Per essere conforme, il sito di una PMI italiana deve mostrare un banner con un comando «accetta tutti», un’opzione altrettanto visibile per rifiutare o chiudere senza attivare cookie non tecnici, e un link a una scelta granulare collegata all’informativa estesa. Serve anche registrare quel consenso, con data e finalità, e conservarlo per poterlo dimostrare. Chi si limita a un banner generico o lascia che lo scroll valga come accettazione lavora già fuori regola.

In breve:

  • Il banner cookie deve presentare chiaramente i pulsanti per accettare o rifiutare e un link per le preferenze dettagliate, senza effetti automatici prima del consenso esplicito.
  • La distinzione tra cookie tecnici, analytics e di profilazione determina se è necessario chiedere consenso preventivo o meno, con regole diverse per ciascuna categoria.
  • Per essere compliant, bisogna mappare i cookie attivi, bloccare preventivamente quelli non tecnici e documentare ogni consenso con dati dettagliati e facilmente verificabili.
  • La responsabilità della conformità è del proprietario del sito, che deve verificare e garantire l’affidabilità dei fornitori di servizi esterni e mantenere tutta la documentazione in modo preciso.
  • Un approccio pratico e continuo, come quello offerto da servizi in abbonamento, permette alle PMI di rispettare le norme senza interventi isolati o aggiornamenti mancati.
Hybrid Minds
Dai forma alla tua presenza online
HybridMinds aiuta microimprese e professionisti a creare sito web, logo e campagne con supporto di IA ed esperti.

Indice

Il Garante ha fissato regole precise sul primo livello dell’informativa, quello che l’utente vede appena entra nel sito. Il banner deve presentare tre elementi visibili con lo stesso peso grafico: un comando per accettare tutto, un comando per chiudere o rifiutare che mantiene attivo solo il necessario tecnico, e un link per accedere alla scelta granulare per categoria di cookie. Chiudere il banner con la X, secondo le linee guida cookie e altri strumenti di tracciamento del Garante, deve avere lo stesso effetto del rifiuto: nessun cookie non tecnico può attivarsi prima di un consenso esplicito.

Qui si concentrano gli errori più diffusi tra le PMI: pulsante «accetta» colorato e grande, «rifiuta» in grigio minuscolo, oppure nessuna X funzionante. Sono pratiche scorrette che il Garante considera dark pattern, perché spingono l’utente verso l’accettazione senza dargli una scelta reale.

Il sistema corretto funziona su due livelli, il cosiddetto approccio multilayer:

  • primo livello (short notice): il banner con i comandi essenziali e una frase sintetica sulle finalità;
  • secondo livello (informativa estesa): una pagina raggiungibile con un click che elenca ogni categoria di cookie, i fornitori terzi coinvolti e i tempi di conservazione dei dati.

Le linee guida del Garante del 10 giugno 2021 chiariscono che l’utente deve poter modificare le proprie scelte in qualsiasi momento, tipicamente tramite un link fisso nel footer del sito. Non basta scriverla una volta e archiviarla: l’informativa estesa va aggiornata ogni volta che cambia un fornitore o una finalità di trattamento.

Un consiglio: scrivi l’informativa estesa come se dovessi spiegarla al titolare del bar sotto casa, non a un avvocato. Frasi brevi, un paragrafo per categoria di cookie, niente elenchi di 40 righe che nessuno legge.

La distinzione non è teorica: determina se serve il consenso preventivo o no. I cookie tecnici servono al funzionamento del sito e non richiedono consenso: il cookie di sessione che mantiene aperto il carrello di un e-commerce, quello che ricorda il login dell’utente, o quello che salva le preferenze di lingua. Sono strumentali, non raccolgono profili comportamentali.

Gli analytics stanno nel mezzo, e qui le PMI sbagliano più spesso. Se lo strumento è di terze parti e non anonimizzato, richiede quasi sempre consenso preventivo, perché i dati possono essere combinati con altri trattamenti del fornitore. Le precisazioni tecniche del Garante su analytics e anonimizzazione indicano che solo un analytics correttamente anonimizzato, con IP troncato e senza condivisione dei dati con il fornitore per altri scopi, può rientrare tra i cookie assimilabili ai tecnici.

