Quando sono obbligatori i cookie?

Quando sono obbligatori i cookie? Sanzioni fino a 20 milioni

La gestione di quando sono obbligatori i cookie incide direttamente sulla conformità legale dei siti web. Ignorare queste regole espone i titolari a pesanti ripercussioni pecuniarie e controlli rigorosi da parte delle autorità. Comprendere correttamente i requisiti informativi permette di proteggere i dati degli utenti ed evitare perdite finanziarie derivanti da banner non conformi.

Quando il banner dei cookie è obbligatorio? (Risposta breve)

Un sito web deve mostrare un cookie banner solo quando utilizza cookie di profilazione, di marketing o di terze parti che tracciano il comportamento dell’utente per finalità non strettamente necessarie al funzionamento del servizio. I cookie tecnici (ad esempio quelli che gestiscono il carrello della spesa o mantengono attiva la sessione di login) sono esenti da banner perché considerati essenziali. Questa distinzione deriva dal GDPR e dalla normativa ePrivacy, che impongono il consenso preventivo per i cookie invasivi, mentre per quelli tecnici è sufficiente un’informativa nella cookie policy.

Qual è la differenza tra cookie tecnici e cookie di profilazione?

La confusione tra queste due categorie è la causa principale dei banner non conformi. I cookie tecnici sono quelli indispensabili per erogare il servizio richiesto dall’utente: ad esempio memorizzare gli articoli nel carrello, autenticarsi in un’area riservata o ricordare le preferenze di lingua. Non necessitano di consenso preventivo, ma vanno comunque descritti in una cookie policy facilmente accessibile. Al contrario, i cookie di profilazione – spesso installati da terze parti – raccolgono dati sul comportamento di navigazione per finalità pubblicitarie, statistiche avanzate o marketing comportamentale. Per questi ultimi, il consenso deve essere raccolto tramite un banner ben visibile, prima che il cookie venga installato sul dispositivo dell’utente.

Il caso particolare dei cookie analytics

Google Analytics, per esempio, non è automaticamente un cookie tecnico. L’uso di strumenti di analisi richiede il consenso se i dati vengono utilizzati per profilazione, configurando un chiaro caso di cookie analytics obbligo consenso se l'anonimizzazione dell'IP non è attiva. In breve: se i dati servono solo a misurare il traffico in forma aggregata e anonima, si può applicare l’esenzione; in caso contrario, serve il banner.

Cosa prevede la normativa europea e italiana nel 2026?

Il quadro normativo resta il GDPR (Regolamento UE 2016/679) e la direttiva ePrivacy, attualmente in fase di revisione a livello europeo. In Italia, il Garante per la protezione dei dati personali ha emanato Linee guida specifiche sui cookie, chiarendo che il consenso deve essere libero, specifico, informato e inequivocabile. Nel 2025, il Garante ha proseguito i controlli e gli accertamenti su banner fuorvianti (ad esempio con pulsanti “continua senza accettare” non facilmente individuabili). ^[1] Le sanzioni per chi non adegua il proprio banner possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, a seconda della violazione più grave.

Le novità all’orizzonte: consenso a livello di browser

Nel 2026 l’attenzione si sta spostando verso soluzioni tecniche che consentirebbero agli utenti di esprimere le proprie preferenze di tracciamento una volta per tutte a livello di browser, riducendo il numero di banner. Il progetto “Google Privacy Sandbox” e iniziative simili mirano a sostituire i cookie di terze parti con API integrate nel browser. Il futuro delle norme sull’ePrivacy probabilmente incorporerà queste tecnologie, ma per ora rimane obbligatorio richiedere il consenso tramite banner quando si utilizzano cookie non tecnici.

Quali strumenti aiutano a rendere il banner conforme?

Ormai la maggior parte dei gestori di siti si affida a CMP (Consent Management Platform) che automatizzano il blocco dei cookie prima del consenso e gestiscono il rinnovo del consenso ogni 6-12 mesi. Piattaforme come Cookiebot, iubenda o CookieYes offrono modelli pronti e integrazioni con i principali CMS. La scelta di una CMP ben configurata riduce drasticamente il rischio di sanzioni, purché si verifichi che il banner sia effettivamente in grado di bloccare i cookie di terze parti in attesa dell’accettazione – un aspetto che spesso viene trascurato.

Confronto: cookie tecnici, di profilazione e analytics con impostazioni privacy

Come riconoscere le tre categorie principali

Cookie tecnici

1. Garantire la fruizione del servizio (carrello, login, sicurezza, preferenze di navigazione)
2. PHPSESSID, wp-settings, cookie di bilanciamento del carico
3. NO – basta una cookie policy informativa
4. Nullo se l’informativa è chiara

Cookie di profilazione / marketing

1. Tracciare l’utente per mostrare annunci personalizzati, creare profili di comportamento
2. Google Ads remarketing, Facebook pixel, cookie di retargeting di terze parti
3. SÌ – consenso obbligatorio prima dell’installazione
4. Molto alto se installati senza consenso o con dark pattern

Cookie analytics (modalità privacy-friendly)

1. Misurare il traffico in forma aggregata, anonima e senza profilazione
2. Google Analytics con IP anonimizzato e condivisione disabilitata, Matomo on-premise
3. NO se le impostazioni garantiscono l’anonimizzazione (es. IP anonimo, condivisione dati disattivata)
4. Basso se la configurazione è documentata, ma va comunque dichiarato in cookie policy

L’e-commerce di Marco: dal panico alla conformità in 7 giorni

Marco, titolare di un negozio online di abbigliamento a Bologna, ha ricevuto a febbraio 2026 una raccomandata dal Garante Privacy: il suo sito installava cookie di Facebook Pixel e Google Ads senza alcun banner e senza informativa. Marco era nel panico – rischiava una sanzione fino a 20.000 euro.

La sua prima reazione è stata installare un banner gratuito trovato su WordPress, ma si è accorto che i cookie di terze parti venivano caricati comunque prima che l’utente cliccasse su “accetta”. Il sito continuava a tracciare i visitatori senza consenso valido.

Dopo aver consultato un consulente privacy, Marco ha capito che il blocco preventivo è fondamentale. Ha scelto una CMP professionale che blocca tutti i cookie non tecnici fino all’accettazione. Ha anche riscritto la cookie policy specificando ogni singolo cookie e la sua durata.

Il sito è tornato a regime in una settimana. Il Garante ha archiviato il procedimento dopo che Marco ha fornito la documentazione della corretta implementazione. Oggi il suo e-commerce non solo è a norma, ma ha anche registrato un calo di rimbalzo perché gli utenti si fidano di più vedendo un banner trasparente.