Cookie e GDPR: tutto quello che c'è da sapere nel 2026
Cookie e GDPR: due termini che ogni editore di siti web incontra quotidianamente, ma che pochi padroneggiano realmente. Tra il regolamento europeo, la direttiva ePrivacy, le raccomandazioni delle autorità garanti e le sanzioni che si accumulano, il quadro giuridico è denso. Questa guida fa il punto su tutto ciò che c’è da sapere nel 2026 per essere in conformità.
Le tre categorie di cookie
Cookie strettamente necessari
Esenti dal consenso: autenticazione, carrello, sicurezza.
Cookie di misurazione d’audience
Esenzione dal consenso a condizioni rigorose: dati anonimi, uso esclusivo dall’editore, nessun incrocio con altri trattamenti, durata limitata a 13 mesi.
Cookie marketing e pubblicitari
Necessitano sempre di consenso esplicito e preventivo.
Cosa dice il GDPR esattamente
Articolo 4(11): la definizione del consenso
Quattro condizioni cumulative: libero, specifico, informato, inequivocabile.
Articolo 7: le condizioni del consenso
Prova del consenso, separazione delle finalità, diritto di revoca.
Articolo 6: la base giuridica del trattamento
Per i cookie non essenziali, l’unica base giuridica applicabile è il consenso.
Cosa dice la direttiva ePrivacy
L’articolo 5(3) della direttiva 2002/58/CE pone il principio: qualsiasi azione volta a archiviare informazioni o ad accedere a informazioni già archiviate nel terminale di un utente necessita del consenso preventivo, salvo se l’archiviazione è strettamente necessaria.
Checklist di conformità cookie 2026
Prima del deposito di cookie
- Nessun cookie non essenziale depositato prima della raccolta del consenso
- Script di terze parti bloccati tecnicamente
- Inventario completo dei cookie mantenuto aggiornato
Il banner di consenso
- Pulsante “Accetta tutto” e “Rifiuta tutto” allo stesso livello
- Stessa dimensione, stessa visibilità
- Consenso granulare per finalità disponibile
Dopo il consenso
- Meccanismo di revoca accessibile in ogni momento
- Scelte conservate per 6 mesi massimo
- Rifiuto effettivamente rispettato
La prova
- Ogni scelta registrata con data/ora e identificatore unico
- Prova archiviata lato server
Scegliere il buon strumento
Cookilio è stato progettato da DPLIANCE per rispondere esattamente a questi criteri. Widget Preact ultra-leggero, zero script eseguiti prima del consenso, prova di consenso server-side con correlation ID, e auto-hosting sui vostri server.
Scoprire Cookilio — a partire da 9 EUR +IVA/mese.
FAQ
I cookie sono coperti dal GDPR o dalla direttiva ePrivacy?
I due testi si applicano in modo complementare. La direttiva ePrivacy regola specificamente il deposito e la lettura di cookie. Il GDPR si applica non appena i dati raccolti permettono di identificare una persona.
Google Analytics necessita del consenso?
Sì, nella maggioranza delle configurazioni. Le configurazioni standard di Google Analytics non soddisfano i criteri di esenzione.
Fonti: CNIL, Garante italiano per la protezione dei dati personali, GDPR.eu, EDPB.