Checklist per la conformità dei cookie: 25 punti per la piena conformità

La conformità dei cookie coinvolge l'implementazione tecnica, la documentazione legale e i processi operativi continui. Trascurare anche un solo elemento può comportare la non conformità, anche se tutto il resto è in ordine. Questa checklist strutturata in 25 punti copre ogni aspetto della conformità dei cookie ai sensi del GDPR, della Direttiva ePrivacy e delle principali normative internazionali sulla privacy. Utilizzala sia come guida all'implementazione sia come strumento di controllo periodico.

Inventario dei cookie

Non puoi gestire ciò che non hai misurato. Un inventario dei cookie completo e accurato è la base di ogni altra attività di conformità.

1. Tutti i cookie identificati e documentati

   Ogni cookie impostato dal tuo sito web deve essere identificato, compresi i cookie impostati da script di terze parti, contenuti incorporati e risorse caricate dinamicamente. Utilizza la scansione automatizzata per garantire una copertura completa su tutte le pagine, non solo sulla homepage. Il tuo inventario dovrebbe includere i cookie HTTP, le voci di localStorage, le voci di sessionStorage e qualsiasi altro meccanismo di archiviazione lato client utilizzato per il tracciamento.

2. Ogni cookie categorizzato correttamente

   Ogni cookie deve essere assegnato alla categoria di conformità corretta: strettamente necessario, funzionale, analitico/prestazionale o marketing/pubblicitario. La categorizzazione deve essere onesta — un cookie che traccia gli utenti a fini pubblicitari non può essere categorizzato come "funzionale" solo perché offre anche qualche beneficio funzionale. Nel dubbio, applica la categoria più restrittiva. Le autorità garanti esaminano attentamente la categorizzazione e l'errata classificazione è uno dei rilievi più comuni nelle azioni sanzionatorie.

3. Cookie di terze parti identificati con i relativi fornitori

   Per ogni cookie di terze parti presente sul tuo sito, documenta quale servizio lo imposta, perché è presente sul tuo sito e quali dati raccoglie o condivide. Le fonti comuni di cookie di terze parti includono piattaforme di analisi (Google Analytics, Adobe Analytics), reti pubblicitarie (Google Ads, Meta Pixel, LinkedIn Insight Tag), widget di social media, video incorporati (YouTube, Vimeo), strumenti di chat (Intercom, Drift) e piattaforme di test A/B (Optimizely, VWO). Ogni fornitore terzo dovrebbe disporre di un accordo sul trattamento dei dati.

4. Durate dei cookie documentate

   Registra il periodo di scadenza di ciascun cookie. I cookie di sessione scadono alla chiusura del browser. I cookie persistenti hanno una durata definita che deve essere documentata (ad es. 30 giorni, 1 anno, 2 anni). Secondo i principi del GDPR di minimizzazione dei dati e limitazione della conservazione, le durate dei cookie dovrebbero essere proporzionate alla loro finalità. Un cookie analitico che persiste per 10 anni sarebbe difficile da giustificare. La CNIL raccomanda un massimo di 13 mesi per i cookie analitici.

5. Finalità dei cookie documentate in linguaggio semplice

   La finalità di ciascun cookie deve essere descritta in un linguaggio comprensibile per un visitatore medio del sito. "Questo cookie memorizza un identificatore univoco per tracciare la tua attività di navigazione sul nostro sito a fini di analisi del sito web" è chiaro. "_ga: Utilizzato da Google Analytics per distinguere gli utenti" non è sufficiente per la maggior parte degli utenti. La descrizione della finalità dovrebbe rispondere alla domanda: "Cosa fa questo cookie e perché dovrei consentirlo?"

Meccanismo di consenso

Il meccanismo di consenso è il punto in cui i requisiti legali incontrano l'implementazione tecnica. Farlo bene è l'aspetto più critico — e più frequentemente disatteso — della conformità dei cookie.

6. Consenso ottenuto PRIMA che vengano impostati cookie non essenziali

   Questo è il requisito tecnico più importante in assoluto. Nessun cookie analitico, pubblicitario o altro cookie non essenziale può essere impostato finché l'utente non ha fornito un consenso affermativo. Ciò significa che gli script di terze parti devono essere bloccati dal caricamento fino a quando non viene ricevuto il consenso. Eliminare semplicemente i cookie a posteriori non è conforme — la Direttiva ePrivacy richiede il consenso prima dell'archiviazione, non la rimozione retroattiva. Verificalo visitando il tuo sito in una finestra in incognito e controllando quali cookie vengono impostati prima di interagire con il banner.

