Cookie banner e Consent Mode v2: cosa serve davvero a un sito italiano

Il cookie banner è la cosa che tutti mettono e quasi nessuno guarda. Finché non arriva il momento in cui serve dimostrare di essere in regola, oppure quello — più frequente — in cui le conversioni in Google Ads crollano della metà da un giorno all'altro e nessuno capisce perché.

I due problemi sono la stessa cosa. Proviamo a metterli in fila.

Quando il banner serve (e quando no)

Il consenso non serve per tutto. Servono due categorie da distinguere:

• Cookie tecnici: quelli senza cui il sito non funziona — la sessione di login, il carrello, la lingua scelta, la memoria del consenso stesso. Non richiedono consenso preventivo. Vanno però dichiarati nella cookie policy.
• Tutto il resto: analytics di terza parte, pixel pubblicitari, mappe, video incorporati, chat, font caricati da servizi esterni che profilano. Richiedono consenso prima di essere attivati.

Se il tuo sito è una vetrina statica senza Analytics, senza pixel e senza video YouTube incorporati, può non servirti nessun banner. È raro, ma succede — ed è un buon punto di partenza quando si progetta da zero.

Com'è fatto un banner che regge

Le linee guida del Garante italiano sui cookie hanno chiarito alcuni punti che nella pratica vengono ignorati di continuo:

• Rifiutare deve costare quanto accettare. Un pulsante “Accetta” grande e verde accanto a un “Preferenze” grigio nascosto in un angolo non è una scelta libera. Il rifiuto deve essere raggiungibile con un clic, allo stesso livello dell'accettazione.
• Lo scroll non è consenso. Continuare a navigare non vale come sì.
• Niente cookie prima del clic. È l'errore più diffuso: il banner è in pagina, ma lo script di Analytics o il pixel di Meta è già partito nel frattempo. Si verifica in trenta secondi con gli strumenti per sviluppatori del browser, scheda Rete, prima di toccare qualsiasi pulsante.
• La scelta deve essere revocabile e la revoca facile da trovare, di solito con un link in fondo a ogni pagina.
• Il consenso va conservato: serve poter dimostrare chi ha acconsentito e a cosa.

Su questo sito il meccanismo è volutamente minimo — consenso binario applicato al solo Analytics, perché è l'unica cosa che carico — ma rispetta questi punti. Se domani aggiungessi un pixel pubblicitario, quel banner non basterebbe più: servirebbe una gestione a categorie.

Consent Mode v2: cosa cambia davvero

Qui si passa dalla conformità ai soldi. Il Consent Mode è il meccanismo con cui i tag di Google (Analytics, Ads) vengono informati della scelta dell'utente. Dalla versione 2 i segnali sono quattro:

• analytics_storage — misurazione
• ad_storage — cookie pubblicitari
• ad_user_data — invio dei dati a Google per finalità pubblicitarie
• ad_personalization — remarketing e annunci personalizzati

Il punto che conta per chi fa campagne: senza questi segnali, per gli utenti europei Google limita le funzionalità di remarketing e la misurazione delle conversioni. Non è una minaccia teorica: si traduce in pubblici di remarketing che si svuotano e in conversioni che spariscono dai rapporti, con la campagna che continua a spendere ottimizzando su dati parziali.

Base o avanzata

Ci sono due modi di implementarlo, e la differenza è concreta.

• Modalità base: i tag di Google non vengono caricati affatto finché non c'è il consenso. Semplice, ma chi rifiuta è completamente invisibile.
• Modalità avanzata: i tag si caricano subito con tutti i consensi negati e inviano dei ping privi di cookie e di identificatori. Google usa quei segnali per stimare statisticamente le conversioni perse. Si recupera parte del dato, restando senza cookie per chi ha rifiutato.

Quale scegliere non è una decisione tecnica ma di rischio: la modalità avanzata è più efficace sul dato, ma implica che qualche informazione parta comunque prima della scelta dell'utente. Va valutata con chi ti segue sulla privacy, e va scritta nell'informativa.

L'errore che vedo più spesso

Il banner è stato installato correttamente, imposta i consensi a granted quando l'utente accetta — ma nessuno ha mai impostato lo stato di default a denied prima che i tag partano. Risultato: sul piano dei dati sembra tutto perfetto, perché tutto viene tracciato sempre. È esattamente il caso in cui si è fuori regola e non ci si accorge di niente, finché non arriva qualcuno a guardare.

Il secondo errore più comune è avere il banner giusto e il tag installato due volte, una dal codice del tema e una da Tag Manager: metà degli eventi contati doppi, consenso applicato solo a una delle due copie.

Come si verifica che funzioni

Tre controlli che puoi fare anche da solo, senza strumenti a pagamento:

• Prima del clic: apri il sito in una finestra anonima, apri gli strumenti per sviluppatori sulla scheda Rete, filtra per google-analytics o collect. Se parte qualcosa prima che tu abbia scelto, c'è un problema.
• Dopo il rifiuto: controlla nella scheda Applicazione che non siano stati scritti cookie di terza parte.
• Dopo l'accettazione: in Google Tag Assistant, o nei rapporti in tempo reale di GA4, deve comparire la visita. Nel debug dei tag i quattro segnali di consenso devono risultare concessi.

Se i numeri di GA4 e quelli della piattaforma pubblicitaria divergono in modo sospetto, il banner è il primo posto dove guardare, prima di dare la colpa alle campagne. È il lavoro che descrivo nella pagina sul tracciamento delle conversioni.

I testi delle informative

Privacy policy e cookie policy non si copiano da un altro sito: devono elencare i servizi che tu usi davvero, chi tratta i dati per tuo conto, dove finiscono e per quanto tempo restano. Un'informativa copiata è, semplicemente, un documento falso.

Per i progetti dei clienti mi appoggio a un generatore fatto da chi si occupa di diritto digitale, che tiene aggiornati i testi quando cambiano le regole e produce anche il banner: l'ho messo tra gli strumenti che consiglio. Costa poche decine di euro l'anno ed evita la parte in cui si improvvisa.

La versione corta

Blocca tutto prima del consenso, rendi il rifiuto facile quanto l'accettazione, imposta i quattro segnali del Consent Mode con default negato, verifica con gli strumenti del browser che sia vero, e fai scrivere le informative a chi lo fa di mestiere. Fatto una volta bene, non ci pensi più — e i dati delle campagne tornano a significare qualcosa.

Se vuoi che dia un'occhiata al tuo, scrivimi su WhatsApp: il controllo iniziale lo faccio in mezz'ora e ti dico subito se c'è qualcosa da sistemare.