Blocco automatico degli script: come funziona il blocco pre-consenso
Il blocco automatico degli script (chiamato anche blocco pre-consenso o auto-blocking) impedisce l'esecuzione degli script non essenziali finché l'utente non ha prestato il proprio consenso. Si tratta di un requisito legale ai sensi dell'Articolo 5(3) della Direttiva ePrivacy: nessun cookie o tecnologia di tracciamento può essere installato sul dispositivo di un utente senza previo consenso informato, a meno che non sia strettamente necessario per il servizio richiesto dall'utente.
Senza il blocco automatico, un sito web che carica Google Analytics, Facebook Pixel o qualsiasi script di marketing di terze parti installerà cookie e raccoglierà dati prima che l'utente abbia avuto la possibilità di esprimere una scelta di consenso. Questa è una violazione della conformità, indipendentemente dal fatto che venga mostrato un banner di consenso.
Perché il tagging manuale degli script non è sufficiente
L'approccio tradizionale al caricamento degli script basato sul consenso richiede che gli sviluppatori applichino manualmente un tag a ogni script del sito. Ogni script deve essere modificato per impedirne il caricamento predefinito, per poi essere attivato in modo condizionale quando l'utente acconsente alla categoria pertinente. Questo comporta in genere la modifica di type="text/javascript" in type="text/plain" e l'aggiunta di un attributo data che indica la categoria di consenso.
Questo approccio presenta problemi seri:
- Ogni nuovo script aggiunto al sito deve essere taggato manualmente. Se un team di marketing aggiunge un nuovo pixel di tracciamento tramite un tag manager, questo si attiva senza consenso a meno che qualcuno non si ricordi di configurare la regola di blocco.
- Gli script di terze parti spesso caricano dinamicamente ulteriori script. Bloccare lo script principale non blocca necessariamente gli script secondari che esso avrebbe caricato.
- Gli script inline incorporati nell'HTML della pagina non possono essere facilmente intercettati.
- L'approccio è fragile. Un singolo script sfuggito significa una raccolta dati non conforme.
Come funziona il blocco automatico
Una piattaforma di gestione del consenso con blocco automatico adotta un approccio diverso. Invece di richiedere agli sviluppatori di taggare i singoli script, la CMP intercetta tutto il caricamento degli script a livello di browser e blocca tutto ciò che non è strettamente necessario.
Il processo funziona nel modo seguente:
- La CMP viene caricata come primo script nella sezione
<head>della pagina, prima di qualsiasi altro script. - Intercetta i meccanismi di caricamento degli script del browser, tra cui
document.createElement('script'), l'esecuzione di script inline e gli script iniettati dinamicamente. - Ogni script viene confrontato con un database di classificazione. Gli script provenienti da domini noti di analisi, pubblicità e social media vengono identificati e categorizzati.
- Gli script classificati come non essenziali vengono messi in coda. Non vengono eseguiti, non installano cookie e non effettuano richieste di rete.
- Quando l'utente presta il consenso per una categoria specifica, gli script in coda in quella categoria vengono rilasciati e possono essere eseguiti normalmente.
- Se l'utente rifiuta una categoria, gli script di quella categoria rimangono bloccati per tutta la durata della sessione.
Cosa viene bloccato
Il blocco automatico classifica generalmente gli script in quattro categorie, allineate alle categorie standard di consenso dei cookie:
| Categoria | Esempi | Bloccato prima del consenso |
|---|---|---|
| Strettamente necessari | Processori di pagamento, autenticazione, gestione delle sessioni, la CMP stessa | No (sempre consentiti) |
| Analisi | Google Analytics, Hotjar, Matomo, Plausible | Sì |
| Marketing | Google Ads, Facebook Pixel, LinkedIn Insight, TikTok Pixel | Sì |
| Preferenze | Preferenze linguistiche, personalizzazione dell'interfaccia, strumenti di A/B testing | Sì |
Il problema della tempistica
Affinché il blocco automatico funzioni correttamente, la CMP deve essere il primissimo script che si carica sulla pagina. Se un qualsiasi script non essenziale si carica prima della CMP, verrà eseguito senza consenso. Ecco perché il tag dello script della CMP non deve utilizzare gli attributi defer o async e deve comparire prima di qualsiasi altro script nella sezione <head>.
Questa è la stessa architettura utilizzata da ogni CMP conforme: Cookiebot, OneTrust, CookieYes e Passiro richiedono tutti il caricamento sincrono come primo script nell'head del documento.
Interazione con Google Consent Mode
Il blocco automatico degli script funziona insieme a Google Consent Mode v2. Mentre il Consent Mode regola il comportamento dei tag di Google quando il consenso viene negato (passando a una misurazione senza cookie), il blocco automatico impedisce del tutto l'esecuzione di tutti gli script non essenziali.
I due meccanismi sono complementari: il Consent Mode gestisce i tag di Google in modo elegante (consentendo le conversioni modellate), mentre l'auto-blocking gestisce tutto il resto (pixel di terze parti, widget social, script pubblicitari di fornitori diversi da Google).
Il blocco automatico e Passiro
Passiro include il blocco automatico degli script nel suo widget di consenso gratuito. Quando lo script di Passiro viene caricato, identifica e blocca gli script non essenziali prima che possano essere eseguiti. Non è richiesto alcun tagging manuale degli script.
Il database di classificazione si basa sulla blocklist della community EasyPrivacy (GPL-3.0), che copre circa 4.900 domini di tracker, analisi e pubblicità e viene aggiornata quotidianamente. Si tratta di un elenco sostanzialmente più ampio rispetto alle liste curate proprietarie utilizzate dalla maggior parte delle CMP commerciali — Cookiebot, OneTrust e altri si affidano in genere a database di un ordine di grandezza inferiore.
Combinato con IAB TCF v2.3 e Google Consent Mode v2, il blocco automatico garantisce che nessun dato venga raccolto prima che il consenso sia stato prestato, soddisfacendo i requisiti dell'Articolo 5(3) della ePrivacy e dell'Articolo 6 del GDPR.
Il tuo sito web è conforme alle normative sui cookie?
Scansiona il tuo sito web gratuitamente e trova tutti i cookie in pochi minuti.
Scansiona i tuoi cookie gratis