Come scrivere una cookie policy: guida passo dopo passo + modello

Il cookie banner è la parte che tutti vedono, quindi riceve la maggior parte dell'attenzione. La cookie policy — il documento a cui il banner rimanda — viene di solito messa insieme in cinque minuti copiando quella di qualcun altro. Eppure la policy è la prima cosa che un'autorità per la protezione dei dati apre durante un'ispezione. La buona notizia: scriverne una fatta bene non è difficile. In questa guida vediamo cosa deve contenere una cookie policy, come costruirla passo dopo passo partendo da una struttura modello e come mantenerla aggiornata senza riscriverla a mano ogni mese.

Cos'è una cookie policy e perché ti serve

Una cookie policy è una pagina accessibile pubblicamente che informa i visitatori su quali cookie e tecnologie simili memorizza il tuo sito, a cosa servono, quanto a lungo restano nel browser e come è possibile revocare il consenso.

L'obbligo non deriva da una singola disposizione, ma dalla combinazione di tre normative:

• GDPR (articoli 12 e 13) — se i cookie trattano dati personali (e i regolatori considerano dati personali identificatori come _ga o _fbp), devi informare sul trattamento in modo trasparente.
• Le attuazioni nazionali della normativa ePrivacy — in tutta l'UE, la memorizzazione dei cookie richiede un consenso opt-in, con un'eccezione per quelli strettamente necessari. Il consenso è valido solo se è informato — ed è proprio la policy a fornire le informazioni.
• La Direttiva ePrivacy — il fondamento europeo su cui si basano le regole nazionali.

In pratica tutto si riduce a una cosa: senza una cookie policy non esiste un consenso valido. Un cookie banner che rimanda a una pagina vuota o inesistente raccoglie consensi che non supererebbero un'ispezione.

Cookie policy vs. privacy policy

Due documenti che confondono persino i proprietari di siti più esperti:

• La privacy policy copre tutti i trattamenti di dati personali — ordini, newsletter, fatturazione, reclami, videosorveglianza.
• La cookie policy si occupa esclusivamente di cookie e tecnologie simili: localStorage, pixel di tracciamento, SDK di terze parti.

Puoi unirli in un unico documento, ma te lo sconsigliamo. I cookie cambiano molto più spesso del resto dei tuoi trattamenti — ogni nuovo strumento di marketing porta con sé i propri. Una pagina autonoma è più facile da tenere aggiornata, e il cookie banner può rimandarvi direttamente invece di puntare a pagina dieci di un romanzo sulla privacy.

Cosa deve contenere una cookie policy

Una checklist degli elementi obbligatori che nessun documento finale dovrebbe tralasciare:

• Chi è il titolare del trattamento — denominazione dell'azienda, numero di registrazione e dati di contatto.
• Cosa sono i cookie — due o tre frasi in linguaggio semplice.
• Quali cookie usa effettivamente il sito — una tabella con nome del cookie, fornitore, finalità, durata e categoria. È il cuore dell'intero documento e la parte che manca più spesso.
• Le categorie di cookie — necessari, preferenze, analytics, marketing — e a cosa serve ciascuna.
• La base giuridica — i cookie strettamente necessari funzionano senza consenso; tutto il resto lo richiede.
• Terze parti e trasferimenti fuori dall'UE — Google, Meta, Hotjar e compagnia, incluse le informazioni sui trasferimenti di dati verso paesi terzi.
• Come revocare il consenso — una procedura concreta, idealmente un link o un pulsante che riapre il cookie banner.
• Come gestire i cookie nel browser — link alle pagine di supporto di Chrome, Firefox, Safari ed Edge.
• La data dell'ultimo aggiornamento — senza di essa nessuno (te compreso) può dire se il documento corrisponde ancora alla realtà.

Come scrivere una cookie policy passo dopo passo

Passo 1: scopri quali cookie usa davvero il tuo sito

L'errore più comune è scrivere la policy a memoria, in base a ciò che pensi giri sul sito. La realtà tende a essere diversa — uno sviluppatore una volta ha aggiunto Hotjar, il plugin delle recensioni si è portato dietro il proprio tracciamento, e anche il video YouTube incorporato imposta cookie. Apri il sito in una finestra in incognito con DevTools (scheda Application, sezione Cookies), oppure risparmiati il lavoro con uno scanner automatico dei cookie. Copriamo l'intero processo in Audit dei cookie: come scoprire quali cookie usi.

