Cookie banner GDPR 2026: cosa controlla il Garante italiano

Un cookie banner conforme nel 2026 in Italia deve rispettare il Provvedimento del Garante n. 231/2021: pulsanti "Accetta" e "Rifiuta" paritetici, nessun cookie non tecnico caricato prima del consenso, revoca semplice quanto la prestazione iniziale, cookie policy completa con elenco di tutti i cookie usati.

Consent Mode v2 di Google (obbligatorio dal 6 marzo 2024) è un requisito tecnico aggiuntivo, ma da solo non basta a rendere un banner conforme. Nel 2025 il Garante ha emesso almeno 4 provvedimenti pubblici contro siti italiani non conformi e ha inserito i cookie nelle priorità ispettive del 2025-2026. Vediamo gli 8 errori più frequenti e come si costruisce un banner che regge un controllo.

Il riferimento: Provvedimento 231/2021

Le Linee guida cookie e altri strumenti di tracciamento del Garante (Provvedimento n. 231 del 10 giugno 2021, pubblicato in GU n. 163 del 9 luglio 2021) sono il testo di riferimento. L'adeguamento era richiesto entro gennaio 2022. A 4 anni di distanza, sono ancora il punto fermo: nessun aggiornamento sostanziale, ma una giurisprudenza consolidata su decine di provvedimenti.

I quattro principi cardine sono semplici da enunciare, complessi da implementare correttamente.

1. Consenso preventivo, esplicito, granulare

Nessun cookie non tecnico (analytics, profilazione, social plugin, marketing) può essere installato prima che l'utente abbia espresso un consenso esplicito. "Esplicito" significa azione positiva: il proseguimento della navigazione, lo scroll, il semplice tap su qualsiasi punto del sito non costituiscono consenso.

La pre-flag delle checkbox è vietata. Il consenso deve poter essere granulare: l'utente deve poter accettare gli analytics ma rifiutare il marketing.

2. Pulsanti "Accetta" e "Rifiuta" paritetici

Il pulsante per rifiutare tutti i cookie deve essere alla stessa pagina del pulsante per accettarli, con la stessa evidenza grafica. È vietato relegare il "Rifiuta" a una seconda schermata, renderlo meno visibile, usare colori sbiaditi. Anche un'etichetta poco chiara ("Continua senza accettare" invece di "Rifiuta tutti") è sotto la lente.

3. Revoca semplice quanto la prestazione

L'utente che ha accettato i cookie deve poterli revocare in qualsiasi momento, con uno sforzo equivalente a quello iniziale. Tipicamente: un link visibile nel footer ("Gestisci preferenze cookie") che riapre il banner.

4. Trasparenza totale nella cookie policy

L'elenco dei cookie usati deve essere completo, aggiornato, e includere: nome del cookie, finalità, durata, prima/terza parte. Una cookie policy generica ("usiamo cookie tecnici e di terze parti") è di per sé non conforme.

Gli 8 errori più frequenti che il Garante sanziona

Dai provvedimenti pubblici del 2024-2025 emergono pattern ricorrenti:

Cookie analytics caricati prima del consenso. Ancora il più comune. Anche con Consent Mode v2 attivo, se il tag googletagmanager.com/gtag/js viene scaricato prima che l'utente clicchi accetta, il browser ha già stabilito una connessione TCP/TLS al server Google passando l'IP. Per il Garante questo è un trasferimento di dati personali pre-consenso.
Pulsante "Rifiuta" assente o nascosto. Banner con solo "Accetta" e "Personalizza". L'utente che non vuole acconsentire deve fare lavoro extra per rifiutare.
"Continuando la navigazione accetti i cookie". Vietato dal 2021. Lo scroll non è consenso.
Cookie wall come unica scelta. Bloccare l'accesso al sito finché non si accettano cookie non tecnici è considerato consenso non libero (eccetto rare giustificazioni).
Pre-spunta sulle checkbox di preferenza. Le opzioni granulari devono essere tutte deselezionate di default.
Mancanza del meccanismo di revoca. Il footer non ha un link per riaprire il banner. L'utente che vuole revocare deve cancellare manualmente i cookie dal browser.
Cookie policy incompleta. Elenco generico ("Google Analytics, Facebook Pixel") senza specificare nomi tecnici dei singoli cookie, durata, finalità precise.
Banner che scompare automaticamente. Dopo qualche secondo o al primo scroll. Il Garante richiede che la persistenza sia condizionata solo a un'azione esplicita dell'utente.

Consent Mode v2: utile ma non sufficiente

Dal 6 marzo 2024 Google ha reso obbligatorio Consent Mode v2 per chi usa Google Ads e Google Analytics 4 con traffico SEE. Aggiunge ai parametri di consenso esistenti due nuove categorie: ad_user_data e ad_personalization, in linea con il Digital Markets Act entrato in vigore lo stesso mese.

Questo crea un'illusione pericolosa: "ho implementato Consent Mode v2, sono a posto col GDPR".

Falso. Consent Mode v2 è uno strumento Google per condizionare il comportamento dei suoi tag in base al consenso. Ma la conformità GDPR/Garante richiede che il tag stesso non venga caricato in assenza di consenso.

Se hai il <script src="googletagmanager.com/gtag/js"> in pagina sempre, anche con Consent Mode default 'denied', il browser fa comunque la richiesta HTTP a Google, trasmettendo IP, user-agent e referer.

La soluzione tecnica corretta è caricare il tag dinamicamente solo dopo l'evento di consenso positivo:

window.addEventListener('gb:cookie-accepted', function () {
    var s = document.createElement('script');
    s.async = true;
    s.src = 'https://www.googletagmanager.com/gtag/js?id=G-XXXXXX';
    document.head.appendChild(s);
});

Consent Mode v2 va comunque implementato (default 'denied' su tutti i tipi di storage) per gestire correttamente i comportamenti di Google quando il tag è effettivamente caricato dopo il consenso.

