Aggiornato a ottobre 2026.
I cookie tecnici servono a far funzionare il sito e non richiedono il consenso del visitatore, ma vanno indicati nell’informativa. I cookie analitici misurano le visite: possono essere trattati come tecnici solo se rispettano tre condizioni precise, altrimenti richiedono il consenso. I cookie di profilazione seguono il comportamento del visitatore per mostrargli pubblicità mirata e richiedono sempre il consenso, prima di essere installati.
La distinzione viene dalle linee guida del Garante per la protezione dei dati personali del 10 giugno 2021, in vigore dal 9 gennaio 2022. Quando verifico il banner di un sito, il problema che trovo più spesso è un cookie finito nella categoria sbagliata: uno strumento di statistiche o di pubblicità messo tra i tecnici, e quindi attivo prima che il visitatore abbia scelto.
In breve
- Tecnici: accesso all’area riservata, lingua scelta, preferenze espresse nel banner. Niente consenso, ma vanno descritti nell’informativa.
- Analitici: senza consenso solo se producono statistiche aggregate, mascherano l’indirizzo IP e il fornitore non incrocia i dati con altri. Con Google Analytics, nella pratica, serve il consenso.
- Di profilazione: Meta Pixel, tag di Google Ads, video e mappe incorporati. Consenso sempre, raccolto prima che partano.
Indice dei Contenuti
Cookie tecnici: cosa sono e perché non serve il consenso
Per il Garante sono tecnici i cookie che servono solo a trasmettere una comunicazione sulla rete o a fornire un servizio che il visitatore ha chiesto esplicitamente. Senza di loro il sito, o una sua funzione, non andrebbe come il visitatore si aspetta.
Gli esempi tipici su un sito aziendale sono il cookie che tiene aperta la sessione dopo il login, quello che ricorda la lingua scelta, quello che mantiene i dati di un modulo compilato in più passaggi e quello in cui il banner salva le scelte del visitatore, così da non chiederle a ogni pagina. Su WordPress ne riconosci alcuni dal nome: wordpress_logged_in_ per chi entra nell’area di amministrazione, PHPSESSID per le sessioni, cmplz_ (Complianz) o _iub_cs- (iubenda) per la scelta fatta nel banner.
Il consenso non serve, ma l’informativa sì. La cookie policy deve elencare anche i tecnici, dire a cosa servono e per quanto tempo restano sul dispositivo. Nel banner non hanno bisogno di un interruttore: si possono indicare come sempre attivi.
Cookie analitici: quando valgono come tecnici e quando no
I cookie analitici contano le visite, le pagine viste, la provenienza dei visitatori. Il Garante li considera equivalenti ai tecnici, e quindi utilizzabili senza consenso, solo se rispettano tre condizioni:
- servono soltanto a produrre statistiche aggregate, per un singolo sito o per più siti dello stesso titolare;
- non permettono di riconoscere il singolo visitatore: se lo strumento è di un fornitore esterno, l’indirizzo IP va mascherato almeno in parte;
- il fornitore non combina quei dati con altre informazioni in suo possesso e non li passa ad altri.
Uno strumento installato sul tuo server, come Matomo configurato con l’IP mascherato, può rientrare in queste condizioni. Con Google Analytics 4 è più difficile: Google gestisce anche pubblicità e account, e dimostrare che i dati non vengono incrociati spetta a chi gestisce il sito. Per questo la scelta prudente è trattarlo come un cookie soggetto a consenso. I dettagli, con le impostazioni da controllare, sono nell’articolo su Google Analytics e GDPR.
Le registrazioni delle sessioni e le mappe di calore, come Hotjar o Microsoft Clarity, si presentano spesso come statistiche. Raccolgono però molto più di dati aggregati, perché seguono i movimenti e i clic di ogni visitatore: di regola vanno anche loro sotto consenso.
Le regole potrebbero cambiare. Il Digital Omnibus, proposto dalla Commissione europea a novembre 2025 e ancora in discussione, ammetterebbe senza consenso le statistiche che il sito raccoglie per sé; ne parlo anche nell’articolo su Google Analytics e GDPR. Fino all’approvazione valgono le regole attuali.
Cookie di profilazione: consenso sempre, e prima
I cookie di profilazione collegano azioni e abitudini a una persona, la inseriscono in gruppi di interesse e servono a personalizzare quello che vede, a partire dalla pubblicità. Sono il caso più delicato: il Garante richiede il consenso preventivo e non ammette il legittimo interesse come alternativa.
Su un sito di una PMI arrivano quasi sempre da strumenti di marketing. Il Meta Pixel scrive il cookie _fbp, il tag di Google Ads _gcl_au, e lo stesso vale per i pixel di LinkedIn o TikTok. Arrivano anche da elementi che sembrano innocui: un video di YouTube o una mappa di Google incorporati nella pagina possono installare cookie di Google appena la pagina si apre, prima di qualunque clic. Succede spesso, e lo racconto nell’articolo sui cookie di terze parti su WordPress.
