Un cookie banner conforme al GDPR su un sito WordPress ha un compito vero: impedire che statistiche, pixel pubblicitari e video incorporati partano prima che il visitatore abbia detto sì. Testo e pulsanti vengono dopo. Un banner con un bel messaggio mentre Google Analytics è già in funzione è il problema che le autorità trovano più spesso, e nessuna formulazione lo può sistemare.
Questa guida riassume cosa chiedono le regole, cosa controllano in pratica le autorità europee per la protezione dei dati e come verificare il tuo sito in dieci minuti. Sono informazioni generali, non una consulenza legale.
Quali regole valgono per i cookie
I testi europei da conoscere sono due, e funzionano insieme.
- La direttiva ePrivacy, all'articolo 5, paragrafo 3, stabilisce che salvare informazioni sul dispositivo del visitatore, o leggerle, richiede il consenso, a meno che sia strettamente necessario per il servizio che il visitatore ha chiesto. Vale per i cookie, ma anche per il local storage, i pixel e il fingerprinting. Il testo è su EUR-Lex.
- Il GDPR definisce cos'è un consenso valido: libero, specifico, informato e inequivocabile, espresso con un'azione chiara (articolo 4, punto 11). L'articolo 7, paragrafo 3, aggiunge che revocare il consenso deve essere facile quanto darlo. Anche questo testo è su EUR-Lex.
Ogni Paese applica la direttiva con una legge propria e con la propria autorità: il Garante in Italia, la CNIL in Francia, l'AEPD in Spagna, le autorità dei Länder in Germania. I dettagli cambiano un po' da un Paese all'altro, la sostanza no.
Cosa deve fare un banner conforme
1. Bloccare prima del consenso
Niente di ciò che richiede il consenso può partire prima che il visitatore scelga. Su un sito WordPress di solito si tratta del codice di Google Analytics o di Tag Manager, del Meta Pixel, dei video YouTube incorporati, di Google Maps, dei widget di chat e dei font esterni. Se uno di questi si carica alla prima visualizzazione della pagina, il banner è solo decorazione. Per i tag di Google trovi i dettagli in come bloccare Google Analytics prima del consenso.
2. Rifiutare facile quanto accettare
Il pulsante Rifiuta tutti va nella prima schermata, accanto ad Accetta tutti, con le stesse dimensioni, lo stesso colore e lo stesso peso. Un link grigio nascosto sotto il testo, o un'opzione per rifiutare presente solo in un secondo pannello, è ciò che la maggior parte delle autorità contesta. Nel gennaio 2023 il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato il rapporto della sua task force sui cookie banner (in inglese): una larga maggioranza delle autorità ha concordato che l'assenza di un pulsante per rifiutare al primo livello è una violazione.
La CNIL francese lo aveva già detto con i numeri: a fine 2021 ha multato Google per 150 milioni di euro e Facebook per 60 milioni, perché rifiutare i cookie richiedeva più clic che accettarli (sintesi di Hunton, in inglese).
3. Categorie, spente in partenza
Il visitatore deve poter accettare, per esempio, le statistiche e rifiutare il marketing. I gruppi più usati sono Necessari, Preferenze, Statistiche e Marketing. Tutte le caselle tranne Necessari partono non spuntate: nella causa Planet49 (C-673/17, 2019) la Corte di giustizia dell'UE ha stabilito che una casella già spuntata non è un consenso valido.
4. Categorie oneste
Mettere uno strumento di statistiche o un pixel pubblicitario tra i "Necessari" per farlo partire senza chiedere è una delle pratiche segnalate dalla task force dell'EDPB. Necessario vuol dire che il sito senza non funziona: il cookie di sessione del carrello, il login, un modulo di pagamento, il controllo antispam di un modulo di contatto.
5. Informazioni chiare
Il banner dice in parole semplici cosa usi e perché, e porta a un'informativa cookie che elenca ogni servizio, a cosa serve e chi lo gestisce. Frasi vaghe come "per migliorare la tua esperienza" non bastano perché il consenso sia informato.
6. Un modo per cambiare idea
Il visitatore deve poter revocare il consenso in qualsiasi momento, con la stessa facilità con cui l'ha dato. In pratica serve un piccolo pulsante fisso in un angolo di ogni pagina, oppure un link "Impostazioni cookie" nel footer che riapre il banner.
7. La prova del consenso
Per l'articolo 7, paragrafo 1, del GDPR devi essere in grado di dimostrare che un visitatore ha dato il consenso. Il modo più semplice è un registro dei consensi con data, ora, categorie scelte e un identificativo anonimo, senza salvare gli indirizzi IP.
