Cookie policy: cos’è, cosa deve contenere e quando è obbligatoria

Cookie policy in sintesi

• Contenuto obbligatorio: identità del titolare, elenco dei cookie per categoria, finalità, durata e soggetti terzi coinvolti.
• Obbligo legale: richiesta da GDPR e dalla direttiva ePrivacy per qualsiasi sito che usa cookie non tecnici.
• Differenza dalla privacy policy: la privacy policy copre tutti i dati personali, la cookie policy solo i tracciatori del browser.
• Collegamento col banner: il banner raccoglie il consenso, la policy ne spiega i dettagli; i due strumenti devono coesistere.
• Aggiornamento: va rivista ogni volta che cambiano gli strumenti di tracciamento o i fornitori terzi collegati al sito.
• Eccezioni: i cookie strettamente necessari non richiedono consenso, ma la policy resta comunque raccomandata.

Cosa contiene e perché conta una cookie policy

Una cookie policy elenca i cookie attivi sul sito, indica chi li installa, quanto durano e come l’utente può gestirli. Il documento nasce per rispondere a un obbligo di trasparenza: senza di esso, il titolare del sito non può dimostrare quali dati raccoglie tramite i tracciatori né come li usa.

La funzione principale è informativa, ma ha anche un peso legale diretto: in caso di controllo da parte del Garante per la protezione dei dati personali o di altra autorità, la policy è la prova documentale di conformità. Una policy incompleta o generica espone il sito a sanzioni e a contestazioni da parte degli utenti.

Differenza tra cookie policy e privacy policy

La privacy policy descrive l’intero trattamento dei dati personali, comprese le finalità offline, i diritti dell’interessato e le basi giuridiche. La cookie policy si concentra esclusivamente sulle tecnologie di tracciamento installate nel browser: nome del cookie, durata, origine e finalità. Molti siti includono la cookie policy all’interno della privacy policy, ma tenerla separata rende più semplice aggiornarla ogni volta che cambia uno strumento di tracciamento, senza dover rivedere l’intero documento sulla privacy.

Differenza tra cookie policy e cookie banner

Il banner è lo strumento con cui l’utente esprime il consenso al primo accesso; la policy è il documento di riferimento che il banner richiama tramite link. Il banner raccoglie la scelta, la policy la giustifica con i dettagli tecnici. Una consent management platform (CMP) gestisce entrambi gli elementi, sincronizzando il banner con l’elenco dei cookie effettivamente installati.

Tipologie di cookie da descrivere nella policy

La cookie policy deve classificare ogni tracciatore secondo tre criteri: finalità, origine e durata. Questa suddivisione permette all’utente di capire a colpo d’occhio quali cookie sono indispensabili e quali richiedono una scelta esplicita.

I cookie tecnici servono al funzionamento essenziale del sito, come il mantenimento della sessione di navigazione o il carrello di un e-commerce, e non richiedono consenso preventivo. I cookie analytics sono equiparati ai tecnici solo se i dati raccolti vengono anonimizzati o minimizzati e non condivisi con terze parti; in caso contrario rientrano tra quelli soggetti a consenso. I cookie di profilazione e i cookie di terze parti tracciano il comportamento dell’utente su più siti per scopi pubblicitari e necessitano sempre di consenso esplicito e preventivo.

Per una spiegazione tecnica completa di come funzionano i cookie, inclusi i meccanismi di memorizzazione lato browser, si rimanda all’approfondimento su cosa sono i cookie e come funzionano.

Cosa deve contenere una cookie policy

Un’informativa estesa a norma indica, con linguaggio semplice, quattro blocchi di informazioni: identità del titolare, elenco dei cookie, finalità con soggetti terzi, modalità di gestione del consenso.

1. Identità del titolare del trattamento e dei relativi contatti, inclusi eventuali responsabili esterni.
2. Elenco dettagliato di tutti i cookie presenti, distinti per categoria, nome, durata e finalità.
3. Indicazione dei soggetti terzi che ricevono o trattano i dati raccolti tramite cookie, con eventuale rimando a un accordo sul trattamento dei dati (DPA) stipulato con il fornitore.
4. Istruzioni per gestire, disabilitare o revocare il consenso ai cookie tramite le impostazioni del browser o il pannello preferenze.
5. Link per modificare in ogni momento le scelte di consenso espresse in precedenza.

