fabio ciabattini logo
fabio ciabattini logo

Cookie banner, privacy e tracciamento: cosa rischia davvero un sito non conforme

Quando si parla di privacy online, molte aziende pensano ancora a un adempimento formale: una pagina privacy policy, un banner cookie, una checkbox nel form contatti e il problema sembra risolto.

In realtà non è così.

Oggi la privacy di un sito web non riguarda solo i documenti pubblicati nel footer. Riguarda il modo in cui il sito si comporta quando una persona entra, naviga, compila un modulo, clicca su un annuncio, viene tracciata da Google Analytics, da Meta Pixel, da Google Ads, da strumenti di remarketing o da altre piattaforme pubblicitarie.

Il punto centrale è semplice: prima ancora di chiedersi se un sito “ha la privacy policy”, bisognerebbe chiedersi se quel sito rispetta davvero le scelte dell’utente.

Perché un conto è scrivere che l’utente può scegliere. Un altro è fare in modo che tecnicamente quella scelta venga rispettata.

Ed è qui che molti siti aziendali, anche di piccole e medie imprese, iniziano ad avere problemi.

Il cookie banner non è un elemento decorativo

Il banner cookie non è una finestra fastidiosa da chiudere in fretta. È uno strumento giuridico e tecnico attraverso il quale l’utente deve poter esprimere una scelta libera, informata e consapevole.

Le Linee guida cookie del Garante Privacy, adottate nel 2021, hanno chiarito che per i cookie tecnici non serve il consenso, mentre per cookie di profilazione, marketing e altri strumenti di tracciamento non tecnici serve una manifestazione di volontà valida da parte dell’utente.

Questo significa che un sito può usare i cookie necessari al proprio funzionamento, ma non può installare o attivare strumenti di profilazione pubblicitaria prima che l’utente abbia prestato il consenso.

Il problema è che molti banner sono ancora costruiti con una logica sbagliata: rendono facilissimo accettare tutto e molto più difficile rifiutare.

Da un punto di vista commerciale può sembrare comodo. Da un punto di vista privacy è un rischio.

Il consenso deve essere una scelta, non una trappola grafica

Uno degli errori più frequenti è il banner con il pulsante “Accetto” molto evidente e le alternative nascoste, deboli o poco chiare.

Per esempio:

  • “Accetto” in colore pieno e molto visibile;
  • “Impostazioni” in testo piccolo o secondario;
  • nessun pulsante “Rifiuta tutto” nel primo livello;
  • una X ambigua;
  • preferenze già orientate verso l’accettazione;
  • percorsi lunghi per negare il consenso.

Questo tipo di impostazione può essere interpretato come una spinta verso l’accettazione. In pratica, il sito non sta davvero mettendo l’utente nelle condizioni di scegliere liberamente.

Il consenso, invece, deve essere libero. Se l’interfaccia è costruita per far accettare l’utente quasi per inerzia, il consenso rischia di non essere valido.

Un banner corretto dovrebbe permettere almeno tre azioni chiare:

  1. accettare tutti i cookie non necessari;
  2. rifiutare tutti i cookie non necessari;
  3. personalizzare le preferenze.
cmp

Il pulsante “Rifiuta tutto” dovrebbe essere visibile già nel primo livello del banner, con pari dignità rispetto ad “Accetta tutto”. Non deve essere nascosto dentro due o tre schermate.

La X del banner: attenzione all’ambiguità

Un altro punto delicato riguarda la X di chiusura del banner.

Non bisogna semplificare troppo dicendo che la X sia sempre vietata. Il Garante, nelle proprie comunicazioni, ha indicato la possibilità per l’utente di proseguire la navigazione senza essere tracciato anche chiudendo il banner, ad esempio tramite una X.

Il problema nasce quando la X è ambigua.

Se l’utente clicca sulla X, deve essere chiaro cosa sta succedendo. Sta chiudendo il banner? Sta rifiutando i cookie? Sta mantenendo le impostazioni di default? Il sito continua senza attivare cookie non tecnici?

Questa distinzione non è banale.

La soluzione più pulita, soprattutto per una PMI che non vuole esporsi a contestazioni, è prevedere un pulsante esplicito: “Rifiuta tutto” o “Continua senza accettare”.

La X può anche rimanere, ma non dovrebbe essere l’unico meccanismo sostanziale di rifiuto, soprattutto se l’utente non capisce chiaramente quale effetto produce.

In privacy, l’ambiguità non aiuta mai.

I cookie di profilazione non devono partire prima del consenso

Qui si entra nella parte più importante: quella tecnica.

Molti siti hanno un banner apparentemente corretto, ma appena l’utente entra nella pagina partono già Google Analytics, Meta Pixel, Google Ads, tag di remarketing, script di terze parti o strumenti di tracciamento.

Questo è il vero problema.

