Che cos'è un banner dei cookie? Requisiti, esempi e best practice

Un banner dei cookie è il pop-up o la barra che un sito web mostra ai visitatori alla prima visita per informarli sui cookie e sui tracker che utilizza e per chiedere il loro consenso. Ai sensi del GDPR e della direttiva ePrivacy, i siti web che utilizzano cookie non essenziali, come i cookie analitici o pubblicitari, devono ottenere un consenso opt-in prima di impostarli, e il banner dei cookie è lo strumento con cui la maggior parte dei siti raccoglie tale consenso.

Banner dei cookie, informativa sui cookie e termini correlati

Hai bisogno di un banner dei cookie?

Se il tuo sito web utilizza solo cookie strettamente necessari, come un cookie di sessione per il carrello o un cookie che memorizza la scelta di consenso stessa, non hai bisogno del consenso per questi cookie, anche se devi comunque descriverli nella tua cookie policy.

Google richiede inoltre agli editori e agli inserzionisti che pubblicano annunci o utilizzano le misurazioni di Google Ads e Google Analytics per gli utenti nel SEE, nel Regno Unito e in Svizzera di utilizzare una CMP certificata da Google o di inviare i segnali di consenso tramite Google Consent Mode v2.

Requisiti di un banner dei cookie conforme al GDPR

Un banner dei cookie conforme dovrebbe:

1. Bloccare cookie e tag non essenziali finché il visitatore non dà il consenso
2. Offrire le opzioni Accetta e Rifiuta con la stessa evidenza nel primo livello, in modo che rifiutare sia facile quanto accettare
3. Consentire ai visitatori di scegliere per categoria, ad esempio analisi, marketing e personalizzazione, senza categorie preselezionate
4. Spiegare in linguaggio semplice chi sei, a cosa servono i cookie e quali terze parti ricevono i dati
5. Rimandare alla tua cookie policy e alla tua informativa sulla privacy
6. Non considerare lo scorrimento, la prosecuzione della navigazione o la chiusura del banner come consenso
7. Non bloccare l'accesso al sito come condizione per accettare i cookie non essenziali
8. Consentire ai visitatori di revocare o modificare il consenso in qualsiasi momento, con la stessa facilità con cui lo hanno dato, ad esempio tramite un'icona fluttuante o un link nel footer
9. Registrare ogni consenso, compresi l'ora, le scelte effettuate e la versione del banner, così da poterlo dimostrare
10. Chiedere nuovamente il consenso quando cambiano finalità o fornitori e rinnovarlo periodicamente
11. Essere disponibile nella lingua del visitatore e accessibile a chi utilizza tastiera e screen reader

Cosa verificano le autorità

Nel 2023 la task force dell'EDPB sui banner dei cookie ha concordato una posizione comune sulle pratiche che violano le regole, tra cui:

• Nessuna opzione di rifiuto nel primo livello
• Caselle preselezionate per finalità non essenziali
• Un'opzione di rifiuto mostrata solo come link all'interno del testo o nascosta in un secondo livello
• Colori o contrasti ingannevoli dei pulsanti che spingono i visitatori verso Accetta
• Invocare il legittimo interesse per cookie non essenziali
• Classificare i cookie di tracciamento come strettamente necessari
• Nessun modo semplice per revocare il consenso dopo averlo dato

Anche la CNIL francese, l'ICO britannico e altre autorità hanno inviato richiami o comminato sanzioni a siti web i cui banner rendevano il rifiuto più difficile dell'accettazione.

Dark pattern da evitare nei banner dei cookie

• "Accetta tutto" come grande pulsante colorato e "Rifiuta" come piccolo testo grigio
• Solo "Accetta" e "Impostazioni" nel primo livello, con il rifiuto nascosto dietro clic aggiuntivi
• Interruttori già attivati nel centro preferenze
• Formulazioni confuse come "Non non rifiutare"
• Mostrare ripetutamente il banner dopo che un visitatore ha rifiutato, finché non accetta
• Muri di testo legale che nascondono le finalità del trattamento
• Un'icona di chiusura trattata come accettazione

Esempio di testo per un banner dei cookie

Un primo livello breve e chiaro potrebbe essere:

Utilizziamo i cookie

Utilizziamo cookie necessari per far funzionare il nostro sito. Con il tuo consenso, utilizziamo anche cookie analitici per capire come viene utilizzato il sito e cookie di marketing per mostrarti annunci pertinenti, anche tramite i nostri partner pubblicitari. Puoi accettare tutto, rifiutare tutto o scegliere le tue preferenze. Puoi modificare la tua scelta in qualsiasi momento tramite l'icona dei cookie in fondo alla pagina. Consulta la nostra cookie policy per i dettagli.

[Accetta tutto] [Rifiuta tutto] [Personalizza]

Layout dei banner dei cookie

Qualunque layout tu scelga, mantieni breve il primo livello, mostra Accetta e Rifiuta affiancati e adatta il banner al tuo brand, così che i visitatori lo riconoscano come parte del tuo sito.

