Digital

Cookie banner: cosa contesta il Garante e come mettere in regola il sito

Davide C. Rigoletto Settembre 16, 2026 6 min di lettura

Il banner dei cookie è la prima cosa che un visitatore vede sul tuo sito, ed è anche una delle prime cose che il Garante Privacy controlla quando arriva un reclamo. Le regole sono chiare dal 2021, eppure gli errori sono ancora frequenti. In questo articolo vediamo cosa chiede davvero il Garante, quali errori ha contestato a siti reali e come sistemare il tuo, punto per punto.

Le regole di riferimento: le Linee guida del 10 giugno 2021

Il testo da conoscere sono le “Linee guida cookie e altri strumenti di tracciamento” del Garante per la protezione dei dati personali, approvate il 10 giugno 2021 (provvedimento n. 231) e pubblicate in Gazzetta Ufficiale il 9 luglio 2021. Il Garante aveva concesso sei mesi per adeguarsi, quindi sono pienamente applicabili da gennaio 2022.

Il principio di base è semplice: i cookie tecnici, quelli che servono a far funzionare il sito, non richiedono consenso. Tutto il resto (profilazione, pubblicità, gran parte delle statistiche) può essere attivato solo dopo un consenso libero, informato e registrato.

Cosa deve fare un banner per essere a norma

Rifiutare deve essere facile quanto accettare. Il Garante chiede comandi e caratteri “di uguali dimensioni, enfasi e colori”.
La X chiude senza tracciare. Il banner deve avere un comando di chiusura (di solito una X in alto a destra) che lascia attive solo le impostazioni di default, cioè nessun cookie diverso da quelli tecnici. E il banner deve dirlo esplicitamente.
Niente cookie prima della scelta. Finché l’utente non ha acconsentito, gli strumenti di profilazione e pubblicità non devono partire.
Lo scrolling non è consenso. Secondo le Linee guida il semplice scorrimento della pagina è “inadatto in sé” a raccogliere un consenso valido.
Scelta per categorie. Oltre al pulsante per accettare, serve un link a un’area dove scegliere quali cookie attivare e il link alla cookie policy.
Niente cookie wall. Bloccare l’accesso al sito a chi non accetta è considerato illecito, salvo che tu offra un modo equivalente per accedere allo stesso contenuto senza tracciamento.

Per quanto vale la scelta: la regola dei 6 mesi

Una volta che il visitatore ha deciso, la sua scelta va registrata e il banner non deve ricomparire a ogni visita. Le Linee guida ammettono di riproporlo solo in tre casi: se cambiano in modo significativo le condizioni del trattamento (per esempio aggiungi nuovi strumenti di terze parti), se non è possibile sapere tecnicamente se il cookie della scelta è già stato salvato, oppure quando sono passati almeno 6 mesi dalla volta precedente.

I casi reali: cosa ha contestato il Garante

Leggere i provvedimenti è il modo migliore per capire dove si sbaglia. Alcuni esempi pubblicati sul sito del Garante:

Benetton Group, 27 aprile 2023: sanzione da 240.000 euro per diverse violazioni legate alla fidelity card. Tra queste, il banner del sito della carta non permetteva di deselezionare le varie tipologie di cookie.
Maggioli, 8 febbraio 2024: ammonimento perché il banner non spiegava che la X permetteva di proseguire senza tracciamento e richiamava il “legittimo interesse” come base per cookie non tecnici, che invece richiedono il consenso.
Un e-commerce di Crotone, 10 luglio 2025: ammonimento e ordine di correggere il banner. Link alla cookie policy non funzionanti, consenso legato alla prosecuzione della navigazione, categorie di cookie poco chiare e informazioni contraddittorie sulle terze parti.
Una piccola impresa valdostana, 17 luglio 2025: ammonimento per un banner generico (“utilizziamo i cookie per la tua migliore esperienza”) e un link alla privacy policy che portava a una pagina di errore.

C’è poi il quadro generale. A settembre 2024 il Garante ha comunicato i risultati di un’indagine internazionale sui “dark pattern”: su 50 siti di comparatori controllati in Italia, in più del 60% dei casi il banner metteva in evidenza l’opzione meno favorevole alla privacy.

Google Consent Mode, font e mappe: i dettagli che sfuggono

Se usi Google Analytics 4 o Google Ads, devi conoscere il Consent Mode. È il sistema con cui comunichi ai tag Google le scelte dell’utente attraverso quattro parametri: ad_storage, analytics_storage, ad_user_data e ad_personalization. Per chi raccoglie dati di utenti dello Spazio economico europeo, senza questi segnali funzioni come remarketing e misurazione delle conversioni vengono limitate.

Attenzione però: il Consent Mode non è un banner e non sostituisce il consenso. Esiste in due versioni. Nella “base” i tag non partono finché l’utente non sceglie. Nella “avanzata” i tag si caricano subito e, se il consenso è negato, inviano comunque segnali senza cookie. Noi preferiamo la base: più prudente.

Poi ci sono le terze parti “invisibili”. Font caricati dai server di Google, mappe e video incorporati inviano l’IP del visitatore a un altro server prima di qualsiasi scelta. In Germania, il Tribunale di Monaco (sentenza del 20 gennaio 2022) ha condannato un sito a risarcire 100 euro a un visitatore proprio per i Google Fonts caricati senza consenso. La soluzione è semplice: font ospitati sul tuo server e mappe o video che si attivano solo al clic.

Le sanzioni: cosa rischi davvero

L’articolo 83 del GDPR prevede, per le violazioni più gravi, sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo, se superiore. Sono tetti massimi: come visto, per le piccole realtà che collaborano e correggono subito il Garante ha spesso scelto l’ammonimento. Ma resta un provvedimento pubblico.

La checklist per mettere in regola il tuo sito

Apri il sito in una finestra anonima con gli strumenti per sviluppatori: prima di cliccare sul banner non devono partire richieste verso Google Analytics, Ads, Meta, Clarity o simili.
Controlla che “Accetta” e “Rifiuta” abbiano stesse dimensioni, colori ed evidenza, e che ci sia la X con la spiegazione di cosa fa.
Verifica che il link alla cookie policy funzioni e che la policy elenchi gli strumenti usati.
Imposta il Consent Mode con tutto negato di default.
Ospita i font in locale e carica mappe e video solo su richiesta.
Conserva la scelta per 6 mesi e richiedila quando aggiungi nuovi strumenti.

Domande frequenti

Se uso solo cookie tecnici devo mostrare il banner?

No, per i soli cookie tecnici non serve il consenso: basta l’informativa. Le Linee guida equiparano ai tecnici anche gli analytics configurati in modo da non identificare l’utente (per esempio con IP mascherato e solo statistiche aggregate).

Il Consent Mode di Google basta per essere in regola?

No. Il Consent Mode trasmette ai tag Google la scelta dell’utente, ma la scelta va raccolta con un banner conforme.

Ogni quanto devo richiedere il consenso?

Non prima di 6 mesi dalla scelta precedente, salvo che cambino in modo significativo gli strumenti o le finalità del trattamento.

Vuoi un sito in regola senza pensieri?

Controllare banner, tag e terze parti fa parte del nostro servizio di assistenza e manutenzione dei siti web. Se vuoi una verifica del tuo sito, chiedi un preventivo e ti diciamo cosa sistemare.