In sintesi. Il banner è obbligatorio solo se il sito usa cookie di profilazione o altri strumenti di tracciamento non tecnici (Linee guida del Garante del 10 giugno 2021). Con i soli cookie tecnici — o senza cookie — basta l’informativa: niente banner, niente consenso. Quando il banner serve, deve rispettare regole precise: nessun tracciamento prima della scelta, una «X» che chiude senza accettare, comandi di pari evidenza, nessuna casella preselezionata. Lo scroll non vale come consenso.
Il banner dei cookie è diventato un riflesso condizionato: lo si mette perché lo mettono tutti. Ma il consenso — e con esso il banner — è dovuto solo in casi precisi. Metterlo dove non serve appesantisce il sito e abitua l’utente a un assenso puramente formale; ometterlo dove è richiesto è una violazione. Questa guida risponde a due domande: quando il banner è obbligatorio e come deve essere fatto.
Che cosa prevedono le Linee guida del Garante
Il testo di riferimento sono le Linee guida in materia di cookie e altri strumenti di tracciamento, adottate dal Garante per la protezione dei dati personali il 10 giugno 2021 (provvedimento n. 231, doc. web 9677876, in Gazzetta Ufficiale n. 163 del 9 luglio 2021). Si fondano sull’art. 122 del Codice privacy (D.Lgs. 196/2003), la norma italiana che corrisponde all’art. 5, par. 3, della direttiva 2002/58/CE (direttiva e-privacy): archiviare informazioni nel dispositivo dell’utente, o accedere a quelle già archiviate, richiede il consenso, salvo le operazioni tecniche strettamente necessarie. Le Linee guida distinguono due categorie:
- i cookie tecnici — servono al funzionamento del sito o a erogare un servizio richiesto dall’utente: non richiedono consenso, basta l’informativa;
- i cookie di profilazione e gli altri strumenti di tracciamento — ricostruiscono preferenze e comportamenti dell’utente: richiedono un consenso libero, informato e documentabile. È qui che il banner diventa obbligatorio.
Il criterio di fondo: prima ridurre i tracciamenti, poi pensare al banner. Spesso, dopo la riduzione, il banner non serve più.
Il tuo sito in quale caso ricade
| Che cosa usa il sito | Serve il banner? | Che cosa fare |
|---|---|---|
| Nessun cookie, oppure solo cookie tecnici (sessione, carrello, lingua scelta) | No | Informativa nella cookie policy o nell’informativa generale |
| Statistiche aggregate su un solo sito, con indirizzo IP mascherato e senza incrocio con altri dati | No | Informativa; controllare la configurazione reale dello strumento |
| Servizi di statistica di terze parti privi di queste cautele | Sì | Attivarli solo dopo il consenso |
| Pixel dei social network, remarketing, pubblicità comportamentale | Sì | Blocco preventivo e consenso specifico |
| Video, mappe e widget incorporati che portano tracciamenti di terze parti | Sì | Caricare il contenuto solo dopo il consenso, oppure scegliere una modalità senza tracciamenti |
| Accesso al sito riservato a chi accetta i cookie (cookie wall) | Il banner non basta | Meccanismo illecito, salvo che si offra un contenuto o servizio equivalente senza consenso |
Il confine tra cookie tecnici e non tecnici — statistiche comprese — merita un discorso a parte: lo trovi nell’approfondimento cookie tecnici: quando il banner non serve.
Quando il banner non è richiesto
Solo cookie tecnici
Un sito vetrina che usa soltanto cookie tecnici — per esempio per ricordare la lingua scelta — può limitarsi all’informativa. Le Linee guida lo dicono in modo espresso: se sono presenti solo cookie tecnici, se ne può dare notizia nella home page o nell’informativa generale, senza banner da far chiudere all’utente.
Nessun cookie
C’è poi l’opzione più radicale: non usare alcun cookie. Il sito che stai leggendo funziona così — caratteri tipografici ospitati in locale, nessun servizio di analisi di terze parti, nessun pixel — ed è il motivo per cui non è comparso alcun banner.
Quando, invece, è obbligatorio
Profilazione e finalità di marketing
Pubblicità comportamentale, remarketing e pixel dei social network richiedono il consenso preventivo: senza un sì esplicito dell’utente non devono attivarsi.