7. Script bloccati fino a quando non viene fornito il consenso

   Bloccare i cookie non è sufficiente — occorre impedire l'esecuzione degli script che li impostano. Uno script che si carica ed esegue ma a cui viene impedito di scrivere un cookie può comunque raccogliere e trasmettere dati (attraverso pixel, beacon o chiamate API). La tua gestione del consenso deve impedire il caricamento dello script stesso fino a quando non viene accettata la categoria di consenso appropriata. Gli approcci di implementazione più comuni includono la modifica dell'attributo type dei tag script (ad es. da text/javascript a text/plain) e l'iniezione dinamica degli script dopo il consenso.

8. Pulsanti Accetta e Rifiuta di pari evidenza

   L'opzione per rifiutare i cookie non essenziali deve essere presentata con la stessa evidenza dell'opzione per accettarli. Ciò significa lo stesso trattamento visivo: stesse dimensioni, stesso peso cromatico, stesso livello dell'interfaccia. Un grande pulsante verde "Accetta tutto" accanto a un piccolo link grigio "Gestisci impostazioni" non costituisce pari evidenza. La CNIL, il Garante e molte altre autorità garanti hanno emesso sanzioni specifiche per questo problema. Entrambe le opzioni dovrebbero trovarsi sul primo livello del banner dei cookie, senza richiedere clic aggiuntivi.

9. Consenso granulare a livello di categoria disponibile

   Gli utenti devono poter acconsentire a categorie specifiche di cookie in modo indipendente. Accettare i cookie analitici non dovrebbe richiedere anche l'accettazione dei cookie pubblicitari. Come minimo, fornisci interruttori separati per: strettamente necessari (sempre attivi, non disattivabili), funzionali, analitici/prestazionali e marketing/pubblicitari. Se utilizzi i cookie per molteplici finalità distinte all'interno di una categoria, valuta la possibilità di offrire opzioni ancora più granulari.

10. Nessuna casella di controllo pre-selezionata

    Quando un utente apre le preferenze dettagliate sui cookie, tutte le categorie facoltative devono essere deselezionate per impostazione predefinita. Solo i cookie strettamente necessari (che non richiedono consenso) possono essere pre-abilitati. La CGUE ha confermato nella sentenza Planet49 (Causa C-673/17) che le caselle pre-selezionate non costituiscono un consenso valido. Ciò vale indipendentemente dalla possibilità dell'utente di deselezionarle — lo stato predefinito deve essere di rifiuto (opt-out), richiedendo un'azione affermativa per aderire (opt-in).

11. Revoca del consenso facile quanto la sua concessione

    L'articolo 7, paragrafo 3, del GDPR richiede che revocare il consenso sia facile quanto concederlo. Se un utente può accettare i cookie con un solo clic su un banner, deve poter revocare il consenso con pari facilità. La buona prassi consiste in un link o un'icona persistenti e sempre visibili (ad es. nel piè di pagina o come pulsante fluttuante) che aprano il centro preferenze cookie, dove l'utente può modificare o revocare le proprie scelte. Richiedere all'utente di cancellare i cookie del browser, navigare fino a una pagina di impostazioni nascosta o contattare l'assistenza non soddisfa questo standard.

12. Registri del consenso archiviati con marca temporale

    Devi essere in grado di dimostrare che il consenso è stato fornito. Conserva un registro di ciascuna azione di consenso comprendente: marca temporale, le scelte di consenso effettuate (quali categorie sono state accettate/rifiutate), la versione del banner dei cookie e della policy in vigore in quel momento, e un identificatore univoco per il consenso (non necessariamente collegato a un account utente per i visitatori anonimi). Secondo il principio di responsabilizzazione (accountability) del GDPR, l'onere della prova del consenso spetta al titolare del trattamento. Se non puoi produrre prove che un utente specifico abbia acconsentito, il suo consenso è di fatto non dimostrato.

Cookie policy

La tua cookie policy è al tempo stesso un documento legale e uno strumento di trasparenza. Deve essere accurata, completa e comprensibile.

13. La cookie policy esiste ed è accessibile

    Deve esistere una cookie policy dedicata (o una sezione chiara sui cookie all'interno della tua privacy policy), facilmente reperibile. La buona prassi è una pagina dedicata, collegata dal piè di pagina del tuo sito web, dal banner dei cookie e dalla tua privacy policy principale. La policy deve essere accessibile senza accettare i cookie — gli utenti dovrebbero poterla leggere prima di prendere una decisione sul consenso.

14. Tutti i cookie elencati con nomi, finalità, tipi e durate

    La tua cookie policy deve includere una tabella o un elenco strutturato di ogni cookie impostato dal tuo sito web, comprendente: il nome del cookie, chi lo imposta (prima parte o fornitore terzo), cosa fa (in linguaggio semplice), se è un cookie di sessione o persistente, e quanto dura. Questo non è facoltativo — è un requisito esplicito ai sensi delle disposizioni sulla trasparenza del GDPR (articoli 12-14) e del requisito del consenso informato della Direttiva ePrivacy.