Come aggiungere un banner dei cookie al tuo sito web

1. Scansiona il tuo sito web. Utilizza un cookie checker per trovare ogni cookie e tracker impostato dal tuo sito, compresi quelli impostati prima del consenso.
2. Classifica i tuoi cookie. Raggruppali in strettamente necessari, funzionali, analitici e di marketing.
3. Scegli una CMP. Scegline una che blocchi i tag fino al consenso, supporti Google Consent Mode v2 e, per gli editori, l'IAB TCF.
4. Configura il banner. Imposta testo, lingue, layout, colori, categorie e fornitori, e mostra Accetta e Rifiuta con la stessa evidenza.
5. Installa lo script. Aggiungi il tag della CMP al tuo sito direttamente, tramite Google Tag Manager o con un plugin per WordPress o Shopify.
6. Blocca i tag fino al consenso. Assicurati che i tag di analisi e pubblicità si attivino solo dopo il consenso appropriato, oppure che funzionino in Consent Mode.
7. Testalo. Verifica che nessun cookie non essenziale venga impostato prima del consenso, che il rifiuto funzioni e che i segnali di consenso raggiungano Google e gli altri fornitori.
8. Pubblica la tua cookie policy e rivedila regolarmente. Scansiona di nuovo il sito quando aggiungi nuovi strumenti.

Banner dei cookie, Google Consent Mode v2 e IAB TCF

• Google Consent Mode v2 trasmette le scelte del visitatore dal banner ai tag Google tramite i segnali ad_storage, analytics_storage, ad_user_data e ad_personalization. È obbligatorio per la personalizzazione degli annunci e la misurazione per gli utenti del SEE e del Regno Unito.
• L'IAB Transparency and Consent Framework (TCF) è lo standard utilizzato da editori e fornitori di ad tech per condividere le scelte di consenso nella pubblicità programmatica. Il banner deve elencare le finalità e i fornitori TCF e generare una TC string.
• La Global Privacy Platform (GPP) estende questo modello alle leggi statali statunitensi sulla privacy.

Scopri di più su Google Consent Mode, IAB TCF e GPP.

Sanzioni relative ai banner dei cookie

I banner dei cookie sono uno degli ambiti della normativa sulla privacy in cui i controlli sono più frequenti. Esempi dalla CNIL francese:

Come ti aiuta UniConsent

UniConsent è una CMP certificata da Google e registrata presso IAB Europe che ti offre un banner dei cookie conforme in pochi minuti:

• Un banner per il consenso ai cookie personalizzabile con Accetta, Rifiuta e scelte granulari, nei colori del tuo brand
• Blocco automatico di cookie e script non essenziali fino al consenso
• Uno scanner dei cookie che trova e classifica i cookie e mantiene aggiornata la tua dichiarazione sui cookie
• Supporto per Google Consent Mode v2, IAB TCF e GPP
• Geotargeting, con consenso opt-in in Europa e scelte di opt-out negli Stati Uniti
• Banner in tutte le lingue dell'UE
• Registrazioni del consenso che dimostrano la scelta di ogni visitatore

Non sai cosa imposta oggi il tuo sito? Esegui una scansione gratuita con il Cookie Checker di UniConsent.

Domande frequenti

Che cos'è un banner dei cookie?

Un banner dei cookie è il pop-up o la barra che indica ai visitatori di un sito web quali cookie e tracker vengono utilizzati e chiede il loro consenso prima che vengano impostati i cookie non essenziali.

Il banner dei cookie è obbligatorio per legge?

Nell'UE, nel SEE e nel Regno Unito sì, se il tuo sito utilizza cookie non strettamente necessari, come cookie analitici o pubblicitari. Negli Stati Uniti un banner opt-in in genere non è obbligatorio, ma devi offrire la possibilità di opt-out dalla vendita o dalla condivisione dei dati personali.

Un banner dei cookie deve avere un pulsante Rifiuta?

Nell'UE e nel Regno Unito le autorità si aspettano un'opzione di rifiuto nel primo livello, semplice da usare quanto l'opzione di accettazione. Un banner con solo Accetta e Impostazioni è ampiamente considerato non conforme.

Posso utilizzare un cookie wall?

In genere no. Bloccare l'accesso a meno che i visitatori non accettino i cookie non essenziali significa che il consenso non è liberamente prestato. Alcune autorità accettano modelli limitati di tipo "consent or pay" in cui viene offerta un'alternativa reale.

Per quanto tempo è valido il consenso ai cookie?

Il GDPR non fissa un periodo preciso, ma dovresti chiedere nuovamente il consenso quando cambiano finalità o fornitori e rinnovarlo periodicamente. Molti siti lo richiedono dopo 6-12 mesi; la CNIL raccomanda di conservare la scelta del visitatore per 6 mesi.

Qual è la differenza tra un banner dei cookie e una cookie policy?

Il banner dei cookie è l'avviso interattivo in cui i visitatori effettuano la propria scelta. La cookie policy è la pagina dettagliata che elenca ogni cookie, la sua finalità, il fornitore e la durata. Servono entrambi, e il banner deve rimandare alla policy.

Serve il consenso per i cookie di Google Analytics?

Sì, nell'UE e nel Regno Unito. I cookie di Google Analytics non sono strettamente necessari, quindi richiedono un consenso preventivo. Con Google Consent Mode v2, i tag Google adattano il loro comportamento in base alla scelta del visitatore.

Approfondimenti

• EDPB: Report sul lavoro svolto dalla Cookie Banner Taskforce
• CNIL: Cookie e altri tracker
• ICO: Linee guida sull'uso delle tecnologie di archiviazione e accesso
• UniConsent: Il pulsante Rifiuta tutto nei banner dei cookie
• UniConsent: Linee guida sui dark pattern nei banner dei cookie
• UniConsent: Leggi sul consenso ai cookie
• UniConsent: Che cos'è un cookie di sessione?