01
Il banner
Molti siti mostrano un banner dei cookie con i pulsanti «Accetta» e «Rifiuta».
CONFORMITÀ COOKIE
Il consenso deve funzionare, non solo apparire.
Prima della scelta, all’accettazione, al rifiuto e alla revoca.
01 / 08Il banner
Un sito chiede il permesso di usare i cookie
Il banner propone di accettare o rifiutare. Resta da capire se il sito rispetta la scelta del visitatore.
02 / 08Prima della scelta
Il tracciamento inizia prima della risposta
Il visitatore non ha ancora fatto clic su nulla e nel suo browser ci sono già cookie di profilazione.
03 / 08Il rifiuto
Rifiutare non cambia nulla
Il visitatore fa clic su «Rifiuta», il banner si chiude e i cookie di profilazione sono ancora lì. Il banner viene mostrato, ma non funziona.
04 / 08La norma
Il consenso viene prima dei cookie
L’articolo 122 del Codice privacy richiede il consenso informato prima di usare cookie non tecnici. Il Garante chiede che i comandi per accettare e per rifiutare abbiano pari evidenza e che la chiusura del banner mantenga le impostazioni predefinite, senza cookie non tecnici.
05 / 08Il test
Tre visite pulite allo stesso sito
Apriamo il sito in tre sessioni indipendenti, senza tracce di visite precedenti: una per accettare e poi revocare il consenso, una per rifiutare e una per personalizzare.
06 / 08L’inventario
Monitoriamo che cosa compare a ogni passaggio
Prima della scelta, dopo ogni azione e dopo aver ricaricato la pagina registriamo i cookie, l’archiviazione locale e le richieste di rete, e distinguiamo i cookie necessari da quelli di profilazione e da quelli con finalità ancora da chiarire.
07 / 08Le evidenze
Ogni visita viene documentata
Conserviamo schermate, video, registro di rete e cronologia di ogni sessione, in file firmati che una terza parte può verificare.
08 / 08Il risultato
Riscontri che si possono riprodurre
Il report indica che cosa è stato osservato a ogni passaggio, perché il tuo team possa correggere il banner o valutare un fornitore. Sono evidenze tecniche relative a una visita specifica. Una terza parte può verificarle e ripetere il test; la loro qualificazione giuridica spetta all’autorità competente, a un tribunale o a un professionista.
Il consenso deve funzionare, non solo apparire.
Descrizione di ogni scena
- Un sito chiede il permesso di usare i cookie. Si apre la pagina di un sito qualsiasi e, in basso, compare il banner «Questo sito usa i cookie» con due pulsanti della stessa dimensione, «Accetta» e «Rifiuta», uniti da un segno di uguale. A destra, un biscotto morsicato con un punto interrogativo e la domanda «La scelta viene rispettata?».
- Il tracciamento inizia prima della risposta. Il banner è ancora aperto e il cursore non ha fatto clic su nessun pulsante. A destra si apre il pannello «Cookie nel browser» e compaiono, uno alla volta, tre cookie: «ads_uid», «ad_click» e «retarget_id», ciascuno con l’etichetta rossa «Profilazione». Tre punti rossi si accendono nella barra del browser. Un contatore rosso indica «Prima della scelta» e «3 di profilazione», e una linea del tempo colloca «Tracciamento in corso» prima di «Scelta in sospeso».
- Rifiutare non cambia nulla. Il cursore fa clic su «Rifiuta» e il banner si chiude. Nel pannello «Cookie nel browser» i tre cookie di profilazione rimangono, incorniciati in rosso, e una freccia esce verso l’esterno con la scritta «Richieste a terze parti». Sotto, due schede contrapposte, separate dal segno «diverso da»: «Che cosa ha scelto», con il pulsante «Rifiuta», e «Che cosa succede», con tre cookie in rosso.
- Il consenso viene prima dei cookie. Due schede: «Consenso preventivo», con il riferimento «Codice privacy, art. 122», e «Scelte con pari evidenza», con il riferimento «Linee guida del Garante». Sotto, due banner di esempio: uno con i pulsanti «Accetta» e «Rifiuta» della stessa dimensione, con la nota «Stessa evidenza» e un segno di spunta; e un altro con un pulsante «Accetta» grande e un «Rifiuta» piccolo e poco visibile, con la nota «Rifiuto poco visibile» e una croce.
- Tre visite pulite allo stesso sito. La pagina viene caricata di nuovo con il suo banner e il faro di VigiaLabs vi proietta sopra un fascio di luce. A destra, tre corsie, una per sessione: «Accettare e revocare», «Rifiutare» e «Personalizzare». In ciascuna, i punti di controllo si accendono uno dopo l’altro.