Passo 2: suddividi i cookie in categorie

Lo standard prevede quattro categorie: necessari (login, carrello, memorizzazione del consenso stesso), preferenze (lingua, valuta), analytics (Google Analytics, Matomo) e marketing (Google Ads, Meta Pixel). Importante: il tuo cookie banner deve usare le stesse categorie. Se il banner offre tre categorie e la policy ne descrive quattro, il consenso non corrisponde alla documentazione.

Passo 3: costruisci la tabella dei cookie

Per ogni cookie indica cinque cose: nome, fornitore, finalità, durata e categoria. Un esempio di riga: cookie _ga, fornitore Google Analytics, finalità distinguere i visitatori per le statistiche di traffico, durata 2 anni, categoria analytics. Sembra noioso — e a mano lo è, soprattutto con trenta cookie sul sito. Per questo Consentio genera questa parte automaticamente dai risultati della scansione.

Passo 4: descrivi come revocare il consenso

L'articolo 7(3) del GDPR stabilisce che revocare il consenso deve essere facile quanto darlo. In pratica, la policy ha bisogno di una frase come "Puoi modificare le tue impostazioni dei cookie in qualsiasi momento cliccando sul pulsante Impostazioni cookie" — e quel pulsante deve esistere davvero, tipicamente nel footer del sito.

Passo 5: collega la policy al cookie banner

Il banner rimanda alla policy, la policy rimanda alle impostazioni del banner. Il cerchio si chiude e i visitatori possono arrivare ovunque serva partendo da entrambi i lati. Come dovrebbe presentarsi il banner stesso lo spieghiamo in Cookie banner: come impostarlo correttamente secondo il GDPR.

Una struttura modello per la tua cookie policy

Se parti da una pagina bianca, questo schema copre tutto ciò che conta:

1. Chi siamo — identificazione del titolare e dati di contatto
2. Cosa sono i cookie e perché li usiamo
3. Quali categorie di cookie distinguiamo
4. Tabella dei singoli cookie (nome, fornitore, finalità, durata, categoria)
5. Chi altro ha accesso ai cookie (terze parti, trasferimenti fuori dall'UE)
6. Come dare e revocare il consenso
7. Come bloccare o eliminare i cookie nel browser
8. Data dell'ultimo aggiornamento

Gli errori più comuni nelle cookie policy

1. Un documento copiato da un altro sito. Descrive cookie che non hai e non dice nulla di quelli che hai. Durante un'ispezione fa una figura peggiore dell'assenza totale del documento — dimostra che non hai alcuna visione dei tuoi stessi trattamenti.
2. Nessuna tabella dei singoli cookie. Un generico "usiamo cookie di analytics e di marketing" non soddisfa il requisito di trasparenza. I regolatori vogliono vedere cookie concreti con le rispettive durate.
3. La policy e il banner non corrispondono. Il banner menziona categorie o strumenti diversi da quelli del documento. Tipicamente succede dopo che il marketing ha aggiunto un nuovo pixel e nessuno ha aggiornato la policy.
4. Un link morto dal banner. Il sito è stato rifatto, la pagina della policy ha cambiato URL e il link del banner ora porta a un 404. Un consenso raccolto senza informazioni accessibili non è valido.
5. Il documento è stato scritto una volta e non toccato per un anno. Un sito medio aggiunge o modifica cookie diverse volte l'anno — con ogni nuovo strumento, plugin o campagna.

Come mantenere la policy aggiornata senza lavoro manuale

Una cookie policy non è un documento che si scrive una volta sola. È la documentazione viva del tuo sito — e gli aggiornamenti manuali sono esattamente il tipo di lavoro che finisce sempre nel dimenticatoio.

Per questo abbiamo creato il generatore di cookie policy di Consentio, che assembla il documento automaticamente dalle scansioni regolari del tuo sito: la tabella dei cookie, le categorie, le durate e le terze parti si compilano da sole e si rigenerano a ogni modifica. A te basta inserire il link nel banner e nel footer. Insieme allo scanner e al cookie banner, l'intera configurazione richiede pochi minuti — il piano gratuito è sufficiente. E se vuoi essere sicuro che anche tutto il resto sia a posto, ripassa la nostra checklist di conformità GDPR sui cookie.