Guide Guida
Banner cookie conforme al GDPR: come evitare contestazioni e sanzioni
Un banner cookie da solo non mette al riparo da contestazioni: ciò che conta è come è realizzato. Questa guida mostra cosa deve saper fare nel 2026 un banner a norma in Italia, secondo il Provvedimento cookie del Garante e la disciplina ePrivacy.
Il banner cookie è obbligatorio?
Il banner è obbligatorio non appena un sito utilizza cookie o tracker non strettamente necessari — ad esempio per statistiche o marketing. Il riferimento normativo è il GDPR, la direttiva ePrivacy, il Codice Privacy (d.lgs. 196/2003, art. 122) e il Provvedimento cookie del Garante dell'8 maggio 2021.
Senza consenso possono essere installati soltanto i cookie tecnici, cioè quelli strettamente necessari al funzionamento del sito. Tutto il resto — Google Analytics, Meta Pixel, Maps, YouTube — richiede il consenso attivo e informato del visitatore prima di essere caricato.
Chi ignora queste regole si espone a reclami all'Autorità, a contestazioni e ai provvedimenti del Garante per la protezione dei dati personali. Il GDPR prevede inoltre un quadro sanzionatorio articolato per le violazioni più gravi.
Che aspetto deve avere il banner?
Un banner a norma deve presentare, già al primo livello, una scelta equivalente tra «Accetta tutto» e «Rifiuta tutto». Secondo il Provvedimento del Garante dell'8 maggio 2021, il rifiuto deve essere semplice e immediato quanto l'accettazione, senza che lo scorrimento della pagina (scroll) valga come consenso.
In concreto significa:
- «Rifiuta tutto» già al primo livello — con pari evidenza grafica, stesso numero di clic e stessa facilità di «Accetta tutto».
- Niente dark pattern — nessun pulsante verde «Accetta» accanto a un grigio link «Rifiuta» poco visibile.
- Scelta granulare — il visitatore deve poter selezionare le singole categorie di tracciamento.
- Revoca sempre possibile — la decisione deve essere modificabile in ogni momento, in modo semplice come è stata data.
- Niente consenso da scroll o da prosecuzione della navigazione: la semplice chiusura del banner o lo scorrimento non costituiscono consenso valido.
Gli errori più frequenti
Gli errori che espongono di più a reclami e contestazioni sono: tracker che si attivano prima del consenso, un pulsante di rifiuto nascosto o squilibrato e un'informativa privacy che non corrisponde a ciò che il sito carica davvero.
- I tracker si attivano troppo presto. Se Google Analytics o il Meta Pixel partono già all'apertura della pagina, è una violazione chiara dell'art. 122 del Codice Privacy — a prescindere da ciò che dice il banner.
- Il banner compare dopo il caricamento. Molti strumenti intervengono in ritardo: nel frattempo i tracker hanno già inviato dati a server terzi.
- Squilibrio tra «Accetta» e «Rifiuta». Un rifiuto relegato a un secondo livello o reso meno visibile non è conforme al Provvedimento del Garante.
- Informativa privacy non aggiornata. Un nuovo strumento, un nuovo pixel — e l'informativa ai sensi degli artt. 13-14 GDPR non rispecchia più la realtà del sito.
Come farlo nel modo giusto
Adotta un banner che blocchi tecnicamente i tracker prima che vengano caricati — e mantieni l'informativa privacy automaticamente allineata al tracciamento realmente presente sul sito.
È esattamente ciò di cui si occupa BlueOcean Privacy AI: i tracker restano in attesa del consenso, l'informativa privacy si aggiorna da sola quando cambiano gli strumenti e una scansione ti mostra lo stato reale del sito rispetto al GDPR e al Provvedimento del Garante.
Non sai se i tuoi siti sono a posto? Avvia una scansione gratuita del sito oppure prenota un breve appuntamento di consulenza: li guardiamo insieme.
Diamo un’occhiata ai tuoi siti
In una chiamata di 15 minuti vedi a che punto sono i siti dei tuoi clienti — e come metterli al sicuro senza sforzo.
Domande frequenti
«Rifiuta tutto» deve comparire al primo livello del banner?
Sì. Secondo il Provvedimento cookie del Garante dell'8 maggio 2021, il rifiuto deve essere semplice e immediato quanto l'accettazione. In pratica una scelta «Rifiuta tutto» equivalente deve essere disponibile già al primo livello, con pari evidenza rispetto ad «Accetta tutto». La semplice prosecuzione della navigazione o lo scroll non valgono come consenso.
Basta un plugin cookie gratuito?
Solo se blocca davvero i tracker prima del consenso e copre anche l'informativa privacy. Molti plugin gratuiti si limitano a mostrare un banner ma non bloccano nulla: in quel caso i cookie di profilazione partono comunque prima del consenso, in violazione dell'art. 122 del Codice Privacy.
Cosa si rischia con un banner cookie non conforme?
Si rischiano reclami all'Autorità da parte degli interessati, istruttorie e provvedimenti del Garante per la protezione dei dati personali (ammonimenti, ordini, divieti di trattamento) oltre alle sanzioni amministrative previste dal GDPR per le violazioni più gravi. L'entità dipende dal caso concreto: per questo conviene mettere il sito a norma in anticipo.