Banner cookie secondo le linee guida del Garante: cosa chiede e come verificarlo
Cosa chiedono le linee guida del Garante al banner cookie: X senza consenso, niente scroll né cookie wall, scelte granulari, e come verificare gli script.
- Nº
- 15
- Pubblicato
- Lettura
- 13 min
- Categoria
- Notes
- Scritto da
- Revylio
Banner cookie secondo le linee guida del Garante: i requisiti in sintesi
Il banner cookie secondo le linee guida del Garante deve lasciare il sito privo di cookie non tecnici finché l'utente non sceglie. Chiudere il banner con la X equivale a non dare il consenso. Lo scroll della pagina non vale come consenso e il cookie wall è illecito. L'utente deve poter scegliere per singole funzionalità e terze parti.
Il banner cookie è l'avviso che il sito mostra alla prima visita per informare sui cookie in uso. Con lo stesso avviso il sito chiede il consenso ai cookie che lo richiedono. Un cookie, secondo il Garante, è di regola una stringa di testo archiviata sul dispositivo dell'utente. A salvarla può essere il sito visitato (prima parte) o un altro server (terza parte).
Le regole vengono dalle Linee guida cookie e altri strumenti di tracciamento del 10 giugno 2021. Il Garante le ha adottate con il provvedimento n. 231 e le ha pubblicate sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021. Secondo Agenda Digitale sono diventate operative a gennaio 2022, dopo un periodo transitorio di sei mesi. Hanno sostituito l'impianto precedente, basato sul provvedimento n. 229 dell'8 maggio 2014.
Questa guida spiega ogni requisito del banner e mostra un caso reale deciso dal Garante. Indica poi come verificare sul Suo sito che nessuno script di tracciamento parta prima del consenso.
Cookie tecnici e non tecnici: quando il banner serve e quando no
Il banner cookie serve solo se il sito usa cookie o strumenti di tracciamento non tecnici. I cookie tecnici sono quelli usati soltanto per trasmettere una comunicazione in rete, o nella misura strettamente necessaria a fornire un servizio richiesto esplicitamente dall'utente. Per i cookie tecnici il titolare del sito ha solo l'obbligo di fornire l'informativa.
Tutti gli altri cookie richiedono il consenso preventivo dell'utente. Le linee guida chiedono che al primo accesso, per impostazione predefinita, non venga posizionato alcun cookie o strumento diverso da quelli tecnici. I cookie di profilazione, cioè quelli che raggruppano gli utenti in profili per servizi personalizzati o pubblicità mirata, rientrano sempre in questa categoria.
Il caso dei cookie analitici
I cookie analitici misurano come gli utenti usano il sito. Secondo Agenda Digitale sono assimilabili ai tecnici solo a certe condizioni: tra queste, per i cookie di terze parti, il mascheramento di almeno la quarta componente dell'indirizzo IP. GDPR Scuola aggiunge che le statistiche devono essere aggregate e riferite a un solo sito. Il banner non è necessario se il sito usa solo cookie tecnici.
Vale lo stesso per i cookie analitici che rispettano tutte le condizioni indicate dal Garante. Le condizioni sono: IP mascherato, statistiche aggregate riferite a un solo sito, nessun incrocio dei dati da parte del fornitore e nessuna cessione a terzi.
La distinzione conta anche per chi vuole misurare cosa porta il sito in richieste e clienti: la configurazione delle statistiche decide se servono il consenso e il banner.
Non solo cookie
Le linee guida coprono anche il fingerprinting, la tecnica che identifica il dispositivo raccogliendo informazioni sulla sua configurazione. Vale lo stesso per gli altri strumenti di tracciamento che ottengono gli stessi risultati senza usare cookie.
La chiusura del banner con la X lascia il sito senza cookie non tecnici
Chiudere il banner cookie con la X deve mantenere le impostazioni predefinite, cioè la navigazione con i soli cookie tecnici. Le linee guida descrivono un comando contraddistinto dalla X, posto all'interno del banner in alto a destra. Il clic su quel comando non è un consenso.
In pratica, dopo la X il sito non può rilasciare cookie di profilazione, come ricorda anche LegalBlink nella sua guida al banner. La X dà all'utente un modo rapido per proseguire senza accettare nulla e senza dover entrare nelle impostazioni.
