Articolo a cura di: Redazione - Studio Legale Calvello
Un cookie banner presente sul sito aziendale non significa necessariamente che l’impresa rispetti la normativa sulla privacy. Il banner può essere graficamente corretto ma raccogliere un consenso non valido, consentire l’attivazione di strumenti di profilazione prima della scelta dell’utente oppure non permettere un rifiuto effettivo dei tracciamenti. In queste situazioni l’azienda può esporsi a contestazioni del Garante per la protezione dei dati personali, provvedimenti correttivi e sanzioni amministrative. Per rimediare occorre verificare il funzionamento reale del sito, individuare i trattamenti irregolari e correggere sia le impostazioni tecniche sia la documentazione privacy. Quando sono coinvolti strumenti pubblicitari, piattaforme esterne o consensi già raccolti, può essere necessaria una valutazione legale specifica.
Il problema più frequente che riscontriamo nell’organizzazione della privacy dei siti aziendali è la distanza tra ciò che il banner dichiara e ciò che il sito effettivamente fa. Un’impresa può avere acquistato un servizio per la gestione dei cookie, installato un plugin su WordPress o affidato l’intera configurazione a un’agenzia web, senza avere verificato se gli strumenti di tracciamento rispettino le scelte dei visitatori. La conformità non dipende dal semplice fatto che il banner compaia sullo schermo, ma dalle modalità con cui vengono fornite le informazioni, acquisito il consenso e attivati i trattamenti.
La disciplina italiana trova un riferimento specifico nell’articolo 122 del D.Lgs. 196/2003, da leggere insieme alle disposizioni applicabili del Regolamento (UE) 2016/679 e alle Linee guida cookie e altri strumenti di tracciamento adottate dal Garante Privacy il 10 giugno 2021. La regola generale prevede che l’archiviazione di informazioni nel dispositivo dell’utente, o l’accesso a informazioni già archiviate, richieda un consenso preventivo e informato, salvo le eccezioni previste dalla legge, tra cui quelle relative alle operazioni strettamente necessarie per fornire un servizio espressamente richiesto dall’utente.
Questo significa che i cookie di profilazione e gli altri strumenti di tracciamento soggetti a consenso non devono essere attivati prima che l’utente abbia espresso una scelta valida. Il problema si presenta, per esempio, quando Google Tag Manager avvia tag pubblicitari all’apertura della pagina, quando un pixel di Meta viene caricato indipendentemente dal rifiuto dei cookie oppure quando una piattaforma di analisi utilizza identificatori senza che siano state verificate le condizioni per l’eventuale esenzione dal consenso.
Un’altra irregolarità riguarda il modo in cui viene richiesta l’autorizzazione. Un banner che presenta soltanto il pulsante «Accetta», senza consentire all’utente di proseguire agevolmente senza prestare il consenso ai tracciamenti non necessari, può risultare incompatibile con le indicazioni del Garante. Analogamente, sono problematiche le caselle preselezionate, il consenso ricavato dal semplice scorrimento della pagina e le interfacce che rendono artificiosamente difficile il rifiuto. La possibilità di chiudere il banner senza attivare cookie non necessari deve essere effettiva, così come la possibilità di modificare successivamente le preferenze.
Non ogni differenza grafica tra i pulsanti costituisce automaticamente una violazione. Occorre valutare se l’interfaccia condizioni indebitamente la decisione dell’utente, compromettendo la libertà del consenso. È questo il problema dei cosiddetti dark pattern, ossia soluzioni di progettazione che possono orientare la scelta attraverso percorsi poco trasparenti o volutamente complicati.
Ulteriori criticità emergono quando la cookie policy non descrive correttamente gli strumenti utilizzati, non identifica adeguatamente le finalità del tracciamento oppure non viene aggiornata dopo l’introduzione di nuovi servizi. Un sito può essere stato inizialmente configurato in modo corretto e diventare successivamente non conforme a seguito dell’installazione di un plugin, dell’attivazione di una campagna pubblicitaria o di una modifica effettuata dal fornitore tecnico.
Per le aziende che utilizzano siti commerciali, piattaforme e-commerce o strumenti di acquisizione dei contatti, queste verifiche devono essere inserite nel controllo complessivo della conformità GDPR del sito web aziendale. Un banner apparentemente funzionante non permette, da solo, di escludere trattamenti irregolari effettuati attraverso script, pixel e servizi esterni.
Quando un sito utilizza cookie o altri strumenti di tracciamento in violazione delle disposizioni applicabili, il titolare del trattamento può essere destinatario di un intervento del Garante per la protezione dei dati personali. La responsabilità deve essere valutata considerando le operazioni effettivamente compiute, le finalità perseguite, i soggetti coinvolti e gli obblighi concretamente violati. Non esiste una sanzione automatica e identica per ogni cookie banner irregolare: la gravità della condotta e le circostanze del caso incidono sulla valutazione dell’Autorità.
