Punti chiave
- Nel 2025 il Garante ha concluso 190 procedimenti con sanzioni che partono da 50.000 € e una media di 298.000 €.
- Cookie tecnici e cookie di profilazione hanno regole completamente diverse: confonderli è l’errore più comune e più sanzionato.
- Un banner conforme offre accettazione e rifiuto con pari evidenza visiva, senza dark pattern e senza caricare nulla prima del consenso.
- Google Consent Mode v2 è obbligatorio dal marzo 2024 se usi Google Ads per tracciare conversioni.
- La ePrivacy Regulation è in arrivo ma non è emergenza immediata: chi si mette in regola oggi ha già fatto il 90% del lavoro.
Nel 2025 il Garante Privacy ha chiuso 190 procedimenti contro aziende italiane. Le sanzioni partono da 50.000 euro, con una media di 298.000 euro per procedimento (Garante Privacy, 2025). Numeri reali, non scenari ipotetici. Gestire male i cookie espone anche una piccola impresa a conseguenze concrete — eppure la maggior parte dei siti aziendali italiani ha ancora qualcosa fuori posto. Cosa rischi, e cosa puoi fare subito?
Lo stato attuale: cosa dice davvero il Garante sui cookie nel 2026
Il Garante ha alzato il livello dei controlli su banner e sistemi di consenso. Un caso concreto vale più di mille spiegazioni: il Provvedimento del 27 febbraio 2025 [10118222] ha sanzionato un operatore per tre violazioni precise — comandi nel banner dal significato ambiguo, richiesta di consenso per cookie tecnici (che la normativa non prevede), mancata implementazione di strumenti per un consenso valido e informato (Garante Privacy, garanteprivacy.it).
La sostanza: il tuo banner non può confondere chi lo legge, non può chiedere il permesso per cookie che servono solo a far funzionare il sito, e deve rendere il rifiuto altrettanto facile dell’accettazione. Attenzione anche alle email: il Provvedimento del 17 aprile 2026 [10241943] ha fissato linee guida specifiche sui tracking pixel nelle comunicazioni di posta elettronica. Il perimetro dei controlli si è allargato (Garante Privacy, garanteprivacy.it/home/docweb).
Cookie tecnici vs cookie di profilazione: la distinzione che fa la differenza (e le sanzioni)
I cookie tecnici — quelli che tengono aperta la sessione, ricordano le preferenze di lingua o proteggono il form da spam — non richiedono consenso. Punto. I cookie di profilazione, remarketing e analisi comportamentale sì, senza eccezioni.
Il problema è che molte PMI caricano Google Analytics come se fosse uno strumento neutro, nella stessa categoria del cookie di sessione. Non funziona così: se Analytics traccia le pagine visitate, il tempo sul sito e il percorso di navigazione collegandoli a un identificativo utente, stai facendo profilazione e serve il consenso preventivo. Il Garante è esplicito su questo. Vale lo stesso per i pixel di Meta e Google Ads: se stai lavorando su campagne personalizzate, il consenso granulare e documentato non è un dettaglio tecnico da rimandare — è un obbligo di legge.
Il consenso valido: requisiti minimi, banner conformi e dark pattern da evitare
Un banner conforme deve rispettare queste condizioni (Luca Sammarco, lucasammarco.com/blog/gdpr-sito-web):
- Accettazione e rifiuto con pari evidenza visiva — niente bottone verde grande e link grigio microscopico per rifiutare.
- Non blocca la lettura della pagina: l’utente deve poter leggere e scorrere senza essere obbligato a cliccare.
- Scroll e click su link non valgono come consenso.
- I cookie di profilazione non si caricano prima che l’utente accetti.
I “dark pattern” rientrano in una categoria precisa: bottone “Rifiuta” sepolto in tre livelli di menu, testo grigio su sfondo grigio chiaro, caselle pre-selezionate. Sono vietati, vengono riconosciuti dai verificatori del Garante, e vengono sanzionati. Apri la tua Cookie Policy e confronta quello che dichiari con quello che il banner fa davvero — spesso non coincidono.
ePrivacy Regulation: a che punto siamo e cosa aspettarsi (senza allarmismi)
La ePrivacy Regulation viene definita “lex specialis” rispetto al GDPR perché interviene su un perimetro specifico: la protezione dei diritti fondamentali nei servizi di comunicazioni elettroniche, con regole proprie su cookie, tracking e riservatezza delle comunicazioni (european-eprivacy-regulation.com). Il Consiglio dell’UE ha già adottato la sua posizione; i triloghi con il Parlamento Europeo sono aperti (IAB Europe / National Law Review, natlawreview.com).