L’informativa va pubblicata in una pagina autonoma e facilmente raggiungibile, con link visibile nel footer e richiamo diretto dal banner. Se il sito è multilingue, la policy va tradotta in ogni lingua in cui il servizio è offerto, altrimenti l’informativa non è considerata effettivamente accessibile a tutti gli utenti.

Un esempio operativo: un sito che installa pixel pubblicitari di terze parti deve nominare ciascun fornitore, non limitarsi a una dicitura generica come “partner pubblicitari”. Le linee guida del Garante del 10 giugno 2021, consultabili nell’Informativa estesa Cookie Policy (2021), chiariscono che i cookie analytics sono equiparati ai tecnici solo se non viene impiegata alcuna tecnica aggiuntiva di tracciamento, attiva o passiva.

Quando è obbligatoria per legge

La cookie policy è obbligatoria ogni volta che un sito installa cookie non strettamente necessari e riceve visite da utenti soggetti a una normativa che richiede trasparenza sul tracciamento. L’obbligo cambia a seconda della provenienza del traffico.

In Italia il primo provvedimento organico sull’informativa semplificata per i cookie risale all’Provvedimento del Garante Privacy (2014), dell’8 maggio 2014, poi aggiornato dalle linee guida del 2021. A livello europeo, l’EU Digital Omnibus (2025), pubblicato il 19 novembre 2025, propone di unificare le regole oggi frammentate tra i diversi stati membri.

Se il sito usa solo cookie strettamente necessari: eccezioni

Se un sito installa esclusivamente cookie tecnici (login, sicurezza, bilanciamento del carico), non è obbligatorio un banner di consenso articolato, ma resta buona prassi pubblicare comunque una cookie policy per trasparenza verso gli utenti. Se invece anche un solo cookie analytics non anonimizzato o un pixel pubblicitario viene caricato, l’obbligo di informativa e consenso si applica integralmente.

Requisiti del banner collegato alla cookie policy

Il banner che richiama la cookie policy deve bloccare i cookie non tecnici finché l’utente non compie una scelta esplicita. Non basta informare: il banner deve impedire concretamente il caricamento dei tracciatori non essenziali fino al consenso.

• Pari dignità dei pulsanti: il comando per accettare e quello per rifiutare devono avere stessa dimensione, colore e posizione.
• Nessun consenso implicito: lo scorrimento della pagina non costituisce consenso valido secondo le linee guida del Garante.
• Divieto di cookie wall: non è ammesso impedire l’accesso ai contenuti a chi rifiuta i cookie di profilazione, salvo eccezioni con alternativa equivalente.
• Ripresentazione del banner: dopo un rifiuto, il banner non può essere riproposto prima di almeno sei mesi, salvo modifiche sostanziali al trattamento.
• Revoca semplice: l’utente deve poter modificare la scelta con la stessa facilità con cui l’ha espressa, tramite link persistente.

Una consent management platform (CMP) automatizza il blocco dei cookie e la registrazione del consenso con timestamp, versione del banner e categorie accettate. L’integrazione con Google Consent Mode v2 permette inoltre di adeguare la raccolta dati di Google Analytics e Google Ads alle scelte espresse dall’utente, mantenendo misurazioni statistiche anche in assenza di consenso pieno. Nei siti con traffico prevalentemente europeo, l’adozione di una CMP configurata con Consent Mode v2 porta tipicamente tra il 40 e il 70% dei visitatori a rifiutare i cookie, come riportato in Cookie Consent 2026: When Your Own Analytics Are Exempt (2026).

Come creare e aggiornare la cookie policy

La redazione della cookie policy parte da una mappatura dei cookie realmente installati, non da un elenco teorico. Senza una scansione tecnica del sito, è impossibile sapere quali tracciatori sono attivi e quali terze parti li gestiscono.

