Perché il tuo banner cookie potrebbe non bloccare nulla (anche se sembra funzionare)

Hai un banner cookie sul sito. È ben visibile, ha un design curato, i pulsanti “Accetta” e “Rifiuta” funzionano, l’utente può scegliere le sue preferenze. Da fuori sembra tutto in ordine. Eppure, in diversi casi riscontrati negli audit tecnici fatti nel tempo su siti di vario tipo, il banner cookie non blocca il tracciamento: gli script di Google Analytics, i pixel pubblicitari o altri strumenti di misurazione continuano a partire comunque, indipendentemente da cosa l’utente ha scelto.

Mostrare un banner e bloccare gli script prima del consenso sono due lavori diversi, e il secondo non funziona solo perché il primo è a posto. Nella maggior parte dei casi puoi verificarlo da solo, in pochi minuti, con il browser che usi già.

Un banner cookie visibile non è la stessa cosa di un blocco tecnico funzionante

La maggior parte dei banner cookie in circolazione oggi si basa su plugin o script di consenso (CMP) che, in teoria, dovrebbero impedire il caricamento di determinati script (Google Analytics, Meta Pixel, strumenti di remarketing, mappe, video embed) finché l’utente non dà un consenso esplicito, categoria per categoria.

Il punto è che questo comportamento non è automatico. Il CMP mostra il banner e gestisce le preferenze, ma il blocco vero e proprio degli script deve essere configurato: bisogna dire al sistema quali script intercettare, con quale meccanismo, e verificare che quella configurazione sia effettivamente collegata alle scelte dell’utente. Se questo passaggio è saltato, incompleto, o si è “rotto” in un secondo momento, il banner continua a funzionare come interfaccia: appare, si può cliccare, salva una preferenza, ma quella preferenza non controlla più nulla di reale.

Quando il banner cookie non blocca il tracciamento: due cause ricorrenti

Negli audit che faccio su siti di vario tipo, gli errori che tornano più spesso sono due. Li racconto in forma generica: dipendono dal modo in cui questi sistemi vengono installati e mantenuti, non da un fornitore in particolare.

1. Un’implementazione fatta a metà

Il caso più frequente è quello di un’installazione del banner cookie completata solo nella parte visibile. Chi ha configurato il sistema, spesso senza una formazione specifica su come funziona il blocco preventivo, ha attivato il plugin, personalizzato i testi e i colori, collegato la cookie policy, ma non ha mai completato la parte che effettivamente impedisce agli script di partire prima del consenso.

Il risultato tipico: il banner “c’è” e sembra funzionare, ma Google Analytics (o altri strumenti) si attiva comunque al caricamento della pagina, a prescindere da cosa l’utente clicca. In altri casi il blocco funziona solo parzialmente: magari copre uno script ma non un altro aggiunto in un secondo momento, o blocca il caricamento visibile ma non alcune chiamate di rete che partono comunque in background. Da fuori, per chi visita il sito senza guardare sotto il cofano, non c’è alcun segnale che qualcosa non torni.

Se lo strumento coinvolto è Google Analytics, nell’articolo su Google Analytics e GDPR trovi le quattro condizioni per usarlo in regola e come controllare se parte prima del consenso.

2. Un aggiornamento successivo che rompe il blocco senza sintomi

Il secondo è il più difficile da notare, perché riguarda siti che all’inizio funzionavano. Il blocco funzionava, gli script partivano solo dopo il consenso, tutto regolare. Poi, nel tempo, qualcosa cambia: un aggiornamento del plugin del banner, un cambio di tema, l’installazione di un nuovo plugin di marketing, l’aggiunta di uno script di terze parti per una campagna pubblicitaria, una modifica fatta da un altro fornitore.

Ognuna di queste modifiche, da sola, sembra innocua. Ma è sufficiente che una di esse interferisca con la logica di blocco (sovrascriva una configurazione, aggiunga uno script fuori dal sistema di consenso, cambi l’ordine di caricamento) perché il blocco smetta di funzionare, in tutto o in parte. Non c’è nessun sintomo visibile. Il sito continua a caricarsi normalmente, il banner continua a comparire e a essere cliccabile, nessun errore appare a video. Solo guardando cosa succede a livello di rete si nota che qualcosa parte quando non dovrebbe.