- Monitoriamo che cosa compare a ogni passaggio. Una linea di scansione percorre la pagina sotto la luce del faro. A destra si compila una tabella con le colonne «Necessari», «Profilazione» e «Da chiarire» e le righe «Prima della scelta», «Dopo l’accettazione», «Dopo il rifiuto» e «Dopo la revoca». Ogni riga mostra un cookie necessario e uno da chiarire; ci sono tre cookie di profilazione nelle prime tre righe e nessuno dopo la revoca. Quelli di profilazione nelle righe «Prima della scelta» e «Dopo il rifiuto» sono evidenziati in rosso.
- Ogni visita viene documentata. Dei segni d’angolo inquadrano la pagina e un lampo segnala l’acquisizione della schermata. A destra si apre una cartella intitolata «Fascicolo» con quattro evidenze: «Schermata», «Video», «Registro di rete» e «Cronologia». Sotto compare il sigillo «Manifesto firmato», accanto al faro.
- Riscontri che si possono riprodurre. Un documento intitolato «Report» mostra quattro righe: «Prima della scelta», con una croce; «Dopo l’accettazione», con un segno di spunta; «Dopo il rifiuto», con una croce; e «Dopo la revoca», con un segno di spunta. Poi la pagina viene mostrata corretta: il cursore fa clic su «Rifiuta», il banner si chiude, i punti rossi nella barra del browser si spengono e il pannello «Cookie nel browser» conserva soltanto «consent_choice», con l’etichetta «Necessario». Il contatore non è più rosso e indica «Dopo il rifiuto» e «0 di profilazione».
IN BREVE
Banner dei cookie che compaiono, ma non vengono rispettati.
Un banner consente di rifiutare i cookie, ma il sito potrebbe non rispettare la scelta. Esaminiamo le informazioni e testiamo il comportamento prima della decisione, dopo l’accettazione e dopo il rifiuto, nel quadro dell’art. 122 del Codice privacy e del GDPR ove applicabile.
02
Prima della scelta
In alcuni, i cookie di profilazione vengono salvati prima che il visitatore scelga.
03
Il rifiuto
In altri, restano lì anche se il visitatore fa clic su «Rifiuta».
04
La norma
La legge richiede il consenso prima di usare i cookie non tecnici.
05
Il test
VigiaLabs visita il sito, prova ogni pulsante e annota quali cookie compaiono a ogni passaggio.
06
Le evidenze
Conserva le prove in file firmati e consegna un report. Non è un certificato legale.
COME SI VERIFICA
Quattro passaggi, dalla visita al report.
Riscontri riproducibili per aiutare i team tecnici e privacy a stabilire le priorità.
Momenti registrati
- Prima della scelta
- Dopo l’accettazione
- Dopo il rifiuto
- Dopo la revoca
Evidenze tecniche, non un certificato
Sono evidenze tecniche relative a una visita specifica. Una terza parte può verificarle e ripetere il test; la loro qualificazione giuridica spetta all’autorità competente, a un tribunale o a un professionista.
- 01
Tre visite pulite allo stesso sito
Apriamo il sito in tre sessioni indipendenti, senza tracce di visite precedenti: una per accettare e poi revocare il consenso, una per rifiutare e una per personalizzare.
- 02
Monitoriamo che cosa compare a ogni passaggio
Prima della scelta, dopo ogni azione e dopo aver ricaricato la pagina registriamo i cookie, l’archiviazione locale e le richieste di rete, e distinguiamo i cookie necessari da quelli di profilazione e da quelli con finalità ancora da chiarire.
- 03
Ogni visita viene documentata
Conserviamo schermate, video, registro di rete e cronologia di ogni sessione, in file firmati che una terza parte può verificare.
- 04
Riscontri che si possono riprodurre
Il report indica che cosa è stato osservato a ogni passaggio, perché il tuo team possa correggere il banner o valutare un fornitore.
Caso illustrativoVL / CMP
Che cosa ha sceltoQuesto sito usa i cookie
Che cosa succedeads_uidProfilazionead_clickProfilazioneretarget_idProfilazione
Cookie e GDPR
Avere una CMP non garantisce la conformità dei cookie
Una piattaforma di gestione del consenso (CMP) mostra il banner dei cookie e registra la scelta del visitatore. Il rispetto di quella scelta dipende da come la piattaforma è collegata a ogni tag, pixel e script del sito.
