English
Deutsch
Nederlands
Español
Français
Cos’è un cookie?
Un cookie è un piccolo file di testo che un sito web salva nel browser del visitatore. Alla visita successiva il browser lo rimanda al sito, che così "si ricorda" qualcosa: che hai fatto il login, cosa c’è nel carrello, quale lingua hai scelto o, nel caso dei cookie pubblicitari, quali pagine hai visto.
I cookie in sé non sono né buoni né cattivi. Alcuni sono indispensabili per far funzionare un sito; altri servono a misurare le visite o a mostrarti pubblicità mirata, anche su altri siti. Per questi ultimi la legge chiede il tuo consenso.
Prima parte e terza parte
- Cookie di prima parte: li imposta il sito che stai visitando, per esempio per il carrello o la lingua.
- Cookie di terza parte: li imposta un altro dominio tramite il sito che visiti, per esempio un fornitore pubblicitario, un social network o un video incorporato. Permettono a quella terza parte di riconoscerti su molti siti diversi.
Le Linee guida del Garante usano la stessa distinzione: siti "editori" o "prima parte" e "terze parti".
Di sessione e persistenti
- Cookie di sessione: vengono cancellati quando chiudi il browser.
- Cookie persistenti: restano sul dispositivo fino alla scadenza indicata, che può essere di giorni, mesi o anni. Il cookie _ga di Google Analytics, per esempio, dura due anni nella configurazione predefinita.
La durata non decide da sola se serve il consenso, ma va indicata nell’informativa.
Tipi di cookie per finalitÃ
In Italia conta soprattutto a cosa serve un cookie. Il Garante distingue cookie tecnici e cookie di profilazione, e indica a quali condizioni gli analytics possono essere trattati come tecnici.
| Tipo | A cosa serve | Serve il consenso? |
|---|---|---|
| Tecnici (necessari) | Far funzionare il sito: login, carrello, sicurezza, la scelta fatta nel banner | No |
| Tecnici di funzionalità | Ricordare preferenze richieste dall’utente, come lingua o valuta | No |
| Analytics assimilati ai tecnici | Statistiche aggregate con IP mascherato, senza incrocio con altri dati | No |
| Analytics standard | Statistiche dettagliate, per esempio Google Analytics senza configurazioni particolari | Sì |
| Di profilazione e marketing | Pubblicità mirata, remarketing, misurazione delle campagne | Sì |
Per tutti i cookie, anche quelli che non richiedono consenso, devi informare i visitatori, di solito nella cookie policy.
Quando gli analytics non richiedono consenso
Secondo il Garante gli analytics sono assimilabili ai cookie tecnici solo se:
- non permettono di individuare direttamente il singolo utente (per gli IPv4 va mascherato almeno il quarto ottetto);
- servono solo a produrre statistiche aggregate su un singolo sito o app;
- se forniti da una terza parte, i dati non vengono combinati con altre informazioni.
Se una di queste condizioni manca, serve il consenso.
Non solo cookie: pixel, local storage e fingerprinting
La regola dell’art. 122 del Codice privacy, che recepisce l’art. 5, paragrafo 3, della direttiva ePrivacy, non riguarda solo i cookie. Vale per ogni archiviazione di informazioni sul dispositivo e per ogni accesso a informazioni già presenti. Rientrano quindi anche:
- local storage e session storage del browser;
- pixel di tracciamento, come il Meta Pixel o i pixel nelle email;
- identificatori del dispositivo nelle app;
- fingerprinting, cioè il riconoscimento di un dispositivo dalle sue caratteristiche tecniche.
Le Linee guida del Garante includono espressamente il fingerprinting e altre tecniche "passive". Anche l’EDPB, nelle Linee guida 2/2023 adottate nella versione definitiva il 7 ottobre 2024, chiarisce che l’art. 5, paragrafo 3, si applica anche a tecnologie simili ai cookie.
Come gestire i cookie sul tuo sito
- Scopri quali cookie e strumenti simili usa il tuo sito, compresi quelli di plugin e contenuti incorporati.
- Classificali per finalità : tecnici, analytics e profilazione/marketing.
- Blocca quelli che richiedono il consenso finché il visitatore non accetta.
- Descrivili nella cookie policy: nome, fornitore, finalità e durata. Puoi partire dal nostro esempio di cookie policy.
Cookie Confirm fa questo lavoro per te: lo scanner trova i cookie ogni mese, il banner li blocca fino al consenso e la cookie policy si aggiorna da sola. Le regole complete per l’Italia sono nella guida sulla normativa cookie.
Fonti
- Garante privacy: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
- Codice in materia di protezione dei dati personali, art. 122
- Direttiva 2002/58/CE (ePrivacy), art. 5, par. 3
- EDPB: Linee guida 2/2023 sull’ambito di applicazione tecnico dell’art. 5, par. 3, della direttiva ePrivacy
- Corte di giustizia dell’UE, causa C-673/17, Planet49, sentenza del 1° ottobre 2019
- Google Analytics: utilizzo dei cookie