1. Eseguire una scansione del sito per individuare tutti i cookie e gli script di tracciamento installati, inclusi quelli caricati da plugin o integrazioni esterne.
2. Classificare ogni cookie per finalità, origine e durata.
3. Redigere il testo dell’informativa indicando titolare, elenco cookie, finalità e soggetti terzi.
4. Collegare la policy a un banner che blocchi i cookie non tecnici fino al consenso.
5. Pubblicare la policy in una pagina autonoma, raggiungibile dal footer e dal banner.

Se il traffico proviene in gran parte da fuori UE

Se l’80% del traffico del sito proviene da aree come Stati Uniti o Asia prive di requisiti di consenso in stile europeo, l’obbligo di blocco preventivo resta comunque valido per la quota di visitatori europei, che va trattata secondo GDPR ed ePrivacy. Se invece il traffico UE rappresenta solo il 5% del totale, l’impatto del banner sul restante 95% dei visitatori va valutato separatamente, perché le regole di quelle giurisdizioni possono ammettere un consenso di tipo opt-out anziché opt-in.

La policy va aggiornata ogni volta che cambia uno strumento di tracciamento, viene aggiunto un nuovo fornitore terzo o entra in vigore una nuova normativa applicabile. Un controllo periodico, almeno ogni sei mesi, evita che l’informativa resti disallineata rispetto ai cookie effettivamente attivi sul sito.

Errori frequenti e casi limite da evitare

Molte cookie policy risultano incomplete non per il testo, ma per il comportamento tecnico del sito che le pubblica: il documento è corretto, ma i cookie si caricano comunque prima del consenso.

Cookie caricati prima del consenso

Script di analytics o pubblicità partono al caricamento della pagina, rendendo il banner puramente estetico e la policy inefficace rispetto al comportamento reale del sito.

Assenza del rifiuto in primo livello

L’utente deve entrare in un menu di impostazioni per rifiutare, mentre “accetta tutto” è a un click: una configurazione non equivalente, da evitare.

Caselle preselezionate

Le categorie di consenso già spuntate per default non costituiscono consenso valido, come stabilito dalla sentenza Planet49 (CJEU C-673/17).

Nessuna nuova scansione periodica

Un banner configurato anni prima non riconosce i cookie aggiunti successivamente da nuovi strumenti, lasciando la policy disallineata rispetto al sito reale.

Questi scostamenti sono tra i più contestati dalle autorità di controllo durante le verifiche su larga scala condotte sui siti più visitati.

Domande frequenti sulla cookie policy

Cos’è una cookie policy?

È il documento che elenca i cookie installati su un sito, ne spiega la finalità, la durata e i soggetti terzi coinvolti, e indica come l’utente può gestire o revocare il consenso. È distinta dalla privacy policy, che copre l’intero trattamento dei dati personali.

Devo avere una cookie policy sul mio sito?

Sì, se il sito installa cookie non strettamente necessari e riceve visite da utenti soggetti a GDPR, ePrivacy o normative equivalenti. Anche con soli cookie tecnici, pubblicarla resta buona prassi di trasparenza.

Quali sono le regole europee sui cookie?

GDPR ed ePrivacy Directive richiedono consenso esplicito, informato e preventivo per i cookie non essenziali, pari dignità tra accetta e rifiuta nel banner e divieto di cookie wall, salvo eccezioni con alternativa equivalente.

Come si rimuove o aggiorna la cookie policy?

Si aggiorna il testo dell’informativa dopo ogni scansione tecnica del sito che rilevi nuovi cookie o fornitori terzi; la rimozione completa è possibile solo se il sito smette di usare qualsiasi tracciatore, caso raro per la maggior parte dei siti moderni.

Come gestire o cancellare i cookie dal browser?

La gestione, la cancellazione e le conseguenze del blocco dei cookie sul funzionamento di un sito riguardano il comportamento dell’utente nel browser, non il documento di policy: l’approfondimento è disponibile nella pagina su cosa sono i cookie, come funzionano e quando conviene accettarli.

Qual è la differenza tra cookie policy e privacy policy?

La privacy policy copre tutti i dati personali trattati, online e offline; la cookie policy si limita ai tracciatori del browser, con elenco, finalità, durata e modalità di gestione specifiche per ciascun cookie.