Perché non basta mostrare un banner. Bisogna verificare cosa succede prima che l’utente clicchi.

Se i cookie pubblicitari o gli strumenti di profilazione partono prima del consenso, il banner diventa quasi una scenografia. L’utente pensa di poter scegliere, ma intanto il tracciamento è già iniziato.

Il principio operativo dovrebbe essere questo:

  • prima del consenso devono partire solo cookie tecnici o strumenti realmente necessari;
  • i tag di marketing, profilazione, remarketing e pubblicità personalizzata devono restare bloccati;
  • solo dopo il consenso possono essere attivati.

Questo vale per Meta Pixel, Google Ads, strumenti di remarketing, sistemi di heatmap, piattaforme di advertising e, più in generale, per tutto ciò che tratta dati per finalità non strettamente tecniche.

Consent Mode v2: non è il banner, è il collegamento tra consenso e tracciamento

Negli ultimi anni si parla molto di Google Consent Mode v2. Spesso però viene trattato come se fosse “il banner cookie”. Non lo è.

Consent Mode è il sistema con cui i tag Google ricevono e interpretano lo stato del consenso dell’utente. In sostanza, comunica a Google se l’utente ha accettato o rifiutato determinate finalità.

I parametri principali da verificare sono:

  • ad_storage;
  • analytics_storage;
  • ad_user_data;
  • ad_personalization.

Google indica che questi parametri servono a gestire rispettivamente archiviazione pubblicitaria, archiviazione analytics, invio di dati utente per finalità pubblicitarie e personalizzazione degli annunci.

Per i siti che operano in Europa, la configurazione prudente prevede che lo stato iniziale sia impostato su “denied”, cioè rifiutato, prima dell’interazione dell’utente. Solo dopo un consenso valido lo stato può essere aggiornato a “granted”, cioè concesso.

impara ad usare bene la ai

 

Google stessa, nelle istruzioni di verifica con Tag Assistant, indica di controllare che i parametri di consenso siano impostati e che il valore predefinito nella pagina sia “Rifiutato”, per poi verificare l’aggiornamento dopo l’interazione dell’utente con il banner.

Questo passaggio è fondamentale perché mette insieme due mondi che spesso non dialogano: la parte legale e la parte tecnica.

Il consulente privacy può scrivere un’informativa corretta, ma se poi il sito attiva i tag prima del consenso, il problema resta. Allo stesso modo, lo sviluppatore può installare un plugin cookie, ma se non configura correttamente GTM, GA4, Meta Pixel e Consent Mode, il sito può continuare a tracciare in modo non conforme.

“Lo fanno tutti così” non è una difesa

Una frase che si sente spesso è: “Abbiamo sempre fatto così”.

Oppure: “Il nostro sviluppatore dice che va bene”.

Oppure ancora: “Il plugin è installato, quindi siamo a posto”.

Il problema è che la conformità non dipende dal fatto che un plugin sia presente. Dipende da come è configurato e da cosa succede davvero nel sito.

Un banner cookie non conforme può nascere da molti errori pratici:

  • template grafico vecchio;
  • CMP configurata male;
  • Google Tag Manager non collegato al consenso;
  • tag pubblicitari che partono su “All Pages”;
  • script inseriti direttamente nel codice del sito;
  • plugin WordPress che caricano risorse esterne;
  • iframe, mappe, video o widget social caricati prima del consenso;
  • checkbox generiche nei form;
  • privacy policy non aggiornata rispetto agli strumenti realmente usati.

Il fatto che questi errori siano comuni non li rende corretti.

Anzi, li rende più pericolosi, perché molte aziende sono convinte di essere a posto quando in realtà hanno solo una copertura apparente.

Il form contatti: non serve sempre il consenso

Un altro errore molto diffuso riguarda i form di contatto.

Molti siti inseriscono una checkbox generica con scritto: “Acconsento al trattamento dei dati personali”.

Sembra una formula prudente, ma spesso è impostata male.

Se una persona compila un form per chiedere informazioni su un immobile, un servizio, una consulenza o un preventivo, il trattamento dei dati serve per rispondere alla sua richiesta. In molti casi la base giuridica non è il consenso, ma l’esecuzione di misure precontrattuali o la gestione della richiesta dell’interessato.

Tradotto: se una persona ti scrive per essere ricontattata, non devi “vendere” il ricontatto come se fosse marketing. Devi informarla correttamente su come userai i suoi dati per rispondere alla richiesta.

Il consenso diventa invece necessario quando vuoi usare quei dati per finalità diverse.

Per esempio:

  • iscrizione a newsletter;
  • invio di comunicazioni promozionali;
  • campagne marketing successive;
  • profilazione;
  • comunicazioni commerciali non direttamente legate alla richiesta originaria.

In questi casi il consenso deve essere separato, specifico, libero e non pre-selezionato.

