In sintesi. Il consenso non serve per tutti i cookie: l’art. 122 del Codice privacy lo esclude per quelli usati al solo fine di effettuare la trasmissione di una comunicazione o strettamente necessari a fornire il servizio richiesto dall’utente. Sono i cookie tecnici. Gli analytics si assimilano ai tecnici solo a tre condizioni cumulative fissate dalle Linee guida del Garante. Chiedere il consenso anche per i cookie tecnici non è una prudenza: è un errore che il Garante ha già contestato, insieme al banner che si ripresenta a ogni accesso. E dal 2026 lo stesso ragionamento vale per i tracking pixel nelle email: le Linee guida del Garante fissano al 29 ottobre 2026 il termine per adeguarsi, e la loro applicazione rientra tra le verifiche ispettive del secondo semestre.
Abbiamo già visto quando il banner cookie è obbligatorio. Qui guardiamo il lato opposto del confine — i casi in cui non lo è — perché c’è un’idea diffusa e sbagliata: che il modo più sicuro di trattare i cookie sia chiedere il consenso per tutto. Costa poco, si pensa, e mette al riparo. Non è così. Un banner che chiede il consenso anche per ciò che non lo richiede rende l’informativa fuorviante, moltiplica gli attriti con l’utente e — come mostrano i provvedimenti del Garante — finisce nell’elenco delle contestazioni anziché in quello delle difese. Sapere dove finisce l’obbligo è tanto importante quanto sapere dove comincia.
Il perimetro dell’art. 122: cosa fa scattare l’obbligo
La norma che governa i cookie in Italia non è il GDPR, ma l’art. 122 del Codice privacy (D.Lgs. 196/2003), che recepisce la direttiva ePrivacy. La regola è: l’archiviazione di informazioni, o l’accesso a informazioni già archiviate, nel dispositivo dell’utente è consentita solo a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate.
Due elementi vanno letti con attenzione. Il primo è che la norma non parla di «cookie» ma di informazioni archiviate nel dispositivo: si applica quindi a qualsiasi strumento che produca quell’effetto, cookie o meno. Il secondo è che la norma non richiede che si tratti di dati personali: la tutela riguarda l’inviolabilità del terminale, e scatta anche a monte del trattamento di dati personali vero e proprio.
Lo stesso art. 122 prevede però un’eccezione precisa: il consenso non serve quando l’archiviazione o l’accesso servono al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, oppure nella misura strettamente necessaria al fornitore per erogare un servizio della società dell’informazione esplicitamente richiesto dall’utente.
Quali sono, in concreto, i cookie tecnici
Rientrano nell’eccezione, tipicamente, i cookie di sessione che tengono l’utente autenticato durante la navigazione; quelli che conservano il contenuto del carrello in un e-commerce; quelli che memorizzano la lingua o le preferenze di visualizzazione scelte dall’utente; quelli usati per il bilanciamento del carico o per finalità di sicurezza collegate al servizio richiesto; e — punto spesso trascurato — il cookie che registra la scelta espressa dall’utente sul banner, che è tecnico proprio perché serve a non ripetere la domanda.
Il criterio non è il nome né il fornitore, ma la funzione: il cookie è tecnico se, togliendolo, il servizio richiesto dall’utente non funziona o funziona in modo sostanzialmente diverso. Un cookie di profilazione di prima parte, installato dallo stesso gestore del sito, non diventa tecnico; un cookie di sessione fornito da un terzo non smette di esserlo.
Per i cookie tecnici resta comunque dovuta l’informativa: l’esenzione riguarda il consenso, non la trasparenza.
Gli analytics: tecnici solo a tre condizioni
Gli strumenti di misurazione statistica sono il punto in cui la maggior parte dei siti sbaglia, in un senso o nell’altro. Le Linee guida del Garante in materia di cookie e altri strumenti di tracciamento (provvedimento n. 231 del 10 giugno 2021, doc. web 9677876) li assimilano ai cookie tecnici — quindi senza consenso — solo se ricorrono tutte queste condizioni:
- sono utilizzati unicamente per produrre statistiche aggregate e in relazione a un singolo sito o applicazione, in modo da non tracciare la navigazione dell’utente su siti o applicazioni diversi;
- per gli analytics di terza parte, l’indirizzo IP è minimizzato, mascherando almeno la quarta componente;
- il terzo si astiene dal combinare i dati così minimizzati con altre elaborazioni o dal trasmetterli ad altri soggetti.
