Cos’è un audit del banner cookie? (Checklist 2026)
Un audit del banner cookie verifica design, default, dark pattern e tutto ciò che carica prima di qualsiasi gesto di consenso. I percorsi Accetta e Rifiuta vanno provati a mano. La checklist 2026.
Il banner cookie è la superficie di compliance più controllata. Primo elemento che un regolatore vede; il più semplice da catturare per chi denuncia; fonte della maggior parte delle multe GDPR pubbliche.
Un audit del banner indica se il tuo supererebbe un’ispezione. Ecco la checklist 2026.
Cosa controlla l’auditor
1. Prima impressione
- Il banner appare prima di ogni script non essenziale.
- Visibile senza scroll, anche su mobile stretto. Da verificare a mano su una larghezza reale da telefono: gli scanner automatici, il nostro compreso, renderizzano in un unico viewport desktop e non vedranno mai un banner che si rompe solo a 375px.
- Non si chiude automaticamente.
2. Scelte sul primo layer
- Accetta e Rifiuta sullo stesso livello, peso comparabile.
- Terza opzione "Gestisci preferenze".
- Nessuna casella preselezionata.
3. Layer granulare
- Minimo: strettamente necessari, funzionali, statistici, marketing.
- Descrizione in linguaggio chiaro per categoria.
- Niente "legittimo interesse" per la pubblicità.
- Pulsante "Salva" che rispetta le scelte parziali.
4. Revoca
- Link permanente "Cookie" nel footer che riapre lo stesso banner.
- Revoca facile come il consenso.
5. Verifica comportamentale (a mano)
Questo passaggio nessuno scanner lo fa al posto tuo, e vale la pena capire perché. Verificare cosa succede dopo Accetta o dopo Rifiuta significa cliccare Accetta o Rifiuta, e un clic è un gesto di consenso. Un crawler che preme il pulsante distrugge proprio la misura che conta di più: cosa carica il sito per un visitatore che non ha ancora scelto nulla. Veracly fa questa scelta consapevolmente, prendiamo la misura prima del consenso e lasciamo a te i percorsi successivi. In una finestra privata nuova, ricarica dopo ogni percorso, Accetta, Rifiuta, parziale granulare, e verifica che gli script rispettino la scelta. Errore tipico: container GTM che carica senza condizioni.
Dark pattern segnalati dai regolatori
- Nessuna possibilità di rifiutare sul primo layer. In Italia va letto con la sfumatura del Garante: la X di chiusura conta come rifiuto valido, quindi il difetto è il banner che non lascia alcun modo di rifiutare senza entrare nelle impostazioni.
- Caselle preselezionate.
- Rifiuta grigio, Accetta verde.
- Linguaggio ingannevole.
- Legittimo interesse per la pubblicità.
- Cookie wall senza alternativa.
- Re-prompt dopo il rifiuto.
Veracly visita il sito come utente nuovo e registra le chiamate di rete di terze parti, i cookie e le chiavi di storage che compaiono prima di qualsiasi gesto di consenso. Le richieste verso il tuo stesso hostname non vengono registrate, e lo storage è letto come nome di chiave e di database, mai come valore. Poi ispeziona il markup del banner, parità del pulsante Rifiuta, rifiuti nascosti dietro un sottomenù o spinti fuori dal viewport, categorie preselezionate. I rilievi sul banner portano una sola coppia di riferimenti, delibera CNIL 2020-091 e rapporto della Cookie Banner Taskforce dell’EDPB: non adattiamo la citazione al Garante o alla tua autorità nazionale. Se i pulsanti del banner non sono enumerabili, il verdetto sulla parità viene sospeso invece che indovinato. Avvia una scansione.
Domande frequenti
Il banner cookie è obbligatorio?
Sì se si usano cookie o tracker non essenziali e visitatori UE/UK possono raggiungere il sito. Base: art. 5(3) ePrivacy, art. 122 Codice Privacy in Italia, e art. 7 GDPR.
Cosa rende un banner non conforme?
Rifiuta nascosto dietro un link impostazioni, caselle preselezionate, tracking prima dell’interazione, niente toggle granulari, "continuando accetti", revoca difficile.
Servono Accetta E Rifiuta sullo stesso livello?
In Italia il Garante non impone un pulsante Rifiuta sul primo layer: le linee guida cookie (provvedimento 231 del 10 giugno 2021) accettano la X di chiusura come rifiuto valido sul primo layer, purché la chiusura non installi cookie non necessari. Dove il pulsante è richiesto in modo esplicito è la Francia, con la delibera CNIL 2020-091. La Cookie Banner Taskforce dell’EDPB riferisce che una larga maggioranza, non la totalità, delle autorità nazionali si aspetta un’opzione di rifiuto su ogni layer che porti un pulsante di consenso. Il design che va bene ovunque resta comunque questo: pulsanti equilibrati sul primo layer più link alle impostazioni granulari.
E il colore del pulsante Rifiuta?
Non esiste una regola di colore valida per tutta l’UE: la Cookie Banner Taskforce dell’EDPB ha rifiutato espressamente di imporre uno standard generale di colore o contrasto, e condanna solo il contrasto che rende il testo illeggibile. L’Italia è il caso più severo, perché il Garante chiede pari evidenza grafica per entrambe le opzioni. Il design sicuro ovunque: due elementi che si leggano entrambi come pulsanti, di dimensione e peso comparabili, differenziati dal colore e non dalla prominenza. Rendere Rifiuta grigio o stilizzarlo come testo corrente è il pattern che fa scattare i reclami.
Scopri a che punto è il tuo sito.
Esegui una scansione Veracly gratuita e ottieni un report multi-giurisdizione, EAA, GDPR, ADA, UK Equality Act, AODA, con fix pronte da incollare per gli sviluppatori.
Avvia scansione gratuita