Il cookie banner è obbligatorio? La risposta è: dipende dal tipo di cookie che il tuo sito utilizza.
In questa breve guida, rispondiamo alle domande più frequenti sull’obbligatorietà del cookie banner e facciamo luce sui requisiti per la raccolta del consenso in Italia.
In questa guida:
Quando è obbligatorio il cookie banner?
Il cookie banner è richiesto per tutti i siti o app che fanno uso di cookie non esenti dall’obbligo di consenso, i cosiddetti cookie di profilazione. È un obbligo di legge se:
- Il tuo sito web può essere visitato da utenti europei. Oppure se:
- Il tuo sito/app appartiene a un’attività (società, impresa individuale, ente pubblico, ecc.) con sede nell’UE, indipendentemente dal fatto che i tuoi utenti abbiano o meno sede nell’UE.
Quindi, se il tuo sito utilizza cookie di profilazione e se ti rivolgi a utenti UE e/o hai sede nell’UE, il banner cookie è obbligatorio. Si tratta di un requisito della Direttiva ePrivacy (anche detta Cookie Law).
Cosa sono i cookie di profilazione?
A differenza dei cookie tecnici, che servono a fornire un servizio richiesto dall’utente o a garantire il corretto funzionamento del sito, i cookie di profilazione permettono di tracciare la navigazione dell’utente e di creare profili personalizzati con le sue abitudini, scelte, gusti, ecc. Con questi cookie, all’utente potranno essere mostrati annunci pubblicitari personalizzati in base al profilo.
IUBENDA COOKIE SCANNER
Verifica la tua conformità in pochi secondi
Scopri se il tuo sito rispetta le normative con una scansione gratuita.
Quando non occorre il consenso specifico se si usano i cookie?
In breve
Se il tuo sito fa uso solo di cookie tecnici, non hai bisogno del consenso specifico, né di un cookie banner obbligatorio. Ti basterà predisporre una cookie policy in cui informi gli utenti che il tuo sito utilizza cookie o tecnologie simili. Approfondiamo meglio questo aspetto.
Secondo la Cookie Law, esistono due casi in cui non occorre il consenso specifico se si usano i cookie:
- Stai utilizzando dei cookie il cui obiettivo è la trasmissione di una comunicazione su una rete (ad esempio, identificare l’endpoint di comunicazione; permettere lo scambio di elementi di dati secondo un ordine preciso; rilevare errori di trasmissione o perdita di dati).
- I cookie che utilizzi sono necessari a fornire un servizio richiesto dall’utente (ad esempio, un sito di e-commerce può utilizzare un cookie di sessione che permetta all’utente di “memorizzare” un articolo nel carrello mentre usa il sito o per la durata della sessione).
Inoltre, se hai sede in Italia o ti rivolgi a utenti italiani, le linee guida del Garante Privacy possono prevedere ulteriori esenzioni per i cookie statistici (ossia quelli che servono ad analizzare l’andamento di un sito web).
In linea di principio, secondo il Garante, i cookie statistici di prima parte (quindi installati direttamente dal proprietario del sito web) possono essere installati senza il consenso dell’utente.
I cookie statistici di terza parte, invece, possono essere installati senza il consenso dell’utente solo se:
- non permettono l’identificazione di un utente preciso (ad esempio, usano solo indirizzi IP abbreviati o sono assegnati non a un singolo dispositivo, ma a diversi),
- i dati sono usati solo per statistiche sui siti o sulle app dello stesso titolare o gruppo,
- non sono condivisi o comunicati a terzi,
- i dati raccolti non sono combinati con altri dati.
In Europa si discute di semplificare alcuni casi in cui il consenso non servirebbe più, come la misurazione dell’audience del proprio sito o di alcune pubblicità contestuali. Per ora le regole non cambiano: i cookie non tecnici, compresi quelli di terze parti, richiedono il consenso e vanno bloccati finché l’utente non sceglie.
Nota bene: sebbene il cookie banner non sia obbligatorio in questi casi, devi comunque predisporre una cookie policy che informi gli utenti che stai usando cookie e tecnologie simili. Qui trovi un esempio di cookie policy da cui prendere spunto.
Cookie policy e cookie banner: servono entrambi?
Sì, la cookie policy serve anche quando il cookie banner non è obbligatorio. Il banner chiede il consenso per i cookie che lo richiedono. La cookie policy è l’informativa estesa: spiega quali cookie usa il sito e perché, e va fornita in ogni caso, anche se usi solo cookie tecnici.