8. Una scadenza ragionevole
Una scelta non dovrebbe valere per sempre, ma nemmeno il banner dovrebbe ricomparire a ogni visita. L'intervallo citato dalla maggior parte delle autorità va da sei a dodici mesi. Le linee guida del Garante del 10 giugno 2021 aggiungono due dettagli tutti italiani: chiudere il banner con la X equivale a un rifiuto e, dopo un rifiuto, il banner non va riproposto per almeno sei mesi, salvo cambiamenti importanti.
Cosa non richiede il consenso
I cookie e le memorizzazioni strettamente necessari possono funzionare senza chiedere: carrello, sessione di login, lingua scelta dal visitatore, bilanciamento del carico, token di sicurezza, il cookie che ricorda il consenso stesso. Vanno comunque citati nell'informativa cookie.
Alcune autorità, come la CNIL e il Garante, ammettono la misurazione dell'audience senza consenso a condizioni rigide: dati usati solo per le tue statistiche, non incrociati con altri dati, indirizzi IP abbreviati e nessun trasferimento che permetta al fornitore di usarli per scopi propri. Una configurazione standard di Google Analytics non rispetta queste condizioni, quindi metti in conto di chiedere il consenso.
Verifica il tuo sito in dieci minuti
- Apri il sito in una finestra di navigazione privata, così non resta salvata nessuna scelta precedente.
- Apri gli strumenti per sviluppatori (F12 nella maggior parte dei browser), vai nella scheda Network (Rete) e ricarica la pagina.
- Prima di cliccare qualsiasi cosa sul banner, scrivi
google,facebookeyoutubenel campo del filtro. Richieste versogoogle-analytics.com,googletagmanager.com,connect.facebook.netoyoutube.comsignificano che quei servizi si caricano prima del consenso. - Nella scheda Application (Applicazione), guarda i cookie. Nomi come
_ga,_gido_fbpprima di qualsiasi clic sono un problema. - Clicca Rifiuta tutti, ricarica e controlla di nuovo: non deve comparire niente di nuovo.
- Cerca il modo per tornare indietro: un pulsante o un link nel footer che riapre il banner.
Se al punto 3 o 4 compaiono dei tracciamenti, la soluzione non sta nel testo del banner ma nel blocco.
Come farlo su WordPress
WordPress non ha un cookie banner suo, quindi serve un plugin. Quando li confronti, guarda i punti qui sopra invece della grafica: il plugin blocca script e contenuti incorporati prima del consenso, o mostra solo un messaggio? Si può nascondere o rendere meno visibile il pulsante per rifiutare? (Un buon plugin non te lo lascia fare.) Tiene un registro dei consensi? Invia i segnali di Google Consent Mode v2?
Il nostro plugin Cookie Consent è nato attorno a queste verifiche. Toglie i tracciamenti dalla pagina sul server, prima che la pagina lasci il tuo sito, e rimette solo quello che il visitatore ha permesso, per questo funziona anche con la cache delle pagine. Accetta e Rifiuta hanno sempre lo stesso aspetto, e la versione gratuita copre già blocco, categorie, Consent Mode v2 e pagina dell'informativa cookie.
Per la configurazione segui Configura il banner in cinque minuti. Il registro dei consensi e la scansione del sito fanno parte della versione Pro.
Checklist
- Nessuna statistica, pixel, video o mappa si carica prima di una scelta.
- Rifiuta tutti nella prima schermata, con lo stesso aspetto di Accetta tutti.
- Categorie spente in partenza, Necessari usato solo per ciò che è davvero necessario.
- Un'informativa cookie che nomina ogni servizio.
- Un pulsante o un link per cambiare la scelta in ogni pagina.
- Una registrazione di ogni consenso, senza indirizzi IP.
- Il banner chiede di nuovo dopo sei-dodici mesi, o quando aggiungi un servizio.
La maggior parte dei siti non supera i primi due punti. Sistemati quelli, il resto è un pomeriggio di lavoro.
Domande frequenti
Ogni sito WordPress ha bisogno di un cookie banner?
Solo se usa cookie o memorizzazioni simili che non sono strettamente necessari. Un sito senza statistiche, video o mappe incorporati, font esterni e pixel pubblicitari potrebbe farne a meno. Quasi tutti i siti aziendali ne usano almeno uno, quindi in pratica sì.
Basta un banner con il solo pulsante OK?
No. Un pulsante OK o Ho capito non lascia nessuna vera scelta. Le autorità europee si aspettano un'opzione per rifiutare nella prima schermata, facile da usare quanto Accetta, e tracciamenti che restano spenti finché il visitatore non accetta.
Quanto dura il consenso ai cookie?
La legge non fissa un numero preciso. Le autorità di solito indicano da sei a dodici mesi. Chiedi di nuovo prima se aggiungi un servizio o cambi quello che fa un servizio esistente.
Devo conservare una prova del consenso?
Il GDPR dice che devi essere in grado di dimostrare che una persona ha dato il consenso. Un registro dei consensi con data, ora, scelte e un identificativo anonimo è il modo pratico per farlo.
