Cos’è un audit GDPR dei cookie? (E come superarlo nel 2026)
Un audit GDPR dei cookie verifica il consenso prima di qualsiasi cookie o tracker non essenziale. Cosa guarda il Garante, i fallimenti più comuni e come superarlo.
Il GDPR ha otto anni, e il fallimento di compliance più comune sui siti PMI è ancora il banner cookie. Ogni autorità europea ha pubblicato le proprie linee guida; quasi tutte hanno emesso almeno una multa. L’asticella non è alta, è specifica.
Un audit GDPR dei cookie è la verifica strutturata che indica se il sito reggerebbe un controllo del Garante, della CNIL, dell’ICO o dell’AEPD. Questo articolo descrive cosa fa l’audit, quali regole applica e i fallimenti più frequenti sui siti PMI.
Le basi legali, in chiaro
Due norme. La direttiva ePrivacy (art. 5(3)) e, in Italia, l’art. 122 del Codice Privacy: richiedono consenso prima che qualunque informazione non strettamente necessaria sia memorizzata o letta sul dispositivo. Il GDPR (art. 4(11), art. 7) definisce il consenso valido: libero, specifico, informato, univoco e revocabile con la stessa facilità con cui è stato dato.
Cosa controlla l’audit, passo per passo
1. Cattura del traffico al primo caricamento
L’audit visita il sito come un utente nuovo e registra ogni cookie impostato, ogni scrittura su localStorage e ogni richiesta di rete prima dell’interazione con il banner. Tutto ciò di non essenziale qui è una violazione.
2. Inventario di cookie e storage
L’audit elenca ogni cookie e ogni chiave di storage, con il dominio che l’ha impostata. Nient’altro: registriamo nome e dominio, mai il valore, e né la durata né la finalità di un cookie sono leggibili sulla rete, quindi non le riportiamo. Non confrontiamo neppure automaticamente l’inventario con la tua cookie policy, perché il raffronto tra dichiarato e osservato è un lavoro di lettura, non un controllo automatico. Fallo tu, il nostro inventario da una parte e la tua policy dall’altra. La maggior parte delle cookie policy delle PMI sono modelli scaduti, e le autorità le leggono.
3. Design del banner
Le autorità hanno indicato cinque schemi. Due si giudicano dal markup del banner, e sono quelli che Veracly controlla automaticamente:
- Pulsanti Accetta e Rifiuta di pari peso al primo livello. Nascondere "Rifiuta" dietro un link impostazioni non è consenso libero. Il 31 dicembre 2021 la CNIL ha sanzionato Google per 150 M€ e Facebook Ireland per 60 M€ proprio per questo. Confrontiamo i due controlli così come stanno nel DOM: tipo, visibilità e peso visivo. È un’ispezione del design, non una prova di ciò che accade dopo un clic.
- Nessuna casella preselezionata. Ogni categoria, analytics, marketing, funzionale, deve essere disattivata di default.
Gli altri tre pesano allo stesso modo e non si risolvono con una singola istantanea della pagina. Percorrili tu:
- Categorie granulari. Un singolo "accetta tutto" non basta.
- Revoca facile come il consenso, link "Cookie" permanente nel footer.
- Niente dark pattern. Niente countdown, "continuando accetti", "interesse legittimo" per la pubblicità.
4. Prova del consenso
Il GDPR richiede di poter dimostrare il consenso di ciascun visitatore. Una CMP moderna lo fa; i banner artigianali quasi mai.
5. Comportamento degli script di terze parti
Veracly cattura ogni script di terze parti, ogni cookie e ogni scrittura di storage che parte prima di qualsiasi gesto di consenso, lo stato pre-consenso che interessa di più alle autorità. Non clicchiamo mai il tuo banner, ed è una scelta: un clic sarebbe esso stesso un gesto di consenso e inquinerebbe la misura che siamo venuti a prendere. Per questo non esiste nemmeno una passata post-consenso. Per verificare che gli script rispettino una scelta una volta fatta, percorri tu ogni strada, "Accetta tutto", "Rifiuta tutto" e ogni consenso parziale, in una finestra privata nuova con la scheda Rete aperta. Errore frequente: uno script che parte comunque dopo Rifiuta, di solito per un tag manager configurato male.
