Il banner dei cookie del tuo sito è a norma? Cinque controlli in cinque minuti

Ogni tanto un cliente mi manda il link del suo sito e mi chiede «è a posto la parte cookie?». Nove volte su dieci la risposta è no, anche se il banner c’è, anche se l’ha messo un professionista, anche se sotto c’è il nome di un plugin conosciuto. Non perché siano tutti incapaci: perché le regole italiane sono più precise di quello che il plugin fa di default.

Ecco i cinque controlli che faccio io. Li puoi fare da solo, ti servono cinque minuti e una finestra del browser in modalità anonima.

1. «Rifiuta» è grande come «Accetta»?

Apri il sito in una finestra anonima e guarda il banner. Devono esserci due bottoni con la stessa evidenza: uno per accettare, uno per rifiutare. Stesso colore, stessa dimensione, stessa posizione di rilievo. Se «Accetta» è un bel bottone pieno e «Rifiuta» è un link grigio in fondo, o è nascosto dietro «Personalizza», non è a norma: il Garante lo dice esplicitamente. La «X» per chiudere il banner può esistere, ma vale come rifiuto — non come consenso.

2. Parte qualcosa prima che tu abbia scelto?

Questo è il controllo che quasi nessuno passa. Sempre in finestra anonima, prima di cliccare qualsiasi cosa, apri gli strumenti per sviluppatori (tasto destro → Ispeziona → scheda «Rete» o «Network») e ricarica. Se vedi partire richieste verso Google Analytics, Facebook, YouTube, Google Maps o simili, il sito sta già tracciando prima del consenso. Non basta il «Consent Mode» di Google impostato a «negato»: le richieste non devono proprio partire finché non hai detto sì. Il modo giusto è bloccare gli script e sbloccarli solo dopo il consenso.

3. Il banner parla la lingua del sito?

Sembra banale, ma vedo banner in inglese su siti in italiano perché il plugin è arrivato così. Il testo del banner e la pagina della cookie policy devono essere nella lingua del sito, comprensibili, e dire in due righe cosa fanno quei cookie e chi li usa. Niente muri di testo legale che nessuno legge.

4. La scelta viene registrata da qualche parte?

Se un giorno il Garante o un utente ti chiede «dimostrami che ho dato il consenso», devi poterlo fare: data, ora, cosa è stato accettato e con quale testo del banner. I plugin seri hanno un registro dei consensi; molti ce l’hanno spento di default, o solo nella versione a pagamento. Controlla nel pannello del tuo plugin se esiste e se è attivo. Se il sito l’hai fatto fare, chiedilo a chi te lo gestisce: è una domanda da un minuto.

5. Un consenso per ogni scopo, e la scelta ricordata

Statistiche, marketing, video incorporati: sono finalità diverse, e l’utente deve poterle scegliere separatamente (nel pannello «Personalizza» va bene, purché ci sia). E una volta scelto, il sito deve ricordare la scelta per un tempo ragionevole (il Garante dice almeno sei mesi) senza ripresentare il banner a ogni visita. Se ti compare a ogni pagina, qualcosa non va.

Cosa rischi, concretamente

Le sanzioni GDPR sono alte sulla carta e rare nella pratica per un’attività piccola — ma non sono l’unico rischio. Il rischio quotidiano è un cliente o un concorrente che segnala, un’agenzia di marketing che si tira indietro perché «il sito non è conforme», o semplicemente il fatto che tu abbia pagato per una cosa che non funziona. E c’è un rischio più sottile: un documento legale che dice «il sito fa X» mentre il sito fa Y non ti protegge, ti accusa. La cookie policy va scritta guardando quello che il sito fa davvero, non copiata.

Sui siti che faccio io questi cinque punti sono controllati prima di andare online, e ricontrollati quando il sito cambia — perché il sito cambia, e la policy deve seguirlo. Se vuoi che passi il tuo, mandami il link: gli do un’occhiata e ti dico cosa ho trovato. Se lo vuoi scritto nero su bianco, il check completo costa 150 € — ed è compreso se poi il lavoro lo facciamo insieme.