SEO

Cosa sono i cookie di un sito (e cosa devi dichiarare)

Un cookie è un file di testo che il sito salva nel browser. Cosa devi dichiarare dipende dal suo scopo: tecnico, analitico o di profilazione. Articoli, date e controlli.

In sintesi

  • Un cookie è un file di testo con nome, valore, dominio, scadenza e attributi di sicurezza; non è un programma.
  • Il consenso serve prima del caricamento per i cookie non tecnici, e rifiutare deve costare quanto accettare.
  • La base giuridica è la direttiva 2002/58/CE, articolo 5, paragrafo 3, più il GDPR e l'articolo 122 del Codice privacy.
  • Il Garante è intervenuto con le Linee guida del 10 giugno 2021, n. 231, applicabili dal 10 gennaio 2022.

Cosa sono i cookie di un sito: piccoli file di testo che il sito salva nel browser, e cosa devi dichiarare dipende da cosa fanno quei file. Un cookie tecnico di sessione non richiede consenso; uno di profilazione pubblicitaria sì, prima che venga scritto.

Un cookie ha un nome, un valore, un dominio, un percorso e una data di scadenza. Non contiene codice e non può leggere il disco: può solo essere rispedito al server che lo ha impostato. Gli attributi contano più del valore: HttpOnly lo nasconde a JavaScript, Secure lo limita a HTTPS, SameSite=Lax o Strict riduce le richieste cross-site.

Set-Cookie: session=abc123; Path=/; HttpOnly; Secure; SameSite=Lax

La differenza con localStorage è tecnica ma non giuridica: anche un identificativo salvato lì, se serve a riconoscere la persona, ricade nella stessa disciplina. Le Linee guida del Garante parlano infatti di «cookie e altri strumenti di tracciamento», non solo di cookie.

Tre categorie, tre regimi

    Cosa dice la legge, articolo per articolo

    La regola europea è nella direttiva 2002/58/CE, articolo 5, paragrafo 3, modificata dalla direttiva 2009/136/CE: l'archiviazione di informazioni nel terminale dell'utente richiede consenso informato, salvo ciò che è strettamente necessario al servizio. Il consenso si legge con il regolamento (UE) 2016/679, del 27 aprile 2016: articolo 6 per la base giuridica, articolo 7 per le condizioni, articolo 13 per l'informativa. In Italia la norma di recepimento è l'articolo 122 del Codice in materia di protezione dei dati personali, decreto legislativo 30 giugno 2003, n. 196. Il Garante ha fissato i dettagli con le Linee guida cookie e altri strumenti di tracciamento, provvedimento del 10 giugno 2021, n. 231, applicabili dal 10 gennaio 2022.

    Il banner: cosa deve avere e cosa non deve fare

      Come verificare cosa installa il tuo sito

      Il primo controllo non richiede strumenti: apri il sito in una finestra privata e guarda gli header della risposta. Il comando sotto stampa ogni Set-Cookie inviato dal server, che è la parte che molti banner non governano.

      curl -s -D - -o /dev/null https://example.com | grep -i "set-cookie"

      Il secondo controllo è in DevTools, scheda Application, sezione Cookies: lì vedi anche ciò che impostano script di terze parti dopo il caricamento. Confronta l'elenco con quello dichiarato nella cookie policy: ogni voce in più è una dichiarazione incompleta.

      L'informativa privacy, articolo 13 del regolamento (UE) 2016/679, spiega chi tratta i dati, per quali finalità e per quanto tempo. La cookie policy elenca gli strumenti installati, la loro durata e il loro scopo. Servono entrambe, e devono essere raggiungibili da ogni pagina. La struttura minima di un sito che le contiene è descritta in cosa deve avere un sito aziendale.

      Dove questa guida non basta

      Questa pagina spiega il quadro, non certifica un banner. Stabilire se un consenso è valido dipende dal contesto, dal pubblico e dal fornitore: serve un legale o un consulente privacy, e il Garante valuta caso per caso. Un modello scaricato gratis e non configurato è la causa più frequente di contestazione.

      Cosa fare adesso

        Domande frequenti

        Un cookie è un virus?

        No. Un cookie è un file di testo con un nome e un valore, non un programma: non può eseguire codice né leggere file dal disco. Il rischio privacy nasce dal tracciamento, non dal file in sé.

        Serve il consenso per i cookie tecnici?

        No, i cookie strettamente necessari al servizio non richiedono consenso, come prevede l'articolo 5, paragrafo 3, della direttiva 2002/58/CE. Vanno comunque elencati nella cookie policy con durata e scopo.

        Quanto deve essere facile rifiutare i cookie?

        Tanto quanto accettare. Le Linee guida del Garante del 10 giugno 2021, n. 231, chiedono che il rifiuto sia raggiungibile allo stesso livello dell'accettazione, senza passaggi aggiuntivi.

        I cookie di Google Analytics richiedono consenso?

        Dipende dalla configurazione. Se lo strumento è impostato per non identificare le persone e non incrocia dati, il Garante lo assimila ai cookie tecnici; se profila o condivide i dati, serve consenso preventivo.

        Per quanto tempo posso conservare un cookie?

        Non esiste un tetto unico nella legge: la durata deve essere proporzionata allo scopo dichiarato. Le Linee guida del 10 giugno 2021 chiedono durate minime necessarie e un rinnovo periodico del consenso.