Il tuo sito è a norma con il banner cookie? La checklist per verificarlo da solo

Non serve essere sviluppatori per fare un primo controllo di massima. Bastano il browser che usi già e qualche minuto di attenzione. Prova questa sequenza direttamente sul tuo sito:

1. Apri il sito in una finestra di navigazione anonima (o in incognito), così parti senza cookie salvati e senza preferenze già memorizzate da visite precedenti.
2. Apri gli strumenti per sviluppatori del browser prima di caricare la pagina (tasto F12, oppure clic destro → Ispeziona, poi vai sulla scheda “Rete”/”Network”).
3. Carica la pagina senza cliccare ancora nulla sul banner e osserva cosa compare nella lista delle richieste di rete: cerca domini riconoscibili come google-analytics.com, googletagmanager.com, facebook.com/tr, doubleclick.net o simili, che partono prima di aver dato un consenso esplicito. Con Google Consent Mode, però, una richiesta a googletagmanager.com può partire comunque: quello che conta è che prima del consenso non vengano salvati cookie di Google (scheda “Applicazione” o “Archiviazione” degli strumenti per sviluppatori). Come configurarlo bene lo spiego nella pagina sul Consent Mode v2.
4. Filtra per nome nella scheda Rete (molti browser hanno una casella di ricerca) digitando parole come “analytics”, “facebook” o “pixel”, per non doverti scorrere l’intero elenco a occhio.
5. Clicca su “Rifiuta tutto” sul banner, poi ricarica la pagina e ripeti il controllo: le stesse richieste dovrebbero ora essere assenti. Se compaiono comunque, il rifiuto non sta avendo alcun effetto tecnico.
6. Ripeti il test su due o tre pagine diverse del sito (non solo la home), perché a volte il blocco funziona su una pagina e non su un’altra, se gli script sono stati aggiunti in punti diversi.

Se durante il passaggio 3 vedi già richieste verso servizi di misurazione o pubblicità partire prima di qualsiasi interazione con il banner, hai trovato un primo indizio che qualcosa non sta funzionando come dovrebbe a livello tecnico.

Se il sito è quello di uno studio medico o di una clinica, il problema pesa di più: te lo spiego nell’articolo su cookie e dati sanitari.

I confini del controllo tecnico

Quello descritto sopra, e quello che faccio in un audit tecnico completo, è un controllo tecnico: verifica se il meccanismo di blocco funziona, cioè se gli script si comportano in base al consenso oppure no.

Resta distinto da una consulenza legale o dal lavoro di un DPO. Le domande su quali basi giuridiche usare, come devono essere scritti i testi dell’informativa, cosa deve contenere il registro dei trattamenti o come vanno gestite specifiche categorie di dati restano questioni legali che vanno affrontate con chi si occupa di quella materia. Un audit tecnico ti dice se il sito fa quello che dovrebbe fare a livello di codice; non stabilisce da solo cosa “deve” fare dal punto di vista normativo, né sostituisce una valutazione legale completa.

Come verificarlo in modo completo

La checklist qui sopra è un buon punto di partenza per farsi un’idea, ma resta un controllo manuale e parziale: guarda solo alcune pagine, solo in un momento preciso, e non tiene conto di tutti gli scenari possibili (form, chat, video embed, script caricati in modo dinamico, differenze tra desktop e mobile).

L’audit tecnico che seguo va oltre: verifica in modo sistematico cosa parte realmente prima e dopo il consenso, su più pagine e più percorsi del sito, non semplicemente se la configurazione del banner “sulla carta” sembra corretta. È la differenza tra leggere le impostazioni di un sistema e osservare come si comporta quando qualcuno lo usa.

Se vuoi sapere con certezza cosa succede sul tuo sito prima e dopo il clic su “accetta”, posso fare una verifica tecnica: controllo quali script partono prima del consenso e dopo un rifiuto, e su quali pagine. Poi ti mostro cosa ho trovato e cosa conviene sistemare per primo. Scrivimi e ne parliamo.