Le violazioni delle disposizioni sul consenso e sul trattamento dei dati personali possono comportare l’applicazione del regime sanzionatorio previsto dal GDPR, nei casi e secondo i presupposti stabiliti dalla normativa. Per le violazioni rientranti nell’articolo 83, paragrafo 5, del Regolamento, il limite massimo delle sanzioni amministrative pecuniarie è pari a 20 milioni di euro oppure, per le imprese, al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi normalmente applicati a ogni irregolarità del banner. La quantificazione dipende, tra l’altro, dalla natura, dalla gravità e dalla durata della violazione, dal numero di interessati coinvolti, dalle misure adottate e dalla collaborazione con l’Autorità.
Accanto alle eventuali sanzioni pecuniarie, il Garante dispone dei poteri correttivi previsti dall’articolo 58 del GDPR. Può, ricorrendone i presupposti, rivolgere ammonimenti o ingiunzioni, ordinare di rendere conformi i trattamenti, imporre limitazioni oppure vietare determinate operazioni. Per un’impresa che utilizza sistemi di profilazione e pubblicità digitale, un provvedimento che imponga di modificare o interrompere specifiche attività di tracciamento può richiedere interventi tecnici e organizzativi immediati.
Un aspetto che merita particolare attenzione riguarda la responsabilità nei rapporti con le agenzie web e i fornitori tecnologici. L’azienda non può considerarsi automaticamente esonerata dagli obblighi privacy per avere affidato a un soggetto esterno l’installazione del cookie banner. Il titolare deve poter dimostrare di avere adottato misure adeguate e di aver organizzato correttamente i trattamenti di propria competenza. Le responsabilità dei fornitori dipendono invece dal ruolo effettivamente ricoperto, dalle attività svolte e dagli accordi applicabili. Quando il fornitore tratta dati personali per conto dell’impresa, occorre anche verificare la corretta disciplina del rapporto ai sensi dell’articolo 28 GDPR, come approfondiamo nell’analisi dedicata ai rapporti tra agenzia web e titolare del trattamento.
La presenza di un software commerciale per la gestione dei consensi non costituisce una certificazione di conformità. Anche soluzioni diffuse, come Iubenda, Cookiebot, Complianz o CookieYes, richiedono una configurazione coerente con gli strumenti effettivamente installati. Il rischio nasce, per esempio, quando il sistema di gestione del consenso comunica correttamente il rifiuto dell’utente ma alcuni script continuano comunque a funzionare, oppure quando le preferenze vengono registrate senza essere rispettate dalle piattaforme pubblicitarie collegate.
Il controllo può originare da un reclamo, da una segnalazione o da iniziative di accertamento dell’Autorità. Se l’impresa riceve una richiesta di informazioni, è necessario ricostruire la configurazione del sito, individuare gli strumenti interessati e predisporre una risposta documentata, rispettando i termini assegnati. L’eventuale successiva contestazione richiede una valutazione distinta dei fatti, delle norme applicabili e delle possibilità difensive. Per questi aspetti abbiamo predisposto approfondimenti specifici sulla risposta alle richieste di informazioni del Garante e sulla presentazione delle memorie difensive.
La scoperta di un’irregolarità non implica necessariamente che si sia verificata anche una violazione dei dati personali da notificare ai sensi degli articoli 33 e 34 GDPR. L’installazione illecita di cookie e il data breach sono fattispecie distinte, anche se particolari circostanze possono richiedere ulteriori verifiche. Per stabilire come intervenire occorre quindi identificare il trattamento non conforme, determinarne l’estensione e valutare quali misure correttive siano effettivamente necessarie, evitando di confondere obblighi diversi.
Quando un’azienda scopre che il proprio cookie banner non è conforme, il primo intervento deve riguardare il funzionamento effettivo degli strumenti di tracciamento. Modificare il testo del banner, sostituire il plugin o aggiornare la cookie policy può essere insufficiente se il sito continua a installare cookie di profilazione prima del consenso oppure non rispetta il rifiuto espresso dall’utente. La regolarizzazione richiede una verifica coordinata degli aspetti giuridici e tecnici, seguita da interventi correttivi documentabili.
Nel nostro lavoro di assistenza alle imprese partiamo dalla ricostruzione dei trattamenti effettuati attraverso il sito. Occorre identificare i cookie, gli identificatori e gli altri strumenti di tracciamento effettivamente utilizzati, distinguendo quelli strettamente necessari dai sistemi di analisi statistica, pubblicità e profilazione. Per ciascuno devono essere esaminate le finalità, le modalità di funzionamento e le condizioni che consentono l’eventuale utilizzo senza consenso. Questa verifica deve comprendere anche gli strumenti caricati indirettamente attraverso plugin, servizi esterni e piattaforme pubblicitarie.
