Nel settembre 2025, l'autorità francese per la protezione dei dati CNIL ha stabilito un record in un solo giorno: una multa di 325 milioni € contro Google e una di 150 milioni € contro Shein — entrambe per violazioni del consenso ai cookie. La colpa specifica di Google? Rendere più difficile rifiutare i cookie che accettarli.

Quell'asimmetria è uno degli errori più comuni sui siti europei. Ed è presente proprio ora su milioni di siti PMI, invisibile ai proprietari, perfettamente visibile ai regolatori.

I banner cookie non sono un esercizio di spunta. Sono un meccanismo legale per ottenere un consenso valido secondo il GDPR e la direttiva ePrivacy — e la maggior parte di quelli che verifichiamo fallisce almeno due o tre requisiti. Questo articolo esamina le cinque violazioni più frequenti che vediamo, cosa richiede davvero la legge, e come correggere ciascuna.

Prima di arrivare agli errori, è utile capire cosa è effettivamente richiesto.

Il consenso ai cookie nell'UE è governato da due normative che lavorano insieme:

La direttiva ePrivacy (2002/58/CE) — chiamata anche «legge sui cookie» — richiede che nessun cookie non essenziale possa essere collocato sul dispositivo di un utente prima che abbia dato un consenso informato preventivo.

Il GDPR — stabilisce come quel consenso debba essere ottenuto: libero, specifico, informato e inequivocabile (articolo 4(11)). Silenzio, inattività o caselle preselezionate non contano (considerando 32).

Il caso storico che ha definito cosa significhi questo in pratica è stato Planet49 (causa C-673/17), una sentenza del 2019 della Corte di Giustizia dell'UE. Planet49, una società tedesca di gaming, usava una casella preselezionata durante l'iscrizione a una lotteria online per ottenere il consenso ai cookie. La CGUE ha ritenuto ciò non valido — è richiesto un consenso attivo e affermativo. Quella sentenza è diventata il punto di riferimento per ogni azione di enforcement successiva.

Nel febbraio 2025, la proposta di Regolamento ePrivacy — che avrebbe sostituito la direttiva — è stata formalmente ritirata. Ciò significa che la direttiva e il GDPR continuano a governare i cookie in tutta l'UE, con ogni stato membro che li implementa leggermente in modo diverso. L'armonizzazione non arriverà. L'enforcement, tuttavia, si sta intensificando.

Errore 1: rendere il rifiuto più difficile dell'accettazione

Questa è la violazione più comune che vediamo — e quella che è costata a Google la multa di 325 milioni € nel 2025.

L'errore: Il pulsante «Accetta tutto» è grande, prominente e colorato. L'opzione «Rifiuta» è nascosta — o in un menu impostazioni, in piccolo testo grigio, o richiede più clic per raggiungerla.

Perché è illegale: L'articolo 7 del GDPR richiede che il consenso sia «liberamente prestato». La Cookie Banner Taskforce dell'EDPB (istituita nel 2021, risultati pubblicati nel 2023) è stata esplicita: un pulsante Rifiuta tutto deve essere altrettanto prominente e richiedere altrettanti pochi clic del pulsante Accetta tutto. Un design asimmetrico dove il rifiuto è più difficile dell'accettazione rende il consenso intrinsecamente non libero.

Come correggerlo: Il tuo banner di primo livello — quello che appare immediatamente quando qualcuno visita il tuo sito — deve avere un'opzione Rifiuta tutto chiaramente visibile con lo stesso peso visivo di Accetta tutto. Non può essere in font più piccolo. Non può essere grigio mentre Accetta è rosso o verde. Non può richiedere di cliccare su «Impostazioni» prima di poter rifiutare.

L'errore: Il tuo sito carica script di analisi, pixel pubblicitari o widget di social media nel momento in cui la pagina si carica — prima che il visitatore abbia interagito con il banner.

Perché è illegale: La direttiva ePrivacy richiede un consenso previo . «Previo» significa prima che il cookie venga impostato. Se Google Analytics si attiva nel momento in cui qualcuno atterra sulla tua pagina, hai violato la legge indipendentemente da cosa dice il tuo banner. Questo è un errore di implementazione tecnica, ed è estremamente comune. Molti costruttori di siti e temi WordPress hanno questo problema di default.

Come correggerlo: La tua implementazione di gestione del consenso deve bloccare tutti gli script non essenziali fino a quando l'utente non fa una scelta attiva. Si chiama «blocco preventivo» o caricamento condizionato al consenso. La maggior parte delle piattaforme di gestione cookie (CookieYes, Cookiebot, Osano, ecc.) implementa questo se configurato correttamente. Installare semplicemente un plugin banner non è sufficiente — devi verificare che gli script siano effettivamente bloccati.

Puoi testarlo tu stesso usando gli strumenti sviluppatore del browser. Apri la scheda Rete, svuotala, poi carica il tuo sito. Prima di cliccare qualsiasi cosa sul banner cookie, cerca chiamate a google-analytics.com, facebook.com/tr o domini simili. Se le vedi — il tuo banner è decorativo, non funzionale.