Per questo un sito con una CMP può continuare a installare cookie di profilazione prima dell’accettazione o dopo il rifiuto:
- 01tag caricati al di fuori della CMP
- 02un’impostazione predefinita che considera il permesso già concesso
- 03script di terze parti aggiunti dopo l’installazione
- 04cookie che non vengono cancellati alla revoca del consenso
Il tuo vantaggioVigiaLabs non sostituisce una CMP: verifica, in visite separate, se il sito rispetta la scelta del visitatore. Il report descrive ciò che è stato osservato; nemmeno il report è un certificato di conformità.
GLOSSARIO
I termini e le fonti, in chiaro.
Ogni caso è documentato con fonti e contesto. L’ambito viene concordato per mercato; i riferimenti di questa pagina riguardano il diritto italiano.
- Cookie
- Piccolo file che un sito salva nel browser del visitatore.
- Cookie di profilazione
- Cookie che serve a tracciare la navigazione per creare un profilo del visitatore, per esempio a fini pubblicitari.
- Cookie necessario
- Cookie indispensabile per fornire il servizio richiesto dal visitatore, come ricordare la sua scelta nel banner. È detto anche cookie tecnico.
- Banner dei cookie
- Messaggio che informa sui cookie e chiede il permesso di usarli.
- CMP
- Piattaforma di gestione del consenso: strumento che mostra il banner dei cookie e registra la scelta del visitatore.
- Sessione pulita
- Visita effettuata con un browser senza cookie né dati di visite precedenti.
- Art. 122 del Codice privacy
- Articolo del D.Lgs. 196/2003 che richiede di informare l’utente e di ottenerne il consenso prima di usare cookie non tecnici.
- Garante
- Garante per la protezione dei dati personali, che vigila sull’uso dei cookie in Italia e nel 2021 ha pubblicato le Linee guida sui cookie.
- Manifesto firmato
- Elenco dei file di un test con la loro impronta digitale e una firma, per verificare che non siano stati alterati.
DOMANDE FREQUENTI
Chi ignora il consenso parte avvantaggiato.
Un sito che continua a tracciare dopo un rifiuto misura e fa pubblicità con dati che chi rispetta le regole non ha. Verificarlo e documentarlo è il primo passo per competere ad armi pari.
Un concorrente installa cookie di profilazione senza consenso. Come posso dimostrarlo?
Con un test tecnico che si può ripetere. VigiaLabs apre il sito in tre sessioni pulite, una per accettare e poi revocare il consenso, una per rifiutare e una per personalizzare, e registra i cookie, l’archiviazione locale e le richieste di rete prima della scelta e dopo ogni azione. Il report indica che cosa è stato osservato a ogni passaggio, con schermate, video e registro di rete in file firmati.
Che cosa prevede la normativa sui cookie in Italia?
L’articolo 122 del Codice privacy richiede il consenso informato prima di usare cookie non tecnici. Il Garante per la protezione dei dati personali, che vigila sull’uso dei cookie in Italia, chiede nelle Linee guida del 2021 che i comandi per accettare e per rifiutare abbiano pari evidenza e che la chiusura del banner mantenga le impostazioni predefinite, senza cookie non tecnici.
Il mio sito ha già una piattaforma di gestione del consenso (CMP). Serve comunque verificarla?
Sì: avere una CMP non garantisce la conformità. La piattaforma mostra il banner dei cookie e registra la scelta del visitatore, ma il rispetto di quella scelta dipende da come è collegata a ogni tag, pixel e script del sito. Un sito con una CMP può continuare a installare cookie di profilazione prima dell’accettazione o dopo il rifiuto.
Può usarlo un’associazione dei consumatori, un DPO o un team privacy?
Sì. Un’associazione può verificare i siti che usano i suoi iscritti, come banche, negozi o servizi; un responsabile della protezione dei dati (DPO) o un team privacy, quelli della propria organizzazione e dei suoi fornitori. Il metodo è lo stesso e il report descrive ciò che è stato osservato, perché lo valuti chi ne ha la competenza.
Il report vale come prova davanti al Garante?
Il report raccoglie evidenze tecniche relative a una visita specifica, che una terza parte può verificare e di cui può ripetere il test. La loro qualificazione giuridica spetta all’autorità competente, a un tribunale o a un professionista: il report non è un certificato di conformità né una decisione.
GUARDIAMO OLTRE
Una visione più chiara inizia
con una conversazione.
Raccontaci cosa vuoi monitorare. Insieme, definiremo un ambito adatto alla tua attività.