Una particolare attenzione deve essere dedicata a Google Analytics 4, Google Tag Manager, Google Ads, Meta Pixel e agli altri sistemi utilizzati per misurare le conversioni o personalizzare le campagne. La presenza di Google Consent Mode non rende automaticamente conforme il trattamento: occorre verificare quali segnali vengano trasmessi, quali informazioni siano effettivamente raccolte e se le operazioni compiute prima del consenso rispettino la disciplina applicabile. Lo stesso vale per le soluzioni di tracciamento server-side, che non sono automaticamente esenti dagli obblighi previsti per l’accesso alle informazioni presenti nei dispositivi degli utenti.
La seconda verifica riguarda l’interfaccia del banner. Il visitatore deve ricevere informazioni comprensibili e poter esercitare una scelta effettiva, senza essere indotto ad accettare attraverso meccanismi ingannevoli. Devono essere controllati il comportamento del pulsante di chiusura, le modalità di rifiuto, la gestione delle singole categorie di tracciamento e la possibilità di modificare successivamente le preferenze. Il rifiuto deve produrre conseguenze tecniche coerenti: gli strumenti soggetti a consenso non possono continuare a operare come se l’utente avesse accettato.
È poi necessario verificare la coerenza tra il banner e la documentazione pubblicata sul sito. L’informativa estesa deve descrivere correttamente i trattamenti, le finalità, i soggetti coinvolti e le ulteriori informazioni richieste dalla normativa. Se nel tempo sono stati introdotti nuovi strumenti di marketing, servizi di analisi o fornitori tecnologici, la documentazione deve essere riesaminata. Quando le carenze riguardano anche altri trattamenti aziendali, può essere opportuno procedere a un aggiornamento della documentazione privacy aziendale, mantenendo distinta la verifica specifica sui cookie dagli altri adempimenti GDPR.
Un ulteriore profilo riguarda la prova del consenso. L’articolo 7 del GDPR richiede al titolare di poter dimostrare che l’interessato abbia prestato un consenso valido, quando il trattamento si fonda su tale base giuridica. L’azienda deve quindi verificare se il proprio sistema consenta di documentare le scelte effettuate e se le registrazioni siano coerenti con il funzionamento effettivo degli strumenti di tracciamento. Le modalità tecniche di conservazione della prova devono essere proporzionate e rispettare i principi applicabili al trattamento dei dati personali.
Se vengono individuati consensi raccolti irregolarmente, non è sufficiente considerare automaticamente validi quelli già acquisiti. Occorre valutare quali trattamenti siano stati effettuati, se esista una base giuridica appropriata e quali interventi siano necessari per interrompere le operazioni non consentite e raccogliere, ove richiesto, nuovi consensi validi. Nei casi più delicati può essere necessario sospendere temporaneamente specifici strumenti di profilazione, senza compromettere le funzionalità essenziali del sito.
La verifica deve concludersi con prove concrete di funzionamento. È opportuno controllare il sito prima di qualsiasi scelta, dopo il rifiuto, dopo l’accettazione selettiva e successivamente alla revoca del consenso. I test devono comprendere le versioni desktop e mobile e le principali configurazioni di navigazione utilizzate dai visitatori. L’azienda dovrebbe conservare una documentazione ragionevole delle anomalie riscontrate, degli interventi effettuati e delle verifiche successive, così da poter ricostruire il percorso di adeguamento.
Quando la non conformità emerge durante un controllo interno o viene segnalata da un cliente, è importante intervenire tempestivamente senza alterare o eliminare indiscriminatamente gli elementi necessari a ricostruire i fatti. Se è già in corso un procedimento davanti al Garante, le correzioni tecniche devono essere coordinate con la gestione giuridica della contestazione. La tempestiva adozione di misure correttive può assumere rilievo nella valutazione complessiva del caso, ma non determina automaticamente l’esclusione di responsabilità per eventuali violazioni precedenti.
Consideriamo il caso ipotetico di una società commerciale che utilizza un sito WordPress per acquisire richieste di preventivo e promuovere i propri servizi attraverso Google Ads e Meta. Il sito dispone di un cookie banner installato dall’agenzia web, con una cookie policy pubblicata e un sistema per la gestione delle preferenze. Durante una verifica interna, il responsabile marketing scopre che alcuni strumenti pubblicitari vengono attivati già al caricamento della pagina, anche quando il visitatore chiude il banner senza accettare.
L’azienda ritiene inizialmente di essere in regola perché ha acquistato un servizio specializzato per la gestione dei cookie. L’esame della configurazione mostra invece che alcuni tag inseriti tramite Google Tag Manager non rispettano le preferenze comunicate dalla piattaforma di consenso. La cookie policy, inoltre, non descrive tutti gli strumenti successivamente aggiunti per le campagne pubblicitarie.