Errore 3: descrizioni di scopo vaghe o mancanti

L'errore: Il banner dice qualcosa come «Usiamo cookie per migliorare la tua esperienza» o «Usiamo cookie per analisi e personalizzazione» senza specificare cosa significhi effettivamente.

Perché è illegale: L'articolo 4(11) del GDPR richiede che il consenso sia specifico e informato. La sentenza Planet49 ha inoltre stabilito che i siti devono comunicare quanto dura ogni cookie e se terze parti possono accedere ai dati che raccoglie. Un linguaggio generico vago non costituisce consenso informato.

Come correggerlo: Il tuo banner e la tua cookie policy collegata devono spiegare, per ogni categoria:

Questo non deve essere esaustivo sul banner stesso — ma deve essere chiaramente accessibile tramite un link, e il linguaggio deve essere abbastanza semplice che una persona non tecnica possa fare una scelta genuinamente informata.

Errore 4: nessun controllo granulare per categoria

L'errore: Il banner offre solo due opzioni — Accetta tutto o Rifiuta tutto — senza possibilità di scegliere tra categorie (necessari, analisi, marketing, funzionali).

Perché è un problema: Sebbene un Accetta/Rifiuta binario sia tecnicamente conforme al requisito minimo, le linee guida dell'EDPB raccomandano fortemente controlli granulari, e diverse DPA nazionali (la CNIL francese, le autorità tedesche) hanno emesso linee guida che rendono questo un'aspettativa di best practice. Ancora più importante: fa male ai tuoi utenti. Qualcuno che accetterebbe l'analisi ma rifiuterebbe i cookie pubblicitari non ha modo di esprimere quella preferenza.

Come correggerlo: Struttura il tuo consenso ai cookie in almeno tre categorie:

Ogni categoria non essenziale dovrebbe avere un interruttore indipendente che di default è su OFF. Gli utenti dovrebbero poter accettare alcune categorie e rifiutarne altre.

L'errore: Una volta che un utente accetta i cookie, non c'è un modo evidente per cambiare idea o revocare il consenso. Il banner scompare e le impostazioni sono inaccessibili.

Perché è illegale: L'articolo 7(3) del GDPR afferma che l'interessato ha il diritto di revocare il consenso in qualsiasi momento, e la revoca deve essere altrettanto facile quanto darlo. Se accettare ha richiesto un clic su un banner, revocare deve essere accessibile con un livello di sforzo simile.

Come correggerlo: Ti serve un modo persistente e sempre accessibile per gli utenti per gestire le proprie preferenze cookie. L'implementazione più comune è una piccola icona «Impostazioni cookie» o «🍪» nel footer che riapre il pannello di consenso in qualsiasi momento. Questo link deve essere visibile su ogni pagina — non solo la home, e non solo nascosto nella tua informativa privacy.

Bonus: la fallacia della «navigazione continuata»

Molti siti più vecchi hanno ancora testi che recitano: «Continuando a usare questo sito, acconsenti al nostro uso dei cookie.»

Questo è definitivamente non valido. La sentenza Planet49 ha affrontato esplicitamente questo punto. L'EDPB lo ha confermato. Silenzio, navigazione continuata e scorrimento non sono consenso.

Se questo linguaggio è sul tuo sito, rimuovilo immediatamente e sostituiscilo con un meccanismo di consenso adeguato.

Come verificare il tuo banner in 5 minuti

Ecco un'autovalutazione rapida che puoi fare adesso:

  1. Apri il tuo sito in una scheda privata/in incognito (cancella qualsiasi decisione di consenso esistente)
  2. Appare un banner cookie? Se no — probabilmente non ne hai uno
  3. C'è un'opzione Rifiuta visibile sulla prima schermata? Se richiede di cliccare prima su Impostazioni — quello è l'Errore 1
  4. Apri gli strumenti sviluppatore → scheda Rete → carica la pagina prima di cliccare qualsiasi cosa. Appaiono script di analisi o pubblicitari? — Quello è l'Errore 2
  5. Leggi il testo del banner. Nomina strumenti specifici (Google Analytics, Facebook Pixel)? Dice quanto durano i cookie? — No? Quello è l'Errore 3
  6. Puoi selezionare categorie individuali? Solo accetta/rifiuta binario? — Quello è l'Errore 4
  7. Dopo aver accettato, riesci a trovare un modo per cambiare le tue preferenze? Guarda nel footer. Se non c'è nulla — quello è l'Errore 5

Oppure puoi eseguire il nostro strumento gratuito di audit GDPR e ottenere un punteggio in meno di 30 secondi.

Cosa costa davvero correggere questo

La buona notizia è che la conformità cookie è una delle correzioni GDPR più economiche e veloci. La maggior parte delle implementazioni può essere completata in mezza giornata:

Il costo di non correggerlo è più difficile da prevedere — ma 325 milioni € è un numero che tende a concentrare la mente.

Questo articolo ha scopo informativo e non costituisce consulenza legale.

Leggi anche:

⚠️ Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Per situazioni di conformità complesse, consulta un professionista qualificato per la protezione dei dati. I requisiti del GDPR e dell'AI Act UE sono soggetti a orientamenti regolatori in evoluzione — verifica gli obblighi attuali con il tuo consulente legale.