Il Garante chiede inoltre che il comando per proseguire senza consenso abbia un'evidenza grafica pari a quella degli altri comandi del banner. Un pulsante «Accetta» grande e colorato accanto a una X minuscola e poco visibile non rispetta il requisito. La stessa logica vale per qualsiasi altro comando di rifiuto che il banner proponga.
Un errore frequente riguarda il comportamento dopo la chiusura. Se il banner sparisce ma uno script di statistica o di marketing continua a caricarsi, la X è solo estetica. Per questo la chiusura va verificata con una prova tecnica, descritta più avanti in questa guida, e non solo guardando lo schermo.
Scroll, cookie wall e legittimo interesse non sostituiscono il consenso
Né lo scroll, né il cookie wall, né il legittimo interesse possono sostituire il consenso dell'utente ai cookie non tecnici. Sono le tre scorciatoie che le linee guida escludono in modo esplicito.
Lo scroll non è un consenso
Secondo il Garante il semplice scroll down del cursore è inadatto, di per sé, a raccogliere un consenso valido ai cookie di profilazione. Nel regime precedente le cose andavano diversamente. Nei chiarimenti sul provvedimento del 2014 il Garante considerava ammissibili soluzioni basate sullo scroll, se indicate nell'informativa e documentabili sul server. Molti siti costruiti in quegli anni ne conservano ancora il meccanismo.
Il cookie wall è illecito
Il cookie wall è il meccanismo «prendere o lasciare» che obbliga l'utente a dare il consenso ai cookie per poter accedere al sito. Le linee guida lo ritengono illecito. L'unica eccezione, da verificare caso per caso, è l'offerta di un contenuto o servizio equivalente accessibile senza consenso.
Il legittimo interesse non si può invocare
Il legittimo interesse è una base giuridica che permette di trattare dati personali senza consenso. Per i cookie e gli altri strumenti di tracciamento il Garante lo esclude in ogni caso. Il documento ricorda di averlo trovato invocato durante le verifiche su diversi siti web.
Scelte granulari nel banner: area di selezione, terze parti e cookie policy
Il banner cookie deve permettere all'utente di scegliere in modo analitico, non solo di accettare o rifiutare tutto. Le linee guida chiedono un link a un'area in cui selezionare le singole funzionalità, le terze parti e i cookie. L'elenco delle terze parti va tenuto costantemente aggiornato.
Secondo la guida di LegalBlink, il banner contiene questi elementi:
- la X di chiusura in alto a destra;
- un'informativa breve;
- il link alla cookie policy;
- il link all'area di scelta analitica;
- il tasto per accettare.
Le linee guida chiedono inoltre che il testo del banner avverta l'utente di un punto preciso. La chiusura con la X mantiene le impostazioni predefinite, quindi la navigazione prosegue senza cookie non tecnici.
L'informativa breve è l'indicazione, nel banner, che il sito usa cookie tecnici e, previo consenso, cookie di profilazione o altri strumenti di tracciamento, con le relative finalità. LegalBlink precisa che il link deve portare alla cookie policy e non all'informativa privacy generale del sito.
L'elenco aggiornato delle terze parti è il punto che si deteriora più in fretta. Ogni nuovo plugin, video incorporato o pixel pubblicitario può aggiungere un fornitore. Conviene quindi inserire il controllo nella manutenzione del sito dopo il lancio, accanto ad aggiornamenti e backup.
Quando il banner cookie può essere riproposto dopo un rifiuto
Il banner cookie non va riproposto all'utente che ha negato il consenso, salvo tre eccezioni previste dalle linee guida:
- le condizioni del trattamento cambiano in modo significativo;
- il titolare non può sapere se un cookie è già stato memorizzato sul dispositivo;
- sono trascorsi almeno 6 mesi dalla precedente presentazione del banner.
Per ricordare la scelta dell'utente il sito ha bisogno di conservarla da qualche parte. Secondo GDPR Scuola il titolare può usare un apposito cookie tecnico, che non richiede a sua volta un ulteriore consenso. Senza questa memoria il banner ricompare a ogni visita, e il sito finisce per insistere proprio con chi ha già rifiutato.
La regola dei 6 mesi protegge la libertà della scelta. Un banner che torna di continuo spinge l'utente ad accettare pur di navigare in pace. Il Garante ha applicato questo principio in un caso concreto, descritto nella sezione successiva. In quel caso la ricomparsa del banner dopo la X è stata ritenuta una violazione.
