Banner dei cookie: la guida completa

Un banner dei cookie è l'interfaccia tra il tuo sito web e il diritto alla privacy dei tuoi visitatori. È il meccanismo attraverso il quale ottieni — o non riesci a ottenere — un consenso legalmente valido per i cookie non essenziali. Farlo correttamente non è facoltativo: è un obbligo di legge in tutta l'Unione Europea e in un numero crescente di giurisdizioni nel mondo.

Questa guida illustra cosa sono i banner dei cookie, perché esistono, cosa richiede la legge e come implementarne uno che sia al tempo stesso conforme e intuitivo per gli utenti.

Che cos'è un banner dei cookie?

Un banner dei cookie è un elemento dell'interfaccia utente — solitamente visualizzato quando un visitatore arriva per la prima volta sul tuo sito web — che informa l'utente sull'utilizzo di cookie e tecnologie di tracciamento simili da parte del sito e offre all'utente un meccanismo per concedere o negare il consenso.

Il termine "banner dei cookie" è piuttosto informale. In termini giuridici si tratta di un'interfaccia di gestione del consenso. Esiste a causa di due normative UE che si intersecano:

• La Direttiva ePrivacy (2002/58/CE), Articolo 5(3) — richiede un consenso preventivo prima di memorizzare o accedere alle informazioni sul dispositivo di un utente (con limitate eccezioni per i cookie strettamente necessari).
• Il Regolamento generale sulla protezione dei dati (GDPR), Articoli 4(11) e 7 — definisce cosa costituisce un consenso valido: deve essere prestato liberamente, in modo specifico, informato e inequivocabile, tramite un'azione positiva chiara.

Nell'insieme, queste leggi implicano che prima di impostare un cookie di analisi, un pixel di marketing o qualsiasi altro tracciatore non essenziale, devi chiederlo all'utente e ricevere un chiaro "sì".

Requisiti legali per i banner dei cookie

Un banner dei cookie conforme non è una semplice notifica: è un meccanismo di consenso. Il Comitato europeo per la protezione dei dati (EDPB) e le autorità nazionali di protezione dei dati hanno emanato linee guida dettagliate su ciò che i banner devono includere. Ecco i requisiti irrinunciabili:

Cosa deve essere mostrato

1. Una descrizione chiara delle finalità. Gli utenti devono capire perché vengono utilizzati i cookie, non solo che esistono. "Utilizziamo i cookie per migliorare la tua esperienza" non è sufficiente. Devi spiegare le finalità specifiche: analisi, pubblicità, personalizzazione, integrazione con i social media.
2. Un pulsante di accettazione. Un'azione positiva e chiara per acconsentire ai cookie non essenziali.
3. Un pulsante di rifiuto (o equivalente). Gli utenti devono poter rifiutare i cookie non essenziali con la stessa facilità. La CNIL (Francia), l'autorità danese per la protezione dei dati (Datatilsynet) e l'EDPB hanno tutte confermato: rifiutare i cookie deve essere facile quanto accettarli.
4. Un link alle impostazioni o alle preferenze sui cookie. Gli utenti devono poter effettuare scelte granulari — accettando alcune categorie di cookie e rifiutandone altre.
5. Un link alla tua cookie policy. Il banner deve fornire l'accesso a informazioni dettagliate sui cookie utilizzati, le loro finalità, la durata e se sono di prima o di terza parte.
6. L'identità del titolare del trattamento. Gli utenti devono sapere chi raccoglie i loro dati.

Cosa non deve accadere

• I cookie non essenziali non devono essere impostati prima che l'utente effettui una scelta.
• Il consenso non deve essere desunto dallo scorrimento, dalla navigazione continuata o dall'inazione.
• Le caselle di controllo preselezionate non costituiscono un consenso valido (confermato dalla CGUE nella sentenza Planet49, causa C-673/17).
• I cookie wall — che bloccano l'accesso al sito a meno che l'utente non presti il consenso — sono generalmente vietati, sebbene in alcune giurisdizioni esistano eccezioni limitate.

