Il Banner dei Cookie che Non Serve a Niente: Consenso, Dati Sbagliati e Budget Buttato

Il banner dei cookie sul vostro sito ha buone probabilità di essere la cosa peggiore di entrambi i mondi: non vi mette al riparo da niente, perché i cookie partono prima che l’ospite clicchi, e intanto rovina i dati su cui decidete dove spendere il budget. È il risultato tipico di un plugin installato in cinque minuti nel 2022 e mai più guardato — e lo vediamo, in una forma o nell’altra, sulla maggior parte dei siti di strutture ricettive che ci passano sotto gli occhi.

Questo articolo spiega cosa chiede davvero il Garante, quali sono i tre errori che si ripetono sempre, e perché la questione è meno un problema legale e più un problema di qualità dei dati. Con un controllo da fare da soli in dieci minuti.

Le regole, in breve

Il riferimento italiano sono le Linee guida sui cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali, adottate con provvedimento del 10 giugno 2021 e pienamente applicabili dal 10 gennaio 2022. Non è una novità del 2026: è una scadenza di quattro anni fa, che molti siti non hanno mai raggiunto.

I punti che riguardano un sito turistico sono cinque.

1. Prima del consenso non si traccia. I cookie e gli strumenti di tracciamento non tecnici — analytics di terze parti, pixel pubblicitari, mappe, video incorporati, chat — non possono essere attivati finché l’utente non ha espresso una scelta.
2. Lo scorrimento non è consenso. Lo scroll da solo non è una manifestazione idonea di volontà. Può rientrare in un percorso più articolato che costituisca un’azione positiva, ma «ha continuato a leggere, quindi ha accettato» non è una base valida.
3. Rifiutare deve essere facile come accettare. L’utente deve poter rifiutare tutti i cookie non necessari con un clic, già dal primo livello del banner — anche chiudendo la finestra con la X, che equivale a un rifiuto.
4. Niente cookie wall. Vincolare l’accesso al sito all’accettazione è di norma illegittimo, salvo che siano garantiti contenuti o servizi equivalenti anche senza consenso.
5. Un no vale sei mesi. Chi ha rifiutato non deve rivedere la richiesta a ogni visita: la riproposizione può avvenire, salvo casi specifici, dopo almeno sei mesi.

I tre errori che si ripetono sempre

1. I cookie partono prima del clic

È il più frequente e il più grave, ed è invisibile dall’esterno: il banner compare correttamente, ma Google Analytics, il pixel di Meta e la mappa incorporata si sono già caricati mentre l’utente leggeva. Il banner, in quel caso, non ha nessun effetto — è un elemento grafico.

Perché succede? Quasi sempre perché gli script di tracciamento sono stati messi nel tema, o aggiunti da un plugin di marketing, o inseriti da un servizio esterno (un connettore di statistiche, un sistema di prenotazione, un widget di recensioni) che il plugin dei cookie non conosce e quindi non blocca. Il banner gestisce solo quello che è stato collegato al banner.

2. «Accetta» è un pulsante, «Rifiuta» è un link grigio in fondo

Il secondo errore è di progettazione. Un pulsante verde grande «Accetta tutti» e, sotto, in corpo 11 grigio chiaro, «gestisci le preferenze» che apre un pannello con sei interruttori da configurare uno per uno. Formalmente il rifiuto esiste; sostanzialmente non è una scelta equivalente.

La forma corretta è più semplice da realizzare di quella sbagliata: due pulsanti dello stesso peso visivo, «Accetta» e «Rifiuta», più un terzo collegamento per personalizzare. Tre elementi, prima riga, fine.

3. Il banner ricompare a ogni visita

Succede quando la scelta dell’utente non viene memorizzata, o viene memorizzata con una scadenza di poche ore. Oltre a essere sbagliato rispetto ai sei mesi, è il modo più efficace di insegnare agli ospiti a cliccare «Accetta» senza leggere — e di irritare chi torna sul sito per completare una prenotazione interrotta.

Il costo vero: i vostri dati vi stanno mentendo

Qui sta la parte che interessa più di tutte, e che nessuno collega al banner.

Se il consenso è gestito male, i numeri su cui decidete sono rotti in uno dei due sensi, ed entrambi costano soldi.

Se tracciate prima del consenso, i dati sono completi ma raccolti in modo non conforme. Il rischio non è solo sanzionatorio: è che state costruendo il vostro marketing su una base che, il giorno in cui va messa a posto, cambia da sola — e vi ritrovate a confrontare stagioni non confrontabili.

Se bloccate tutto senza una gestione del consenso corretta, succede il contrario: perdete la metà dei dati e non sapete quale metà. Le campagne risultano meno efficaci di quanto sono, le conversioni da metasearch e Google Hotel Ads non vengono attribuite, e finite per tagliare il canale che funzionava meglio perché «non porta prenotazioni».

La buona notizia è che un consenso gestito bene recupera una parte di quello che si perde: con il Consent Mode configurato correttamente, dagli utenti che hanno rifiutato arrivano comunque segnali aggregati e senza identificatori, abbastanza per stimare l’andamento. Il lavoro è lo stesso che serve per essere in regola. Si fa una volta.

Il controllo da fare da soli, dieci minuti

Non serve un consulente per sapere com’è la situazione. Serve il browser.

1. Aprite il sito in una finestra anonima, così da partire senza cookie già salvati.
2. Aprite gli strumenti per sviluppatori (F12, o tasto destro → Ispeziona) e andate sulla scheda Rete.
3. Ricaricate la pagina e non toccate il banner. Nel filtro scrivete google-analytics, poi googletagmanager, poi facebook, poi doubleclick. Se compare qualcosa, quel tracciamento è partito senza consenso.
4. Guardate la scheda Applicazione → Cookie. Quanti ce ne sono prima di aver cliccato? Dovrebbero essere solo quelli tecnici del sito.
5. Poi guardate il banner come lo vede un ospite. Riuscite a rifiutare con un clic, senza aprire pannelli? La X chiude senza accettare?
6. Infine chiudete tutto, riaprite il sito (non in anonimo): il banner ricompare? Se sì, la scelta non viene memorizzata.

