Se gestisci una piccola impresa, il tuo banner dei cookie è spesso la prima cosa che un visitatore vede. È anche una delle prime cose che guardiamo quando controlliamo un sito. Chiunque può verificarlo in pochi secondi, e le autorità europee per la protezione dei dati hanno esaminato i banner in azioni coordinate.
La maggior parte dei problemi dei banner sono scelte di design, non enigmi giuridici. Ecco i cinque errori che controlliamo per primi, cosa dice la legge e come correggere ciascuno.
Prima di tutto, le regole in un minuto
Qui lavorano insieme due norme:
- Direttiva ePrivacy, articolo 5, paragrafo 3 richiede il consenso prima di archiviare o leggere informazioni sul dispositivo di un utente, come cookie, pixel o archiviazione locale. L'eccezione riguarda ciò che è strettamente necessario per fornire un servizio richiesto espressamente dall'utente, o necessario unicamente per la trasmissione di una comunicazione.
- GDPR definisce cosa sia un consenso valido. L'articolo 4, punto 11, lo descrive come una “manifestazione di volontà libera, specifica, informata e inequivocabile”, espressa “mediante dichiarazione o azione positiva inequivocabile”. L'articolo 7 aggiunge condizioni, tra cui che devi poter dimostrare il consenso e che revocarlo deve essere facile quanto darlo.
Errore 1: caselle preselezionate o consenso “implicito”
Che aspetto ha: interruttori per analytics e marketing già attivati, oppure un banner che dice “Continuando a navigare, accetti i cookie.”
Cosa richiede la legge: Il considerando 32 del GDPR afferma chiaramente che “il silenzio, l'inattività o la preselezione di caselle non dovrebbero pertanto costituire consenso”. La Corte di giustizia dell'UE lo ha confermato per i cookie nella causa Planet49 (C-673/17, sentenza del 1° ottobre 2019): una casella preselezionata che l'utente deve deselezionare per rifiutare non dà un consenso valido. La Corte ha inoltre stabilito che ciò vale indipendentemente dal fatto che le informazioni memorizzate sul dispositivo siano dati personali, e che gli utenti devono essere informati sulla durata dei cookie e sull'eventuale accesso di terze parti.
Le Linee guida 05/2020 del Comitato europeo per la protezione dei dati (EDPB) sul consenso vanno oltre: il semplice proseguimento dell'uso di un sito web non è una manifestazione di consenso, e scorrere la pagina o fare swipe “non soddisfa in nessun caso” il requisito di un'azione positiva chiara.
Come correggerlo:
- Imposta ogni categoria non essenziale su disattivata per impostazione predefinita.
- Elimina qualsiasi formula del tipo “continuando a usare questo sito”.
- Attiva i tag non essenziali solo dopo un clic chiaro su “Accetta” o su una categoria specifica.
- Nel banner o nella cookie policy, indica finalità, durata ed eventuali terze parti per ogni categoria.
Errore 2: nessun “Rifiuta tutto” equivalente al primo livello
Che aspetto ha: un grande pulsante “Accetta tutto” accanto a “Impostazioni” o “Gestisci preferenze”. Per rifiutare, il visitatore deve aprire una seconda schermata e disattivare le voci una per una.
Cosa richiede la legge: il consenso deve essere libero, e rifiutare non deve richiedere più sforzo che accettare. Nel rapporto della task force dell'EDPB sui banner dei cookie (adottato il 17 gennaio 2023), la grande maggioranza delle autorità ha ritenuto che l'assenza di un'opzione di rifiuto sullo stesso livello dell'opzione di accettazione violi l'articolo 5, paragrafo 3, della direttiva ePrivacy. Alcune autorità nazionali, come la CNIL francese, avevano già assunto questa posizione nelle proprie linee guida e sanzioni.
Come correggerlo:
- Metti “Rifiuta tutto” (o “Rifiuta i non essenziali”) al primo livello, accanto a “Accetta tutto”.
- Tieni “Personalizza” come terza opzione se vuoi, ma mai come unica via per dire no.
- Controlla da mobile, dove i pulsanti spesso vengono impilati o nascosti.
Errore 3: cookie impostati prima del consenso
Che aspetto ha: il banner sembra perfetto, ma aprendo gli strumenti per sviluppatori del browser al primo caricamento, i cookie di analytics, pubblicità o social sono già presenti prima che qualcuno clicchi.
Cosa richiede la legge: l'articolo 5, paragrafo 3, richiede il consenso prima di archiviare o accedere a informazioni sul dispositivo, a meno che non si applichi l'esenzione per i cookie strettamente necessari. Un banner che chiede il consenso dopo che i tracker sono già stati caricati è solo decorazione. Ai sensi dell'articolo 7, paragrafo 1, del GDPR, devi anche poter dimostrare che il consenso è stato ottenuto.
Come correggerlo:
- Carica per primo il tuo strumento di consenso e blocca tutti gli script non essenziali finché il consenso non viene dato. La maggior parte delle piattaforme di gestione del consenso lo supporta, ma va configurato.
- Controlla anche i contenuti incorporati: video di YouTube, mappe, widget di chat e pulsanti social spesso impostano cookie per conto proprio.
- Provalo tu stesso. Apri una finestra privata, carica il sito e guarda cookie e richieste di rete prima di cliccare qualsiasi cosa. Poi clicca su “Rifiuta tutto” e ricontrolla.
- Conserva un registro delle scelte di consenso (data e ora, versione del banner, scelte effettuate) per poter dimostrare il consenso se richiesto.