Quindi, nel form, sarebbe meglio distinguere:

  • informativa privacy per il trattamento necessario alla gestione della richiesta;
  • eventuale checkbox separata per marketing o newsletter;
  • eventuale checkbox separata per profilazione, se prevista;
  • nessuna casella marketing precompilata.

Una sola checkbox generica per tutto non è una buona soluzione.

Il rischio sanzioni: meno teatro, più realtà

Quando si parla di GDPR, molti citano subito la famosa soglia dei 20 milioni di euro o del 4% del fatturato mondiale annuo.

È vero: l’articolo 83 del GDPR prevede, per determinate violazioni, sanzioni amministrative fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo dell’esercizio precedente, applicando l’importo più elevato.

Ma per una PMI, un’agenzia immobiliare, uno studio professionale o una piccola azienda, il rischio realistico non è normalmente la maxi-sanzione teorica.

Il rischio realistico è più concreto:

  • un reclamo da parte di un utente;
  • un controllo;
  • una richiesta di chiarimenti;
  • l’obbligo di adeguarsi in tempi rapidi;
  • una sanzione proporzionata alla gravità della violazione;
  • un costo tecnico e legale non previsto;
  • un danno reputazionale;
  • la sospensione o revisione di attività pubblicitarie e tracciamenti.

In altre parole: il punto non è terrorizzare l’imprenditore con i 20 milioni. Il punto è spiegargli che sistemare correttamente il sito costa molto meno che gestire una contestazione.

Il Garante è già intervenuto su cookie, banner e tracciamenti

Il tema non è teorico.

Il Garante Privacy è intervenuto più volte su cookie, strumenti di tracciamento, marketing e profilazione.

In alcuni provvedimenti recenti sono stati contestati banner nei quali mancavano meccanismi adeguati per chiudere il banner o proseguire senza cookie non tecnici, oppure nei quali l’unica azione realmente disponibile per l’utente era prestare il consenso.

In un altro caso, il Garante ha rilevato criticità in un banner che presentava un solo tasto di accettazione, senza possibilità di personalizzare o rifiutare i consensi e senza possibilità di proseguire mantenendo le impostazioni predefinite.

Sono casi utili perché mostrano un principio molto pratico: non basta informare l’utente. Bisogna anche dargli una possibilità reale, semplice e non manipolata di scegliere.

Google Analytics, trasferimenti extra UE e strumenti di terze parti

Un altro tema delicato riguarda gli strumenti di terze parti, soprattutto quando i dati possono essere trasferiti fuori dall’Unione Europea.

Negli anni passati il Garante è intervenuto anche sull’uso di Google Analytics in relazione al trasferimento di dati verso gli Stati Uniti, richiedendo specifiche tutele e valutazioni. Tra i casi noti ci sono provvedimenti che hanno riguardato l’uso di Google Analytics e Google Analytics 360.

Questo non significa che ogni uso di Google Analytics sia automaticamente vietato. Significa però che gli strumenti installati sul sito non possono essere considerati neutri.

Ogni piattaforma esterna va valutata per:

  • quali dati raccoglie;
  • per quali finalità;
  • su quale base giuridica;
  • dove vengono trasferiti i dati;
  • chi sono i soggetti terzi coinvolti;
  • se il consenso è necessario;
  • se il consenso viene raccolto correttamente;
  • se i tag rispettano davvero lo stato del consenso.

Per chi fa advertising, questa verifica è ancora più importante.

Google Ads, Meta Ads, remarketing, conversion tracking, pubblici personalizzati e tracciamenti avanzati sono strumenti utilissimi per misurare e ottimizzare le campagne. Ma proprio perché trattano dati rilevanti per finalità pubblicitarie, devono essere configurati con attenzione.

Il problema non è la privacy. Il problema è la superficialità

Molte aziende vedono la privacy come un ostacolo al marketing.

È una lettura miope.

La privacy non impedisce di fare marketing. Impedisce di farlo in modo opaco, disordinato o tecnicamente fuori controllo.

Un’azienda può continuare a fare campagne Google, Meta, remarketing, analytics e lead generation. Ma deve sapere cosa sta facendo.

Deve sapere quali tag sono installati. Deve sapere quando partono. Deve sapere cosa succede se l’utente rifiuta. Deve sapere se il form raccoglie solo dati per il ricontatto o anche consensi marketing. Deve sapere se la piattaforma cookie dialoga davvero con Google Tag Manager.

Il punto non è bloccare il marketing.

Il punto è renderlo sostenibile.

Cosa dovrebbe controllare subito un’azienda

Per ridurre il rischio, il primo controllo dovrebbe essere molto concreto.

