Cookie e privacy sul sito: che cosa chiede davvero il Garante, senza panico

In breve. I cookie tecnici, quelli che servono a far funzionare il sito, non richiedono il consenso: basta l’informativa. Statistiche e pubblicità invece sì, prima di partire. Il banner deve avere almeno la X che chiude senza dare il consenso, il comando per accettare e il link alle scelte; le autorità europee chiedono anche un pulsante per rifiutare al primo livello. Il Consent Mode di Google non blocca i tag da solo. E nei moduli serve l’informativa, con il consenso al marketing separato e non già spuntato.

Quali cookie chiedono il consenso

Le linee guida del Garante del 2021 distinguono:

• cookie tecnici: tengono il carrello, la lingua, l’accesso; servono a far funzionare il sito. Basta l’informativa.
• cookie di statistica: di norma serve il consenso. Quelli di terze parti sono equiparati ai tecnici solo a condizioni precise: riducono la possibilità di identificare chi visita (almeno l’ultima parte dell’indirizzo IP mascherata), producono statistiche aggregate per un solo sito, e il fornitore non incrocia i dati con altri.
• cookie di profilazione e pubblicità, come i pixel delle piattaforme pubblicitarie: consenso preventivo, sempre.

Come deve essere il banner

Secondo il Garante il banner deve avere:

1. la X che chiude il banner lasciando le impostazioni predefinite, cioè senza cookie non tecnici;
2. il comando per accettare tutti i cookie;
3. il link a un’area dove scegliere cookie per cookie, raggiungibile anche dopo dal piè di pagina.

Le autorità europee riunite nell’EDPB vanno oltre: considerano non conforme un banner senza un pulsante «rifiuta» al primo livello, e uno che usa colori e contrasti per spingere verso «accetta». La forma più sicura è un banner con «Rifiuta tutto», «Accetta tutto» e la X: in un provvedimento del febbraio 2025 il Garante l’ha descritta come adatta a proseguire senza cookie.

E due regole che si dimenticano: se una persona rifiuta, il banner non si ripropone prima di sei mesi salvo condizioni particolari; e chiudere il banner o continuare a navigare non vale come consenso. A luglio 2025 il Garante ha sanzionato con ammonimento e ingiunzione un banner che considerava consenso la prosecuzione della navigazione.

Il Consent Mode di Google non è un blocco

Il Consent Mode serve a dire ai tag di Google se la persona ha dato il consenso. Google stessa spiega che, con il consenso negato, i tag possono partire lo stesso e mandare segnali senza cookie. Se volete che niente parta prima del consenso, il blocco va messo prima, nella piattaforma di gestione del consenso o nel modo in cui i tag vengono caricati.

Per chi fa pubblicità con Google nello Spazio economico europeo c’è anche il rovescio: dal marzo 2024 Google chiede di inviare i segnali di consenso (la versione 2 del Consent Mode), altrimenti misurazione e remarketing si perdono.

E Google Analytics?

Il Garante non nomina Google Analytics nelle linee guida sui cookie. Nel 2022 si era espresso sul trasferimento dei dati negli Stati Uniti; dal luglio 2023 vale la decisione europea di adeguatezza sul Data Privacy Framework, confermata dal Tribunale dell’Unione nel settembre 2025 e oggi in appello. Per i cookie valgono le regole generali qui sopra: consenso, salvo che si rientri nelle condizioni dei cookie di statistica assimilati ai tecnici.

I moduli del sito

• L’informativa: chi tratta i dati, per che cosa, per quanto tempo, a chi li passa, come esercitare i diritti. Un link chiaro accanto al pulsante.
• Solo i dati che servono: per richiamare qualcuno servono nome e telefono, non la data di nascita.
• Il consenso al marketing separato: una casella a parte, non già spuntata, e solo se poi davvero mandate comunicazioni promozionali.

Domande

Il mio sito non ha statistiche né pubblicità: mi serve il banner? Se usa solo cookie tecnici, il banner non serve: basta l’informativa. Attenzione però ai servizi esterni incorporati, come mappe, video o caratteri caricati da altri siti, che possono installare cookie propri.

Le regole sui cookie stanno per cambiare? La Commissione europea ha proposto nel novembre 2025 nuove esenzioni dal consenso, per esempio per la misurazione del pubblico. A ottobre 2026 la proposta è ancora in discussione: valgono le regole di oggi.

Un’informativa copiata da un altro sito va bene? No: deve descrivere i vostri trattamenti, i vostri fornitori e i vostri tempi di conservazione.

Fonti

• Garante privacy, linee guida cookie e altri strumenti di tracciamento (2021)
• Garante privacy, provvedimento del 10 luglio 2025 sul banner dei cookie
• EDPB, rapporto della Cookie Banner Taskforce (2023)
• Google Analytics, «Consent mode on websites and mobile apps»
• Google Ads, aggiornamenti al Consent Mode per il traffico nel SEE

I siti che costruiamo: Siti web.