Creare un banner cookie conforme: principi ed errori da evitare
Un banner cookie conforme deve raccogliere il consenso preventivo del visitatore prima di installare qualsiasi cookie non essenziale, offrire un rifiuto accessibile con la stessa semplicità dell'accettazione, e consentire di revocare il consenso in qualsiasi momento. I cookie strettamente necessari al funzionamento del sito (carrello, autenticazione) sono esentati da questo obbligo di consenso, ma devono comunque essere indicati.
Il vero problema: banner che aggirano il consenso
La maggior parte dei banner cookie presenti sul web non rispetta realmente queste raccomandazioni. Il caso più frequente: un pulsante "Accetta" ben visibile, e un rifiuto nascosto dietro un link discreto, un secondo clic o un testo grigio poco leggibile. Questa asimmetria costituisce un'inadempienza individuata e sanzionata più volte anche nei confronti di siti di grande notorietà. Un sito più piccolo non è al riparo da una segnalazione o da un controllo su questo punto, tanto più che la violazione è visibile immediatamente a qualsiasi visitatore.
I principi stabiliti dalla CNIL
Il quadro applicabile ai cookie si basa sulla direttiva ePrivacy, recepita nel diritto francese e integrata dalle raccomandazioni della CNIL, l'autorità francese di protezione dei dati. I punti fondamentali:
- Consenso preventivo: i cookie non essenziali devono essere installati solo dopo un consenso esplicito, non prima.
- Consenso libero e specifico: il visitatore deve poter scegliere categoria per categoria (ad esempio accettare la misurazione dell'audience ma rifiutare la pubblicità), non solo un "tutto o niente".
- Rifiuto semplice quanto l'accettazione: le due opzioni devono essere presentate allo stesso livello visivo, senza percorsi differenziati.
- Informazione chiara: la finalità di ciascuna categoria di cookie deve essere spiegata in un linguaggio comprensibile, non semplicemente elencata con un nome tecnico.
- Prova del consenso: il sito deve poter dimostrare, in caso di controllo, che il consenso è stato effettivamente raccolto alle condizioni previste.
Ciò che non richiede consenso
Alcuni cookie sono esentati dall'obbligo di consenso preventivo, in quanto considerati strettamente necessari al funzionamento atteso del servizio:
| Categoria | Esempio | Consenso richiesto |
|---|---|---|
| Funzionamento tecnico | Carrello d'acquisto, sessione di accesso | No |
| Preferenze dichiarate | Lingua scelta dall'utente | No, se strettamente limitato a tale uso |
| Misurazione dell'audience esentata | Statistiche anonimizzate secondo i criteri della CNIL | No, a condizioni tecniche precise |
| Misurazione dell'audience standard | Strumenti di analisi con identificatori persistenti | Sì |
| Pubblicità e social network | Pulsanti di condivisione, pixel pubblicitari | Sì |
| Personalizzazione di contenuti di terze parti | Raccomandazioni basate sul profilo | Sì |
Costruire un banner conforme, passo dopo passo
- Bloccare i cookie non essenziali per impostazione predefinita, prima di qualsiasi interazione del visitatore con il banner.
- Presentare due opzioni di pari livello: accettare tutto, rifiutare tutto, con un accesso semplice a una scelta dettagliata per categoria.
- Spiegare ogni finalità in una frase comprensibile, senza gergo tecnico.
- Non precompilare le caselle di consenso: ogni categoria soggetta a consenso deve essere deselezionata per impostazione predefinita.
- Prevedere un accesso permanente per modificare la propria scelta in seguito, generalmente tramite un link discreto ma accessibile nel piè di pagina.
- Conservare una prova del consenso, con data e contenuto esatto, per la durata di validità stabilita.
Le soluzioni tecniche disponibili
Sulla maggior parte dei CMS e degli strumenti moderni di creazione di siti, la gestione dei cookie avviene tramite una piattaforma di gestione del consenso (CMP), integrata o tramite un modulo di terze parti. Questi strumenti permettono generalmente di bloccare gli script di terze parti prima del consenso, di gestire la granularità per categoria e di conservare una prova con data e ora. Scegliere un modulo riconosciuto resta preferibile rispetto a uno sviluppo artigianale, che spesso omette il blocco effettivo degli script prima del consenso, il punto più frequentemente trascurato.
Cosa ricordare
- I cookie non essenziali devono restare bloccati finché non è stato dato il consenso, non semplicemente mostrati come "in attesa".
- Il rifiuto deve essere accessibile con la stessa facilità dell'accettazione, allo stesso livello visivo.
- Il consenso deve poter essere dato categoria per categoria, non solo in blocco.
- Alcuni cookie di misurazione dell'audience strettamente configurati sfuggono all'obbligo di consenso, a condizioni tecniche precise fissate dalla CNIL.
- Il consenso ha una durata di validità limitata e deve essere richiesto di nuovo trascorso tale termine.
- Una prova del consenso deve poter essere presentata in caso di controllo.
Domande frequenti
È possibile continuare a navigare sul sito senza aver risposto al banner? Sì, la navigazione resta possibile, ma i cookie non essenziali restano inattivi finché non viene fornito un consenso esplicito.
Bisogna richiedere nuovamente il consenso a ogni visita? No, può essere conservato per un periodo limitato, generalmente sei mesi, e poi richiesto di nuovo.
I cookie di misurazione dell'audience richiedono sempre il consenso? Non sistematicamente, se configurati secondo i criteri di esenzione previsti dalla CNIL (nessun tracciamento individuale tra siti diversi). Al di fuori di questa configurazione, il consenso resta necessario.
Un banner con il solo pulsante "Accetta" è legale? No, questa pratica è esplicitamente sanzionata dalla CNIL. Il rifiuto deve essere proposto con la stessa facilità dell'accettazione.
In sintesi
Un banner cookie conforme si basa su un principio semplice ma spesso aggirato: il rifiuto deve essere accessibile quanto l'accettazione, e nulla deve essere installato prima di un consenso esplicito. Questo quadro generale riflette le raccomandazioni pubbliche della CNIL; per una messa in conformità precisa del Suo sito, resta consigliabile un audit dedicato o il parere di un professionista del diritto. I siti realizzati da VeryAppi integrano una gestione dei cookie conforme a questi principi fin dalla messa online.
Domande frequenti
›È possibile continuare a navigare sul sito senza aver risposto al banner?
Finché il visitatore non ha fornito il proprio consenso, i cookie non essenziali non devono essere installati. La navigazione resta possibile senza rispondere, ma in questo caso i tracciatori soggetti a consenso restano inattivi fino a una scelta esplicita.
›Bisogna richiedere nuovamente il consenso a ogni visita?
No, il consenso può essere conservato per un periodo limitato (la CNIL raccomanda generalmente al massimo sei mesi), trascorso il quale deve essere richiesto di nuovo. Anche la scelta di rifiuto deve essere memorizzata per tale periodo, per non infastidire il visitatore che ha già rifiutato.
›I cookie di misurazione dell'audience richiedono sempre il consenso?
Non sistematicamente. È prevista un'esenzione per gli strumenti di misurazione dell'audience configurati in modo da non consentire il tracciamento individuale del visitatore da un sito all'altro, secondo criteri tecnici precisi. Al di fuori di questa configurazione esentata, il consenso preventivo resta necessario.
›Un banner con il solo pulsante 'Accetta' è legale?
No, questa pratica è esplicitamente sanzionata dalla CNIL da diversi anni. Il rifiuto deve essere proposto allo stesso livello e con la stessa facilità dell'accettazione, senza passaggi aggiuntivi né percorsi dissuasivi.