Il banner dei cookie è la parte più controllata del tuo sito, per un motivo semplice: chiunque può verificarla in un minuto, senza chiederti nulla. Il Garante la controlla dal 2022, in base alle Linee guida del 10 giugno 2021. Nel 2025 ha continuato ad ammonire aziende per banner sbagliati. Quasi sempre il banner era stato installato anni fa e mai più guardato.
Questo articolo dice cosa chiede il Garante in concreto e quali sono gli errori che vediamo più spesso nei siti delle PMI. E come controllare il tuo in dieci minuti. È il secondo del gruppo sul GDPR del sito web e corrisponde alla verifica «Cookie» del nostro test di autovalutazione.
In sintesi
- La norma è l’articolo 122 del Codice privacy. Le Linee guida del Garante del 10 giugno 2021 dicono come applicarla, dal 9 gennaio 2022.
- Lo scorrimento della pagina non è un consenso. Il cookie wall, che obbliga ad accettare per entrare, è illecito salvo un’alternativa equivalente.
- Il banner deve avere tre elementi: accetta tutto, scelte granulari e un comando di chiusura, di norma una X in alto a destra, che lascia le impostazioni predefinite.
- Chi rifiuta non va più disturbato per almeno sei mesi, salvo cambi sostanziali del trattamento o cookie cancellati dall’utente.
- I cookie di statistica sono equiparati ai tecnici solo con IP mascherato, dati non incrociati e statistiche aggregate.
- Nel 2025 il Garante ha ammonito e-commerce per banner riproposti a ogni accesso, senza l’avvertenza sull’effetto della X, o del tutto assenti.
Cosa chiede davvero il Garante per i cookie?
Chiede che i cookie non necessari partano solo dopo una scelta esplicita della persona. È la regola dell’articolo 122 del Codice privacy, che recepisce la direttiva ePrivacy. Le Linee guida del Garante del 10 giugno 2021 la traducono in requisiti concreti per banner, informativa e gestione del consenso. Sono state pubblicate in Gazzetta Ufficiale il 9 luglio 2021 e sono vincolanti dal 9 gennaio 2022.
Il principio di fondo è la privacy by default dell’articolo 25 del GDPR. Il sito deve partire nello stato più protettivo. Finché l’utente non sceglie, restano attivi solo i cookie tecnici, cioè quelli che servono al funzionamento del sito. Tutto il resto, dalla profilazione al retargeting, aspetta.
Scorrimento, cookie wall, «continuando a navigare»: cosa non vale più?
Tre meccanismi, tutti ancora molto diffusi, non producono un consenso valido. Il primo è lo scorrimento della pagina. Le Linee guida lo definiscono «inadatto in sé» a raccogliere il consenso per i cookie di profilazione (paragrafo 6.1). Può al massimo essere un pezzo di un processo più articolato e documentabile, che nella pratica quasi nessun sito costruisce.
Il secondo è il cookie wall: il muro che obbliga ad accettare i cookie per entrare nel sito. Il Garante lo considera illecito, perché il consenso deve essere libero (articolo 4, punto 11, del GDPR). L’unica eccezione è offrire un accesso equivalente anche a chi non acconsente.
Il terzo è la frase «continuando a navigare acconsenti», con o senza pulsante. È lo scorrimento in altra forma. Se il tuo banner la contiene ancora, è stato scritto prima del 2022 e va rifatto.
Come deve essere fatto un banner a norma?
Le Linee guida descrivono il banner nel paragrafo 7.1, e i requisiti sono precisi. Deve avere un comando per accettare tutti i cookie e un link a un’area con le scelte granulari, per categoria o per singolo cookie. Serve poi un comando di chiusura, per esempio una X in alto a destra. Chi chiude con la X continua a navigare con le impostazioni predefinite, cioè senza cookie non tecnici. Serve anche un’avvertenza che spieghi questo effetto.
Il banner deve dire in breve cosa fanno i cookie, rimandare all’informativa completa e spiegare che è possibile cambiare idea in qualsiasi momento. Dopo la chiusura, un modo per riaprire le scelte deve restare raggiungibile, di solito un link nel piè di pagina.
Un chiarimento utile, perché su questo circolano versioni diverse. Le Linee guida non impongono un pulsante «rifiuta» separato: il rifiuto passa dalla X. Serve però che rifiutare sia facile quanto accettare. Un banner con «Accetta» in evidenza e una X minuscola, o nascosta, non rispetta lo spirito della regola. Nel provvedimento del 4 giugno 2025 il Garante ha contestato proprio la mancanza dell’avvertenza sulla X.
Il banner può ricomparire a ogni visita?
No. La scelta dell’utente va registrata e non più sollecitata (paragrafo 6.2). Il banner può tornare solo in tre casi. Quando cambiano in modo significativo le condizioni del trattamento, per esempio nuove terze parti. Quando il sito non può sapere se un cookie è già stato memorizzato, perché l’utente li ha cancellati. E quando sono passati almeno sei mesi dall’ultima presentazione.
