Ogni sito web aziendale o web app che usa cookie di terze parti, strumenti di analytics o pixel di marketing deve gestire il consenso in modo conforme al GDPR e alla normativa ePrivacy. Non è solo un obbligo legale da rispettare per evitare sanzioni: un cookie banner GDPR sito web ben progettato è anche un segnale di serietà per i clienti, soprattutto per aziende B2B e negozi locali che si affidano al sito per generare contatti e vendite.
Quando sviluppo o gestisco un sito o una web app per un cliente, la conformità privacy non è un plugin da installare all’ultimo momento: è parte dell’architettura, dal frontend al backend, fino all’infrastruttura di hosting. In questo articolo spiego cosa richiede davvero il GDPR sui cookie e come lo implemento concretamente sui progetti che seguo.
Cosa richiede davvero il GDPR per i cookie
Molti siti si limitano a mostrare un banner con un bottone “Accetta” ben visibile e un link minuscolo per rifiutare. Questo approccio non è conforme. Il Garante Privacy e le linee guida europee richiedono:
- Consenso preventivo: nessun cookie non tecnico (analytics, marketing, profilazione) deve essere impostato prima che l’utente scelga.
- Parità di scelta: i pulsanti “Accetta” e “Rifiuta” devono avere lo stesso livello di visibilità, sullo stesso schermo, senza percorsi nascosti.
- Granularità: l’utente deve poter scegliere categoria per categoria (statistica, marketing, funzionali), non solo tutto-o-niente.
- Revoca facile: deve esistere un modo semplice per cambiare idea in qualsiasi momento, non solo cancellando i cookie manualmente.
- Prova del consenso: bisogna poter dimostrare cosa l’utente ha accettato e quando, in caso di controllo.
Come implemento un cookie banner conforme
Sul piano tecnico, il punto critico è il blocco degli script prima del consenso: non basta nascondere il banner, bisogna impedire che Google Analytics, Meta Pixel o altri tag partano prima che l’utente scelga. Il mio approccio tipico:
- Un layer di consent management che carica per primo, prima di qualsiasi altro script di terze parti.
- Tutti gli script non essenziali vengono caricati dinamicamente via JavaScript solo dopo il consenso, categoria per categoria.
- Il consenso viene salvato lato client (con scadenza, tipicamente 6 mesi) e, quando serve un audit trail più solido, registrato anche lato server con timestamp e versione del testo informativo mostrato.
- Un link permanente in footer (“Gestisci cookie”) per riaprire il pannello e modificare le preferenze in ogni momento.
Il tech stack, a seconda del progetto
Per i siti WordPress che gestisco, come opticagheller.it o lapidari.it, integro un plugin di consent management configurato per bloccare davvero gli script (non solo esteticamente), collegato al tag manager e con testi personalizzati in italiano, coerenti con l’informativa privacy del sito.
Per le web app custom che sviluppo e mantengo, come apicco.app o tandemops.app, il banner è un componente React integrato nel frontend, con lo stato del consenso gestito centralmente e propagato a tutti gli script di terze parti prima che vengano iniettati nel DOM. Il backend, quando serve tracciare il consenso in modo verificabile, salva l’evento in un database dedicato, separato dai dati applicativi.
Tutta l’infrastruttura, dai certificati SSL alla configurazione dei server HestiaCP che gestisco, è pensata per la privacy by design: dati minimizzati, backup cifrati, e dove possibile hosting su server europei, un dettaglio che per molti clienti italiani è un requisito, non un optional.
Privacy by design va oltre il banner
Un cookie banner conforme risolve solo una parte del problema. Le altre scelte tecniche che faccio quando costruisco un sito o una web app includono:
- Ridurre al minimo i servizi di terze parti che raccolgono dati, preferendo dove possibile soluzioni self-hosted (ne ho parlato per gli strumenti che gestisco su cloud.cornelcaba.com o pdf.cornelcaba.com).
- Anonimizzare o pseudonimizzare i dati statistici quando l’analisi aggregata basta, evitando di raccogliere dati identificativi non necessari.
- Documentare chiaramente, nell’informativa privacy, quali dati vengono raccolti, per quale finalità e per quanto tempo vengono conservati.
Questo approccio riduce anche il rischio operativo: meno dati raccolti significa meno superficie d’attacco in caso di violazione, e meno complessità da gestire quando cambia la normativa.
Perché conviene farlo bene fin dall’inizio
Ho visto molte aziende affrontare la conformità cookie come un adempimento burocratico da sistemare in fretta con un plugin gratuito mal configurato. Il risultato è spesso un banner che non blocca davvero nulla, oppure un’esperienza utente così invadente da far scappare i visitatori prima ancora che vedano il sito. Un’implementazione fatta bene, invece, è invisibile quando non serve e chiara quando l’utente vuole intervenire: protegge l’azienda dal punto di vista legale senza sacrificare l’esperienza di navigazione o le performance del sito.
Serve un sito o una web app conforme e ben costruita?
Che tu debba realizzare un nuovo sito aziendale, mettere a norma quello esistente o sviluppare una web app su misura, mi occupo dell’intero percorso: dal frontend all’infrastruttura, inclusa la conformità privacy fin dal primo giorno. Se vuoi discutere il tuo progetto, contattami qui oppure dai un’occhiata ai progetti che ho realizzato e gestisco su cornelcaba.com.