Esempio pratico: come è fatto il banner di questo sito

Questo stesso sito (gianmarcobenedetti.it) ha appena passato un audit GDPR completo, con diversi giri di revisione. Cosa ho dovuto correggere rispetto al banner iniziale.

Prima del fix:

Un solo bottone "Ho capito", niente pulsante "Rifiuta"
localStorage cookieNoticeDismissed settato al click, non veicolante consenso reale
Tema scuro/chiaro salvato in localStorage prima di qualsiasi interazione (storage non strettamente tecnico)

Dopo il fix:

Due bottoni paritetici "Accetto" e "Rifiuto" con identico peso visivo (stesso bordo, stesso padding, stesso font, solo testo diverso)
localStorage gb_cookie_choice_v1 con valore accepted o rejected, dispatch di evento custom gb:cookie-accepted / gb:cookie-rejected
Tema spostato in sessionStorage (preferenza UI strettamente tecnica e di sessione)
Pulsante "Gestisci preferenze cookie" nel footer che riapre il banner
Google Analytics 4 con Consent Mode v2 default 'denied' su tutti i tipi (ad_storage, ad_user_data, ad_personalization, analytics_storage)
Tag GTM iniettato nel DOM solo dopo il click su "Accetto"
anonymize_ip: true e signal pubblicitari disabilitati anche con consenso prestato
Cookie policy aggiornata con tabella completa: laravel_session, XSRF-TOKEN, gb_theme, gb_cookie_choice_v1, _ga/_ga_<ID>
Privacy policy che documenta esplicitamente Google Ireland Limited come responsabile art. 28 GDPR + trasferimento extra-UE via SCC USA

Il risultato visivo è meno "addomesticato" rispetto ai banner classici, ma il pulsante "Rifiuto" è davvero rifiuto, non un percorso a ostacoli.

Roadmap pratica per adeguarsi

Se hai un cookie banner che non hai più toccato dal 2022, ecco l'ordine consigliato.

Audit veloce (1 giorno). Apri il tuo sito in incognito con DevTools → Network. Quanti tag esterni partono prima che tu clicchi qualcosa? Se vedi googletagmanager.com, connect.facebook.net, linkedin.com, doubleclick.net chiamati prima del click, hai un problema.
Sostituisci il banner attuale. Le soluzioni gratuite valide nel 2026: Cookiebot (free fino a 100 sotto-pagine), CookieYes, OneTrust per chi ha più budget. In alternativa, banner custom (50-200 righe di JS, è gestibile).
Disattiva il caricamento automatico dei tag. Su WordPress: rimuovi i tag GA/Pixel dal tema e gestiscili dal banner. Su Laravel/Next.js: wrappa lo script in evento listener post-consenso.
Aggiorna privacy e cookie policy. Tabella completa, finalità per ogni cookie, riferimenti normativi, base giuridica per ciascun trattamento.
Aggiungi il link "Gestisci preferenze" al footer. Anche solo un <button onclick="window.dispatchEvent(new CustomEvent('gb:cookie-preferences'))"> che riapre il banner.
Documenta tutto. Tieni in archivio uno screenshot del banner attuale, della cookie policy e della privacy policy datati. Se mai arriva un controllo Garante, devi poter dimostrare cosa avevi e quando.

Costi orientativi

Per un sito vetrina con Google Analytics 4 e qualche tag terzo (Facebook Pixel, LinkedIn Insight Tag, Hotjar):

Audit + report: 300–600 €
Sostituzione banner + integrazione tag con consenso: 500–1.500 €
Aggiornamento privacy/cookie policy: 300–500 €

Totale tipico: 1.000–2.500 € per portare un sito esistente in conformità completa.

Per un e-commerce con marketing automation, retargeting Meta, analytics avanzato, calcola 3.000–6.000 € per un audit + adeguamento serio.

Cosa rischi davvero

Le sanzioni del Garante per violazioni cookie variano da ammonimenti formali (per violazioni lievi o prime istanze) a sanzioni pecuniarie significative in caso di violazioni gravi, reiterate, o riguardanti grandi quantità di utenti. I provvedimenti degli ultimi anni hanno toccato cifre da decine di migliaia di euro fino a milioni per i casi più strutturati.

Più subdolo del rischio sanzione è il rischio reputazionale: i provvedimenti del Garante sono pubblici, indicizzabili e cercabili per nome dell'azienda. Un cliente che cerca "[nome azienda] Garante privacy" e trova un provvedimento di ammonimento ha tutte le informazioni che gli servono per scegliere un altro fornitore.

Conclusione

Il GDPR ha 8 anni, le linee guida cookie del Garante quasi 5. Non c'è più la scusa di "non sapevamo".

Il 2026 è probabilmente l'ultimo anno in cui essere fuori conformità è ancora gestibile come "lo sistemo presto". Dal 2027, con i controlli Garante ormai routine e il quadro normativo europeo che si stringe ulteriormente (DMA, AI Act, Data Act), l'inadempienza sarà sempre meno tollerata. Chi adegua adesso fa un investimento di 1.000–3.000 €. Chi aspetta di essere segnalato fa un investimento doppio in fix d'urgenza, più la voce "danno reputazionale".

Vuoi un audit veloce del tuo cookie banner? Mandami via email l'URL del tuo sito. Ti rispondo con un mini-report scritto sui punti di non conformità principali e una stima del lavoro per metterti in regola. → Scrivimi

Fonti e riferimenti normativi

Articoli collegati

European Accessibility Act 2025: cosa devono fare i siti business in Italia: il quadro complementare di conformità per il 2026.