15. Fornitori terzi identificati

    La tua policy deve nominare i servizi di terze parti che impostano cookie sul tuo sito web. "Utilizziamo cookie analitici di terze parti" non è sufficiente. "Utilizziamo Google Analytics (di Google LLC), che imposta i seguenti cookie: _ga, _gid, _gat" lo è. Gli utenti hanno il diritto di sapere chi raccoglie dati su di loro e di prendere decisioni informate su ciascun fornitore.

16. Istruzioni per la gestione dei cookie incluse

    La tua policy dovrebbe spiegare come gli utenti possono gestire le proprie preferenze sui cookie, incluso: come accedere al tuo centro preferenze cookie per modificare le scelte di consenso, come eliminare i cookie esistenti attraverso le impostazioni del browser, e link alle privacy policy dei principali fornitori terzi di cookie. Sebbene la gestione dei cookie a livello di browser sia responsabilità dell'utente, fornire istruzioni chiare dimostra buona fede e sostiene il principio di autodeterminazione dell'utente.

17. Policy datata e aggiornata regolarmente

    La tua cookie policy deve indicare la data dell'ultimo aggiornamento. Ogni volta che aggiungi nuovi cookie, rimuovi cookie, cambi fornitori terzi o modifichi le finalità dei cookie, la policy deve essere aggiornata per riflettere il cambiamento. Una policy priva di data o non aggiornata da oltre un anno è un campanello d'allarme per le autorità garanti. Buona prassi: integra i risultati della tua scansione dei cookie con la policy, in modo che venga aggiornata automaticamente quando vengono rilevati nuovi cookie.

Banner dei cookie

Il banner dei cookie è l'interfaccia visibile della tua gestione del consenso. Deve bilanciare la conformità legale con l'usabilità.

18. Il banner viene mostrato alla prima visita prima che vengano impostati i cookie

    Il banner dei cookie deve comparire la prima volta che un utente visita il tuo sito web, prima che vengano impostati cookie non essenziali. Il banner dovrebbe essere immediatamente visibile senza scorrere, non dovrebbe essere facilmente eliminabile con clic accidentali e dovrebbe persistere finché l'utente non compie una scelta attiva. Il banner non deve interferire con la capacità dell'utente di navigare via dalla pagina o di accedere ai contenuti essenziali (sebbene limitare l'accesso ai contenuti dietro un requisito di consenso possa essere consentito in alcune giurisdizioni, l'approccio più sicuro è permettere la navigazione mentre il banner è visualizzato).

19. Il banner è accessibile (navigabile da tastiera, compatibile con screen reader)

    Il tuo banner dei cookie deve essere esso stesso accessibile. Ciò significa: tutti gli elementi interattivi (pulsanti, interruttori, link) devono essere raggiungibili e utilizzabili tramite tastiera; il banner deve essere correttamente annunciato agli screen reader con attributi ARIA appropriati; il focus deve essere gestito correttamente (il focus dovrebbe spostarsi sul banner quando compare e tornare alla pagina quando viene chiuso); il contrasto cromatico deve soddisfare gli standard WCAG 2.1 AA (4,5:1 per il testo normale, 3:1 per il testo grande); e il banner deve essere utilizzabile a diversi livelli di zoom e dimensioni dello schermo. Un banner dei cookie inaccessibile rappresenta sia un rischio legale (mancata conformità alle WCAG) sia un rischio reputazionale per qualsiasi organizzazione che dichiari di tenere alla privacy e all'inclusione.

20. Il banner rimanda alla cookie policy completa

    Il banner dei cookie deve includere un link alla tua cookie policy completa, consentendo agli utenti di leggere informazioni dettagliate su ciascun cookie prima di prendere la loro decisione sul consenso. Il link dovrebbe essere chiaramente visibile ed etichettato (ad es. "Leggi la nostra cookie policy" o "Scopri di più"). Il GDPR richiede che il consenso sia "informato", il che significa che le informazioni necessarie per prendere una decisione informata devono essere accessibili nel momento in cui si presta il consenso.

21. Il banner non utilizza dark pattern

    I dark pattern nei banner dei cookie compromettono la validità del consenso. Evita: rendere il pulsante di accettazione visivamente dominante (più grande, più luminoso, più evidente) mentre l'opzione di rifiuto è discreta o nascosta; usare un linguaggio confuso ("Accetta le impostazioni consigliate" invece di opzioni chiare); richiedere più clic per rifiutare che per accettare; usare codici cromatici che suggeriscono che rifiutare sia sbagliato (rosso per rifiutare, verde per accettare); impiegare un linguaggio di "confirm-shaming" ("No, non mi interessa la mia esperienza"); e qualsiasi altro design che spinga, manipoli o inganni gli utenti verso l'accettazione. Le Linee guida dell'EDPB sui dark pattern (adottate a febbraio 2023) forniscono esempi dettagliati di pratiche vietate.