Se anche una sola condizione manca — perché lo strumento di terza parte segue l’utente su siti di soggetti diversi, perché l’IP arriva integro, perché il fornitore incrocia i dati con i propri — l’analytics torna a essere uno strumento di tracciamento a tutti gli effetti e richiede il consenso preventivo. Le stesse Linee guida temperano la regola in due casi: il fornitore terzo può riferire le statistiche, elaborate su dati minimizzati, a più domini, siti o app riconducibili allo stesso editore o gruppo imprenditoriale; e il titolare che elabora le statistiche in proprio può riferirle a più domini, siti o app a lui riconducibili, purché resti nei limiti di un mero conteggio statistico e non ne faccia uno strumento per decisioni di natura commerciale. È una verifica che va fatta sulla configurazione reale dello strumento, non sulla sua etichetta commerciale.
Chiedere il consenso per i cookie tecnici non è una prudenza
Il Garante lo ha contestato espressamente. Con il provvedimento n. 98 del 27 febbraio 2025 (doc. web 10118222), l’Autorità ha rilevato a carico di una società titolare di un sito web, tra le altre criticità, la richiesta di consenso anche per cookie tecnici, per i quali il consenso non è dovuto. Il difetto non è formale: un banner che presenta come facoltativo ciò che è necessario — e come necessario ciò che è facoltativo — impedisce all’utente di capire che cosa sta accettando, e travolge la validità del consenso raccolto sul resto.
Nello stesso provvedimento sono state contestate altre due debolezze ricorrenti. La prima: un banner con cinque diversi comandi dal significato incerto — «Accetto i cookie tecnici», «Accetto tutti i cookie», «Declino», «Vai» e una «X» — senza che risultasse chiaro quale consentisse di proseguire la navigazione senza tracciamenti non tecnici. La seconda: la riproposizione a ogni accesso della richiesta di consenso, definita «ridondante ed invasiva». L’esito è stato un ammonimento ai sensi dell’art. 58, par. 2, lett. b) del GDPR, senza sanzione pecuniaria, in considerazione dell’apprezzabile sforzo di correzione tempestiva: un esito benevolo che non toglie nulla al principio affermato.
Ogni quanto si può ripresentare il banner
Le Linee guida del 2021 sono esplicite: la richiesta di consenso non va reiterata a ogni accesso. Il banner può essere ripresentato quando cambiano significativamente le condizioni del trattamento, quando è impossibile sapere se un cookie sia stato precedentemente archiviato nel dispositivo, oppure quando siano trascorsi almeno sei mesi dalla precedente presentazione.
Ne discende una conseguenza operativa che molti sottovalutano: per non ripetere la domanda occorre conservare la scelta, e per dimostrare di averla rispettata occorre poterla ricostruire.
Il registro delle preferenze: conservare la prova, non solo il cookie
L’art. 7, paragrafo 1, del GDPR pone in capo al titolare l’onere di dimostrare che l’interessato ha prestato il consenso. Applicato ai cookie, significa che non basta che il sito «si ricordi» della scelta lato browser: serve poter ricostruire, per ciascuna manifestazione di volontà, quando è stata resa, su quali categorie, con quale versione dell’informativa e con quale configurazione del banner.
È questa la funzione del cosiddetto registro delle preferenze o registro dei consensi: non un adempimento autonomo previsto da una norma specifica, ma il modo concreto di assolvere l’onere della prova. Tenerlo bene ha un effetto pratico immediato — permette di rispondere a un reclamo con dati anziché con dichiarazioni — e si integra naturalmente con il registro delle attività di trattamento, che documenta il quadro a monte.
La novità del 2026: i tracking pixel nelle email
Il perimetro dell’art. 122 non finisce sul sito web. Con il provvedimento n. 284 del 17 aprile 2026 (doc. web 10241943), pubblicato in Gazzetta Ufficiale n. 98 del 29 aprile 2026, il Garante ha adottato le Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica: le immagini, spesso trasparenti e di dimensioni minime, inserite nelle email per rilevare l’apertura del messaggio e i comportamenti del destinatario.
I punti fermi sono quattro. L’art. 122 si applica anche a questi marcatori, perché anch’essi accedono a informazioni nel dispositivo del destinatario. La trasparenza è dovuta in ogni caso: l’informativa deve dire che le email contengono pixel e a che cosa servono, e per il Garante un pixel che resta occulto rende illecito il trattamento dei dati che raccoglie. Il consenso preventivo è richiesto ogni volta che non ricorre una deroga, e in particolare quando il pixel misura il comportamento del singolo destinatario. La revoca deve poter essere granulare: il destinatario può revocare il tracciamento continuando a ricevere le email.
