (GDPR), che definisce come deve essere un consenso valido.

Cosa si considera “cookie” a livello giuridico

La norma non si limita ai cookie classici: riguarda qualsiasi dispositivo che memorizzi o recuperi informazioni sull’apparecchiatura dell’utente, come il local storage, i pixel di tracciamento, gli identificatori del dispositivo o le impronte digitali del browser. Se il tuo sito salva o legge qualcosa sul terminale del visitatore, occorre verificare se serve il consenso.

Quali cookie richiedono il consenso e quali no

• Esenti (strettamente necessari): quelli che servono alla trasmissione di una comunicazione o che sono indispensabili per fornire un servizio richiesto espressamente dall’utente: sessione, autenticazione, sicurezza, carrello, bilanciamento del carico o memorizzazione della scelta della lingua durante la sessione.
• Con consenso preventivo: analisi statistiche, personalizzazione non essenziale, pubblicità comportamentale, social network e video incorporati che installano cookie di terze parti.

L’esenzione si interpreta in modo restrittivo: che un cookie sia utile a te non lo rende necessario per l’utente. E gli strumenti di analisi di terzi richiedono di norma il consenso.

Come deve essere un consenso valido

Il GDPR richiede una manifestazione di volontà libera, specifica, informata e inequivocabile, mediante dichiarazione o azione positiva inequivocabile (art. 4, punto 11). L’articolo 7 aggiunge che devi poterlo dimostrare e che revocarlo deve essere facile quanto prestarlo.

Gli errori più frequenti

1. Caricare i cookie prima che l’utente decida. Se gli script di analisi o pubblicità partono all’apertura della pagina, il banner è solo decorativo.
2. Caselle preselezionate o interruttori attivi per impostazione predefinita. Il silenzio o l’inattività non sono consenso.
3. Considerare “continuare a navigare” o lo scorrimento come accettazione. Non è un’azione positiva inequivocabile.
4. Un pulsante “Accetta” ben visibile e un rifiuto nascosto dietro più clic o in un link minuscolo. Rifiutare deve essere semplice quanto accettare.
5. Informazioni generiche o assenti: non dire quali cookie si usano, per quale finalità, chi li installa e quanto durano.
6. Raggruppare tutte le finalità in un unico “Accetta tutto”, senza poter scegliere per categoria.
7. Subordinare l’accesso al sito all’accettazione senza offrire un’alternativa equivalente, il che può inficiare il carattere libero del consenso.
8. Non poter cambiare idea. Le impostazioni devono essere accessibili in qualsiasi momento, ad esempio con un link permanente a piè di pagina.
9. Non conservare la prova del consenso (quando, quale versione del testo, quali scelte).
10. Una cookie policy non aggiornata che non corrisponde ai cookie realmente installati dal sito.

Cosa deve dire la tua cookie policy

• Che cosa sono i cookie e quali tipi usa il tuo sito.
• Per ciascuno (o per famiglia): nome, titolare (proprio o di terzi), finalità e durata.
• Come accettare, rifiutare o modificare le impostazioni in qualsiasi momento.
• Come eliminarli dal browser.
• Il collegamento con l’informativa sulla privacy quando i cookie comportano il trattamento di dati personali.

Una verifica rapida del tuo sito

1. Apri il sito in una finestra privata e, senza accettare nulla, controlla negli strumenti per sviluppatori del browser quali cookie e quali richieste di terze parti vengono create.
2. Verifica che il pulsante di rifiuto sia visibile quanto quello di accettazione.
3. Rifiuta e verifica che, dopo aver ricaricato la pagina, non vengano installati cookie non esenti.
4. Individua l’accesso per modificare la scelta e controlla che funzioni.
5. Confronta l’elenco reale dei cookie con quanto dice la tua policy.

Tieni il testo allineato alla realtà

La cookie policy cambia ogni volta che aggiungi uno strumento o un fornitore. Gestirla come documento versionato, con storico, pubblicato da un unico punto — ad esempio con LegalCloud — evita che il testo del sito resti indietro rispetto a ciò che accade davvero.

L’AEPD pubblica una guida specifica sull’uso dei cookie su aepd.es, e il Comitato europeo per la protezione dei dati ha emesso linee guida sul consenso su edpb.europa.eu. Questo articolo ha scopo informativo e non sostituisce una consulenza legale sul tuo caso.