Errore 4: dark pattern nei colori e nel layout
Che aspetto ha: un pulsante “Accetta” luminoso e ad alto contrasto e un link “Rifiuta” grigio pallido. Oppure un'opzione di rifiuto scritta in piccolo dentro un paragrafo. Oppure un banner che si chiude cliccando sulla X e lo conta in silenzio come consenso.
Cosa richiede la legge: il rapporto della task force affronta diverse di queste pratiche. Le autorità hanno convenuto di non poter imporre un unico colore o contrasto a tutti i siti. Ogni banner viene invece valutato caso per caso per verificare se il suo design sia manifestamente ingannevole. Il rapporto elenca anche pratiche che possono rendere invalido il consenso, tra cui un'opzione di rifiuto mostrata solo come link nel testo e un design dei pulsanti fuorviante. Le Linee guida EDPB 03/2022 sui modelli di design ingannevoli (scritte per le piattaforme social, ma utili per capire come ragionano le autorità) descrivono tattiche come “skipping”, “hindering” e “stirring”, che spingono gli utenti verso una scelta.
Come correggerlo:
- Dai a “Accetta tutto” e “Rifiuta tutto” stessa dimensione, forma e peso visivo.
- Usa etichette semplici. Evita trucchi come “No grazie, non mi piacciono i contenuti migliori”.
- Non trattare la chiusura del banner come consenso.
Errore 5: revocare il consenso è più difficile che darlo
Che aspetto ha: accettare richiede un clic sulla home page, ma cambiare idea significa cercare un link nascosto in fondo all'informativa sulla privacy, o scrivere all'azienda.
Cosa richiede la legge: l'articolo 7, paragrafo 3, del GDPR è molto chiaro: “Il consenso è revocato con la stessa facilità con cui è accordato.” La persona deve inoltre essere informata di questo diritto prima di dare il consenso. Le linee guida dell'EDPB sul consenso aggiungono che, quando il consenso è dato con un clic del mouse, uno swipe o la pressione di un tasto, le persone devono in pratica poterlo revocare con la stessa facilità, attraverso la stessa interfaccia.
Come correggerlo:
- Aggiungi un modo permanente e facile da trovare per riaprire le impostazioni dei cookie, come una piccola icona fluttuante o un link chiaro “Impostazioni cookie” nel footer di ogni pagina.
- Fai in modo che la revoca abbia effetto subito: ferma i tag ed elimina o fai scadere i cookie non essenziali dove puoi.
- Indica al primo livello del banner che le persone possono cambiare scelta in qualsiasi momento, e dove.
Un rapido autocontrollo prima di dire “fatto”
Quando controlliamo un sito, verifichiamo in quest'ordine: stato predefinito, primo livello, attività prima di un clic, design dei pulsanti e infine la revoca. Puoi fare lo stesso in una finestra di navigazione privata.
Se preferisci una prima occhiata veloce, prova l'audit IA gratuito di 30 secondi di GDPRGard. Senza registrazione. E se vuoi sapere cosa è in gioco, il nostro calcolatore gratuito del rischio sanzioni ti dà un'idea approssimativa della tua esposizione.
FAQ
Mi serve un banner dei cookie se uso solo cookie “essenziali”?
I cookie strettamente necessari per un servizio richiesto dall'utente (per esempio un carrello o una sessione di login) sono esenti dal consenso ai sensi dell'articolo 5, paragrafo 3, della direttiva ePrivacy. I cookie di analytics e pubblicitari in genere non sono considerati strettamente necessari.
Bastano “Accetta” più “Impostazioni”?
In genere no. Secondo il rapporto della task force dell'EDPB sui banner dei cookie, la maggior parte delle autorità europee ritiene che il primo livello debba offrire un modo di rifiutare accessibile quanto quello di accettare.
Posso usare un “cookie wall” che blocca il sito finché non si accetta?
Le Linee guida EDPB 05/2020 affermano che subordinare l'accesso ai contenuti all'accettazione dei cookie non produce un consenso libero. Norme e indicazioni nazionali possono differire nei dettagli, quindi verifica con l'autorità del tuo paese.
La regola sul consenso ai cookie si applica anche se i cookie non contengono dati personali?
Sì. Nella causa Planet49 la Corte di giustizia ha stabilito che il requisito del consenso dell'articolo 5, paragrafo 3, si applica alle informazioni memorizzate sul dispositivo dell'utente, siano o meno dati personali.
Ogni quanto devo ricontrollare il mio banner?
Controllalo ogni volta che aggiungi un nuovo strumento, plugin o tag di tracciamento, e dopo gli aggiornamenti della piattaforma di consenso. Anche i controlli periodici aiutano.
Fonti
- GDPR, Regulation (EU) 2016/679, Articles 4(11), 7 and Recital 32, EUR-Lex
- ePrivacy Directive 2002/58/EC, Article 5(3), as amended by Directive 2009/136/EC, EUR-Lex
- CJEU, Case C-673/17, Planet49, Grand Chamber judgment of 1 October 2019, CURIA
- CJEU, Case C-673/17, Planet49, EUR-Lex
- EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 (adopted 4 May 2020)
- EDPB, Report of the work undertaken by the Cookie Banner Taskforce (adopted 17 January 2023)
- EDPB, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces (v2.0, 14 February 2023)
- CNIL: EDPB adopts final report of outcome of the cookie banner task force (18 January 2023)
Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Le norme nazionali di recepimento della direttiva ePrivacy variano tra gli Stati membri dell'UE, quindi consulta le indicazioni della tua autorità locale o rivolgiti a un professionista qualificato per la tua situazione specifica.
Leggi anche:
- La mia piccola impresa deve conformarsi al GDPR?
- Sanzione Google da 403 M€: i dati di posizione della tua app sono i prossimi
- L'EDPB ha appena standardizzato come ogni autorità calcola la tua sanzione