Le deroghe sono tre e vanno lette in modo stretto. La prima è il conteggio statistico della percentuale complessiva di apertura dei messaggi, con tecniche di anonimizzazione che non consentano misurazioni personalizzate: il Garante suggerisce pixel uguali per tutti i destinatari di una stessa campagna e l’anonimizzazione degli altri dati tecnici, come l’indirizzo IP e il client di posta. La seconda riguarda le misure di sicurezza che interessano il processo di autenticazione dell’utente. La terza, i messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare, come la notifica di un incidente di sicurezza o di una modifica contrattuale.
Sul consenso le Linee guida sono più pragmatiche di quanto si tema: in linea di principio può essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali, purché la richiesta sia formulata in modo neutro e privo di forzature; va raccolto preferibilmente al momento in cui si acquisisce l’indirizzo email, dopo l’informativa. Per la revoca il Garante indica una soluzione concreta: un’icona standardizzata o un link nel footer di ogni messaggio, che porti a un’area dedicata in cui scegliere se smettere di ricevere le email o soltanto i pixel, senza sollecitazioni e senza che il servizio ne risulti limitato.
Per le liste già in uso, come le newsletter periodiche, le Linee guida prevedono un regime transitorio: con il primo invio utile, o comunque nel primo momento di discontinuità disponibile, il titolare deve fornire l’informativa sui pixel e attivare il meccanismo di revoca, anche del solo tracciamento. Il Garante lo definisce destinato a essere progressivamente dismesso: per i nuovi iscritti valgono le regole ordinarie.
Il provvedimento assegna sei mesi dalla pubblicazione in Gazzetta Ufficiale per adeguarsi: il termine è il 29 ottobre 2026. Il Garante lo ha ricordato con un vademecum pubblicato il 5 ottobre 2026 e ripreso nella newsletter dell’8 ottobre, precisando che la verifica dell’applicazione delle Linee guida rientra tra le attività ispettive previste per il secondo semestre 2026.
Tracking pixel: la lista di controllo per adeguarsi
- Censire gli invii: newsletter, email promozionali, email transazionali e di servizio. Per ciascun flusso, verificare sulla piattaforma di invio se il tracciamento delle aperture è attivo e che cosa misura.
- Scegliere il presupposto per ciascun flusso: la misurazione del singolo destinatario richiede il consenso; il solo tasso complessivo di apertura rientra nella deroga statistica, con pixel uguali per tutta la campagna e dati tecnici anonimizzati; le email di servizio che il titolare è obbligato a inviare rientrano nella deroga dedicata.
- Aggiornare l’informativa e i moduli di iscrizione: indicare la presenza dei pixel e la loro finalità, anche in forma sintetica nel modulo con un link alla versione completa.
- Inserire in ogni email l’icona o il link nel footer verso l’area in cui revocare anche il solo tracciamento. Per le liste esistenti, farlo con il primo invio utile.
- Registrare le scelte: chi ha acconsentito, quando, chi ha revocato il solo tracciamento. È lo stesso onere di prova dell’art. 7 del GDPR che vale per i cookie.
- Definire i ruoli con il fornitore della piattaforma di invio: le Linee guida chiedono di qualificarli caso per caso, considerando anche l’eventuale contitolarità (art. 26 del GDPR), e suggeriscono di associare a ciascun indirizzo un identificativo non intelligibile e non sequenziale, con la tabella di corrispondenza conservata separatamente.
È un intervento che tocca insieme la piattaforma, i testi e la documentazione dei consensi, e si coordina con il resto del flusso di email marketing.
In prospettiva: le regole europee in discussione
Il quadro potrebbe cambiare, ma non a breve. Con la proposta di regolamento «Digital Omnibus» del 19 novembre 2025 (COM(2025) 837), la Commissione europea ha proposto di spostare le regole sul consenso ai cookie dalla direttiva ePrivacy al GDPR, ampliando l’elenco dei trattamenti esenti dal consenso e consentendo all’utente di esprimere la propria scelta con un clic, valida per sei mesi, o tramite le impostazioni del browser. A ottobre 2026 la proposta è ancora all’esame delle commissioni del Parlamento europeo e il Consiglio non ha adottato il proprio mandato negoziale: la norma da applicare resta l’art. 122 del Codice privacy, letto alla luce delle Linee guida del Garante.