Le stesse regole valgono per gli strumenti che tracciano senza cookie. Il fingerprinting, che riconosce un dispositivo dalle sue caratteristiche tecniche, e i dati salvati nella memoria locale del browser rientrano nelle linee guida: conta lo scopo, non la tecnica.
Le differenze in una tabella
| Tecnici | Analitici | Di profilazione | |
|---|---|---|---|
| A cosa servono | Far funzionare il sito | Misurare le visite | Pubblicità e contenuti personalizzati |
| Consenso | No | No solo alle tre condizioni, altrimenti sì | Sì, sempre prima |
| Informativa | Sì | Sì | Sì |
| Nel banner | Sempre attivi | Interruttore spento in partenza, se servono il consenso | Interruttore spento in partenza |
| Esempi | Login, lingua, scelta nel banner | Matomo con IP mascherato; Google Analytics, con consenso | Meta Pixel, Google Ads, video incorporati |
La categoria dipende dall’uso del cookie
La categoria non è scritta nel cookie: dipende dallo scopo e da chi riceve i dati. Lo stesso strumento può cambiare categoria a seconda di come è configurato. Google Analytics collegato a Google Ads, per esempio, alimenta anche la pubblicità, e quei dati vanno trattati come tali.
Per lo stesso motivo non basta fidarsi della classificazione automatica del plugin del banner. Complianz, iubenda e Cookiebot propongono una categoria per ogni cookie che riconoscono, ma un cookie sconosciuto o uno script inserito a mano nel tema può finire tra i tecnici senza esserlo. La responsabilità resta di chi gestisce il sito, che deve anche tenere aggiornato l’elenco delle terze parti a cui passano i dati.
Come scoprire quali cookie usa il tuo sito
Un primo controllo lo puoi fare in cinque minuti. Apri il sito in una finestra in incognito e, senza toccare il banner, premi F12. Nella scheda Applicazione (su Firefox si chiama Archiviazione) apri la voce Cookie: trovi l’elenco dei cookie scritti fino a quel momento, del tuo dominio e di quelli esterni.
In quel momento dovresti vedere solo cookie tecnici. Se compaiono nomi come _ga, _fbp, _gcl_au, _hjSessionUser o _clck, uno strumento di statistiche o di pubblicità è partito prima della scelta del visitatore. Ripeti la prova in una nuova finestra cliccando «Rifiuta»: dopo aver ricaricato la pagina, quei cookie non devono esserci.
La prova ha un limite. Alcuni strumenti inviano dati senza scrivere cookie, per esempio Google Analytics con il Consent Mode in modalità avanzata, e per vederli bisogna guardare le richieste nella scheda Rete. I casi più frequenti sono nell’articolo sul banner cookie che non blocca nulla.
Vuoi sapere in quale categoria finisce ogni cookie del tuo sito?
Controllo dall’esterno cosa parte prima e dopo ogni scelta del visitatore, cookie per cookie, e ti dico cosa è classificato male e come correggerlo. Costa 60 €, scalati dall’intervento se poi sistemiamo insieme.
Richiedi la verificaCosa deve fare il banner con le tre categorie
Le linee guida del Garante fissano anche come deve comportarsi il banner al primo accesso:
- prima della scelta il sito installa solo cookie tecnici;
- il pulsante per rifiutare ha la stessa evidenza di quello per accettare, e chiudere il banner con la X equivale a rifiutare;
- le scelte per categoria partono tutte spente, tranne i tecnici;
- scorrere la pagina non vale come consenso;
- dopo un rifiuto il banner non va riproposto prima di sei mesi, salvo cambi importanti nei cookie usati;
- un link sempre raggiungibile, di solito nel piè di pagina, permette di cambiare idea.
Se il sito è di uno studio medico o di una clinica, anche i dati di navigazione possono dire qualcosa sulla salute di chi visita, e serve più cautela nella scelta degli strumenti (vedi l’articolo su cookie e dati sanitari). Chi non rispetta queste regole rischia un ammonimento o una multa: ho raccolto casi reali, anche di piccole imprese, nell’articolo sulle sanzioni privacy e cookie.
Da dove partire
Se non sai in quale categoria finiscono i cookie del tuo sito, o se il controllo con F12 ti ha mostrato qualcosa che non ti aspettavi, parti da una verifica tecnica. Il mio lavoro riguarda la parte tecnica: cosa installa il sito, quando e verso chi. Il testo della cookie policy spetta a un legale o al tuo consulente privacy. Scrivimi l’indirizzo del sito e il plugin del banner che usi, così parto già con un quadro preciso.
