Cookie sul tuo sito web: cosa sono, cosa dice la legge e come mettersi davvero a norma

Ogni volta che qualcuno apre il tuo sito, la prima cosa che vede è quasi sempre lo stesso banner: “Questo sito utilizza cookie”. Lo accettiamo tutti quasi per riflesso, senza pensarci troppo. Ma se quel sito è il tuo, quello del tuo studio, della tua azienda, del tuo e-commerce, quel banner non è un dettaglio grafico ma è un adempimento di legge e sbagliarlo può costare caro.

In questo articolo vediamo cosa sono davvero i cookie, cosa dice la normativa italiana ed europea, come deve essere fatta un’informativa cookie a norma e quali sono gli adempimenti concreti per PMI, studi professionali ed e-commerce.

Cosa sono i cookie (e perché non sono tutti uguali)

Un cookie è un piccolo file di testo che un sito web salva sul dispositivo di chi lo visita. Serve a “ricordare” informazioni come le preferenze di navigazione, il contenuto di un carrello, il fatto che ti sei già loggato, oppure, ed è qui che nasce il problema privacy, il tuo comportamento online per costruire un profilo pubblicitario.

Non tutti i cookie hanno lo stesso impatto sulla privacy, e la legge li tratta in modo diverso:

• Cookie tecnici: servono al funzionamento del sito o a erogare un servizio esplicitamente richiesto (es. mantenere il login, ricordare il carrello). Non richiedono consenso, ma richiedono comunque l’informativa.
• Cookie analitici (analytics): misurano il traffico e l’uso del sito. Se sono di prima parte e configurati per non essere incrociati con altri dati, possono in certi casi essere assimilati ai tecnici; se sono di terze parti (es. Google Analytics standard) richiedono di norma il consenso.
• Cookie di profilazione/marketing: costruiscono un profilo dell’utente per fini pubblicitari (es. Meta Pixel, remarketing Google Ads). Richiedono sempre un consenso libero, specifico, informato e revocabile.

La normativa italiana, in realtà, non parla solo di “cookie” ma di “cookie e altri strumenti di tracciamento” perché esistono tecniche equivalenti (fingerprinting, pixel di tracciamento, local storage) che hanno lo stesso identico impatto sulla privacy e sono sottoposte alle stesse regole.

Il quadro normativo: cosa dice davvero la legge

Non è una singola “legge sui cookie”, ma un intreccio di fonti che vale la pena conoscere per capire da dove arrivano gli obblighi:

1. Direttiva ePrivacy 2002/58/CE (a livello europeo), che ha introdotto il principio del consenso preventivo per l’archiviazione di informazioni sul dispositivo dell’utente.
2. Art. 122 del Codice Privacy (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018), che recepisce questo principio in Italia: l’archiviazione di informazioni sul terminale dell’utente, o l’accesso a informazioni già archiviate, è consentita solo se l’utente ha espresso il proprio consenso dopo essere stato informato con modalità semplificate, salvo i casi di stretta necessità tecnica.
3. Regolamento (UE) 2016/679 – GDPR, che si applica ogni volta che i dati raccolti tramite cookie sono, anche indirettamente, riconducibili a una persona identificabile (è quasi sempre così).
4. Le “Linee guida cookie e altri strumenti di tracciamento” del Garante Privacy, adottate il 10 giugno 2021 e pubblicate in Gazzetta Ufficiale n. 163 del 9 luglio 2021 (doc. web n. 9677876). È il documento operativo che ogni sito deve seguire concretamente: come deve essere fatto il banner, cosa deve contenere l’informativa, quando serve il consenso e come va raccolto.

Il banner cookie: come deve essere fatto per essere davvero a norma

Il banner cookie non è un elemento estetico da minimizzare in un angolo bensì è lo strumento con cui raccogli o non raccogli validamente il consenso. Le Linee guida del Garante indicano alcuni requisiti precisi:

• Deve comparire al primo accesso, prima che vengano installati cookie non tecnici.
• Deve contenere un’informativa breve e un link all’informativa estesa (la cookie policy).
• Deve offrire almeno tre opzioni ugualmente visibili: accettare tutto, rifiutare tutto, personalizzare le scelte per categoria. Un pulsante “Accetta” evidente e un rifiuto nascosto in un sottomenu è una delle non conformità più frequenti riscontrate nei controlli.
• Le caselle per i cookie non tecnici non devono essere pre-selezionate: il consenso deve essere un’azione attiva dell’utente, mai un default.
• La chiusura del banner con la semplice “X”, secondo le indicazioni del Garante, equivale a un rifiuto per i cookie non tecnici, non a un’accettazione implicita.
• Il semplice scorrimento della pagina (scrolling) non è di per sé un consenso valido, salvo che sia parte di un processo più articolato e documentabile.

Per gestire tutto questo in modo tecnicamente corretto serve una Consent Management Platform (CMP) ossia uno strumento che mostra il banner, registra le scelte dell’utente in modo verificabile e blocca l’esecuzione degli script non tecnici finché non arriva il consenso.

