Guide

Banner cookie: quando è obbligatorio e quando è un errore

La domanda vera è «devo mettercelo o no?», e la risposta non dipende dall’avere un sito né dal tipo di attività: dipende da che cosa il sito scrive nel dispositivo di chi lo visita, e a quale scopo. Per una parte di quelle scritture il consenso è richiesto; per un’altra parte no, e chiederlo lo stesso non è una prudenza in più.

La norma non parla di banner: parla di dispositivi

Il riferimento è l’art. 122, comma 1, del d.lgs. 196/2003, che consente di archiviare informazioni nel dispositivo dell’utente o di accedere a quelle già archiviate «unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate». Le eccezioni sono due:

• l’archiviazione o l’accesso finalizzati unicamente a effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica;
• quelli strettamente necessari a erogare un servizio esplicitamente richiesto dall’utente.

Da come è scritta la regola discendono due cose che spostano quasi tutti i casi dubbi. La prima: il criterio non nomina i cookie, nomina l’archiviazione e l’accesso. Le stesse regole valgono per le tecnologie equivalenti — la memoria locale del browser, i pixel di tracciamento — e un tracciamento che non usa cookie non esce dalla norma per via del nome.

La seconda: il discrimine è la necessità rispetto a un servizio chiesto dall’utente, non il fatto che il cookie sia utile a chi gestisce il sito. Come si chiede quel consenso lo dicono le linee guida del Garante del 10 giugno 2021: il consenso è preventivo, libero e revocabile.

Quali voci il consenso lo chiedono, e quali no

La tabella è quella che il generatore di questo sito costruisce a partire dai trattamenti dichiarati: per ognuno sa se la voce che ne deriva è tecnica o no.

La riga da leggere due volte è quella del fornitore di pagamento: è un cookie di terza parte e tecnico insieme. Prima parte e terza parte non sono la linea che divide — quella linea è la finalità. Un cookie del sito che profila richiede il consenso, un cookie di un fornitore terzo che serve a completare la transazione e a prevenire le frodi no.

Basta una sola riga con «sì» perché il banner abbia un oggetto. È la regola che il generatore applica alla lettera: la sezione su consenso e revoca compare nella cookie policy solo se almeno una voce lo richiede.

Quando serve: i tre casi che lo rendono dovuto

• Analytics con cookie. La misurazione che installa un identificatore nel dispositivo e segue la navigazione si fonda sul consenso — art. 6, par. 1, lett. a) del GDPR insieme all’art. 122.
• Contenuti incorporati da terzi: un video, una mappa, un font caricato dal server di qualcun altro. La pagina fa arrivare l’indirizzo IP dell’utente a quel fornitore, che può impostare cookie propri e la cui conservazione è determinata dalla sua informativa, non dalla tua.
• Pixel pubblicitari e strumenti di remarketing, che esistono proprio per seguire la stessa persona fra siti diversi.

Quando serve, le linee guida del 2021 dicono anche come deve comportarsi:

• lo scorrimento della pagina non vale come consenso: «il semplice scrolling non è mai idoneo, di per sé, ad esprimere compiutamente la manifestazione di volontà dell’interessato»;
• il banner dev’essere chiudibile senza prestare il consenso, con un comando di evidenza grafica pari a quella degli altri: rifiutare deve costare quanto accettare;
• a chi ha già rifiutato non si ripropone, salvo che cambino in modo significativo le condizioni del trattamento, che sia tecnicamente impossibile sapere se il consenso era già stato registrato, o che siano trascorsi almeno sei mesi;
• la revoca resta possibile in ogni momento, di solito da un pannello richiamabile dal piè di pagina, e non impedisce la navigazione: senza consenso il sito continua a funzionare con i soli cookie tecnici.

Quando metterlo è un errore

Il banner non è un adempimento che si aggiunge per sicurezza: è la forma in cui si raccoglie un consenso. Se quel consenso non ha oggetto, quello che resta è l’ostacolo senza la funzione. Tre casi che si incontrano spesso.

• Il sito installa solo voci tecniche. Chiedere di autorizzare un trattamento che non avviene non aumenta la tutela di nessuno: dichiara all’utente una cosa che il sito non fa, e gli fa fare un clic per ottenerla.
• Il banner c’è, ma lo strumento è già partito. Il consenso è preventivo: se l’identificatore viene scritto mentre il riquadro compare, la scelta arriva dopo il fatto su cui doveva decidere. È l’errore più frequente fra quelli che si vedono dall’esterno, perché si legge negli strumenti per sviluppatori del browser prima di toccare qualsiasi pulsante.
• Il banner copiato da un altro sito. Elenca categorie che quel sito ha e questo no, o viceversa. È lo stesso difetto dell’informativa copiata: descrive trattamenti altrui, e in sede di verifica la difformità si legge confrontando il testo con il sito.

Va tenuta ferma anche una cosa che il banner non fa mai: non sostituisce la cookie policy. Il riquadro raccoglie una scelta, il documento spiega che cosa viene installato, da chi e per quanto; la cookie policy resta parte integrante dell’informativa sul trattamento dei dati personali.

Un esempio che si verifica da soli: questo sito non ha un banner

Nextra Hub non mostra nessun riquadro di consenso, e il motivo si controlla senza fidarsi della nostra parola: la cookie policy elenca ogni singola cosa che il sito lascia nel browser. Oggi sono i conteggi delle versioni gratuite, le bozze dei moduli messe da parte prima del pagamento, la memoria del generatore di preventivi per chi la attiva, e un cookie che riconosce un acquisto già fatto. Nessuna statistica: al momento non è installato alcuno strumento di misurazione delle visite.

Quell’elenco non è scritto a mano: è generato dallo stesso registro da cui gli strumenti prendono il nome dei depositi che usano, e un test automatico fallisce se il codice del sito salva qualcosa che lì non compare. È la differenza fra una dichiarazione e una verifica, e riguarda la classe di errore più comune in questa materia — la tabella aggiornata a mano che smette di corrispondere al sito.

Resta il limite di ogni esempio: quella qualificazione riguarda le nostre voci, su questo sito, con questi strumenti. Un sito che incorpora un video o che misura le visite con un cookie si trova in un caso diverso, e la valutazione va fatta sul suo elenco, non sul nostro.

Che cosa fa, e che cosa non fa, il nostro generatore

Il generatore di privacy e cookie policy parte dai trattamenti che dichiari e ne ricava la tabella dei cookie con la finalità e la durata di ciascuno. Se nessuno di essi richiede il consenso, il documento scrive che il sito non installa cookie che lo richiedono e che per questo non compare alcun banner; se anche uno solo lo richiede, aggiunge la sezione su consenso e revoca. La decisione non è una casella da spuntare: deriva da quello che hai dichiarato.

Quello che non fa, e conviene saperlo prima: non ispeziona il tuo sito e non sa quali script ci siano dentro — l’elenco parte dalle tue risposte. Non è uno strumento di raccolta del consenso e non installa nessun banner. E non attesta la conformità di niente: produce una bozza documentata, con l’articolo in chiaro accanto a ogni sezione, così chi la controlla impiega minuti invece di riscriverla da zero. Il documento è composto dentro il browser: quello che scrivi non raggiunge nessun server.

Modello informativo da far verificare a un professionista abilitato.

Guide collegate

• Quando la privacy policy di un sito web è obbligatoria