Un video YouTube, una mappa di Google Maps o un font Google incorporati in una pagina WordPress contattano i server di Google appena la pagina si apre, prima che il visitatore abbia fatto qualsiasi cosa. Quella richiesta porta con sé l'indirizzo IP del visitatore, e il contenuto incorporato può scrivere cookie o dati nel local storage. Per il GDPR serve il consenso. La soluzione è mostrare al suo posto un riquadro con un pulsante, e caricare il contenuto vero solo quando il visitatore lo clicca o accetta la categoria.
Questa guida spiega perché ciascuno dei tre è un problema, cosa cambiano davvero le opzioni "privacy avanzata" e come tenere video e mappe senza inviare dati prima del consenso.
Perché i contenuti incorporati sono un problema di GDPR
Quando una pagina contiene un <iframe> da youtube.com o google.com/maps, il browser del visitatore lo scarica da Google. Google riceve l'indirizzo IP, l'indirizzo della pagina e i dati del browser, e il player o la mappa incorporati eseguono script di Google che possono salvare identificativi sul dispositivo.
L'indirizzo IP è un dato personale. Le regole ePrivacy chiedono il consenso per salvare o leggere informazioni sul dispositivo, salvo che sia strettamente necessario, e un video che il visitatore non ha chiesto di guardare non è strettamente necessario per la pagina. Quindi il contenuto incorporato deve aspettare.
La sentenza sui Google Fonts
L'esempio più chiaro arriva dalla Germania. Il 20 gennaio 2022 il Tribunale regionale di Monaco di Baviera (LG München I, 3 O 17493/20) ha condannato il gestore di un sito a pagare 100 euro di risarcimento a un visitatore, perché il sito caricava i Google Fonts dai server di Google e così trasmetteva a Google l'indirizzo IP del visitatore senza consenso. Il tribunale ha osservato che il sito avrebbe potuto ospitare i font da sé (sintesi dello studio legale Plutte, in tedesco).
La cifra era modesta. Quello che è venuto dopo no: nel 2022 migliaia di diffide sono state inviate a gestori di siti tedeschi per chiedere un pagamento per lo stesso motivo. La lezione vale per ogni contenuto incorporato: se una risorsa arriva da terzi e non è necessaria, o aspetta il consenso o va spostata sul tuo server.
youtube-nocookie.com basta?
YouTube offre una "modalità di privacy avanzata": cambi l'indirizzo del video incorporato da youtube.com a youtube-nocookie.com. Secondo la pagina di assistenza di YouTube, le visualizzazioni in questa modalità non influenzano l'esperienza YouTube di chi guarda e gli annunci mostrati non sono personalizzati.
È utile, ma non risolve la questione del consenso:
- al caricamento della pagina il browser contatta comunque i server di Google, con l'indirizzo IP del visitatore;
- il player esegue comunque script di Google e può salvare dati sul dispositivo quando il video parte;
- YouTube stesso avverte che uscendo dal video incorporato si finisce su siti con tracciamenti propri.
Usa l'indirizzo nocookie, e trattieni comunque il video fino al consenso.
Google Maps
Una mappa incorporata funziona allo stesso modo: un iframe di Google che carica script di Google. Per una pagina contatti hai tre possibilità:
- Riquadro con un pulsante. La mappa si carica solo quando il visitatore clicca "Mostra la mappa".
- Un'immagine statica e un link. Uno screenshot della mappa con un link a Google Maps. Non si carica niente finché il visitatore non lascia il tuo sito di sua scelta.
- Solo l'indirizzo. Spesso alle persone basta l'indirizzo, gli orari e un link "Indicazioni stradali".
Come funziona un buon riquadro segnaposto
Lo schema che risolve tutto questo si chiama click-to-load, o "due clic". Al posto del video il visitatore vede un riquadro delle stesse dimensioni con:
- il nome del fornitore, per esempio "YouTube";
- una frase su cosa succede se lo carica ("Questo video è ospitato da YouTube, che potrebbe impostare dei cookie");
- un pulsante per caricarlo subito.
Cliccare il pulsante è un'azione chiara e specifica, quindi può valere come consenso per quella categoria. La pagina mantiene l'impaginazione, il visitatore mantiene la scelta, e il video è a un clic di distanza invece di sparire.
Come farlo su WordPress
WordPress trasforma in automatico un link di YouTube incollato in un video incorporato, e i page builder aggiungono mappe con un widget, quindi gli iframe arrivano da tanti punti: l'editor a blocchi, Elementor, il tema, un plugin. Sostituirli uno per uno a mano è lento e salta la prima volta che qualcuno incolla un nuovo link.
Cookie Consent se ne occupa sul server. Prima di inviare la pagina, trova iframe e script di YouTube, Vimeo, Google Maps e degli altri servizi che conosce, e li sostituisce con un riquadro che mostra il nome del fornitore e un pulsante per caricarli. Quando il visitatore accetta la categoria, nel banner o nel riquadro, il contenuto vero ricompare senza ricaricare la pagina.
Anche i Google Fonts vengono riconosciuti e messi nella categoria Preferenze, con una nota che suggerisce di ospitarli sul tuo server, che resta la soluzione migliore. Per cambiare il testo del riquadro vedi Testi e lingue; per trovare contenuti incorporati di cui non sapevi nulla, lancia la scansione descritta in Terze parti, scansione e regole tue.
Checklist per i contenuti incorporati
- Google Fonts e altri servizi di font: ospitati sul tuo server.
- YouTube e Vimeo: indirizzo nocookie dove possibile, e un riquadro segnaposto fino al consenso.
- Google Maps: riquadro segnaposto, immagine statica o un semplice link.
- Ogni contenuto incorporato elencato nell'informativa cookie con il suo fornitore.
- Test in una finestra privata: nessuna richiesta a
youtube.com,google.com/mapsofonts.googleapis.comprima di una scelta.
Per il resto del banner, dal pulsante per rifiutare al registro dei consensi, leggi Cookie banner GDPR per WordPress.
Domande frequenti
Serve il consenso per incorporare un video YouTube?
Nell'UE, in pratica sì. Il video incorporato contatta Google appena la pagina si carica e può salvare identificativi sul dispositivo. Mostra un riquadro segnaposto e carica il video dopo che il visitatore ha cliccato o accettato la categoria.
youtube-nocookie.com rende il video conforme al GDPR?
Da solo no. La modalità di privacy avanzata limita l'uso che YouTube fa della visualizzazione, ma il browser contatta comunque Google con l'indirizzo IP del visitatore e il player può salvare dati quando il video parte.
I Google Fonts sono ammessi dal GDPR?
Caricarli dai server di Google senza consenso è stato giudicato illecito dal Tribunale regionale di Monaco di Baviera nel gennaio 2022. Ospitare i file dei font sul tuo server risolve il problema e non richiede consenso.
Un clic sul riquadro del video può valere come consenso?
Sì, se il riquadro dice chiaramente quale fornitore verrà caricato e cosa comporta. Cliccare il pulsante è un'azione specifica e informata per quella categoria.