Un rifacimento del sito con nuove terze parti può costituire una modifica significativa del trattamento. In quel caso riproporre il banner è legittimo. Cambiare solo la grafica del sito, invece, non giustifica una nuova richiesta a chi ha già detto no.
Esempio reale: il provvedimento del Garante su Confalonieri S.r.l.
Il provvedimento n. 327 del 4 giugno 2025 su Confalonieri S.r.l. mostra come il Garante controlla un banner cookie in pratica. Il 21 ottobre 2022 l'Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online. La delega era motivata anche dai numerosi reclami ricevuti in materia di cookie.
Cosa è emerso dalla verifica
Le verifiche sul sito www.confalonieriauto.it sono state effettuate il 7 novembre 2023. Sono emersi due problemi principali:
- dopo il clic sulla X, il banner ricompariva a ogni accesso successivo;
- la cookie policy citava norme abrogate e non indicava i destinatari dei dati.
Come ha deciso il Garante
Nella memoria difensiva la società ha spiegato che la gestione del sito era affidata a una società terza. Il Garante ha comunque ritenuto che la ricomparsa del banner potesse condizionare la volontà dell'utente. Per la ricomparsa del banner ha riscontrato la violazione degli artt. 4, punto 11, 5 e 7 del Regolamento e dell'art. 122 del Codice. Nel complesso ha accertato anche la violazione degli artt. 12, 13, 24 e 25, rilevando tra l'altro che il banner non avvisava che la chiusura con la X mantiene le impostazioni predefinite.
Le modifiche fatte durante il procedimento non hanno ripristinato la conformità del sito. Il Garante non ha applicato sanzioni pecuniarie e ha rivolto alla società un ammonimento. Ha anche ingiunto di configurare il banner per consentire un consenso specifico e informato ai cookie non tecnici.
La lezione per un'azienda è pratica: affidare il sito a un fornitore non trasferisce la responsabilità del banner.
Verificare che nessuno script di tracciamento parta prima del consenso
Il controllo decisivo sul banner cookie è tecnico: prima di qualsiasi scelta, il sito deve caricare solo cookie e risorse tecniche. Un banner ben disegnato non basta, se gli script partono comunque. Nei rifacimenti che seguiamo in Svennis questo è il punto che fallisce più spesso: il banner c'è, ma uno script di statistica o marketing inserito direttamente nel modello di pagina si attiva prima della scelta dell'utente. Per questo verifichiamo il comportamento del sito in una finestra privata prima ancora di guardare la grafica del banner.
La verifica si può fare in questo ordine:
- Apra il sito in una finestra di navigazione privata, così il browser non usa scelte precedenti.
- Prima di toccare il banner, apra gli strumenti per sviluppatori del browser e controlli i cookie memorizzati e le richieste verso domini esterni.
- Annoti ogni cookie e ogni dominio di terze parti: in questa fase devono comparire solo elementi tecnici.
- Chiuda il banner con la X, ricarichi la pagina e ripeta il controllo: non devono comparire nuovi cookie non tecnici, né il banner.
- In una nuova finestra privata, accetti una sola finalità dall'area di scelta e verifichi che si attivino solo i servizi corrispondenti.
- Ripeta le prove sulle pagine con moduli o contenuti incorporati da terze parti, e confronti il risultato con l'elenco della cookie policy.
Uno script aggiunto dopo il lancio può annullare tutto il lavoro. Stabilire chi modifica il sito dopo il lancio e con quali permessi riduce il rischio di codice di tracciamento inserito senza passare dal banner.
Checklist del banner cookie conforme alle linee guida del Garante
La tabella riassume i requisiti del banner cookie secondo le linee guida del Garante e il modo più semplice per verificarli sul sito aziendale.