L’informativa cookie: cosa deve contenere davvero

L’informativa estesa (la “cookie policy” vera e propria) è un documento distinto dalla privacy policy generale, anche se spesso viene collegata a essa. Deve:

• essere scritta con linguaggio semplice e accessibile, anche per chi usa tecnologie assistive;
• indicare titolare del trattamento, finalità e base giuridica di ogni categoria di cookie;
• riportare una tabella analitica con: nome del cookie, categoria (tecnico, analitico, di profilazione), finalità, soggetto che lo installa (prima o terza parte), durata di conservazione;
• indicare i diritti dell’interessato (accesso, cancellazione, revoca del consenso in qualsiasi momento, reclamo al Garante);
• essere aggiornata ogni volta che cambia la configurazione dei cookie del sito (nuovo pixel, nuovo tool di marketing, nuova integrazione).

Un errore molto comune, riscontrato più volte anche nei controlli del Garante sta nelle informative che descrivono i cookie in modo generico o con terminologia ambigua (ad esempio, cookie di tracciamento pubblicitario descritti genericamente come cookie “di esperienza” o “tecnici”). Un’informativa poco chiara o contraddittoria non è solo un problema di trasparenza può invalidare il consenso stesso, perché l’utente non è stato messo in condizione di capire cosa stava accettando.

Cosa succede se non ti adegui: non è un rischio teorico

Nel 2025 il Garante Privacy ha adottato diversi provvedimenti concreti in materia di cookie, a seguito di verifiche condotte dal Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza, che dal 2022 effettua controlli a campione sui siti web italiani nell’ambito del protocollo d’intesa con il Garante:

• Provvedimento n. 327 del 4 giugno 2025 (doc. web 10152729): a seguito di un accesso a un sito e-commerce, sono state riscontrate diverse non conformità nella gestione dei cookie e degli strumenti di tracciamento.
• Provvedimento del 10 luglio 2025 (doc. web 10162286): il Garante ha ingiunto a una società di riqualificare correttamente le categorie di cookie in uso, in particolare quelli genericamente descritti come cookie “di esperienza”, e ha rivolto un ammonimento formale per informative poco chiare e contraddittorie.
• Diversi altri procedimenti del 2025 si sono conclusi con ammonimenti anche quando l’azienda si era già attivata per rimediare, a conferma che l’attenzione dell’Autorità sui cookie resta alta indipendentemente dalle dimensioni dell’attività.

Il fattore in più nel 2026: Google Consent Mode v2

Chi utilizza Google Ads o Google Analytics deve considerare anche un tassello tecnico, non solo giuridico: Google Consent Mode v2, obbligatorio dal marzo 2024 per chi si rivolge a utenti nello Spazio Economico Europeo con strumenti pubblicitari Google. Il sistema comunica a Google, in base alla scelta espressa nel banner, quali dati può raccogliere e come (storage dei cookie pubblicitari, invio di dati utente, personalizzazione).

Google ha inoltre modificato, a partire dal 15 giugno 2026, le modalità con cui i segnali di consenso influenzano la condivisione dei dati tra Google Analytics 4 e Google Ads. Per i siti che, come spesso accade per PMI e professionisti, si affidano a una CMP (ad esempio Cookiebot) integrata con Consent Mode v2, questo significa una cosa molto concreta: il banner cookie non è più solo un adempimento privacy, ma anche la base tecnica da cui dipende l’affidabilità dei dati di marketing e delle campagne pubblicitarie. Un banner non configurato correttamente, oggi, non espone solo a un rischio Garante: rischia di far perdere anche dati di conversione e di remarketing.

Come adeguare concretamente il tuo sito: i passaggi

Riassumendo in un percorso operativo, ecco cosa serve fare nell’ordine giusto:

1. Audit dei cookie e dei tracker realmente presenti sul sito. Non basta guardare cosa “dovrebbe” esserci: serve una scansione tecnica reale, perché plugin, tool di marketing e integrazioni di terze parti spesso installano cookie che nessuno ha mappato.
2. Scelta e configurazione di una CMP adeguata, che blocchi gli script non tecnici fino al consenso e registri le scelte in modo verificabile.
3. Redazione (o aggiornamento) della cookie policy e della privacy policy, con la tabella analitica dei cookie realmente in uso.
4. Configurazione del banner con le tre opzioni equivalenti (accetta, rifiuta, personalizza) e nessuna casella pre-selezionata.
5. Verifica post-intervento: controllare che il banner blocchi effettivamente gli script prima del consenso, e che la scelta dell’utente venga rispettata alla navigazione successiva.
6. Aggiornamento periodico: ogni volta che cambia uno strumento (nuovo pixel, nuovo plugin, nuova piattaforma di email marketing), la mappatura cookie va rifatta.

Non è burocrazia: è la base della fiducia online

Un banner cookie fatto bene non serve solo a evitare sanzioni. È, prima di tutto, un segnale di serietà verso chi visita il tuo sito: un cliente, un potenziale paziente, un utente che sta valutando se affidarti i suoi dati. In un momento in cui la fiducia digitale è sempre più scarsa, un sito trasparente sul trattamento dei dati è anche un vantaggio competitivo silenzioso, ma reale.

Se non sei sicuro che il tuo sito sia davvero a norma o semplicemente non hai il tempo di verificarlo un audit cookie e CMP dedicato richiede in genere pochi giorni di lavoro e ti mette al riparo da rischi molto concreti.