I cookie di profilazione, infine, tracciano comportamento e preferenze per costruire un profilo dell’utente, spesso a fini pubblicitari. Rientrano qui i pixel di retargeting, i cookie dei social network incorporati nelle pagine, e in generale qualunque strumento che segua l’utente su siti diversi.

Confronto tra tre tipologie di cookie

Per una PMI la scelta pratica è semplice: verifica come è configurato ogni strumento che usi, non fidarti del nome. Google Analytics può essere tecnico o di profilazione secondo l’impostazione. Documenta la scelta fatta per ciascun cookie nell’informativa estesa, indicando la categoria attribuita e il motivo.

Come configurare un banner conforme e raccogliere un consenso audit-ready

Mettere in regola un sito richiede una sequenza di passi tecnici, non solo un testo da copiare e incollare.

  1. Mappa cookie e fornitori terzi. Fai una scansione completa del dominio con uno strumento di audit dei cookie e annota ogni script che si attiva, chi lo installa e a cosa serve.
  2. Blocca preventivamente i cookie non tecnici. Configura il sito perché nessun cookie di analytics o profilazione si attivi prima del consenso esplicito: è la parte tecnica più spesso trascurata dalle PMI che si limitano a mostrare un banner senza collegarlo davvero al caricamento degli script.
  3. Scegli una piattaforma di gestione del consenso valutando criteri concreti: registra un log consultabile dei consensi, permette di esportare i dati per un controllo, e si integra con il tag manager che usi per governare gli script.
  4. Salva ogni consenso con i dati minimi necessari: finalità accettate o rifiutate, elenco fornitori coinvolti, timestamp, versione dell’informativa mostrata, identificativo utente o sessione anonima.
  5. Testa periodicamente il funzionamento, controllando che il rifiuto blocchi davvero gli script e che il link di modifica del consenso nel footer funzioni.

Un consiglio: fai il test da incognito, non da browser loggato: è il modo più veloce per scoprire che quel cookie di profilazione si attiva ancora prima del clic, magari perché un plugin lo carica in automatico nell’header del sito.

Fornitori terzi e responsabilità del titolare: cosa verificare prima di firmare

La responsabilità della conformità resta del titolare del sito anche quando la gestione tecnica è affidata a un fornitore esterno o a una piattaforma di consenso. È una responsabilità solidale: se il Garante contesta un’irregolarità, risponde l’azienda che possiede il sito, non solo lo strumento che ha installato.

Prima di scegliere un fornitore per la gestione dei consensi o per l’analytics, conviene chiedere garanzie precise e verificabili:

  • accesso diretto ai log dei consensi raccolti, non solo a un riepilogo aggregato;
  • possibilità di importare ed esportare i dati di consenso in caso di cambio fornitore o controllo;
  • misure tecniche di sicurezza documentate, incluso il backup dei log;
  • chiarezza su eventuali trasferimenti di dati fuori dall’Unione Europea, un tema su cui le decisioni di adeguatezza della Commissione europea definiscono i paesi considerati sicuri.

Chi gestisce contratti con fornitori esterni per adempimenti privacy può trovare utile anche una guida pratica agli adempimenti GDPR per professionisti, che tratta clausole contrattuali e verifiche simili applicate a un altro settore regolamentato. Il principio resta identico: prima di firmare, verifica cosa succede ai dati se cambi fornitore o se il Garante chiede conto.

Checklist operativa per le PMI: da dove iniziare questa settimana

Non serve affrontare tutto insieme. Ecco l’ordine di priorità che ha senso seguire:

  1. Fai l’inventario di ogni cookie e fornitore terzo presente sul sito.
  2. Installa o correggi il banner perché mostri accetta, rifiuta/chiudi e scelta granulare con pari visibilità.
  3. Attiva la registrazione del consenso con timestamp e versione della policy.
  4. Aggiorna l’informativa estesa e aggiungi nel footer un link per modificare le scelte.
  5. Rivedi i contratti con i fornitori di analytics o advertising e pianifica un controllo periodico, almeno semestrale.

