Risposta rapida: per usare i cookie legalmente serve un consenso preventivo, informato, libero e inequivocabile per ogni cookie non essenziale (statistica, pubblicità, personalizzazione). In pratica: un banner che blocca i cookie non essenziali finché l’utente non sceglie, un pulsante «Rifiuta» visibile quanto «Accetta», nessuna casella pre-selezionata, prova del consenso e revoca facile quanto l’adesione. I cookie tecnici (login, carrello, sicurezza) non richiedono consenso ma vanno indicati.
Il quadro: GDPR e linee guida del Garante
Si sovrappongono due norme. La direttiva ePrivacy impone il consenso prima di installare cookie; il GDPR definisce un consenso «libero, specifico, informato e inequivocabile». Le linee guida cookie del Garante (2021) richiedono il pulsante di rifiuto sul primo livello e vietano lo scroll come consenso. La CGUE (Planet49, C-673/17) ha stabilito che una casella pre-spuntata non è valida. Si applica inoltre la Legge Stanca sull’accessibilità.
«I dati personali sono il nuovo petrolio di internet e la nuova moneta del mondo digitale.»
— Meglena Kuneva, commissaria europea per i consumatori (2009)
Cinque requisiti di un banner conforme
- Prima bloccare. Nessun tracker parte prima del consenso.
- Granularità. Scelta per finalità (necessari, preferenze, statistica, marketing).
- Rifiutare facile quanto accettare. Entrambi i pulsanti sul primo livello — richiesta del Garante.
- Niente dark pattern. Né caselle pre-spuntate né trucchi cromatici.
- Revocabile e registrato. Un link permanente «Impostazioni cookie» e un registro del consenso.
Google Consent Mode v2 — obbligatorio da marzo 2024
Da marzo 2024 ogni sito che invia dati SEE o UK a Google Ads, GA4 o remarketing deve usare il Consent Mode v2, che trasmette la scelta con quattro segnali (ad_storage, analytics_storage, ad_user_data, ad_personalization). Senza corretto collegamento al banner, la misurazione delle conversioni si interrompe per i visitatori europei. Una CMP certificata compatibile TCF v2.2 collega banner e tag.
Necessari vs. soggetti a consenso
| Tipo | Esempi | Consenso? |
|---|---|---|
| Strettamente necessari | Login, carrello, sicurezza | No (da indicare) |
| Statistica | Google Analytics 4, Matomo | Sì |
| Marketing | Meta Pixel, Google Ads, LinkedIn | Sì — sempre |
Quanto costa non essere conformi
Il GDPR prevede sanzioni fino a 20 mln € o il 4% del fatturato mondiale. La CNIL francese ha multato Google per 150 mln € perché rifiutare richiedeva più clic che accettare; anche il Garante italiano ha adottato provvedimenti sui banner. Un consenso invalido rende illecito ogni trattamento successivo.
Domande frequenti
Serve il banner solo con Google Analytics?
Sì. GA4 installa cookie e tratta dati personali: il consenso preventivo è necessario.
È valido solo «Accetta»?
No. Senza «Rifiuta» equivalente il consenso non è libero.
Quanto dura il consenso?
Non c’è un valore unico; 6–12 mesi sono il massimo comunemente accettato.
Fonti
- CGUE — Planet49 (C-673/17).
- Garante — linee guida cookie (2021).
- Google for Developers — Consent Mode v2.
- IAB Europe — TCF v2.2.
Ti serve un sito conforme e che converte?
WiseGuyXL realizza e verifica siti conformi al GDPR e ad alte prestazioni in tutta Europa — design e sviluppo web. Abbiamo ottenuto il 341% di crescita organica su oltre 30 progetti in oltre 9 mercati.