GDPR e cookie per il sito di una piccola attività

01Cosa sono davvero i cookie, e perché la legge se ne occupa

Un cookie è un piccolo file di testo che un sito chiede al browser di conservare. Alla visita successiva il browser lo restituisce, e il sito «si ricorda» di te: la lingua scelta, il carrello, il fatto che hai già fatto l'accesso. Di per sé è uno strumento innocuo, ed è quello che rende possibile buona parte del web come lo conosciamo.

Prova a immaginare una scena che succede ogni giorno. Una pasticceria apre il suo sito nuovo: tre pagine, le foto delle torte, un video preso da YouTube per raccontare il laboratorio e la mappa per trovare il negozio. Nessuno, in pasticceria, ha mai pensato ai cookie. Eppure, appena un cliente apre la pagina, il suo browser ha già parlato con almeno due server che non sono quelli della pasticceria. Non c'è malafede: c'è un pezzo incollato senza sapere cosa si porta dietro. Questo capitolo serve a sapere cosa si porta dietro.

Il problema nasce quando lo stesso meccanismo viene usato per seguire le persone: da un sito all'altro, da una sessione all'altra, per costruire un profilo di interessi e mostrare pubblicità mirata. È per questo che la legge europea non regola il file in sé, ma l'accesso al dispositivo di chi visita: scrivere o leggere qualcosa sul telefono o sul computer di una persona richiede il suo consenso, salvo che sia strettamente necessario per darle il servizio che ha chiesto.

In Italia questa regola sta nell'articolo 122 del Codice privacy, che recepisce la direttiva europea chiamata «ePrivacy». Il GDPR, il Regolamento europeo sulla protezione dei dati, interviene invece su tutto quello che succede dopo: quali dati si raccolgono, su quale base giuridica, per quanto tempo, con quali garanzie.

Non solo cookie: gli altri strumenti di tracciamento

Le linee guida del Garante non parlano solo di cookie, ma di «cookie e altri strumenti di tracciamento». Rientrano nella stessa regola:

• i pixel, immagini invisibili da un punto che avvisano un server terzo quando la pagina viene aperta;
• la memoria locale del browser (localStorage e simili), quando conserva identificativi e non solo preferenze tecniche;
• il fingerprinting, cioè il riconoscimento di un dispositivo dalla combinazione delle sue caratteristiche (schermo, caratteri installati, versione del browser), che funziona anche senza salvare niente.

Conta quindi lo scopo, non la tecnologia: se lo strumento serve a riconoscere la persona per fini che non sono indispensabili al servizio, serve il consenso.

Prima parte e terze parti

Una distinzione che chiarisce quasi tutto il resto è quella fra cookie di prima parte, installati dal sito che stai visitando, e cookie di terze parti, installati da altri soggetti i cui pezzi sono incorporati nella pagina: il video di YouTube, la mappa di Google, il pulsante «mi piace», il pixel pubblicitario. Il titolare del sito risponde anche di questi, perché è lui che ha scelto di inserirli.

02Le tre famiglie: tecnici, analitici, di profilazione

Per capire se un sito ha bisogno del banner bisogna fare l'inventario di cosa installa, e mettere ogni strumento nella sua famiglia. Le famiglie sono tre, e solo una richiede sempre il consenso.

I cookie tecnici

Sono quelli strettamente necessari a fornire il servizio che la persona ha chiesto: mantenere l'accesso all'area riservata, ricordare il contenuto del carrello, la lingua scelta, proteggere un modulo dagli invii automatici, distribuire il traffico fra più server. Senza di loro il sito non funziona come la persona si aspetta. Non richiedono consenso: basta dire che ci sono, nell'informativa.

I cookie analitici

Servono a contare le visite e capire come si usa il sito: quali pagine si leggono, da dove arrivano le persone, su quali dispositivi. Qui le linee guida del Garante del 2021 fanno una distinzione importante. Gli analitici si possono trattare come i tecnici, quindi senza consenso, solo se sono rispettate insieme tutte queste condizioni:

• non permettono di identificare direttamente la persona: per esempio l'indirizzo IP viene mascherato almeno nella sua ultima parte;
• servono solo a produrre statistiche aggregate;
• riguardano un solo sito (o una sola app), senza seguire la persona altrove;
• se il servizio è fornito da terzi, questi non incrociano i dati con altre informazioni e non li cedono ad altri.