I fallimenti più comuni sulle PMI
Meta Pixel che parte al pageload. Lo snippet va in <head> e si attiva subito. In UE è violazione ad ogni visita.
Google Analytics senza gate di consenso. Consent Mode v2 non è configurato nella maggior parte delle PMI.
Hotjar/Microsoft Clarity/Hubspot registrano prima del consenso. I session-recorder catturano input, senza consenso è violazione ePrivacy chiara.
"Continuando ad usare il sito acconsenti". Rifiutato da tutte le autorità. Da sostituire oggi.
Come superare l’audit
- Installare una CMP reale che registra il consenso (Iubenda, Cookiebot, Usercentrics, OneTrust).
- Spostare ogni script di analytics, pubblicità e recording dietro il consent gate.
- Banner con pulsanti pari, nessuna preselezione, toggle granulari.
- Link "Cookie" permanente nel footer.
- Rigenerare la cookie policy per riflettere la realtà.
- Rieseguire la scansione pre-consenso, poi percorrere di persona le strade Accetta e Rifiuta in finestra privata.
La conformità cookie si rompe in silenzio. Marketing aggiunge un tag, un dev integra una chat, un terzo aggiorna lo script. L’unico schema che funziona per le PMI: scansione di base, fix, poi scansioni programmate che ricostruiscono ogni volta l’inventario, così le novità compaiono nel report successivo.
È ciò che fa Veracly, scansione di base gratuita su una pagina, poi scansioni programmate nei piani a pagamento. Sugli avvisi siamo precisi: ricevi un’email quando un report è pronto, e un alert quando il punteggio medio scende oltre la soglia che hai impostato. Non confrontiamo ancora gli elenchi di rilievi o di tracker tra una scansione e l’altra, quindi un tracker nuovo ti arriva come calo di punteggio e come riga del report successivo, non come notifica di "nuovo tracker". Avvia una scansione.
Domande frequenti
Cos’è un audit GDPR dei cookie?
È la verifica strutturata che il consenso venga raccolto prima di qualsiasi cookie o tracker non essenziale. Registra le richieste verso terze parti al primo caricamento, e il nome e il dominio di ogni cookie e chiave di storage scritti prima di qualsiasi gesto di consenso. Confrontare quell’inventario con la cookie policy pubblicata è il passaggio manuale successivo.
Quali cookie richiedono consenso?
I cookie strettamente necessari (sessione, sicurezza, bilanciamento, memorizzazione del consenso) no. Tutti gli altri sì, analytics, pubblicità, personalizzazione, A/B testing, session-recording, e ogni widget di terze parti con cookie propri.
GA4 è conforme al GDPR di default?
No. GA4 richiede consenso esplicito in UE prima che qualunque dato lasci il browser, IP anonimizzato e archiviazione UE quando disponibile. Il Garante italiano e la CNIL hanno dichiarato illegittime configurazioni specifiche. Consent Mode v2 non è un obbligo di legge: è una condizione di prodotto imposta da Google per le funzionalità pubblicitarie nel SEE.
Quanto è la multa per un banner non conforme?
Molto variabile. Il 10 dicembre 2020 la CNIL ha inflitto 100 M€ a Google in un’unica decisione (60 M€ a Google LLC e 40 M€ a Google Ireland) per cookie pubblicitari installati senza consenso; il 31 dicembre 2021, 150 M€ a Google e 60 M€ a Facebook Ireland per aver reso il rifiuto più difficile dell’accettazione. Il 1° settembre 2025 la CNIL ha sanzionato Google per 325 M€ e SHEIN per 150 M€. Gli operatori più piccoli pagano molto meno: l’autorità olandese AP ha sanzionato AS Watson (Kruidvat) per 600 000 €, ridotti a 50 000 € in sede di riesame nel giugno 2025. Contano prima natura, gravità e durata della violazione; fatturato e numero di visitatori coinvolti sono aggravanti, non il punto di partenza.
Scopri a che punto è il tuo sito.
Esegui una scansione Veracly gratuita e ottieni un report multi-giurisdizione, EAA, GDPR, ADA, UK Equality Act, AODA, con fix pronte da incollare per gli sviluppatori.
Avvia scansione gratuita