In una situazione del genere, il nostro intervento consiste anzitutto nel qualificare giuridicamente i trattamenti e nel coordinare le verifiche con il personale tecnico incaricato della gestione del sito. Occorre individuare gli strumenti da bloccare, correggere le regole di attivazione dei tag, aggiornare le informazioni rese agli utenti e verificare le modalità di raccolta e documentazione del consenso.
L’aspetto più delicato riguarda i tracciamenti già effettuati: la correzione del banner impedisce il ripetersi delle anomalie individuate, ma non rende retroattivamente lecite le operazioni precedenti. È quindi necessario valutare separatamente la condotta pregressa e le eventuali ulteriori misure richieste. Dopo gli interventi vengono eseguiti nuovi test, verificando che il rifiuto impedisca effettivamente l’attivazione degli strumenti soggetti a consenso. Il risultato dell’attività è una configurazione riesaminata e documentata, la cui conformità deve continuare a essere verificata quando cambiano gli strumenti utilizzati dal sito.
Un’azienda può ricevere una sanzione anche se il cookie banner è stato installato da un’agenzia web?
Sì. L’affidamento della gestione tecnica del sito a un fornitore esterno non esonera automaticamente l’azienda dalle responsabilità che le competono come titolare del trattamento. Occorre distinguere gli obblighi privacy dell’impresa dalle eventuali responsabilità contrattuali o derivanti dal ruolo effettivamente svolto dall’agenzia. La presenza di un contratto di assistenza o di un software per la gestione dei cookie non costituisce, da sola, una prova di conformità.
Se l’azienda corregge immediatamente il cookie banner, può evitare una sanzione?
La correzione tempestiva costituisce una misura rilevante, ma non cancella automaticamente eventuali violazioni già commesse. Il Garante può valutare gli interventi adottati dal titolare, la collaborazione prestata e le altre circostanze previste dall’articolo 83 GDPR. È opportuno documentare le anomalie individuate, le modifiche apportate e i controlli successivi, soprattutto quando sia già pervenuta una segnalazione o una richiesta dell’Autorità.
È necessario chiedere nuovamente il consenso agli utenti dopo aver modificato il cookie banner?
Dipende dalla validità dei consensi precedentemente raccolti e dalle modifiche apportate ai trattamenti. Se il consenso originario non rispettava i requisiti normativi, non può essere considerato automaticamente valido per il futuro. Occorre valutare se sia necessario acquisire nuove autorizzazioni e come gestire i trattamenti già effettuati. Una semplice modifica grafica del banner, invece, non comporta necessariamente l’obbligo di raccogliere nuovamente tutti i consensi.
Un sito aziendale che utilizza soltanto cookie tecnici deve mostrare il banner?
Quando vengono utilizzati esclusivamente cookie o strumenti di tracciamento che rientrano effettivamente nelle esenzioni previste dall’articolo 122 del Codice Privacy, non è necessario acquisire il consenso mediante un banner. Rimangono applicabili gli obblighi informativi pertinenti. La qualificazione degli strumenti deve però essere verificata concretamente: definire un cookie come tecnico nella documentazione del sito non è sufficiente se viene utilizzato anche per finalità pubblicitarie o di profilazione.
Quando è opportuno richiedere una verifica legale del cookie banner?
Una valutazione professionale è particolarmente opportuna quando il sito utilizza più piattaforme di tracciamento, quando emergono anomalie nella raccolta del consenso, quando la configurazione non viene verificata da tempo oppure quando l’azienda riceve reclami o richieste del Garante Privacy. L’esame giuridico deve essere coordinato con le verifiche tecniche, perché un’interfaccia apparentemente corretta può nascondere trattamenti non conformi.
Se il sito della tua azienda utilizza cookie di profilazione, strumenti pubblicitari o sistemi di analisi dei visitatori e hai dubbi sulla correttezza del banner, è opportuno verificare la situazione prima che eventuali irregolarità si protraggano. La valutazione deve considerare le tecnologie effettivamente utilizzate, le modalità di raccolta del consenso, la documentazione privacy e gli eventuali trattamenti già effettuati.
Noi dello Studio Legale Calvello assistiamo le imprese nella valutazione degli obblighi GDPR, nell’individuazione delle criticità giuridiche relative ai cookie e agli strumenti di tracciamento, nel coordinamento degli interventi di adeguamento e nella gestione di eventuali contestazioni del Garante Privacy.
Se hai riscontrato un cookie banner non conforme o desideri verificare i rischi per la tua impresa, richiedi una valutazione legale sulla conformità del sito aziendale. Attraverso il modulo dedicato puoi descrivere il problema e indicare gli strumenti utilizzati. Esamineremo la richiesta per valutare le possibili modalità di assistenza in relazione alla situazione concreta dell’azienda.