Se anche una sola di queste condizioni manca, gli analitici diventano strumenti che richiedono il consenso, esattamente come quelli di profilazione.

I cookie di profilazione e di marketing

Sono quelli che costruiscono un profilo della persona per mostrarle pubblicità mirata o personalizzare i contenuti in base al suo comportamento, spesso attraverso più siti. Ci sono quasi sempre quando una pagina contiene pixel dei social network, piattaforme pubblicitarie, e molti dei servizi incorporati di terze parti. Per questi il consenso preventivo è sempre necessario: niente si installa prima che la persona abbia detto sì.

03Serve il banner? La domanda giusta da farsi

Molti siti mostrano il banner «per sicurezza», anche quando non installano niente che lo richieda. È un errore doppio: infastidisce chi visita senza motivo, e spesso è fatto male, quindi non protegge nemmeno il titolare. La domanda giusta non è «metto il banner?», ma «cosa installa il mio sito?». La risposta al primo quesito viene da sé.

Le regole di un banner fatto bene

Quando il banner serve, le linee guida del Garante del 10 giugno 2021 stabiliscono come deve funzionare. Le regole che contano di più per una piccola attività:

• Lo scorrimento della pagina non è consenso. Il semplice «scroll» non basta: serve un'azione positiva e registrabile, come un clic su un pulsante.
• La X chiude e rifiuta. Il banner deve avere un comando di chiusura, di solito una X in alto a destra; chiuderlo lascia le impostazioni predefinite, cioè nessuno strumento non tecnico installato.
• Rifiutare deve essere facile come accettare. Il pulsante «Accetta» grande e colorato e il rifiuto nascosto in fondo a una seconda pagina non vanno bene.
• Scelte per categoria. La persona deve poter accettare alcune finalità e non altre, per esempio le statistiche sì e la pubblicità no.
• Niente «cookie wall». Subordinare l'accesso al sito all'accettazione dei cookie è in linea di massima illecito, salvo verifica caso per caso quando esiste un'alternativa equivalente senza consenso.
• Il banner non si ripropone di continuo. Dopo un rifiuto si può mostrare di nuovo solo se cambiano in modo significativo le condizioni (per esempio, nuovi soggetti terzi) o se sono passati almeno sei mesi.
• La scelta si può cambiare. Un collegamento sempre raggiungibile, di solito nel piè di pagina, permette di rivedere il consenso in ogni momento.

04I servizi esterni: video, mappe, pixel e caratteri

La maggior parte dei siti delle piccole attività non installa cookie di profilazione di proposito. Li installa per inerzia, attraverso pezzi presi da altri servizi e incollati nella pagina perché comodi. Ognuno di questi pezzi fa una cosa che chi visita non vede: il browser contatta un altro server, gli comunica l'indirizzo IP e spesso riceve o legge un cookie.

Il video incorporato

Il riquadro di YouTube o di un'altra piattaforma, incollato con il codice di incorporamento, carica i file del lettore dai server della piattaforma appena si apre la pagina, anche se nessuno preme «play». Esiste la modalità «privacy avanzata» (l'indirizzo youtube-nocookie.com) che riduce il tracciamento finché il video non parte, ma non lo azzera. La soluzione più pulita è il caricamento a due clic: al posto del lettore c'è un'immagine con un avviso, e il video vero si carica solo quando la persona lo chiede.

La mappa interattiva

Vale lo stesso discorso: la mappa incorporata si collega ai server del fornitore all'apertura della pagina. Per far trovare la sede bastano spesso un'immagine statica della mappa, salvata sul proprio server, e un collegamento «Apri in Maps» che porta la persona all'app solo se lo vuole.

I pixel dei social e della pubblicità

Il pixel serve per definizione a misurare chi ha visto cosa, per poi mostrare pubblicità a quelle persone: è profilazione, e richiede sempre il consenso preventivo. Non può partire con il caricamento della pagina, ma solo dopo il «sì». I semplici collegamenti ai profili social, invece, sono link normali: finché non vengono cliccati, non succede niente.