Strumenti di terze parti
Anche servizi in apparenza innocui — video incorporati, mappe, sistemi di statistica — possono portare con sé tracciamenti di terze parti. I servizi di analisi (analytics) si assimilano ai cookie tecnici solo a condizioni rigorose: dati aggregati, indirizzo IP mascherato, nessun incrocio con altre informazioni.
Come deve essere fatto il banner
Quando il banner serve, le Linee guida ne fissano il contenuto minimo. Il punto di partenza è l’impostazione predefinita: al primo accesso, nel dispositivo dell’utente non va posizionato nessun cookie o strumento diverso da quelli tecnici. Il banner deve poi essere abbastanza grande da creare una discontinuità percepibile nella navigazione e contenere:
- un comando «X» in alto a destra, che chiude il banner lasciando le impostazioni predefinite: si prosegue senza cookie diversi da quelli tecnici;
- l’avvertenza che chiudere con la «X» produce proprio questo effetto;
- un’informativa breve: il sito usa cookie tecnici e, solo con il consenso, cookie di profilazione o altri strumenti di tracciamento, con l’indicazione delle finalità;
- il link alla privacy policy o a un’informativa estesa;
- un comando per accettare tutti i cookie;
- il link a un’area dedicata in cui scegliere in modo analitico funzionalità, terze parti e cookie.
Tre regole completano il quadro. La «X» deve avere la stessa evidenza grafica degli altri comandi e, più in generale, vanno usati comandi e caratteri di uguali dimensioni, enfasi e colori: niente «Accetta» in primo piano e rifiuto nascosto. L’utente deve poter cambiare idea in ogni momento, in modo semplice, da un’area raggiungibile con un link nel footer del sito. Infine, l’accesso al sito non può dipendere dall’accettazione dei cookie: il cookie wall è illecito, salva l’ipotesi — da verificare caso per caso — in cui il titolare offra un contenuto o un servizio equivalente senza chiedere il consenso.
Gli errori più frequenti
- Lo scroll come consenso. Scorrere la pagina non è, da solo, un consenso valido.
- Nessuna possibilità di rifiuto. Rifiutare, o proseguire senza accettare, deve essere possibile e facile quanto accettare.
- Le caselle preselezionate. Il consenso richiede un’azione positiva: le spunte già attive non valgono.
- Il banner che ritorna a ogni accesso. Una volta espressa, la scelta va registrata e non richiesta di nuovo a breve distanza. Il banner si ripresenta solo se cambiano in modo significativo le condizioni del trattamento, se il sito non può sapere se un cookie è già stato memorizzato sul dispositivo, oppure dopo almeno sei mesi.
Indicazioni operative
- Censire i cookie e gli script davvero presenti sul sito, compresi quelli caricati da plugin, video e mappe.
- Eliminare ciò che non si usa: meno tracciamenti, meno obblighi.
- Se restano solo cookie tecnici, curare l’informativa e fermarsi lì.
- Se resta la profilazione, predisporre un banner conforme: «X» e comandi di pari evidenza, scelte granulari, tracciamenti bloccati fino al consenso, registrazione delle scelte.
- Controllare il risultato: aprire il sito in una finestra anonima e verificare che, prima di qualunque clic e dopo la chiusura con la «X», siano presenti solo cookie tecnici.
- Ripetere il controllo a ogni modifica del sito: un nuovo plugin, un pixel o un video incorporato bastano a cambiare il quadro.
La disciplina dei cookie, in definitiva, non si esaurisce nel mettere un banner: è una scelta consapevole sui dati da trattare e sugli strumenti da usare.
Cosa dice la giurisprudenza
Il riferimento essenziale resta quello già richiamato: le Linee guida in materia di cookie e altri strumenti di tracciamento, adottate dal Garante per la protezione dei dati personali il 10 giugno 2021. È lì che trovano fondamento le regole viste finora: lo scroll, da solo, non è un consenso valido; rifiutare deve essere possibile e facile quanto accettare; le caselle preselezionate non valgono, perché il consenso richiede un’azione positiva; il banner, una volta registrata la scelta, non si ripropone prima di sei mesi, salvo che cambino in modo significativo le condizioni del trattamento o che il sito non possa sapere se un cookie è già stato memorizzato sul dispositivo.
