«Abbiamo messo il banner dei cookie, quindi la privacy è a posto». È una frase che sentiamo spesso, ed è comprensibile: il banner è la parte che si vede. Ma è solo una delle strade da cui passano i dati personali sul sito di un'impresa. Gli altri passaggi sono meno visibili: il modulo di contatto, l'iscrizione alla newsletter, gli strumenti che misurano le visite, la chat, i servizi esterni che ricevono quei dati.
Questa guida non sostituisce un consulente privacy e non promette una conformità automatica. Serve a capire dove guardare, così da fare le domande giuste a chi segue il sito e a chi segue la privacy in azienda.
Cosa deve fare davvero il banner
In Italia il riferimento sono le Linee guida cookie e altri strumenti di tracciamento del Garante del 10 giugno 2021. In sintesi:
- al primo accesso possono essere attivi solo i cookie tecnici; per gli altri (profilazione, molti strumenti di marketing e, a certe condizioni, anche di misura) serve il consenso;
- il consenso deve nascere da un'azione chiara: scorrere la pagina non basta;
- chiudere il banner con la «X» equivale a rifiutare, e rifiutare deve essere semplice quanto accettare;
- la scelta va ricordata: il banner non dovrebbe ripresentarsi di continuo, salvo cambiamenti o dopo un certo periodo (le linee guida indicano sei mesi).
C'è poi un controllo che molti non fanno: il banner può esserci e gli strumenti di misura partire comunque, prima di qualsiasi scelta. In quel caso il banner è un cartello, non un interruttore.
Moduli di contatto: pochi dati e un'informativa vicina
Ogni modulo raccoglie dati personali. Le domande utili sono tre: chiedi solo i dati che servono per rispondere? Vicino al modulo c'è un collegamento all'informativa? Dove finiscono i messaggi, e chi li legge?
Per rispondere a una richiesta di solito non serve una casella di consenso: la base è la richiesta stessa della persona. Serve invece un consenso separato, libero e non preselezionato se vuoi usare quei dati per altro, per esempio per inviare promozioni.
Newsletter: consenso specifico e uscita facile
L'iscrizione alla newsletter è il caso più chiaro: serve un consenso specifico, non mescolato con altre finalità e non dato per scontato. Conviene poter dimostrare quando e come è stato raccolto, e la disiscrizione deve essere semplice, in ogni messaggio. Se usi un servizio esterno di email marketing, i dati degli iscritti stanno anche lì: rientra nel punto sui fornitori.
Strumenti di misura e marketing
Analytics, pixel dei social, mappe incorporate, video, chat: ognuno di questi strumenti può leggere o scrivere informazioni sul dispositivo del visitatore e inviare dati a terzi. Fai un elenco di quelli presenti sul sito e verifica, per ciascuno, se parte prima del consenso e se è descritto nell'informativa. Spesso sul sito restano strumenti installati anni fa e non più usati: toglierli è la soluzione più semplice.
Fornitori: chi tratta i dati per tuo conto
Hosting, piattaforma del sito, servizio di email marketing, CRM, chat: questi fornitori trattano dati per conto della tua impresa. Il GDPR (art. 28) chiede che il rapporto sia regolato da un contratto o da un atto che stabilisca cosa possono fare con quei dati. Se un fornitore conserva i dati fuori dall'Unione europea, ci sono regole aggiuntive sui trasferimenti da verificare.
L'informativa deve descrivere il sito reale
L'informativa (art. 13 GDPR) dice chi tratta i dati, per quali finalità, su quale base, per quanto tempo e con quali fornitori. Il problema tipico è il testo copiato o generato una volta e mai aggiornato: cita servizi che il sito non usa più e non nomina quelli aggiunti dopo. Rileggila accanto all'elenco degli strumenti e dei fornitori: deve raccontare lo stesso sito.
Cosa sta cambiando a livello europeo
La Commissione europea ha proposto a novembre 2025 un pacchetto di semplificazione, il cosiddetto Digital Omnibus, che tra l'altro sposterebbe le regole sui cookie dentro il GDPR. Al momento in cui scriviamo la proposta è ancora in discussione: finché non sarà approvata e applicabile valgono le regole attuali. Meglio sistemare oggi quello che c'è, senza anticipare norme che possono ancora cambiare.
La checklist
- Prima del consenso partono solo i cookie tecnici?
- Rifiutare è semplice quanto accettare?
- Ogni modulo chiede solo i dati necessari e rimanda all'informativa?
- Il consenso alla newsletter è separato e documentato?
- Esiste un elenco aggiornato di strumenti e fornitori, con i relativi accordi?
- L'informativa descrive il sito com'è oggi?
Per una verifica più ampia dell'adeguamento del sito trovi anche la nostra checklist per la conformità al GDPR.
Domande frequenti
Se uso un generatore di informative e banner sono a posto?
Non automaticamente. Lo strumento aiuta, ma deve essere configurato sul sito reale: quali strumenti ci sono, quali partono prima del consenso, quali fornitori ricevono i dati.
Per il modulo di contatto serve la casella del consenso?
In genere no, se i dati servono solo a rispondere alla richiesta: serve l'informativa. Il consenso separato serve per usi ulteriori, come l'invio di comunicazioni promozionali.
Devo nominare un DPO?
Non sempre: dipende dal tipo di attività e di trattamenti. Ne parliamo in Il ruolo del DPO nelle aziende: quando è obbligatorio.
Il passo pratico: apri il sito in una finestra anonima del browser e, senza toccare il banner, guarda quali servizi si attivano (con gli strumenti per sviluppatori o con un'estensione che elenca i cookie). Poi compila un modulo come farebbe un cliente e segui il percorso dei dati. In mezz'ora avrai una lista concreta da portare a chi segue sito e privacy.
Questo articolo ha scopo informativo e non costituisce consulenza legale. Fonti verificate il 3 ottobre 2026.
