Il banner cookie è la parte di un sito web che informa il visitatore sui cookie e sulle tecnologie simili e gli consente di concedere, rifiutare o modificare il consenso al loro salvataggio per categoria. Nella Repubblica Ceca è richiesto dall'art. 89, comma 3, della legge n. 127/2005 Racc. sulle comunicazioni elettroniche, che dal 1° gennaio 2022 ha sostituito il precedente regime di opt-out con l'opt-in: i cookie non essenziali possono essere salvati solo dopo un consenso dimostrabile. Cosa sia un consenso valido lo definisce il GDPR all'art. 4, punto 11, e le condizioni per ottenerlo sono stabilite dall'art. 7. La base europea è la direttiva 2002/58/CE (ePrivacy), art. 5, paragrafo 3. Nella Repubblica Ceca la vigilanza spetta all'Ufficio per la protezione dei dati personali (ÚOOÚ), che può irrogare sanzioni sia in base al GDPR sia in base alla legge sulle comunicazioni elettroniche. In Italia gli stessi principi sono applicati dal Garante per la protezione dei dati personali in base all'art. 122 del Codice privacy e alle Linee guida cookie del 2021. Il banner cookie non è quindi una formalità né un elemento di design, ma lo strumento con cui un sito ottiene e documenta la base giuridica per analisi, marketing e personalizzazione.
Il banner cookie è obbligatorio?
Sì, ogni volta che un sito salva o legge cookie diversi da quelli strettamente necessari. L'unica eccezione riguarda i cookie indispensabili per un servizio espressamente richiesto dall'utente: login, contenuto del carrello, scelta della lingua o token di sicurezza. Non appena installate Google Analytics, Meta Pixel, il retargeting Sklik, Hotjar o un video YouTube incorporato, il banner serve. Vale per siti aziendali, e-commerce, blog e siti di associazioni. Non contano le dimensioni del sito né il suo carattere commerciale, ma le tecnologie che utilizza.
Cosa deve contenere un banner cookie?
- Un pulsante Rifiuta altrettanto visibile già al primo livello, con le stesse dimensioni e lo stesso contrasto di Accetta.
- Nessuna categoria preselezionata: analisi e marketing sono disattivati per impostazione predefinita.
- Blocco degli script prima del consenso: i codici di misurazione e pubblicitari non devono partire finché l'utente non ha deciso.
- Una descrizione comprensibile delle finalità per categoria (necessari, funzionali, analitici, marketing) e l'indicazione di chi tratta i dati.
- Un link alla cookie policy con l'elenco dei cookie concreti, la loro durata e i destinatari.
- La possibilità di modificare o revocare la scelta in qualsiasi momento, di solito tramite un'icona o un link nel footer.
- Una registrazione del consenso: data e ora, versione del testo e ambito, affinché il titolare assolva l'onere della prova previsto dall'art. 7, paragrafo 1, del GDPR.
Quali errori sanziona l'ÚOOÚ?
Le violazioni più frequenti riscontrate dalle autorità di controllo dell'UE sono le caselle preselezionate, i banner senza pulsante di rifiuto, gli script avviati prima di qualsiasi clic e il consenso «continuando la navigazione». Nella sentenza Planet49 (C-673/17) del 2019 la Corte di giustizia dell'UE ha stabilito senza ambiguità che una casella preselezionata non è un consenso valido, perché non costituisce una manifestazione attiva di volontà. Il Comitato europeo per la protezione dei dati ha aggiunto, nelle Linee guida 05/2020 sul consenso, che un cookie wall (accesso ai contenuti condizionato al consenso) non è un consenso libero e che lo scorrimento o la chiusura del banner non equivalgono ad accettazione. L'ÚOOÚ si basa su queste interpretazioni nei controlli dei siti cechi; sanziona soprattutto i cookie analitici e di marketing impostati senza consenso e i banner che nascondono il rifiuto in un secondo livello.
Come si implementa un banner cookie?
Il percorso ha quattro passi. Prima scoprite quali cookie il sito salva davvero, idealmente con una scansione automatica. Poi suddivideteli in categorie e assicuratevi che gli script non essenziali si carichino solo dopo il consenso, per gli strumenti Google tramite Consent Mode v2. Il terzo passo è il banner stesso, con pulsanti equivalenti e il link alla policy. Infine conservate le registrazioni dei consensi e offrite la possibilità di cambiare scelta. Approfondiamo la parte legale nella guida GDPR, potete costruire il banner nel generatore di banner cookie, la guida alla configurazione vi accompagna passo dopo passo e il termine consenso ha una voce dedicata.
Fonti
- Regolamento (UE) 2016/679 (GDPR), art. 4, punto 11, e art. 7
- Direttiva 2002/58/CE (ePrivacy), art. 5, paragrafo 3
- Legge n. 127/2005 Racc. sulle comunicazioni elettroniche, art. 89, comma 3
- CGUE, sentenza Planet49, C-673/17
- EDPB, Linee guida 05/2020 sul consenso ai sensi del regolamento 2016/679
- Ufficio per la protezione dei dati personali (ÚOOÚ)