Sei controlli. Se passano tutti, il vostro banner funziona e potete chiudere qui. Nella nostra esperienza, passano tutti in meno di un sito su cinque.

Cosa fare, in ordine

1. Censite cosa carica il sito. La lista della scheda Rete è il vostro inventario reale, che quasi mai coincide con quello che pensavate di avere installato. Spesso si trovano pixel di campagne chiuse da due anni, ancora attivi.
2. Togliete quello che non usate. È il passaggio che nessuno fa e che risolve metà del problema: un tracciamento rimosso non va né bloccato né dichiarato, e il sito diventa più veloce.
3. Collegate tutto il resto al consenso, compresi i servizi incorporati — mappe, video, widget di recensioni, chat — che vanno caricati solo dopo la scelta. Fino a quel momento, al loro posto si mostra un segnaposto cliccabile.
4. Configurate il Consent Mode v2 se fate pubblicità o misurate con strumenti Google, con i valori predefiniti su «negato» prima della scelta.
5. Sistemate il banner: due pulsanti equivalenti, X che rifiuta, memoria della scelta, e un modo per cambiare idea sempre raggiungibile — un collegamento nel footer basta.
6. Aggiornate la cookie policy con l’elenco effettivo, non con quello generico del plugin.
7. Rifate il controllo dei sei punti a cose fatte, e poi una volta a stagione: ogni plugin nuovo può reintrodurre il problema senza avvisare.

Un effetto collaterale che vale la pena nominare: meno tracciamenti di terze parti significa pagine più leggere e più veloci, e un sito veloce converte meglio. Il punto 2 di questa lista si ripaga da solo.

«Ma non stanno per cambiare le regole europee?»

Sì, se ne discute — e no, non è un motivo per aspettare.

Il pacchetto di semplificazione presentato dalla Commissione europea a fine 2025 prevede, fra le altre cose, di spostare la disciplina dei cookie dentro il GDPR, di rendere vincolanti i segnali di consenso impostati a livello di browser e di consolidare la regola dei sei mesi. Alla data di questo articolo è ancora una proposta in negoziato: deve passare da Parlamento e Consiglio, e la piena attuazione è attesa comunque anni dopo l’eventuale adozione.

Due cose sono abbastanza chiare già ora. La prima è che i banner non spariranno del tutto: resteranno per l’informativa, per la richiesta periodica e per la revoca. La seconda è che il lavoro utile — sapere cosa carica il sito, non tracciare prima della scelta, memorizzare il consenso — è esattamente quello che serve in entrambi gli scenari. Non c’è niente da buttare.

Domande che ci fanno più spesso

Ho un plugin a pagamento: non sono già a posto?

Un buon plugin è necessario e non sufficiente. Blocca quello che gli è stato detto di bloccare: gli script inseriti a mano nel tema, quelli caricati da un servizio esterno o quelli aggiunti da un altro plugin gli restano invisibili. Il controllo della scheda Rete serve proprio a vedere la differenza fra quello che il plugin crede di gestire e quello che il sito fa davvero.

Google Analytics si può usare senza consenso se anonimizzo?

È una valutazione che va fatta caso per caso e con cautela: le condizioni per trattare un sistema di statistiche come strumento tecnico sono strette e riguardano minimizzazione, assenza di incroci con altri dati e limiti alla condivisione con terzi. Nel dubbio, la strada solida è chiedere il consenso e configurare il Consent Mode, che è anche quella che vi lascia dati utilizzabili.

Se tolgo i pixel pubblicitari perdo il remarketing?

Perdete il remarketing basato su quei pixel per chi rifiuta, sì. Ma la base di pubblico più redditizia per una struttura non è un pixel: è la lista dei vostri ex ospiti, che è un dato di prima parte. È uno dei motivi per cui l’email marketing ha ripreso valore proprio mentre il tracciamento di terze parti si restringeva.

Il banner mi fa perdere prenotazioni?

Un banner fatto bene no: due pulsanti chiari, scelta memorizzata, nessun riquadro che copre il modulo di prenotazione sul telefono. Un banner fatto male sì, e non per il consenso — perché copre metà schermo, ricompare a ogni pagina e si chiude male col pollice. È un problema di interfaccia prima che di privacy.

Siamo una struttura piccola, ci controlleranno mai?

Statisticamente, l’ispezione non è lo scenario probabile. Lo scenario probabile è un altro: decidere il budget della prossima stagione su numeri sbagliati. È da lì che arriva il costo reale, ogni anno, senza che nessuno vi contesti niente.

In sintesi

Il banner dei cookie è un adempimento noioso che quasi tutti hanno risolto nel modo che dà il massimo dei fastidi e il minimo dei benefici. Le regole italiane sono ferme da gennaio 2022 e non sono complicate: non tracciare prima della scelta, rendere il rifiuto facile come l’accettazione, ricordare la risposta.

Il motivo per sistemarlo, però, non è la norma. È che senza un consenso gestito bene non sapete da dove arrivano le vostre prenotazioni — e quello è un problema che pagate ogni stagione.

Articolo a fini informativi, non consulenza legale. Il riferimento vincolante sono le Linee guida cookie del Garante per la protezione dei dati personali (provvedimento 10 giugno 2021, n. 231) e il testo del GDPR; per la vostra situazione specifica sentite un professionista abilitato.