Per il 2026 non cambia nulla di operativo. Ma la traiettoria è chiara: più obblighi di trasparenza, più diritti per gli utenti, più attenzione ai tracking passivi e agli identificatori non tradizionali. Chi risolve oggi le criticità del proprio sito arriva a quella scadenza — qualunque anno sia — con il grosso già fatto.
Checklist operativa: 7 passi per mettere in regola il sito della tua PMI oggi
- Inventario dei cookie: elenca tutti i cookie caricati dal tuo sito (Analytics, Ads, CRM, heatmap, chat widget) e classificali come tecnici o di profilazione.
- Banner conforme: accettazione e rifiuto equamente visibili, nessun blocco della pagina, zero dark pattern.
- Consensi granulari: consenti all’utente di accettare Analytics e rifiutare Remarketing — o viceversa — in modo indipendente.
- Caricamento condizionato: i cookie di profilazione devono attivarsi solo dopo il consenso, mai prima.
- Google Consent Mode v2: obbligatorio dal marzo 2024 se usi Google Ads e vuoi tracciare conversioni; senza implementazione non puoi raccogliere dati su nuovi utenti nell’area EEA via piattaforme Google (TDMP; Consent Manager, consentmanager.net). Non usi Google Ads né remarketing? Allora non è obbligatorio (Register.it).
- Documentazione: Cookie Policy aggiornata, DPA (Data Processing Agreement) firmato con i tuoi fornitori tech, registro dei trattamenti. Nelle PMI italiane questi tre elementi mancano quasi sempre (Luca Sammarco, lucasammarco.com).
- Audit annuale: le normative si aggiornano; una revisione annuale ti evita di essere colto impreparato.
Strumenti e CMP: quali piattaforme usare e cosa verificare prima di fidarsi
Una CMP (Consent Management Platform) gestisce il banner, registra i consensi e produce i report in caso di verifica. Prima di scegliere, controlla quattro cose:
- Conformità certificata al GDPR e alla giurisprudenza del Garante italiano.
- Integrazione pulita con i tuoi strumenti (Analytics, Ads, CRM).
- Storico dei consensi disponibile per eventuali audit.
- Supporto in italiano — essenziale quando devi rispondere a un provvedimento.
Le CMP gratuite possono risultare conformi? In teoria sì. In pratica richiedono una configurazione manuale che sbaglia facilmente chi non è del mestiere, e quando qualcosa non va non c’è nessuno a cui telefonare. Tra 50 e 200 euro al mese per una piattaforma seria stai comprando anche quella tranquillità — e costa comunque meno di qualsiasi sanzione, anche la più contenuta.
Domande frequenti
Un sito che usa solo Google Analytics è obbligato a mostrare il banner cookie?
Sì. Google Analytics traccia il comportamento dell’utente — pagine visitate, durata della sessione, provenienza del traffico — collegandolo a un identificativo. È un cookie di profilazione e richiede consenso preventivo.
Quali sono le sanzioni reali del Garante per una PMI con cookie policy non conforme?
Nel 2025 le sanzioni sono partite da 50.000 euro, con una media di 298.000 euro per procedimento (Garante Privacy, 2025). Per una PMI, la gravità della violazione e la reiterazione determinano l’entità: non esistono “multe di serie B” per le piccole imprese.
Il consenso cookie vale anche per il remarketing su Meta e Google Ads?
Sì. Remarketing e lookalike audience presuppongono tracciamento e profilazione: servono consenso esplicito, granulare e documentato. La generica accettazione della privacy policy non basta.
Posso usare una CMP gratuita e risultare comunque conforme?
È possibile, ma richiede una configurazione avanzata e competenze specifiche. Senza supporto dedicato, il rischio di errori è alto: in caso di controllo, la responsabilità della configurazione ricade su di te.
Una sanzione del Garante non è solo una multa: blocca risorse interne per mesi, finisce sulle testate di settore e mette in imbarazzo con i clienti. Al contrario, avere una configurazione cookie corretta significa raccogliere dati legittimi — e usarli per campagne, analisi e automazioni senza il pensiero fisso di una verifica in arrivo. Se vuoi un audit della tua configurazione cookie o una revisione completa della tua compliance digitale, contattami: analizziamo il tuo sito punto per punto e costruiamo un piano operativo su misura.