Secondo il Garante, la cookie policy deve descrivere le caratteristiche e le finalità dei cookie installati, elencare gli eventuali destinatari dei dati, indicare per quanto tempo vengono conservate le informazioni e spiegare come esercitare i propri diritti. Deve anche distinguere i cookie tecnici da quelli analytics e di profilazione. Per i cookie di terze parti, deve includere i link aggiornati alle informative delle terze parti stesse.
Con il Generatore di Privacy e Cookie Policy di iubenda puoi creare la tua cookie policy in pochi passaggi.
Cosa deve contenere un cookie banner per siti web?
Ora che abbiamo analizzato i casi in cui è obbligatorio un cookie banner, vediamo più da vicino cosa deve contenere un banner per siti web che sia conforme ai requisiti legali.
Un banner cookie obbligatorio deve:
- Contenere una breve spiegazione delle finalità di installazione dei cookie utilizzati dal sito.
- Comparire al primo accesso ed essere ben visibile, senza impedire all’utente di chiuderlo mantenendo le impostazioni predefinite.
- Contenere un link a una cookie policy.
- Esporre chiaramente quali azioni indicheranno il consenso.
Inoltre, se il tuo sito è accessibile dall’Italia, devi anche aggiungere:
- Un pulsante “Rifiuta” o un comando “X” che chiude il banner, con un avviso che spieghi che chiudendolo restano le impostazioni predefinite, senza cookie diversi da quelli tecnici.
- Una sezione per permettere agli utenti di effettuare delle scelte granulari sulle funzionalità, le terze parti e le categorie di cookie da installare. Questa sezione deve rimanere accessibile in qualsiasi momento, perché gli utenti devono sempre avere la possibilità di aggiornare le loro preferenze.
Una volta che l’utente ha scelto, il banner non va riproposto a ogni visita. Trovi i casi in cui può ricomparire nelle FAQ qui sotto.
Cosa ha contestato il Garante nel 2025
Nel 2025 il Garante ha esaminato i cookie banner di diversi siti. Tre provvedimenti mostrano gli errori più comuni, e tutti e tre si sono chiusi con un ammonimento, non con una sanzione pecuniaria.
- Provvedimento del 27 febbraio 2025: il banner aveva cinque comandi poco chiari (“Accetto i cookie tecnici”, “Accetto tutti i cookie”, “Declino”, “Vai” e “X”) e ricompariva a ogni visita dopo “Declino” o “X”.
- Provvedimento del 4 giugno 2025: il banner ricompariva a ogni visita dopo la “X” e non spiegava che la “X” mantiene le impostazioni predefinite. La cookie policy citava norme abrogate e non indicava i destinatari dei dati. Il Garante ha anche ordinato di mettere in regola il trattamento dei cookie.
- Provvedimento del 17 luglio 2025: il banner diceva solo che i cookie servono a offrire “la migliore esperienza”, aveva soltanto i comandi “OK” e “X”, e il sito non aveva né privacy policy né cookie policy.
In tutti e tre i casi il banner c’era, ma l’utente non capiva cosa stava scegliendo o la sua scelta non veniva rispettata.
I requisiti di consenso ai cookie in Italia: FAQ
Le linee guida del Garante Privacy in materia di cookie prevedono dei requisiti specifici per il tuo sito, se questo è accessibile dall’Italia. Abbiamo riassunto le domande più frequenti in questa sezione.
Il cookie banner deve prevedere anche un pulsante “Rifiuta”?
Sì, il cookie banner deve prevedere un modo per rifiutare: un pulsante “Rifiuta” o, in alternativa, una “X” che chiude il banner. Il banner deve spiegare che, chiudendolo con la “X”, restano le impostazioni predefinite, che non permettono l’uso di cookie o altri strumenti di tracciamento diversi da quelli tecnici. Rifiutare deve essere facile quanto accettare, quindi il comando di rifiuto non può essere nascosto o meno evidente.
I cookie vanno bloccati preventivamente?
Sì, i cookie vanno bloccati preventivamente: ad eccezione delle categorie esenti, gli script che installano cookie restano bloccati finché l’utente non presta il proprio consenso.
Il consenso ai cookie dev’essere granulare (espresso cioè per categorie)?
Sì, il consenso ai cookie deve essere granulare: l’utente deve poter scegliere per categorie, invece di accettare o rifiutare tutto in blocco. Le Linee guida lasciano al titolare del sito la scelta dei criteri di raggruppamento e citano come esempi funzionalità, terze parti e categorie di cookie.
È richiesta una prova del consenso in maniera analoga al GDPR?