| Requisito | Cosa chiedono le linee guida | Come verificarlo |
|---|---|---|
| Primo accesso | Nessun cookie o strumento diverso da quelli tecnici | Controllo dei cookie in finestra privata prima di ogni clic |
| Chiusura con la X | Restano le impostazioni predefinite, senza cookie non tecnici | Clic sulla X, ricarica, nuovo controllo dei cookie |
| Avvertenza sulla X | Il banner deve indicare che la chiusura con la X mantiene le impostazioni predefinite, senza cookie non tecnici | Leggere il testo del banner e verificare che l'avvertenza sia presente |
| Evidenza dei comandi | Il comando per proseguire senza consenso è visibile quanto gli altri | Confronto visivo dei pulsanti su desktop e smartphone |
| Scroll | Non vale come consenso | Scorrere la pagina e verificare che non si attivi nulla |
| Cookie wall | Illecito, salvo alternativa equivalente senza consenso | Il contenuto resta accessibile senza accettare |
| Scelte granulari | Area di selezione per funzionalità, terze parti e cookie | Accettare una sola finalità e osservare cosa si carica |
| Terze parti | Elenco tenuto costantemente aggiornato | Confronto tra domini rilevati e cookie policy |
| Nuova richiesta | Non prima di 6 mesi dopo un rifiuto, salvo eccezioni | Rifiutare, tornare sul sito e verificare che il banner non ricompaia |
| Revoca del consenso | L'utente può modificare o revocare in ogni momento le scelte fatte, con la stessa facilità con cui le ha espresse | Cercare su ogni pagina il link o l'icona per riaprire le preferenze e verificare che, dopo la revoca, gli script non tecnici si fermino |
Ogni riga che non supera la prova va corretta prima di intervenire sull'aspetto del banner. Il comportamento tecnico conta più della grafica.
Cosa significa per un'azienda italiana: controlli, sanzioni e responsabilità
Per un'azienda italiana il banner cookie è oggetto di controlli reali e di sanzioni previste dalla legge. Il caso Confalonieri mostra che gli accertamenti partono anche dai reclami degli utenti. Secondo il provvedimento, la prima fase delle verifiche delegate alla Guardia di Finanza si è concentrata sugli operatori dell'e-commerce. LegalBlink riferisce che il Garante effettua anche controlli a campione sui siti.
La violazione dell'art. 122 del Codice privacy, che regola il consenso ai cookie, è punita ai sensi dell'art. 166, comma 2, del Codice. La sanzione è quella prevista dall'art. 83, paragrafo 5, del GDPR. Arriva fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, se superiore.
Nel 2015 il Garante aveva chiarito che gli obblighi sui cookie riguardavano anche i siti senza sede in Italia, sulla base di una norma del Codice poi abrogata con la riforma del 2018. Chi opera dall'estero farà bene a verificare con un consulente quale normativa nazionale si applica al proprio caso.
Il tema non è solo italiano. Agenda Digitale riporta che l'autorità francese CNIL ha sanzionato Google per 150 milioni di euro in totale. Il motivo: rifiutare i cookie non era facile quanto accettarli. Facebook ha ricevuto dalla stessa autorità una sanzione di 60 milioni di euro alla fine del 2021.
La responsabilità resta del titolare del sito, anche quando sviluppo e gestione sono affidati a terzi. Per questo i requisiti del banner vanno messi per iscritto nel contratto. La guida su come scegliere l'agenzia per il sito aziendale illustra le domande da porre prima di firmare. Tra queste conviene includere chi configura il banner e chi lo verifica.
Prossimi passi per rendere conforme il banner cookie del Suo sito
Il primo passo concreto è la verifica in finestra privata descritta in questa guida, sul sito attuale e prima di qualsiasi altra modifica. Bastano poche prove per capire se cookie o script non tecnici partono prima della scelta dell'utente.
Dopo la verifica, l'ordine più utile è questo:
- Elenchi tutti i servizi di terze parti presenti sul sito: statistiche, pubblicità, video, mappe, chat.
- Per ciascun servizio decida se è tecnico, assimilabile ai tecnici o soggetto a consenso.
- Faccia correggere prima il comportamento tecnico: blocco preventivo, X senza consenso, scelte granulari.
- Aggiorni la cookie policy, con le terze parti e i destinatari dei dati, senza riferimenti a norme abrogate.
- Stabilisca chi ripete la verifica dopo ogni aggiunta di script o plugin.
Se il sito è in fase di rifacimento, i requisiti del banner vanno indicati fin dall'inizio. La guida su come scrivere il brief per il rifacimento del sito spiega dove inserirli, insieme agli altri requisiti tecnici. In questo modo il banner viene progettato con il sito, e non aggiunto all'ultimo momento.
Fonti
- Garante privacy, Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
- Garante privacy, Provvedimento n. 327 del 4 giugno 2025 (Confalonieri S.r.l.)
- Agenda Digitale, Cookie, come evitare le sanzioni del Garante privacy: la checklist
- Garante privacy, Chiarimenti in merito all'attuazione della normativa in materia di cookie
- LegalBlink, Banner cookie per siti web: come pubblicarlo a norma di legge
- GDPR Scuola, Cookie: le nuove linee guida del Garante