GDPR e cookie: Cosa deve fare il tuo sito web

Due verifiche: accesso al dispositivo e dati personali

Verifica 1: archiviazione o lettura di informazioni sul dispositivo. Nell’UE questa norma deriva dall’articolo 5, paragrafo 3, della direttiva ePrivacy, come recepito nella legge di ciascun paese; nel Regno Unito, dalla regulation 6 delle PECR. Il consenso è necessario salvo che si applichi un’eccezione, che le informazioni siano o meno dati personali. Le Linee guida 2/2023 dell’EDPB mostrano che la norma può riguardare pixel di tracciamento, link di tracciamento e identificatori univoci, non solo i cookie.

Verifica 2: trattamento dei dati personali. Il GDPR, o lo UK GDPR nel Regno Unito, disciplina ciò che fai con i dati personali: base giuridica, trasparenza, conservazione, condivisione, trasferimenti e diritti degli interessati. Gli ID dei cookie e gli indirizzi IP possono essere dati personali.

Spesso entrambe le verifiche riguardano lo stesso strumento. Uno script di analisi che imposta un cookie e invia i dati della visita a un fornitore deve superare le norme sull’accesso al dispositivo, di solito tramite il consenso, e ha bisogno di una base giuridica ai sensi del GDPR per ciò che segue. Il legittimo interesse non può sostituire il consenso richiesto dalle norme sull’accesso al dispositivo, e il consenso ai cookie non risolve le questioni di conservazione, trasferimenti o usi successivi.

Il GDPR dell’UE si applica ai trattamenti effettuati nell’ambito delle attività di uno stabilimento nell’UE e alle organizzazioni di altri paesi che offrono beni o servizi a persone nell’UE o ne monitorano il comportamento nell’UE. Il semplice fatto che un sito sia accessibile dall’Europa non basta a risolvere la questione. Lo UK GDPR segue lo stesso modello per il Regno Unito, quindi valuta entrambi se servi entrambi i mercati.

Le dimensioni non sono un’esenzione: anche una piccola impresa può trattare dati personali tramite moduli, account, strumenti di analisi e pubblicità. La guida dell’EDPB per le piccole imprese spiega che serve una base giuridica per ogni finalità.

Dove le norme UE e britanniche divergono

Le norme sull’accesso al dispositivo derivano dalla stessa direttiva UE, ma da allora il Regno Unito ha modificato le PECR. Verifica separatamente i visitatori UE e britannici prima di avvalerti di un’eccezione.

Norme UE e britanniche a confronto
Tema	Unione europea	Regno Unito
Fonte normativa	Unione europeaArticolo 5, paragrafo 3, della direttiva ePrivacy come recepito a livello nazionale, più il GDPR.	Regno UnitoRegulation 6 e Schedule A1 delle PECR, più lo UK GDPR.
Eccezioni principali	Unione europeaTrasmissione di una comunicazione, e archiviazione o accesso strettamente necessari per un servizio richiesto dall’utente.	Regno UnitoLe stesse due, con esempi come sicurezza, prevenzione delle frodi e memorizzazione delle selezioni.
Analisi statistiche e preferenze	Unione europeaNessuna eccezione specifica nella direttiva; gli approcci nazionali variano.	Regno UnitoEccezioni condizionate per le statistiche e per l’aspetto o la funzionalità, in vigore dal 5 febbraio 2026.
Autorità di controllo	Unione europeaAutorità nazionali di protezione dei dati per il GDPR; le norme sui cookie possono essere di competenza di un’altra autorità nazionale.	Regno UnitoL’Information Commissioner’s Office (ICO) per entrambi.
Sanzioni massime	Unione europeaGDPR: fino a 20 milioni di euro o il 4% del fatturato mondiale annuo. Le sanzioni per le norme sui cookie sono stabilite a livello nazionale.	Regno UnitoFino a 17,5 milioni di sterline o il 4% del fatturato globale, ai sensi dello UK GDPR e ora anche delle PECR.

Nell’UE, l’EDPB lascia al diritto nazionale e alle autorità nazionali la definizione della portata delle eccezioni. Le analisi statistiche mostrano la differenza: le autorità danesi affermano che le statistiche dei siti web richiedono il consenso, mentre alcune autorità di controllo, come la CNIL francese, accettano un’esenzione ristretta per una misurazione limitata dell’audience.

Nel Regno Unito, il Data (Use and Access) Act 2025 ha introdotto eccezioni per le statistiche, per l’aspetto o la funzionalità e per la localizzazione di un dispositivo in caso di emergenza. Le linee guida dell’ICO ne fissano i limiti: la finalità deve essere l’unica, i visitatori devono ricevere informazioni chiare e un modo gratuito e semplice per opporsi, e l’opposizione interrompe l’archiviazione o l’accesso. La profilazione, il tracciamento tra servizi diversi e tutto ciò che riguarda la pubblicità online richiedono ancora il consenso.