I caratteri tipografici caricati da fuori

È il caso più sottile. Servizi come Google Fonts, quando forniscono solo i file dei caratteri, non installano cookie; il browser però li scarica dai server del fornitore, e quindi gli comunica l'indirizzo IP di chi visita. In Germania il Tribunale regionale di Monaco, con una sentenza del 20 gennaio 2022, ha riconosciuto a un visitatore un risarcimento di 100 euro proprio per questa trasmissione senza base giuridica. Non è una sentenza italiana, e la stessa giustizia tedesca ha poi respinto le richieste a tappeto nate da quel caso, ma il principio è chiaro: anche una chiamata a terzi senza cookie va dichiarata, e la si può evitare del tutto ospitando i caratteri sul proprio server.

Le statistiche di terze parti

Nel giugno 2022 il Garante, al termine di un'istruttoria coordinata con le altre autorità europee, ha dichiarato illecito l'uso di Google Analytics da parte di un sito italiano per il trasferimento dei dati negli Stati Uniti senza garanzie adeguate. Nel luglio 2023 la Commissione europea ha poi adottato una nuova decisione di adeguatezza per i trasferimenti verso le aziende statunitensi aderenti al «Data Privacy Framework», che ha cambiato il quadro dei trasferimenti. Quello che non è cambiato è la regola sul consenso: se lo strumento non rispetta tutte le condizioni per essere assimilato ai tecnici, serve il consenso prima di attivarlo.

Ogni pezzo esterno, oltre al tema privacy, pesa anche sulla velocità: script, caratteri e lettori video sono fra le cause più frequenti di pagine lente. Lo spiego nel capitolo sui Core Web Vitals.

05I documenti che servono davvero

Il banner, quando c'è, è solo la parte visibile. Dietro ci sono alcuni documenti che il GDPR chiede a chiunque tratti dati personali, anche a una piccola attività con un sito di poche pagine. Il punto di partenza è sempre lo stesso: quali dati raccolgo, perché, e dove finiscono.

L'informativa: scritta per essere capita

L'articolo 12 del GDPR chiede che le informazioni siano date in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Un testo copiato da un altro sito, pieno di trattamenti che il tuo sito non fa, non rispetta questa regola: dice cose false, e una informativa che descrive male quello che succede è un problema in sé. Va scritta partendo dall'inventario reale e aggiornata ogni volta che il sito cambia.

Le basi giuridiche: non tutto è consenso

Un errore diffuso è pensare che ogni trattamento richieda il consenso. L'articolo 6 del GDPR prevede sei basi giuridiche diverse, e per un sito le più frequenti sono tre:

• l'esecuzione di un contratto o di misure richieste dalla persona: rispondere a una richiesta di preventivo, gestire una prenotazione, consegnare un ordine;
• l'obbligo di legge: conservare le fatture, adempiere agli obblighi fiscali;
• il consenso: inviare la newsletter promozionale, installare strumenti di profilazione.

Chiedere un consenso che non serve, per esempio per rispondere a una domanda arrivata dal modulo contatti, non aggiunge protezione e confonde la persona.

I moduli del sito

Ogni modulo che raccoglie dati deve avere, accanto al pulsante di invio, un rimando breve all'informativa. Se il modulo serve anche per scopi di marketing, la casella del consenso deve essere separata e non spuntata in partenza: il consenso si dà con un gesto attivo, non si toglie. Per le liste di posta è buona pratica la conferma con doppio passaggio, la mail che chiede di cliccare un collegamento per completare l'iscrizione, che è anche la prova migliore del consenso. Come si costruisce una comunicazione via email che rispetta queste regole e arriva davvero in casella lo spiego nel capitolo sull'email aziendale professionale.

06Privacy vuol dire anche proteggere i dati

Il GDPR non chiede solo carte in ordine: chiede che i dati raccolti siano protetti in modo adeguato al rischio (articolo 32). Per il sito di una piccola attività questo significa alcune cose molto concrete:

• il sito risponde solo in HTTPS, così i dati dei moduli viaggiano cifrati;
• si raccolgono solo i dati che servono: un modulo contatti non ha bisogno della data di nascita;
• i dati raccolti non restano in giro in caselle di posta condivise o fogli di calcolo dimenticati, ma in un posto con accessi controllati;
• gli accessi all'area di amministrazione sono protetti da password robuste e dal secondo fattore, come spiego nel capitolo su password, autenticazione a due fattori e passkey;
• esistono copie di sicurezza e un piano per quando qualcosa va storto.