Gli «errori più frequenti» non sono quindi semplici difetti di progettazione: sono difformità rispetto alle indicazioni dell’Autorità. E il Garante le contesta anche ai siti piccoli. Lo mostrano due provvedimenti del 2025, nati da verifiche sui siti di commercio elettronico svolte dal Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza:
- Provvedimento n. 99 del 27 febbraio 2025 (doc. web 10118246). Il sito di un’impresa individuale mostrava un banner con il solo pulsante «OK» e l’avviso che chiudere il banner, scorrere la pagina o cliccare un qualunque elemento equivaleva ad accettare. Mancavano il rifiuto e le scelte granulari, e il banner ricompariva a ogni visita. Esito: ammonimento, senza sanzione pecuniaria, anche perché il titolare aveva nel frattempo corretto il banner.
- Provvedimento n. 327 del 4 giugno 2025 (doc. web 10152729). Il banner di una società aveva i comandi «X», «Scopri di più» e «Accetta tutti», ma dopo il clic sulla «X» ricompariva a ogni accesso successivo: un’insistenza che, per il Garante, può condizionare la volontà dell’interessato. La cookie policy, inoltre, richiamava norme abrogate e non indicava i destinatari dei dati. Esito: ingiunzione a conformare banner e informativa e ammonimento, senza sanzione pecuniaria.
In entrambi i casi sono stati ritenuti violati gli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e l’art. 122 del Codice privacy. L’esito mite non deve ingannare: l’art. 166, comma 2, del Codice privacy assoggetta la violazione dell’art. 122 alla sanzione dell’art. 83, par. 5, del GDPR, che arriva a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale annuo.
Per le sentenze della Corte di giustizia sul consenso, per gli altri provvedimenti del Garante e per le novità del 2026 sui tracking pixel nelle email rinviamo all’approfondimento sui cookie tecnici.
Verificare che cosa installa davvero un sito e allineare banner e informativa è un lavoro documentale che rientra nella consulenza su GDPR e privacy. È lo stesso approccio che guida gli altri adempimenti privacy del sito — dalla privacy policy al registro dei trattamenti — e, più in generale, l’adeguamento al GDPR.
Domande frequenti
Ogni sito deve avere il cookie banner? No: il banner è necessario solo se il sito usa cookie o strumenti di tracciamento non tecnici — analitici non resi anonimi, profilazione, componenti di terze parti. Un sito con soli cookie tecnici si limita all’informativa, senza banner.
Google Analytics impone il banner? Di regola sì: si assimila a uno strumento tecnico solo con le misure indicate dal Garante (tra cui il mascheramento dell’indirizzo IP e l’assenza di incrocio con altri dati), e la valutazione va fatta caso per caso.
Lo scroll vale come consenso ai cookie? No: secondo le Linee guida del Garante lo scorrimento della pagina, da solo, non è un consenso valido; servono comandi chiari ed equivalenti per accettare e per rifiutare.
Serve per forza un pulsante «Rifiuta»? Le Linee guida chiedono un comando — la «X» in alto a destra, con evidenza grafica pari agli altri — che chiuda il banner mantenendo le impostazioni predefinite, cioè senza cookie non tecnici. Molti siti aggiungono un pulsante «Rifiuta»: va bene, purché il rifiuto resti possibile già dal banner, senza passare da altre pagine, e sia facile quanto l’accettazione.
Che cosa si rischia con un banner non conforme? La violazione dell’art. 122 del Codice privacy è punita con la sanzione dell’art. 83, par. 5, del GDPR: fino a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale annuo. Nei due provvedimenti del 2025 richiamati sopra il Garante si è fermato all’ammonimento e all’ordine di adeguarsi, ma l’esito dipende dal caso concreto.
Il registro delle preferenze cookie è obbligatorio? Più che un registro in senso formale, le Linee guida chiedono che la scelta dell’utente — anche quando rifiuta o accetta solo in parte — sia «debitamente registrata», così da non riproporre il banner e poter documentare il consenso. Tenere traccia ordinata delle scelte è il modo pratico per farlo: ne parliamo nell’approfondimento sui cookie tecnici.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 30 settembre 2026.