Normativa sui cookie: perché il tracciamento online è cruciale
La normativa sui cookie è diventata uno dei punti più concreti della privacy online. Riguarda ogni accesso a un sito, da un acquisto digitale alla semplice lettura di una pagina. In Italia il tema nasce dall’incontro tra il Codice privacy, il GDPR e i provvedimenti del Garante Privacy.
I cookie non sono tutti uguali, e proprio questa differenza determina obblighi, informative e modalità di consenso.
Alcuni cookie servono al funzionamento tecnico del sito, altri misurano l’uso delle pagine, altri ancora seguono l’utente per finalità pubblicitarie. La classificazione non è formale: dipende dal ruolo concreto dello strumento e dai dati raccolti.
Per aziende, professionisti e gestori di siti, capire la normativa sui cookie significa ridurre rischi legali e migliorare la relazione con gli utenti. Un banner poco chiaro, un consenso già preselezionato o un tracciamento attivo prima della scelta possono compromettere la conformità.
Questi errori incidono anche sulla fiducia, non solo sulle procedure. Per questo l’articolo analizza il quadro normativo, le categorie di cookie, il ruolo dell’informativa estesa e le regole sul consenso.
Verranno chiariti anche cookie wall, dark pattern e modelli pay or consent, sempre in una prospettiva di compliance digitale.
Quadro giuridico della normativa sui cookie
Il riferimento centrale resta l’articolo 122 del Codice privacy, cioè il D.lgs. 196/2003, aggiornato dal D.lgs. 101/2018. Questa norma recepisce la direttiva e-Privacy e si coordina con il Regolamento generale sulla protezione dei dati.
La normativa sui cookie, quindi, non opera come un compartimento separato. È inserita nel sistema europeo che disciplina riservatezza, consenso e trasparenza del trattamento, con regole pensate per rendere comprensibile l’uso dei dati.
Le date aiutano a leggere meglio questo percorso.
Il Codice privacy è entrato in vigore il 1° gennaio 2004, con alcune disposizioni operative dal 30 luglio 2003. Il GDPR è entrato in vigore il 27 aprile 2016.
In seguito, il Garante Privacy ha approvato le linee guida aggiornate il 10 giugno 2021, pubblicate nella Gazzetta Ufficiale n. 163 del 9 luglio 2021.
Un successivo provvedimento del 17 aprile 2026, registro n. 284, ha confermato il quadro fondato su Codice privacy, GDPR, direttiva e-Privacy e linee guida 2021.
Per un’impresa, questo significa che la gestione dei tracciamenti rientra nella compliance digitale. Non è un semplice dettaglio grafico del sito, ma una parte concreta dell’organizzazione dei dati.
Normativa sui cookie: tecnici, analytics e profilazione
La normativa sui cookie distingue prima di tutto tra strumenti necessari e strumenti che osservano il comportamento dell’utente.
I cookie tecnici servono a far funzionare il sito e rendono possibile una navigazione stabile.
Per esempio, mantengono attiva una sessione, ricordano una lingua scelta o consentono il completamento di un acquisto. Non richiedono consenso, ma resta obbligatoria un’informativa chiara ai sensi dell’articolo 13 GDPR.
Diverso è il caso dei cookie di profilazione, usati per creare profili, misurare interessi o mostrare pubblicità personalizzata. In questa ipotesi serve un consenso preventivo, libero e attivo, espresso prima dell’installazione degli strumenti.
Anche gli analytics possono essere trattati in modo diverso.
Se sono gestiti in proprio e configurati senza finalità invasive, possono avvicinarsi ai tecnici. Se invece coinvolgono terze parti con identificazione ampia, aumenta il rischio privacy.
Un sito editoriale con login, newsletter e inserzioni pubblicitarie deve quindi mappare ogni strumento. Deve chiedersi chi raccoglie i dati, per quale scopo e per quanto tempo.
Questa analisi evita errori frequenti, come caricare pixel pubblicitari prima della scelta dell’utente. La distinzione non è nominale, ma funzionale: conta ciò che il tracciamento fa davvero.
Consenso valido nella normativa sui cookie
Il banner è il punto in cui la normativa sui cookie diventa visibile all’utente.
Non basta una finestra generica con il pulsante “Accetta“, perché la scelta deve essere comprensibile fin dal primo accesso.
Il banner deve offrire un’informativa breve, indicare le finalità principali e permettere una decisione reale. Deve inoltre contenere un collegamento all’informativa estesa, dove l’utente trova dettagli completi sui trattamenti.