Cosa dice la giurisprudenza
Il quadro sanzionatorio italiano è coerente da anni. Il provvedimento del Garante n. 98 del 27 febbraio 2025 (doc. web 10118222) ha contestato a una società titolare di un sito web la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, dell’art. 122 del Codice privacy e delle Linee guida cookie del 10 giugno 2021: banner con comandi di significato incerto, impossibilità per l’utente di comprendere se potesse proseguire senza accettare, richiesta di consenso anche per cookie tecnici, riproposizione della richiesta a ogni accesso. La misura adottata è stata l’ammonimento ex art. 58, par. 2, lett. b), GDPR.
Sul piano europeo, il riferimento resta la Corte di giustizia UE, 1° ottobre 2019, causa C-673/17 (Planet49): il consenso all’archiviazione di cookie non è validamente prestato mediante una casella preselezionata che l’utente deve deselezionare, e l’informativa deve indicare la durata di funzionamento dei cookie e l’eventuale accesso di terzi. Il principio è stato ripreso, fuori dal campo dei cookie, dalla Corte di giustizia UE, 11 novembre 2020, causa C-61/19 (Orange România), relativa a contratti di telefonia mobile: il consenso richiede un comportamento attivo dell’interessato e grava sul titolare la prova che sia stato validamente raccolto.
Rivedere un banner con questi criteri richiede mezza giornata di lavoro e prima o poi la si spende comunque: meglio prima di un reclamo che dopo. È parte del lavoro documentale che svolgiamo nella consulenza GDPR e privacy, insieme alla revisione dell’informativa e della privacy policy del sito.
Domande frequenti
Per i cookie tecnici serve il banner? Non serve il consenso, quindi non serve un banner che lo raccolga. Resta dovuta l’informativa: l’utente deve poter sapere quali cookie tecnici sono utilizzati e a quale scopo, tipicamente attraverso la cookie policy.
Google Analytics richiede il consenso? Dipende dalla configurazione. Si assimila ai cookie tecnici solo se produce unicamente statistiche aggregate riferite a un singolo sito (o a più siti dello stesso titolare), se l’IP è minimizzato mascherando almeno la quarta componente e se il terzo non combina i dati con altre elaborazioni né li trasmette ad altri. Se una di queste condizioni non è soddisfatta, il consenso preventivo è necessario.
Il cookie che memorizza la scelta sul banner richiede consenso? No: è tecnico, perché serve proprio a dare seguito alla scelta dell’utente ed evitare che la richiesta venga ripetuta.
Ogni quanto posso ripresentare il banner a chi ha già risposto? Non a ogni accesso. Le Linee guida indicano come soglia almeno sei mesi, salvo che cambino significativamente le condizioni del trattamento o che sia impossibile sapere se un cookie sia già stato archiviato nel dispositivo.
Il registro delle preferenze cookie è obbligatorio? Non esiste una norma che lo imponga con quel nome, ma l’art. 7, par. 1, del GDPR obbliga il titolare a dimostrare di aver raccolto il consenso. Conservare in modo ordinato scelte, date, categorie e versione dell’informativa è il modo pratico di assolvere quell’onere.
Devo chiedere il consenso per i pixel di tracciamento nelle newsletter? Sì, quando il pixel misura l’apertura o il comportamento del singolo destinatario. Le Linee guida del Garante del 17 aprile 2026 applicano l’art. 122 ai tracking pixel nelle email e ammettono deroghe, tra cui il conteggio statistico anonimizzato delle aperture complessive, le misure di sicurezza legate all’autenticazione dell’utente e i messaggi istituzionali o di servizio che il titolare è giuridicamente obbligato a inviare; impongono comunque la trasparenza e la possibilità di revoca granulare.
Ho già una newsletter con i pixel attivi: cosa devo fare entro il 29 ottobre 2026? Per le liste già in uso le Linee guida prevedono un regime transitorio: con il primo invio utile, o nel primo momento di discontinuità disponibile, vanno fornite l’informativa sui pixel e la possibilità di revocare anche il solo tracciamento, con un’icona o un link nel footer di ogni email. Per i nuovi iscritti il consenso va raccolto al momento dell’acquisizione dell’indirizzo, e può essere compreso in quello alla ricezione delle comunicazioni promozionali se la richiesta è formulata in modo neutro.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 19 ottobre 2026.