La normativa cookie in Italia

Quali regole valgono in Italia?

In Italia le regole sui cookie si trovano in due testi:

• L’art. 122 del Codice in materia di protezione dei dati personali (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018). Recepisce l’art. 5, paragrafo 3, della direttiva europea ePrivacy: puoi archiviare informazioni sul dispositivo dell’utente, o accedere a informazioni già archiviate, solo se l’utente ha dato il consenso dopo essere stato informato. Fanno eccezione gli strumenti strettamente necessari per trasmettere una comunicazione o per fornire un servizio esplicitamente richiesto dall’utente.
• Le Linee guida cookie e altri strumenti di tracciamento del Garante del 10 giugno 2021, pubblicate in Gazzetta Ufficiale il 9 luglio 2021. Spiegano in pratica come applicare l’art. 122 insieme al GDPR.

La regola vale non solo per i cookie, ma anche per strumenti simili: pixel, local storage e tecniche "passive" come il fingerprinting rientrano espressamente nelle Linee guida.

Quando i cookie trattano dati personali, come quasi sempre accade per quelli di marketing, si applica anche il GDPR: è il GDPR a stabilire quando un consenso è valido.

Cookie tecnici, analytics e profilazione

Il Garante distingue tre gruppi:

Gli analytics possono essere trattati come cookie tecnici solo se rispettano tutte le condizioni del Garante: non devono permettere di individuare direttamente il singolo utente (per gli indirizzi IPv4 va mascherato almeno il quarto ottetto), devono servire solo a statistiche aggregate su un singolo sito o app e, se il fornitore è una terza parte, non deve combinare i dati con altre informazioni.

Il Garante precisa inoltre che non puoi usare il legittimo interesse come base per i cookie che richiedono consenso.

Come deve essere il banner

Le Linee guida descrivono il banner nel dettaglio. Deve contenere:

• una X in alto a destra per chiuderlo: chiuderlo così mantiene le impostazioni di default, cioè nessun cookie diverso da quelli tecnici;
• un’informativa minima: che il sito usa cookie tecnici e, previo consenso, cookie di profilazione o altri strumenti di tracciamento;
• un link all’informativa estesa (la cookie policy), raggiungibile anche da un link nel footer di ogni pagina;
• un pulsante per accettare tutto;
• un link a un’area di scelta granulare, dove l’utente seleziona funzionalità, terze parti e categorie di cookie, con le opzioni impostate di default sul rifiuto.

Il banner deve interrompere in modo percettibile la navigazione, e i comandi devono avere la stessa dimensione, enfasi e colori. Il Garante chiarisce anche che:

• lo scroll non è mai, da solo, un consenso valido;
• caselle preselezionate, silenzio o inattività non sono consenso;
• dopo un rifiuto non devi riproporre il banner per almeno sei mesi, salvo cambiamenti significativi del trattamento o se non puoi sapere se la scelta è già stata registrata;
• la scelta va documentata, così puoi dimostrare il consenso;
• il consenso deve poter essere modificato in ogni momento, per esempio con un link nel footer.

Cookie wall e "pay or ok"

Subordinare l’accesso al sito all’accettazione dei cookie non tecnici, il cosiddetto cookie wall, secondo il Garante è in linea di principio illecito, perché il consenso non sarebbe libero. Fa eccezione il caso, da valutare caso per caso, in cui offri un’alternativa equivalente senza consenso. Sui modelli in cui si sceglie tra accettare la profilazione e pagare un abbonamento, il Garante ha avviato nel 2025 una consultazione pubblica. Ne parliamo nella guida sul cookie wall.

Sanzioni

Il Garante vigila sul rispetto delle regole e può adottare misure correttive e sanzioni. L’art. 166 del Codice privacy colloca le violazioni dell’art. 122 nella fascia più alta prevista dall’art. 83, paragrafo 5, del GDPR: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, se superiore. L’importo concreto dipende dai criteri dell’art. 83 GDPR, come la gravità e la durata della violazione.

Come mettere in regola il tuo sito

1. Scopri quali cookie usa il tuo sito. Uno scanner trova anche i cookie di plugin e contenuti incorporati.
2. Classificali in tecnici, analytics e profilazione/marketing.
3. Installa un banner con la X, "Accetta" e la scelta granulare, con comandi di pari evidenza.
4. Blocca tutti i cookie che richiedono il consenso finché il visitatore non accetta.
5. Usi Google Ads o Google Analytics? Trasmetti la scelta con Google Consent Mode v2.
6. Pubblica una cookie policy completa e collegala dal banner e dal footer. Trovi un esempio di cookie policy da copiare.
7. Conserva la prova del consenso e offri un link per modificare la scelta.

Cookie Confirm copre questi passaggi: lo scanner trova i cookie, il banner li blocca fino al consenso, la cookie policy viene generata in automatico e ogni consenso viene conservato 12 mesi. Non vuoi installarlo da solo? Il nostro servizio di configurazione gratuito ti mette in regola entro 24 ore da quando ci dai l’accesso.

Fonti

• Garante privacy: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021 (doc. web 9677876)
• Codice in materia di protezione dei dati personali (testo sul sito del Garante)
• Direttiva 2002/58/CE (ePrivacy), art. 5, par. 3
• Regolamento (UE) 2016/679 (GDPR), artt. 7 e 83
• Garante privacy: comunicato del 5 maggio 2025 sulla consultazione "Pay or ok"