Sì, una prova del consenso ai cookie è richiesta come per il GDPR: il titolare del sito deve poter dimostrare di aver raccolto un consenso valido, per esempio salvando ogni scelta dell’utente in un registro dei consensi.
Il consenso allo scorrimento è considerato un meccanismo valido?
No, il consenso tramite semplice scorrimento della pagina non è considerato valido. L’unica eccezione è uno scorrimento che fa parte di una serie di azioni che, insieme, esprimono in modo inequivocabile la volontà dell’utente di prestare il consenso.
Sono ammessi i cookie wall?
No, i cookie wall in generale non sono ammessi: per le Linee guida del Garante, subordinare l’accesso a un sito al consenso ai cookie è illegittimo. L’eccezione, da valutare caso per caso, è un sito che offre un modo per accedere a un contenuto o a un servizio equivalente senza prestare il consenso.
La X del cookie banner vale come rifiuto?
Sì, la “X” del cookie banner vale come rifiuto: chi chiude il banner con la “X” mantiene le impostazioni predefinite, quindi il sito non può usare cookie o altri strumenti di tracciamento diversi da quelli tecnici. Il banner deve indicarlo in modo chiaro, così l’utente sa che chiudere equivale a non dare il consenso.
Ogni quanto si può riproporre il cookie banner?
Il cookie banner non si può riproporre a ogni visita: se l’utente ha rifiutato o ha accettato solo alcuni cookie, il banner può ricomparire solo in casi specifici. Secondo il Garante, questi casi sono tre: quando cambiano in modo significativo le condizioni del trattamento, per esempio le terze parti; quando il sito non può sapere se il cookie tecnico che registra la scelta è già presente, per esempio perché l’utente ha cancellato i cookie; quando sono passati almeno sei mesi dall’ultima volta che il banner è stato mostrato.
Serve il cookie banner se uso solo Google Analytics?
Il cookie banner serve anche se usi solo Google Analytics, a meno che i cookie analytics non rispettino le condizioni del Garante per essere trattati come cookie tecnici. Quando l’analisi statistica è affidata a una terza parte, i dati devono essere minimizzati prima e non possono essere combinati con altri trattamenti né trasmessi ad altri terzi. Se queste condizioni non sono rispettate, i cookie analytics richiedono il consenso. In ogni caso, devi comunque informare gli utenti nella cookie policy.
Cosa è consigliabile fare quando compare il banner dei cookie?
Quando compare il banner dei cookie, è consigliabile leggere per cosa il sito vuole usare i cookie e poi scegliere: puoi accettare tutto, rifiutare con il pulsante “Rifiuta” o con la “X”, oppure scegliere le singole categorie da “Personalizza”. Rifiutare non dovrebbe impedirti di usare il sito, perché i cookie tecnici non richiedono il consenso. Puoi cambiare idea in qualsiasi momento dal link alle preferenze, che di solito trovi nel footer. Se invece gestisci un sito, questo è proprio ciò che il tuo banner deve permettere ai visitatori.
Cookie banner su WordPress e Shopify
Su WordPress e Shopify il banner è spesso installato bene, ma alcuni strumenti di tracciamento partono lo stesso prima del consenso.
WordPress. Molti plugin di statistiche, marketing o social caricano i propri script in autonomia. Se un plugin non è collegato al banner, può installare cookie prima che l’utente scelga. Controlla che i plugin di tracciamento siano compatibili con il tuo banner o supportino la WP Consent API, e verifica anche i plugin di cache e ottimizzazione. Trovi il plugin di iubenda per WordPress nella directory ufficiale dei plugin.
Shopify. Su Shopify il consenso passa dalla Customer Privacy API, che comunica alle app e ai pixel la scelta dell’utente. Se un’app o un pixel non la rispetta, i tracker partono prima del consenso. Segui la guida all’integrazione con Shopify e controlla le autorizzazioni dei pixel in Impostazioni > Eventi cliente.
Banner cookie obbligatorio: come crearne uno
Creare un cookie banner obbligatorio che rispetti tutti questi requisiti può sembrare complicato, ma non con gli strumenti giusti!
Privacy Controls and Cookie Solution di iubenda ti permette di creare il tuo cookie banner personalizzato in pochi click. La configurazione automatica applica in modo predefinito la normativa più stringente, per aiutarti a ridurre il rischio di non conformità.
Inoltre, con la nostra soluzione potrai:
- creare una cookie policy,
- bloccare preventivamente i cookie prima del consenso,
- raccogliere il consenso granulare,
- salvare le preferenze di consenso.
Crea il tuo cookie banner obbligatorio