Il banner che ricompare a ogni accesso a chi ha chiuso con la X è un errore ricorrente. Di fatto spinge ad accettare per non vederlo più. Il 4 giugno 2025 il Garante ha ammonito un e-commerce esattamente per questo, insieme all’informativa incompleta e a riferimenti normativi vecchi.
Google Analytics e i cookie di statistica: servono il consenso?
Dipende da come sono configurati. Le Linee guida (paragrafo 7.2) equiparano i cookie di statistica a quelli tecnici, quindi senza consenso, solo a condizioni precise. L’indirizzo IP va mascherato almeno nell’ultima componente. Il fornitore non deve incrociare quei dati con altre elaborazioni né passarli ad altri. L’uso deve limitarsi a statistiche aggregate, per un solo sito o una sola app.
Nella pratica, raramente una configurazione standard rispetta tutte queste condizioni. Per Google Analytics il Garante lo ha accertato con il provvedimento del 9 giugno 2022, su cui torniamo nel prossimo articolo. La scelta più semplice per una PMI è trattare le statistiche come cookie da consenso e caricarle dopo il clic. Si perde una parte dei dati, ma si evita una discussione in cui si parte svantaggiati. Il trasferimento dei dati verso i fornitori con sede negli Stati Uniti è un tema a parte, ed è il prossimo del gruppo.
Cos’è il Consent Mode di Google e cosa c’entra con il banner?
Il Consent Mode è il meccanismo con cui i tag di Google adattano il loro comportamento alle scelte espresse nel banner. Dal 2024 Google chiede a chi usa Google Ads e Analytics con utenti nello Spazio economico europeo due segnali in più. Sono ad_user_data e ad_personalization, che si aggiungono ad ad_storage e analytics_storage. Senza quei segnali, scrive Google, «non potrà verificare le scelte dell’utente relative al consenso e questo potrebbe comportare la perdita di dati» (Guida Google Ads).
Il Consent Mode non sostituisce il banner e non è un requisito del Garante. È un requisito di Google per continuare a misurare e fare remarketing. Il banner deve essere a norma per legge; il Consent Mode serve a far funzionare gli strumenti Google dentro quella norma. Le piattaforme di gestione del consenso certificate da Google lo integrano già; se il tuo banner è «fatto in casa», quasi certamente no.
Gli errori che vediamo più spesso nei siti delle PMI
Nei siti di piccole imprese che esaminiamo, gli errori si ripetono. Li abbiamo messi in tabella con il riferimento alle Linee guida e con il modo più rapido per accorgersene da fuori.
| Errore | Riferimento | Come si vede |
|---|---|---|
| Script di terze parti che partono prima del clic | art. 122 Codice; par. 7.1 | Scheda Rete del browser, in incognito, senza toccare il banner |
| «Continuando a navigare acconsenti» | par. 6.1 | Il testo del banner |
| Nessuna X, o rifiuto nascosto | par. 7.1 | Il banner ha solo «Accetta» |
| Banner che ricompare a ogni visita dopo la X | par. 6.2 | Chiudi con la X, ricarica la pagina |
| Cookie installati anche dopo il rifiuto | art. 122 Codice | Strumenti di sviluppo, scheda Applicazione, elenco cookie |
| Banner assente con pixel e retargeting attivi | art. 122 Codice; par. 7.1 | Nessun banner, ma gli script partono |
| Informativa cookie che cita norme abrogate | artt. 12-13 GDPR | Cita il Privacy Shield, la direttiva 95/46 o il Codice privacy nella versione precedente al 2018, senza il GDPR |
| Nessun modo per cambiare idea dopo | par. 7.1 | Manca il link «Preferenze cookie» nel piè di pagina |
Elaborazione Aeon Lab sulle Linee guida del Garante del 10 giugno 2021 e sui provvedimenti del 2025 citati nel testo.
Altri due provvedimenti del 2025 danno la misura di quanto questi errori siano ordinari. Il 23 ottobre 2025 il Garante ha ammonito un e-commerce senza banner, con informativa che citava norme abrogate e ruoli indicati in modo sbagliato. Il 27 marzo 2025 ha invece archiviato il procedimento contro una società il cui sito installava 17 cookie anche dopo il clic sul pulsante di rifiuto. La società aveva corretto banner e informativa durante l’istruttoria. È l’esito migliore possibile. Sistemare prima costa meno che sistemare dopo.
Il banner è una delle dieci verifiche del test GDPR
Tre minuti, nessun dato da lasciare: scopri quali obblighi riguardano il tuo sito e quali verifiche fare per prime, cookie compresi. Se vuoi, alla fine guardiamo noi cosa parte dalle tue pagine prima del consenso.
Cosa rischia una PMI con un banner sbagliato?
Il percorso tipico non parte da un’ispezione. Parte da un reclamo dell’interessato (articolo 77 del GDPR) o da una segnalazione, che può arrivare da chiunque. Da lì arriva una richiesta di informazioni, a cui si risponde con documenti e con la configurazione reale del sito. Nei provvedimenti del 2025 citati in questo articolo l’esito è l’ammonimento con prescrizioni: rifare il banner, integrare l’informativa, entro un termine. Le sanzioni pecuniarie restano possibili (articolo 83 del GDPR) e crescono quando l’azienda non collabora o ripete l’errore.