Se un portale raccoglie prenotazioni, accessi dei clienti o pagamenti, il discorso si allarga a cifratura, protezione dagli attacchi e progettazione del database: lo affronto nel capitolo su portali integrati, prenotazioni e PWA.

Quando qualcosa va storto: la violazione dei dati

Un attacco, un furto di credenziali, un computer perso con dati di clienti: il GDPR chiama questi eventi violazione dei dati personali (in inglese «data breach»). Se la violazione presenta un rischio per le persone, il titolare deve notificarla al Garante entro 72 ore da quando ne è venuto a conoscenza (articolo 33) e, se il rischio è elevato, avvisare anche gli interessati (articolo 34). Tutte le violazioni, anche quelle non notificate, vanno annotate in un registro interno. Come prepararsi prima, con backup e piano di ripristino, è il tema del capitolo sul backup aziendale e il ransomware.

Quanto si rischia

L'articolo 83 del GDPR fissa i limiti delle sanzioni amministrative: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per alcune violazioni, fino a 20 milioni o al 4% per le più gravi, come il trattamento senza base giuridica o la violazione dei diritti delle persone. Sono tetti massimi, e il Garante gradua la sanzione in base alla gravità, alla durata, alla collaborazione e alle dimensioni del titolare. Per una piccola attività il rischio più concreto, però, è spesso un altro: il reclamo di un cliente, l'ammonimento con l'ordine di mettersi in regola, e la fiducia persa.

Un sito in regola non è quello con il banner più grande. È quello che raccoglie solo ciò che serve, lo dice con parole chiare e lo custodisce bene.Il principio di minimizzazione, in pratica

07Il controllo del tuo sito in sette passi

Puoi fare un primo controllo da solo, con il browser e mezz'ora di tempo. Non sostituisce una verifica professionale, ma ti dice subito se ci sono problemi evidenti.

1. Apri il sito in una finestra anonima, così non ci sono scelte salvate da visite precedenti.
2. Prima di cliccare qualsiasi cosa, apri gli strumenti per sviluppatori (F12), scheda Applicazione, voce Cookie: se ci sono già cookie di terze parti o di profilazione, il blocco preventivo non funziona.
3. Nella scheda Rete, ricarica la pagina e guarda i domini contattati: ogni dominio che non è il tuo è un servizio esterno da censire.
4. Se c'è il banner, chiudilo con la X e ricontrolla: non deve comparire niente di nuovo.
5. Prova a rifiutare: deve costarti un clic, come accettare.
6. Leggi l'informativa e la cookie policy: descrivono davvero quello che hai visto nella scheda Rete?
7. Controlla i moduli: c'è il rimando all'informativa, e le caselle per il marketing sono vuote in partenza?

Una parte di questo lavoro dipende dal codice del sito: il blocco preventivo, il caricamento a richiesta dei video, i caratteri ospitati in casa. Chi sceglie un fornitore per il proprio sito dovrebbe chiedere fin dal preventivo come verranno gestiti questi punti, e a chi resteranno intestati dati e strumenti: ne parlo nel capitolo su chi possiede davvero il tuo sito.

Domande frequenti

Fonti

1. Garante per la protezione dei dati personali, «Linee guida cookie e altri strumenti di tracciamento», 10 giugno 2021: scorrimento, comando X, analitici assimilati ai tecnici, cookie wall, sei mesi.
2. Garante per la protezione dei dati personali, pagina tematica «Cookie»: le regole in sintesi e i documenti collegati.
3. Regolamento (UE) 2016/679 (GDPR), testo ufficiale su EUR-Lex: articoli 6, 7, 12, 13, 28, 30, 32, 33, 34 e 83.
4. Garante per la protezione dei dati personali, comunicato del 23 giugno 2022 su Google Analytics: il trasferimento dei dati negli Stati Uniti.
5. Commissione europea, decisione di adeguatezza sul quadro UE-USA per la privacy dei dati, 10 luglio 2023.
6. IHK, scheda sulla sentenza del Landgericht München I del 20 gennaio 2022 (3 O 17493/20) su Google Fonts (in tedesco).

Capitolo aggiornato a ottobre 2026. È una guida divulgativa scritta da chi costruisce siti e software, non una consulenza legale: per i casi particolari, e per redigere informativa e registro della tua attività, conviene farsi affiancare da un professionista della protezione dei dati. Le regole citate vengono dai testi ufficiali indicati qui sopra.