Ottobre 2026: la proposta Digital Omnibus della Commissione europea modificherebbe le norme UE sui cookie, comprese le eccezioni al consenso. È ancora in fase di iter legislativo, quindi si applicano le norme nazionali vigenti.

Cosa deve fare il tuo sito web

Mappa le finalità prima di scegliere le categorie del banner

Elenca ogni strumento e ciò che fa realmente: fornire il servizio richiesto, statistiche, misurazione pubblicitaria o creazione di segmenti di pubblico. Per ogni finalità, registra dati, destinatari, periodo di conservazione e base giuridica. Rimuovi gli strumenti privi di una finalità chiara.

Usi prodotti pubblicitari o di misurazione di Google con visitatori nel SEE o nel Regno Unito? Le norme di Google aggiungono requisiti su consenso, informative e registrazioni: consulta la nostra guida alla EU User Consent Policy di Google.

Rendi il consenso una scelta reale

Dove il consenso è richiesto, chiedilo prima che l’attività inizi, spiega ogni finalità e lascia disattivate le impostazioni facoltative. Scorrere la pagina, restare in silenzio o continuare a navigare non equivale a prestare il consenso, come spiegano le linee guida dell’EDPB sul consenso. Offri un’opzione di rifiuto chiara quanto quella di accettazione e un link sempre disponibile alle impostazioni: il GDPR richiede che revocare il consenso sia facile quanto prestarlo.

Collega la scelta a ciò che viene effettivamente eseguito

Una preferenza salvata serve solo se il sito la rispetta. Controlla gli script del tag manager, i plugin, i video incorporati e gli altri widget, non solo che il banner scompaia. Spostare la raccolta su un server non sottrae i dati al GDPR.

Spiega il percorso dei dati e gestisci i diritti

Le informazioni sulla privacy devono indicare chi è il titolare del trattamento, finalità e basi giuridiche, destinatari, conservazione, diritti e trasferimenti internazionali, usando gli stessi nomi e le stesse finalità del banner e della dichiarazione sui cookie. Definisci una procedura per le richieste di esercizio dei diritti. Non tutti i diritti sono assoluti, quindi valuta ogni richiesta invece di promettere la cancellazione automatica.

Cosa cambia per i tuoi report

Se meno visitatori accettano le analisi facoltative, il traffico registrato può calare senza che calino le visite reali. Annota le modifiche al consenso nei report delle campagne e confronta i risultati con ordini e richieste di contatto. Tieni separate anche le finalità: il cookie del carrello di un negozio online non dovrebbe trasformarsi di nascosto in un identificatore di marketing quando un visitatore rifiuta la pubblicità.

Checklist per il sito web

Ambito: registra quali regimi si applicano: GDPR dell’UE, UK GDPR e norme sull’accesso al dispositivo di ciascun paese a cui ti rivolgi.
Prima visita: prima di qualsiasi scelta, non compaiono cookie, archiviazioni o richieste che dipendono dal consenso.
Rifiuto: dopo aver ricaricato la pagina e navigato, archiviazioni e richieste facoltative restano disattivate, comprese le destinazioni lato server.
Scelta parziale: accettare una finalità avvia solo gli strumenti corrispondenti.
Revoca: dopo aver riaperto le impostazioni e revocato il consenso, gli strumenti interessati si fermano.
Eccezioni britanniche: se ti avvali di una di esse, le informazioni e l’opzione gratuita di opposizione sono visibili, e l’opposizione interrompe l’archiviazione o l’accesso.
Dopo le modifiche: ripeti le verifiche quando aggiungi uno strumento, cambi una finalità o entri in un nuovo mercato.

Domande frequenti

Basta un’informativa sulla privacy?

No. Un’informativa descrive il trattamento. Non raccoglie il consenso dove è richiesto e non controlla ciò che gli script fanno davvero.

I visitatori devono accettare le analisi per poter acquistare?

Non fare delle analisi facoltative una condizione abituale per il checkout. Valuta la necessità in base al servizio richiesto dal cliente, non alle tue preferenze di reportistica.

Un unico banner può coprire UE e Regno Unito?

Un unico sistema può supportarli entrambi, ma le sue impostazioni devono corrispondere a ciascun regime. Una configurazione che si basa sull’eccezione britannica per le statistiche può comunque richiedere il consenso dei visitatori dei paesi UE in cui non si applica un’esenzione equivalente.

I cookie strettamente necessari richiedono il consenso?

No, se l’archiviazione o l’accesso sono strettamente necessari per un servizio richiesto dal visitatore. È comunque buona prassi elencarli nelle informazioni sui cookie, e le norme del GDPR sulla trasparenza si applicano quando coinvolgono dati personali.

Dobbiamo conservare la prova del consenso?

Se ti basi sul consenso ai sensi del GDPR, l’articolo 7, paragrafo 1, del GDPR ti impone di essere in grado di dimostrarlo. Conserva le prove delle informazioni mostrate e della scelta effettuata, senza raccogliere più dati personali di quanti ne servano a tale scopo.