Hai un banner cookie sul sito. È ben visibile, ha un design curato, i pulsanti “Accetta” e “Rifiuta” funzionano, l’utente può scegliere le sue preferenze. Da fuori sembra tutto in ordine. Eppure, in diversi casi riscontrati negli audit tecnici fatti nel tempo su siti di vario tipo, il banner cookie non blocca il tracciamento: gli script di Google Analytics, i pixel pubblicitari o altri strumenti di misurazione continuano a partire comunque, indipendentemente da cosa l’utente ha scelto.
Non è un discorso allarmistico. È semplicemente la constatazione di una cosa tecnica: mostrare un banner e bloccare gli script prima del consenso sono due lavori diversi, fatti in due modi differenti, e nulla garantisce che il secondo funzioni solo perché il primo è a posto. Un banner può essere esteticamente perfetto e non controllare nulla di quello che succede dietro le quinte. Vediamo con calma perché succede, così spesso, e come chiunque può verificarlo da solo in pochi minuti.
Indice dei Contenuti
Un banner cookie visibile non è la stessa cosa di un blocco tecnico funzionante
La maggior parte dei banner cookie in circolazione oggi si basa su plugin o script di consenso (CMP) che, in teoria, dovrebbero impedire il caricamento di determinati script (Google Analytics, Meta Pixel, strumenti di remarketing, mappe, video embed) finché l’utente non dà un consenso esplicito, categoria per categoria.
Il punto è che questo comportamento non è automatico. Il CMP mostra il banner e gestisce le preferenze, ma il blocco vero e proprio degli script deve essere configurato: bisogna dire al sistema quali script intercettare, con quale meccanismo, e verificare che quella configurazione sia effettivamente collegata alle scelte dell’utente. Se questo passaggio è saltato, incompleto, o si è “rotto” in un secondo momento, il banner continua a funzionare come interfaccia: appare, si può cliccare, salva una preferenza, ma quella preferenza non controlla più nulla di reale.
Quando il banner cookie non blocca il tracciamento: due cause ricorrenti
Negli audit tecnici fatti su siti diversi nel tempo, i pattern che tornano più spesso sono sostanzialmente due. Non sono legati a un caso specifico né a un fornitore in particolare: sono comportamenti tipici del modo in cui questi sistemi vengono installati e mantenuti nella pratica.
1. Un’implementazione fatta a metà
Il caso più frequente è quello di un’installazione del banner cookie completata solo nella parte visibile. Chi ha configurato il sistema, spesso senza una formazione specifica su come funziona il blocco preventivo, ha attivato il plugin, personalizzato i testi e i colori, collegato la cookie policy, ma non ha mai completato la parte che effettivamente impedisce agli script di partire prima del consenso.
Il risultato tipico: il banner “c’è” e sembra funzionare, ma Google Analytics (o altri strumenti) si attiva comunque al caricamento della pagina, a prescindere da cosa l’utente clicca. In altri casi il blocco funziona solo parzialmente: magari copre uno script ma non un altro aggiunto in un secondo momento, o blocca il caricamento visibile ma non alcune chiamate di rete che partono comunque in background. Da fuori, per chi visita il sito senza guardare sotto il cofano, non c’è alcun segnale che qualcosa non torni.
2. Un aggiornamento successivo che rompe il blocco senza sintomi
Il secondo pattern è forse più insidioso, perché riguarda siti che in origine erano configurati correttamente. Il blocco funzionava, gli script partivano solo dopo il consenso, tutto regolare. Poi, nel tempo, qualcosa cambia: un aggiornamento del plugin del banner, un cambio di tema, l’installazione di un nuovo plugin di marketing, l’aggiunta di uno script di terze parti per una campagna pubblicitaria, una modifica fatta da un altro fornitore.