Aspetti tecnici e continui

La conformità dei cookie non è un progetto con una data di completamento. È un processo operativo continuo.

22. Google Consent Mode v2 implementato (se utilizzi servizi Google)

    Se utilizzi servizi Google (Analytics, Ads, Tag Manager), Google Consent Mode v2 è obbligatorio dal marzo 2024 per pubblicare annunci nel SEE. Consent Mode comunica ai tag di Google le scelte di consenso sui cookie dei tuoi utenti, adattandone il comportamento in base allo stato del consenso. Senza Consent Mode, i tag di Google potrebbero non funzionare correttamente con la tua piattaforma di gestione del consenso, causando perdita di dati (tag completamente bloccati) o violazioni della conformità (tag attivati senza consenso). Implementa entrambi i parametri di consenso ad_storage e analytics_storage, e assicurati che siano impostati per impostazione predefinita su "denied" finché non viene fornito il consenso.

23. Scansione periodica dei cookie pianificata

    Configura scansioni automatizzate dei cookie con cadenza ricorrente. Come minimo, esegui la scansione mensilmente. Idealmente, integra la scansione nella tua pipeline di distribuzione, in modo che ogni rilascio venga scansionato automaticamente. Configura avvisi per i cookie nuovi o modificati, così che il tuo team possa valutarli e categorizzarli tempestivamente. Una scansione che viene eseguita ma mai revisionata non offre alcun beneficio in termini di conformità.

24. Processo per la revisione dei nuovi script di terze parti

    Stabilisci un processo formale da seguire prima di aggiungere al tuo sito web qualsiasi nuovo script, plugin o servizio di terze parti. Il processo dovrebbe includere: identificare quali cookie imposta lo script, categorizzare tali cookie, aggiornare la configurazione della gestione del consenso per includerli, aggiornare la cookie policy e verificare che lo script sia correttamente bloccato fino a quando non viene fornito il consenso appropriato. Questo processo dovrebbe prevedere sia una revisione tecnica (sviluppo) sia una revisione di conformità (legale/privacy). La causa più comune dei fallimenti di conformità dei cookie è l'aggiunta di nuovi script a un sito web senza sottoporli a una revisione sulla privacy.

25. Personale formato sulla conformità dei cookie

    Chiunque sia coinvolto nel tuo sito web — sviluppatori, professionisti del marketing, creatori di contenuti e responsabili — dovrebbe comprendere i fondamenti della conformità dei cookie e il proprio ruolo nel mantenerla. Gli sviluppatori devono sapere come aggiungere script in modo consapevole del consenso. I professionisti del marketing devono capire che l'aggiunta di un nuovo pixel di tracciamento richiede una revisione di conformità. I creatori di contenuti devono sapere che incorporare un video di YouTube introduce cookie di terze parti. La formazione non deve essere approfondita, ma deve coprire il principio fondamentale: nessun nuovo tracciamento senza revisione. Un singolo membro del team non formato che aggiunge uno script di marketing senza passare attraverso il processo di revisione può vanificare mesi di lavoro sulla conformità.

Come utilizzare questa checklist

Questa checklist è concepita per essere utilizzata in tre modi:

• Implementazione iniziale: affronta tutti i 25 punti in sequenza quando imposti la conformità dei cookie per la prima volta. Non saltare punti né rimandarli — una conformità parziale è comunque una non conformità.
• Controllo periodico: rivedi la checklist trimestralmente per verificare che tutti i punti restino soddisfatti. Presta particolare attenzione agli elementi continui (punti 22-25), poiché sono quelli più suscettibili di deteriorarsi nel tempo.
• Dopo le modifiche: ogni volta che il tuo sito web subisce un cambiamento significativo (nuove funzionalità, nuovi servizi di terze parti, riprogettazione, migrazione del CMS), esamina le sezioni pertinenti della checklist per verificare che la conformità sia mantenuta.

La conformità dei cookie è raggiungibile. Richiede attenzione e metodo, ma nessuno dei singoli requisiti è irragionevolmente difficile. Le organizzazioni che incontrano difficoltà sono in genere quelle che trattano la conformità come un progetto una tantum anziché come una preoccupazione operativa continua. Integrala nel tuo flusso di lavoro, assegna responsabilità chiare e usa questa checklist come tuo strumento di verifica ricorrente.