Un sito aziendale dovrebbe verificare almeno questi punti:

  1. Il banner cookie mostra un pulsante “Accetta tutto” e un pulsante “Rifiuta tutto” con pari evidenza?
  2. L’utente può personalizzare le preferenze in modo semplice?
  3. La X, se presente, è chiara nel suo effetto?
  4. I cookie non tecnici restano bloccati prima del consenso?
  5. I tag Google, Meta e altri script pubblicitari rispettano lo stato del consenso?
  6. Consent Mode v2 è configurata correttamente?
  7. Lo stato iniziale dei consensi è “denied” dove necessario?
  8. Dopo il consenso, i parametri vengono aggiornati correttamente?
  9. Il form contatti distingue tra richiesta di informazioni e marketing?
  10. Le checkbox marketing sono separate e non pre-selezionate?
  11. La privacy policy descrive davvero gli strumenti usati?
  12. La cookie policy è coerente con i cookie effettivamente presenti?
  13. Gli iframe, i video, le mappe e i widget social sono gestiti correttamente?
  14. Esiste una prova tecnica di come si comporta il sito prima e dopo il consenso?

Questi controlli non dovrebbero essere fatti “a occhio”.

Servono test tecnici con strumenti come browser developer tools, Tag Assistant, scansioni cookie, verifica di Google Tag Manager e controllo degli script caricati prima dell’interazione.

Perché molte implementazioni sono sbagliate

La ragione è semplice: spesso il sito viene costruito a pezzi.

Lo sviluppatore installa il tema. Poi aggiunge Google Analytics. Poi il cliente chiede Meta Pixel. Poi arriva Google Ads. Poi si inserisce un plugin cookie. Poi qualcuno aggiunge una chat, una mappa, un video YouTube, un modulo esterno, un sistema di prenotazione o un CRM.

Dopo due anni nessuno sa più esattamente cosa parte, quando parte e perché.

Il banner cookie resta lì, ma sotto il cofano il sito è diventato un insieme di script stratificati.

È per questo che una verifica privacy seria non può limitarsi alla grafica del banner. Deve guardare il comportamento reale del sito.

Quanto costa non sistemare il problema

Il costo dell’adeguamento dipende dalla complessità del sito, ma nella maggior parte dei casi è inferiore al costo di una contestazione.

Per una PMI o un’agenzia immobiliare, sistemare correttamente banner, Consent Mode, GTM, cookie policy e form contatti è un’attività gestibile.

Ignorare il problema, invece, può produrre costi molto più fastidiosi:

  • interventi urgenti;
  • consulenze legali;
  • blocco o revisione delle campagne;
  • perdita di dati affidabili;
  • sanzioni;
  • reclami;
  • cattiva reputazione;
  • rapporti tesi con clienti o utenti.

Il vero spreco non è adeguarsi. Il vero spreco è continuare a investire in advertising su un’infrastruttura di tracciamento fragile.

Privacy e performance devono lavorare insieme

Nel marketing digitale moderno non esiste più una separazione netta tra privacy e performance.

Un tracciamento non conforme è anche un tracciamento fragile. Un consenso gestito male può compromettere la qualità dei dati. Una Consent Mode configurata male può rendere meno affidabili conversioni, segmenti, pubblici e ottimizzazioni.

Chi lavora seriamente su Google Ads, Meta Ads, GA4 e remarketing non può trattare la privacy come una pratica da lasciare “al legale” o “allo sviluppatore”.

Serve un approccio integrato:

  • legale, per definire basi giuridiche, informative e consensi;
  • tecnico, per configurare banner, CMP, GTM e tag;
  • marketing, per capire quali strumenti servono davvero;
  • analitico, per verificare che i dati raccolti siano utilizzabili e coerenti.

La privacy non è il contrario della performance. È una condizione per costruire performance più solide.

In poche parole

Navigare su un sito web dovrebbe essere un’esperienza trasparente. L’utente deve sapere, almeno nelle linee essenziali, se viene tracciato, per quali finalità e con quali strumenti.

Soprattutto, deve poter scegliere.

Per le aziende, il tema non va affrontato con paura, ma con metodo. Un banner cookie corretto, una Consent Mode configurata bene, form contatti chiari e consensi separati non sono dettagli burocratici. Sono elementi di affidabilità.

Il messaggio da portare a casa è semplice: non basta avere un banner. Bisogna avere un sistema che rispetti davvero la scelta dell’utente.

E se oggi un sito accetta tutto con un clic, ma rende difficile rifiutare, o se i tag pubblicitari partono prima del consenso, il problema non è solo legale. È anche culturale.

Perché la fiducia online non si costruisce dicendo agli utenti che possono scegliere.

Si costruisce facendo in modo che quella scelta venga rispettata davvero.

 

Fonti e riferimenti

Esperto di advertising digitale. Motivatore, strategico e creativo, aiuta a ottimizzare budget evitando sprechi. Offre supporto e soluzioni personalizzate per crescita, lead di qualità e risultati immediati.

Invia commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *