Una guida operativa, senza marketing, sui requisiti del Garante Privacy italiano per i cookie banner nel biennio 2025-2026. Sei punti tecnici precisi, esempi di sanzioni reali, e cosa serve in pratica per non finire in un'istruttoria.
Cominciamo dalla domanda che ci arriva ogni settimana: "Sono cambiate le regole nel 2024-2025?" Risposta breve: no, sostanzialmente no. Il documento di riferimento resta il provvedimento del Garante per la protezione dei dati personali del 10 giugno 2021, "Linee guida cookie e altri strumenti di tracciamento". Quel testo ha definito gli standard che sono ancora applicabili oggi.
Quello che è cambiato è il contesto applicativo:
In sintesi: il quadro normativo è stabile, ma la "pressione applicativa" è salita. Più ispezioni, più sanzioni, più attenzione alle modalità tecniche reali (non solo al testo del banner).
Sei punti tecnici, non sei suggerimenti grafici. Mancare anche uno solo espone a contestazione.
I pulsanti Accetta tutto e Rifiuta tuttodevono essere visivamente equivalenti: stessa dimensione, stesso peso visivo, stesso livello gerarchico. Vietato fare "Accetta" in colore brand vivace e "Rifiuta" come testo grigio sottile. Il Garante e l'EDPB Taskforce Report lo qualificano come dark pattern.
Lo scroll della pagina non equivale a consenso. Il provvedimento del Garante del 10 giugno 2021 lo dice esplicitamente: un'azione "passiva" come scrollare, muovere il mouse o continuare la navigazione non costituisce manifestazione di volontà valida. Il consenso deve essere un atto positivo univoco (GDPR art. 4(11)).
Il cookie wall ("accetta o non puoi accedere al sito") è di norma vietato. È accettabile solo se esiste un'alternativa equivalente che permette all'utente di accedere al contenuto senza prestare consenso al marketing — tipicamente un paywall a pagamento. L'EDPB l'ha chiarito nelle Guidelines 03/2022 sui deceptive design patterns.
Cookies, script e iframe di terze parti per finalità non strettamente necessarie devono essere bloccati prima del consenso. La sentenza CJEU C-673/17 Planet49 lo ha sancito a livello europeo. Il Garante è esplicito: il banner che "sostituisce type=text/plain" ma lascia partire la prima chiamata di rete non è considerato conforme.
GDPR art. 7(1) richiede che il titolare possa dimostrareil consenso. Art. 5(2) impone il principio di accountability. EDPB 05/2020 §105-109 chiarisce che la prova deve essere conservata e prodotta in caso di contestazione. Non basta un CSV con "email + data": serve un registro con timestamp, IP, user agent, hash del banner, versione del documento informativo.
GDPR art. 7(3): la revoca del consenso deve essere altrettanto facilequanto prestarlo. Se per accettare basta un click sul banner, per revocare deve bastare un click su un widget sempre accessibile (icona fluttuante, link nel footer, voce nella cookie policy). Non è accettabile far "passare" da una pagina di contatto generica.
Le linee guida del Garante non sono carta straccia: vengono applicate, con sanzioni economiche significative. Senza riportare cifre puntuali che potrebbero essere imprecise, queste sono le tipologie di provvedimentoche il Garante ha emesso negli ultimi anni e che chiariscono l'orientamento applicativo:
La lezione operativa: il Garante non punta solo alle aziende grandi e visibili. Le sanzioni alle PMI esistono, sono spesso conseguenza di reclami singoli di utenti, e l'importo (anche se inferiore in valore assoluto) può essere drammatico in rapporto al fatturato.
Per cifre puntuali e nomi delle società sanzionate, l'archivio dei provvedimenti del Garante è pubblicamente consultabile su garanteprivacy.it. Consigliamo di non fare affidamento su cifre "circolate" in articoli secondari: il dato ufficiale è solo quello del provvedimento integrale.
I sei requisiti del Garante non sono una checklist astratta. Per ciascuno, Tuelia ha una funzionalità ingegnerizzata che lo soddisfa di default. Ecco come si traduce nella pratica.
Niente di tutto questo è in beta o "coming soon". È quello che gira oggi in produzione, anche nel piano gratuito.
Tre modi per scoprirlo, dal più rapido al più approfondito.
Apri il tuo sito in incognito, ispeziona il network tab di Chrome DevTools prima di cliccare. Se vedi richieste verso google-analytics.com, facebook.com, hotjar.com, hubspot.com prima del consenso, hai un problema di prior blocking. Bastano 60 secondi.
Crea un account Tuelia, aggiungi il tuo dominio, lancia uno scan. In 5 minuti hai un report sui cookie trovati, su quali partono prima del consenso, sulla copertura della cookie policy attuale, e sul livello stimato di conformità.
Sul piano Agency è inclusa una consulenza compliance trimestrale con un legale specializzato in privacy: rilegge il tuo banner, la cookie policy, l'informativa, e ti dà la lista delle azioni concrete da fare. Niente template, intervento reale.
Crei il banner gratis, lo installi, e sei a posto con i sei requisiti del Garante. Senza pagare un legale per leggere le linee guida al posto tuo.