Il costo vero, per una PMI, è un altro. Un banner che blocca gli script correttamente richiede che qualcuno sappia quali script ci sono e chi li ha messi. È lo stesso inventario che serve per il registro dei trattamenti e per i contratti con i fornitori. Il banner è il punto in cui quell’inventario diventa visibile a tutti.
Cosa conviene fare già oggi
- Apri il sito in incognito, non toccare il banner, apri la scheda Rete degli strumenti di sviluppo. Se vedi chiamate a piattaforme pubblicitarie o social, gli script partono prima del consenso.
- Leggi il testo del banner. Se contiene «continuando a navigare», è da rifare. Se manca la X o le scelte granulari, idem.
- Chiudi con la X e ricarica. Se il banner torna, la scelta non viene registrata.
- Fai l’elenco degli script di terze parti sul sito: statistiche, pixel, chat, recensioni, mappe, video. Per ognuno decidi la categoria e chi lo ha installato.
- Usa una piattaforma di gestione del consenso aggiornata, con blocco preventivo e Consent Mode integrato, invece di un banner scritto a mano anni fa.
- Rileggi l’informativa cookie insieme a quella privacy: stesse terze parti, stesse norme, stesso titolare.
Come ti aiuta Aeon Lab
Il testo dell’informativa lo scrive il tuo consulente privacy. Noi ci occupiamo di quello che succede nel browser: quali script partono, quando, e se il banner li blocca davvero. Lo facciamo dentro la manutenzione dei siti web che seguiamo e come parte del lavoro di compliance per le PMI.
- Verifica esterna del banner: cosa parte prima del consenso, con un rapporto scritto e le prove.
- Inventario degli script di terze parti e classificazione per categoria.
- Piattaforma di consenso configurata con blocco preventivo, Consent Mode e link alle preferenze nel piè di pagina.
- Controllo periodico: ogni modifica al sito può aggiungere uno script che il banner non conosce.
Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Chiedi la verifica del banner, gratuita →
Domande frequenti
Serve per forza un pulsante «Rifiuta tutto»?
Le Linee guida chiedono un comando di chiusura, di norma una X in alto a destra, che mantiene le impostazioni predefinite, più l’avvertenza su questo effetto. Un pulsante «Rifiuta» esplicito non è obbligatorio, ma rende la scelta più chiara ed è la soluzione più sicura. Quello che non è ammesso è un rifiuto più difficile dell’accettazione.
Il mio sito usa solo Google Analytics: devo mettere il banner?
Dipende dalla configurazione. Le statistiche sono equiparate ai cookie tecnici solo con IP mascherato, dati non incrociati con altre elaborazioni e uso limitato a statistiche aggregate. Se non sei certo che tutte le condizioni siano rispettate, tratta le statistiche come cookie da consenso.
Ogni quanto posso riproporre il banner a chi ha rifiutato?
Non prima di sei mesi dall’ultima presentazione. Le eccezioni sono due: cambiano in modo significativo le condizioni del trattamento, oppure l’utente ha cancellato i cookie e il sito non può riconoscere la scelta precedente.
Il Consent Mode di Google basta a mettermi in regola?
No. Il Consent Mode fa funzionare gli strumenti Google secondo le scelte espresse nel banner, ma non sostituisce il banner né l’informativa. Serve prima un banner a norma; il Consent Mode viene dopo e riguarda la misurazione e il remarketing.
Chi è responsabile se il banner lo ha installato l’agenzia?
Il titolare del trattamento, cioè l’azienda che gestisce il sito. Se l’agenzia gestisce il sito o i dati per conto tuo, è responsabile del trattamento e va regolata con un contratto (articolo 28 del GDPR). La configurazione del banner resta comunque una tua responsabilità.
In breve
Un banner a norma blocca gli script non necessari finché l’utente non sceglie. Offre accetta, scelte granulari e una X che vale come rifiuto, e non torna a disturbare chi ha deciso. Lo scorrimento e «continuando a navigare» non valgono dal 2022. Il Consent Mode di Google serve a misurare dentro quelle regole, non a sostituirle. Dieci minuti in incognito con la scheda Rete aperta bastano per sapere a che punto sei.
Pubblicato il 26 ottobre 2026. Ultimo aggiornamento: 26 ottobre 2026.
Fonti
- Garante per la protezione dei dati personali — Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021 (G.U. n. 163 del 9 luglio 2021), paragrafi 6.1, 6.2, 7.1, 7.2.
- Garante — Provvedimento del 4 giugno 2025 [10152729]: ammonimento per banner riproposto a ogni accesso e informativa incompleta.
- Garante — Provvedimento del 23 ottobre 2025 [10197361]: ammonimento per assenza del banner.
- Garante — Provvedimento del 27 marzo 2025 [10148493]: archiviazione dopo la correzione di un banner che installava cookie anche dopo il rifiuto.
- Regolamento (UE) 2016/679 — artt. 4 (n. 11), 7, 12, 13, 25, 28, 77, 83.
- Google — Aggiornamenti alla modalità di consenso per il traffico nello Spazio economico europeo.