Un banner corretto evita formule ambigue e non installa strumenti non tecnici prima del consenso. La logica è quella della privacy by default, cioè protezione come impostazione iniziale.
Ecco gli elementi essenziali da prevedere:
- Informativa breve visibile al primo accesso
- Pulsante per accettare solo scelte volontarie
- Accesso semplice alle preferenze granulari
- Link chiaro all’informativa estesa
Dopo la prima scelta, il sito deve conservare la prova del consenso e consentire una modifica successiva. La revoca deve essere semplice quanto l’accettazione, senza percorsi nascosti o passaggi sproporzionati.
Per esempio, un portale e-commerce con analytics, remarketing e chat esterna dovrebbe separare statistiche, marketing e funzionalità. Così l’utente può accettare una finalità e rifiutarne un’altra. La libertà di scelta vale più dell’estetica del banner.
Informativa estesa e terze parti
L’informativa estesa è il documento che rende comprensibile la normativa sui cookie oltre il primo avviso. Deve spiegare quali strumenti vengono usati, quali funzioni svolgono, chi riceve i dati e per quanto tempo vengono conservati.
Deve anche indicare come esercitare i diritti previsti dal GDPR, inclusi accesso, cancellazione e opposizione quando applicabili. Una buona informativa non si limita a elencare formule standard, ma traduce l’attività tecnica in informazioni utili.
Il punto più delicato riguarda le terze parti.
Se un sito usa piattaforme pubblicitarie, strumenti di analisi esterni o plug-in social, l’informativa deve contenere link aggiornati alle rispettive policy.
Non è sufficiente scrivere che possono essere presenti cookie di terzi. Serve una descrizione concreta, coerente con gli strumenti realmente attivi e con le finalità dichiarate all’utente.
Per esempio, un sito che integra video, mappe e campagne di retargeting deve verificare se quei servizi installano identificatori prima del consenso. Deve anche controllare tempi di conservazione e destinatari.
Questa attività richiede una revisione periodica, perché i fornitori cambiano tecnologie e condizioni. Una buona informativa non è un archivio statico. È una fotografia aggiornata dell’ecosistema digitale usato dal sito.
Cookie wall, design e scelte libere
La normativa sui cookie vieta le scelte solo apparenti.
I cosiddetti dark pattern sono interfacce che spingono l’utente verso il consenso attraverso colori, percorsi complicati o testi costruiti in modo sbilanciato.
Se il rifiuto richiede molti passaggi, mentre l’accettazione è immediata, la scelta può risultare manipolata. Il consenso, invece, deve essere libero, specifico, informato e revocabile in ogni momento.
Un altro tema riguarda il modello pay or consent. L’utente può essere invitato a scegliere tra accesso con tracciamento pubblicitario e accesso alternativo, anche a pagamento.
Tuttavia, i cookie wall puri sono problematici se bloccano ogni contenuto senza un’alternativa reale. Le linee guida ammettono valutazioni caso per caso, ma richiedono libertà effettiva e condizioni trasparenti.
Per esempio, un quotidiano online non dovrebbe trasformare il consenso in un pass obbligatorio nascosto.
Deve chiarire la differenza tra navigazione gratuita con profilazione e opzioni alternative.
Anche il Digital Markets Act rafforza l’attenzione verso il potere delle grandi piattaforme digitali. Per le aziende, il messaggio è netto: il design del consenso è parte della conformità, non una scelta di marketing.
Una fiducia costruita nei dettagli
La normativa sui cookie mostra quanto il web moderno dipenda da un equilibrio fragile. Da un lato ci sono servizi rapidi, contenuti personalizzati e modelli economici basati sui dati. Dall’altro c’è il diritto dell’utente a capire, scegliere e non essere tracciato senza controllo.
Questo equilibrio non si risolve con un banner ben disegnato. Richiede coerenza tra tecnologia, testi legali e gestione concreta dei fornitori. Il percorso normativo italiano, dal Codice privacy alle linee guida del 2021, fino al provvedimento del 17 aprile 2026, conferma una direzione precisa.
La privacy non è un ostacolo alla presenza online. È una condizione di affidabilità.
Cookie tecnici, analytics, profilazione, terze parti e modelli pay or consent rientrano nella stessa architettura di responsabilità.
Chi governa bene i tracciamenti governa meglio anche dati, reputazione e fiducia. Aziende come Apple e Google stanno ridefinendo le loro politiche di tracciamento per allinearsi alle normative, dimostrando che pratiche trasparenti possono diventare un vantaggio competitivo.
