Cookie banner, privacy e GDPR: cosa serve davvero sul sito di una piccola attività

È l’argomento su cui ricevo le domande più confuse, di solito divise tra due estremi: chi pensa che basti la scritta “questo sito usa i cookie” e chi teme sanzioni per qualsiasi cosa. La realtà sta nel mezzo ed è più semplice di come viene raccontata. Una premessa doverosa: quello che segue è un orientamento pratico da parte di chi realizza siti, non una consulenza legale, e per situazioni particolari serve un professionista del settore.

Le tre cose che servono quasi sempre

1. Un’informativa privacy raggiungibile da ogni pagina, che dica chi tratta i dati, quali dati, per quale finalità, per quanto tempo e a chi vengono comunicati.
2. Una cookie policy con banner di consenso preventivo, se il sito usa strumenti di analisi, mappe incorporate, video incorporati, pixel pubblicitari o chat di terze parti.
3. Una base giuridica dichiarata per i moduli di contatto, con l’indicazione della finalità e un consenso esplicito e non preselezionato dove serve.

Il punto che quasi tutti sbagliano

Il consenso deve essere preventivo: i cookie non tecnici e gli script di terze parti non devono partire prima che l’utente abbia scelto. Un banner che informa e basta, con la formula “proseguendo nella navigazione accetti”, non è conforme, perché non raccoglie un consenso ma lo presume.

È anche il caso più frequente di banner installato correttamente ma configurato male: il banner compare, l’utente non ha ancora cliccato nulla, e nel frattempo lo strumento di analisi ha già registrato la visita. Si verifica in trenta secondi aprendo gli strumenti per sviluppatori del browser e guardando quali richieste partono prima del clic.

Come deve essere fatto un banner corretto

• Rifiutare deve costare quanto accettare. Se “Accetta tutti” è un pulsante ben visibile e per rifiutare bisogna entrare in un pannello di preferenze e deselezionare voci una a una, il consenso non è considerato libero.
• Le categorie devono essere deselezionate di default, tranne quelle strettamente necessarie al funzionamento del sito, che non richiedono consenso.
• La scelta deve essere revocabile in qualsiasi momento, con un collegamento sempre raggiungibile per riaprire le preferenze.
• Niente schemi ingannevoli: pulsanti di rifiuto in grigio chiarissimo su fondo bianco, finestre che tornano a comparire, banner che coprono il contenuto finché non si accetta.
• Il consenso va registrato, con data e preferenze espresse, perché in caso di controllo va dimostrato.

Analisi del traffico e consenso

Se usi Google Analytics, il tracciamento va subordinato al consenso. Gli strumenti moderni gestiscono questo tramite una modalità che comunica allo script lo stato del consenso, permettendo comunque una raccolta aggregata e anonima quando l’utente rifiuta. Configurarla correttamente evita di trovarsi, di fatto, senza dati: è un passaggio tecnico che vale la pena curare al momento dell’installazione, invece di scoprirlo mesi dopo.

Il modulo di contatto

È la parte più trascurata e paradossalmente quella dove i dati raccolti sono i più personali. Un modulo fatto bene ha: una casella di consenso non preselezionata, un testo che spiega in una riga a cosa servono i dati, un collegamento all’informativa, e una prassi definita su dove finiscono quei messaggi e per quanto tempo restano lì. Un dettaglio pratico spesso ignorato: se i moduli inviati restano archiviati nel database del sito per anni, quello è un archivio di dati personali di cui sei responsabile.

Gli strumenti

Le soluzioni più diffuse, come Cookiebot, Iubenda, CookieYes e Complianz, fanno sostanzialmente tre cose: scansionano il sito per rilevare i cookie presenti, generano i testi delle informative e bloccano gli script finché non arriva il consenso. Il terzo punto è quello che conta davvero: un banner che non blocca nulla è solo decorazione.

I piani gratuiti sono spesso sufficienti per un sito vetrina; le versioni a pagamento diventano utili quando servono più lingue, scansioni periodiche automatiche e la conservazione documentata dei consensi.

Una lista di controllo veloce

• L’informativa privacy è raggiungibile da ogni pagina, footer incluso.
• Nessuno script di terze parti parte prima del consenso (verificato, non supposto).
• Rifiutare richiede un clic, esattamente come accettare.
• Le preferenze si possono riaprire e modificare in ogni momento.
• I moduli hanno finalità dichiarata e consenso non preselezionato.
• Sai dove sono archiviati i dati raccolti e per quanto tempo restano.

Nella pratica, mettere in ordine questi punti su un sito vetrina è mezza giornata di lavoro. È molto meno del tempo che si spende a preoccuparsene senza affrontarli.