Tipi di banner dei cookie

Non tutti i banner dei cookie sono uguali. Il tipo di cui hai bisogno dipende dalla tua giurisdizione, dai cookie che utilizzi e dal livello di conformità che intendi raggiungere.

Banner di sola notifica

Questi si limitano a informare l'utente che vengono utilizzati cookie, spesso con un unico pulsante "OK" o "Ho capito". I banner di sola notifica non sono conformi alla normativa UE. Erano comuni agli albori della regolamentazione sui cookie, ma non soddisfano lo standard del GDPR in materia di consenso. Se il tuo sito web si rivolge a utenti dell'UE, un banner di sola notifica rappresenta un rischio legale.

Banner opt-in (consent-first)

Lo standard di riferimento per la conformità all'UE. Nessun cookie non essenziale viene impostato finché l'utente non presta un consenso positivo. Il banner presenta opzioni chiare di accettazione e rifiuto e, idealmente, un link alle impostazioni granulari. È il modello richiesto dalla Direttiva ePrivacy, come interpretata alla luce del GDPR.

Banner a livelli

Un approccio a livelli presenta le informazioni essenziali sul primo livello (il banner stesso) e le informazioni dettagliate su un secondo livello (un pannello delle preferenze o una pagina delle impostazioni). È l'approccio raccomandato dall'EDPB e dalla maggior parte delle autorità di protezione dei dati. Bilancia trasparenza e usabilità: gli utenti ricevono subito le informazioni chiave, con la possibilità di approfondire.

Un banner a livelli ben implementato mostra tipicamente:

• Primo livello: breve descrizione delle finalità, pulsante di accettazione, pulsante di rifiuto, link "Gestisci le preferenze".
• Secondo livello: suddivisione categoria per categoria con interruttori, descrizioni dettagliate ed elenco dei cookie specifici presenti in ciascuna categoria.

Posizionamento del banner

La posizione in cui collochi il banner dei cookie influisce sia sulla conformità che sull'esperienza utente. Le posizioni più comuni includono:

L'EDPB non ha prescritto un posizionamento specifico, ma il banner deve essere chiaramente visibile e non facilmente ignorabile. Una finestra modale centrale o una barra inferiore in evidenza sono le scelte più sicure dal punto di vista della conformità. Un piccolo widget d'angolo che gli utenti ignorano abitualmente potrebbe non soddisfare lo standard di informazione "chiara e in evidenza".

Cosa deve includere un banner conforme

In sintesi, un banner che soddisfa gli attuali standard UE deve includere questi elementi:

1. Descrizione delle finalità: una spiegazione concisa del perché vengono utilizzati i cookie, organizzata per categoria (necessari, analisi, marketing, preferenze).
2. Pulsante "Accetta tutti": chiaramente etichettato, che concede il consenso a tutte le categorie di cookie non essenziali.
3. Pulsante "Rifiuta tutti": altrettanto in evidenza quanto il pulsante di accettazione — stesse dimensioni, stesso peso visivo, stesso livello di accessibilità.
4. Link "Gestisci le preferenze / Impostazioni": apre un secondo livello in cui gli utenti possono effettuare scelte categoria per categoria.
5. Link alla cookie policy: collega a un documento dettagliato di cookie policy.
6. Link alla privacy policy: collega alla privacy policy completa del sito (può essere combinato con il link alla cookie policy).