Le sanzioni più frequenti non nascono dal banner in sé, ma da quello che viene dopo: link di gestione del consenso rotti, nessuna prova esportabile dei consensi raccolti, dark pattern lasciati attivi per mesi. Le analisi pratiche sulla conformità dei cookie banner confermano che è proprio l’assenza di documentazione, più che il testo dell’informativa, a far scattare i controlli più severi.

Chi gestisce un sito per un bar, un negozio o uno studio professionale raramente ha il tempo di seguire ogni aggiornamento normativo sui cookie. In HybridMinds affrontiamo questo problema integrando la parte tecnica, banner, blocco preventivo degli script, aggiornamento dell’informativa, dentro la gestione continua del sito, non come un intervento isolato fatto una volta e poi abbandonato.

Come HybridMinds affronta la compliance cookie per le microimprese — overview diagram

Un caso tipico: un piccolo negozio con un sito costruito anni prima, senza distinzione tra cookie tecnici e di terze parti, e un banner che si limitava a informare senza bloccare nulla. Il lavoro è consistito nel mappare gli script attivi, ricollegarli a un sistema di gestione del consenso corretto e impostare l’aggiornamento periodico dell’informativa come parte della manutenzione ordinaria.

Chi preferisce non seguire personalmente questi passaggi può contattarci per una valutazione del proprio sito.

— Marco

Un servizio in abbonamento che include anche la gestione della privacy

Molte PMI finiscono per scegliere tra due strade poco pratiche: pagare un’agenzia tradizionale per ogni intervento sul sito, oppure arrangiarsi da sole tra plugin, guide online e aggiornamenti normativi che cambiano ogni anno. HybridMinds propone una terza via pensata proprio per chi non ha tempo né competenze tecniche da dedicare a questo: un servizio in abbonamento che copre sito, hosting e aggiornamenti continui, cookie policy compresa, senza dover rincorrere ogni scadenza da soli.

Hybrid Minds

Nel piano rientrano gli aggiornamenti dell’informativa quando cambiano i fornitori o le finalità di trattamento, il supporto alla configurazione della piattaforma di gestione del consenso e la tenuta della documentazione utile in caso di controllo. È l’intelligenza artificiale a occuparsi della parte ripetitiva, mentre gli specialisti di HybridMinds verificano che banner e informativa restino davvero allineati alle regole del Garante nel tempo. Se hai già un sito o ne stai valutando uno nuovo, puoi partire dalla pagina dedicata al sito web in abbonamento e chiedere una valutazione gratuita della tua situazione attuale.

Risorse ufficiali per approfondire

  • Le FAQ ufficiali del Garante sui cookie chiariscono i dubbi più comuni, incluso il tema del consenso per scroll.

Domande frequenti

No. Le FAQ del Garante chiariscono che serve un’azione positiva ed esplicita, come un clic su un comando dedicato: scroll o navigazione continuata non bastano.

Ogni quanto va aggiornata l’informativa estesa?

Ogni volta che cambia un fornitore, uno strumento di analytics o una finalità di trattamento, non solo su base annuale fissa.

Google Analytics richiede sempre il consenso?

Dipende dalla configurazione: se è anonimizzato e non condivide dati con terzi per altri scopi può rientrare tra gli strumenti assimilabili ai tecnici, altrimenti richiede consenso preventivo come cookie di profilazione.

Cosa deve conservare una PMI come prova del consenso raccolto?

Finalità accettate, fornitori coinvolti, timestamp, versione dell’informativa mostrata e un identificativo di sessione o utente, così da poter dimostrare la validità del consenso in caso di controllo.

Il titolare del sito, per responsabilità solidale: per questo conviene richiedere clausole contrattuali chiare e accesso ai log prima di scegliere un fornitore.

Sì, la gestione tecnica del banner e l’aggiornamento dell’informativa rientrano nel servizio in abbonamento per il sito, insieme a hosting e manutenzione continua.

Raccomandati