Ognuna di queste modifiche, da sola, sembra innocua. Ma è sufficiente che una di esse interferisca con la logica di blocco (sovrascriva una configurazione, aggiunga uno script fuori dal sistema di consenso, cambi l’ordine di caricamento) perché il blocco smetta di funzionare, in tutto o in parte. E qui sta il punto: non c’è nessun sintomo visibile. Il sito continua a caricarsi normalmente, il banner continua a comparire e a essere cliccabile, nessun errore appare a video. Solo guardando cosa succede a livello di rete si nota che qualcosa parte quando non dovrebbe.
Una checklist di autoverifica: cosa puoi controllare da solo in pochi minuti
Non serve essere sviluppatori per fare un primo controllo di massima. Bastano il browser che usi già e qualche minuto di attenzione. Ecco una sequenza semplice da provare direttamente sul tuo sito:
- Apri il sito in una finestra di navigazione anonima (o in incognito), così parti senza cookie salvati e senza preferenze già memorizzate da visite precedenti.
- Apri gli strumenti per sviluppatori del browser prima di caricare la pagina (tasto F12, oppure clic destro → Ispeziona, poi vai sulla scheda “Rete”/”Network”).
- Carica la pagina senza cliccare ancora nulla sul banner e osserva cosa compare nella lista delle richieste di rete: cerca domini riconoscibili come
google-analytics.com,googletagmanager.com,facebook.com/tr,doubleclick.neto simili, che partono prima di aver dato un consenso esplicito. - Filtra per nome nella scheda Rete (molti browser hanno una casella di ricerca) digitando parole come “analytics”, “facebook” o “pixel”, per non doverti scorrere l’intero elenco a occhio.
- Clicca su “Rifiuta tutto” sul banner, poi ricarica la pagina e ripeti il controllo: le stesse richieste dovrebbero ora essere assenti. Se compaiono comunque, il rifiuto non sta avendo alcun effetto tecnico.
- Ripeti il test su due o tre pagine diverse del sito (non solo la home), perché a volte il blocco funziona su una pagina e non su un’altra, se gli script sono stati aggiunti in punti diversi.
Se durante il passaggio 3 vedi già richieste verso servizi di misurazione o pubblicità partire prima di qualsiasi interazione con il banner, hai trovato un primo indizio che qualcosa non sta funzionando come dovrebbe a livello tecnico.
I confini del controllo tecnico
È importante essere chiari su cosa significa (e cosa non significa) questo tipo di verifica. Quello descritto sopra, e quello che facciamo in un audit tecnico completo, è un controllo tecnico: verifica se il meccanismo di blocco funziona, cioè se gli script si comportano in base al consenso oppure no.
Resta distinto da una consulenza legale o dal lavoro di un DPO. Le domande su quali basi giuridiche usare, come devono essere scritti i testi dell’informativa, cosa deve contenere il registro dei trattamenti o come vanno gestite specifiche categorie di dati restano questioni legali che vanno affrontate con chi si occupa di quella materia. Un audit tecnico ti dice se il sito fa quello che dovrebbe fare a livello di codice; non stabilisce da solo cosa “deve” fare dal punto di vista normativo, né sostituisce una valutazione legale completa.
Come verificarlo in modo completo
La checklist qui sopra è un buon punto di partenza per farsi un’idea, ma resta un controllo manuale e parziale: guarda solo alcune pagine, solo in un momento preciso, e non tiene conto di tutti gli scenari possibili (form, chat, video embed, script caricati in modo dinamico, differenze tra desktop e mobile).
L’audit tecnico che seguo va oltre: verifica in modo sistematico cosa parte realmente prima e dopo il consenso, su più pagine e più percorsi del sito, non semplicemente se la configurazione del banner “sulla carta” sembra corretta. È la differenza tra leggere le impostazioni di un sistema e osservare come si comporta quando qualcuno lo usa.
Se hai il sospetto, o semplicemente vuoi togliertelo, che il tuo banner cookie faccia più scena che sostanza, il modo più affidabile per saperlo con certezza è farlo verificare a fondo. È una consulenza a pagamento, pensata per darti una risposta chiara su cosa succede sul tuo sito, senza girarci intorno: cosa funziona, cosa no, e cosa va sistemato per farlo funzionare come dovrebbe.