Errori comuni nell'implementazione dei banner dei cookie

Anche implementazioni ben intenzionate contengono spesso errori che compromettono la conformità:

• Impostare i cookie prima del consenso. L'errore più comune e più grave. Se i tuoi tag di analisi o pubblicitari si attivano al caricamento della pagina, prima che l'utente interagisca con il banner, sei in violazione. Il consenso deve essere ottenuto prima che i cookie vengano impostati.
• Assenza del pulsante di rifiuto. Offrire solo "Accetta" e "Impostazioni" non è sufficiente. Gli utenti devono poter rifiutare tutti i cookie non essenziali dal primo livello, con un'unica azione.
• Manipolazione visiva. Rendere il pulsante di accettazione grande e verde mentre l'opzione di rifiuto è un piccolo link testuale è un dark pattern. Le autorità di protezione dei dati hanno comminato sanzioni significative per questa pratica.
• Descrizioni delle finalità vaghe. "Utilizziamo i cookie per migliorare la tua esperienza" non dice nulla all'utente. Sii specifico: analisi, pubblicità mirata, contenuti incorporati dai social media, test A/B.
• Ignorare il consenso nelle pagine successive. Il consenso (o il rifiuto) deve persistere durante l'intera sessione e in tutte le visite. Se un utente rifiuta i cookie sulla homepage, quella scelta deve essere rispettata su ogni pagina successiva.
• Non fornire un modo per modificare le preferenze. Gli utenti devono poter revocare il consenso in qualsiasi momento, con la stessa facilità con cui lo hanno prestato (GDPR Articolo 7(3)). Dovrebbe essere sempre disponibile un link permanente alle impostazioni — spesso una piccola icona nell'angolo della pagina.
• Non aggiornare quando i cookie cambiano. Se aggiungi un nuovo strumento di marketing, le categorie del banner e la cookie policy devono essere aggiornate. Un consenso obsoleto non è un consenso valido.

Prestazioni del banner e della pagina

I banner dei cookie occupano una posizione critica: si caricano a ogni prima visita, su ogni pagina. Un banner implementato male può degradare in modo significativo le prestazioni del tuo sito, incidendo sui Core Web Vitals e, di conseguenza, sul tuo posizionamento nei motori di ricerca.

Considerazioni chiave sulle prestazioni:

• Peso dello script. Lo script di una piattaforma di gestione del consenso (CMP) dovrebbe essere il più leggero possibile. Script pesanti che caricano dipendenze aggiuntive possono aggiungere centinaia di millisecondi al tempo di caricamento della pagina. Punta a meno di 30 KB gzippati per lo script del banner.
• Blocco del rendering. Lo script del banner deve caricarsi in modo asincrono. Non deve mai bloccare il rendering dei contenuti della tua pagina. Gli utenti dovrebbero vedere il tuo sito caricarsi mentre appare il banner.
• Spostamento del layout. Un banner che spinge i contenuti verso il basso o fa saltare gli elementi peggiorerà il tuo punteggio di Cumulative Layout Shift (CLS). Usa un posizionamento fisso o in overlay per evitare spostamenti del layout.
• Gestione dei tag. Il banner deve integrarsi con il tuo tag manager per caricare condizionatamente gli script in base al consenso. I tag che si attivano prima della verifica del consenso rappresentano un problema sia legale che di prestazioni — caricano risorse non necessarie.

L'approccio migliore è una soluzione di banner progettata per le prestazioni fin dalle fondamenta: JavaScript minimo, nessuna dipendenza esterna, caricamento asincrono e stretta integrazione con la gestione dei tag.

L'approccio di Passiro al consenso ai cookie

Il banner di consenso di Passiro è progettato per soddisfare tutti i requisiti descritti in questa pagina — e per farlo senza compromettere le prestazioni del tuo sito. Il nostro script del banner pesa meno di 15 KB gzippati, si carica in modo asincrono, supporta Google Consent Mode v2 e offre da subito un'interfaccia di consenso pienamente accessibile e conforme allo standard WCAG AA. Passiro è registrata presso IAB Europe come CMP ID 499, il che consente la generazione di TC String valide e la piena partecipazione al framework IAB TCF v2.3.

Ci occupiamo noi della complessità legale, così tu puoi concentrarti sul tuo business. Passiro analizza automaticamente il tuo sito alla ricerca di cookie, li classifica, genera una configurazione del banner conforme e mantiene tutto sincronizzato man mano che il tuo sito evolve.

Scopri come Passiro può aiutarti a raggiungere la conformità in materia di cookie.