Il consenso non è per sempre

Una volta che un visitatore ha fatto una scelta, dovresti ricordarla per non infastidirlo a ogni pagina. Ma una scelta memorizzata non dura indefinitamente. Le circostanze cambiano, si aggiungono strumenti e una decisione presa molto tempo fa potrebbe non riflettere più ciò che il visitatore sceglierebbe oggi. Questa checklist ti aiuta a definire regole sensate di scadenza e di nuova richiesta.

Cosa dicono le norme (e cosa no)

Il GDPR non fissa una data di scadenza precisa per il consenso. Nella pratica, le indicazioni delle autorità colmano la lacuna. La CNIL francese, per esempio, raccomanda di conservare la scelta del visitatore per circa sei mesi prima di chiedere di nuovo, e afferma che la durata dei cookie di tracciamento stessi non dovrebbe superare i 13 mesi. Altre autorità non hanno fissato numeri esatti. Consulta l’autorità competente per il tuo pubblico e documenta il periodo che scegli.

Checklist 1: impostare la durata predefinita

• Scegli una durata del consenso e scrivila. Da sei a dodici mesi è un intervallo comune; scegli l’estremo più breve dove la tua autorità lo suggerisce.
• Memorizza la data in cui è stata fatta la scelta, non solo la scelta.
• Applica la stessa logica di durata al cookie o alla voce di archiviazione che contiene il registro del consenso.
• Assicurati che la scelta memorizzata scada lato server o nella tua logica, non solo nel browser.

Checklist 2: definire i trigger di nuova richiesta

Chiedi di nuovo al visitatore, indipendentemente dall’età della scelta memorizzata, quando:

• Aggiungi una nuova finalità. Un nuovo utilizzo dei dati non è mai stato coperto dalla scelta precedente.
• Aggiungi un nuovo fornitore o partner che tratta i dati in un modo non dichiarato in precedenza.
• La tua informativa sulla privacy o sui cookie cambia in modo sostanziale.
• La versione del banner cambia in un modo che altera le scelte offerte.
• La scelta memorizzata è mancante, corrotta o illeggibile.

Collega tutto questo a un numero di versione del consenso che incrementi quando accade una qualsiasi delle cose sopra. Una scelta memorizzata con una versione più vecchia fa comparire il banner.

Checklist 3: proteggere l’esperienza del visitatore

• Non richiedere il consenso con un timer all’interno di una singola sessione.
• Non richiedere di nuovo a un visitatore che ha rifiutato solo per stancarlo; rispetta un rifiuto per l’intero periodo, a meno che non si verifichi un trigger genuino.
• Mantieni un link permanente nel footer così i visitatori possono cambiare idea in qualsiasi momento, senza attendere la scadenza.
• Rendi la revoca del consenso facile quanto darlo.

Checklist 4: gestire i casi limite

• Cookie cancellati. Il banner ricomparirà. È previsto; non cercare di aggirarlo con il fingerprinting.
• Più domini o sottodomini. Decidi se una scelta è condivisa tra di essi e rendi il comportamento coerente.
• App. Memorizza la scelta e la sua data nell’archiviazione dell’app e chiedi di nuovo dopo gli aggiornamenti dell’SDK che aggiungono utilizzi dei dati.
• Cambi di regione. Se un visitatore passa a una giurisdizione diversa, verifica se le tue regole debbano applicarsi in modo diverso.

Checklist 5: conservare le prove

• Registra timestamp, versione del banner e scelta per ogni consenso.
• Tieni un registro delle modifiche con quando e perché hai cambiato la durata o il numero di versione.
• Rivedi le impostazioni ogni trimestre insieme al tuo inventario dei cookie.

Dove si colloca FlexyConsent

FlexyConsent è certificata da IAB Europe e IAB Canada, supporta IAB TCF 2.4 e Google Consent Mode v2 e copre regioni tra cui UE, SEE, Regno Unito, stati USA, Canada e Québec. Qualunque piattaforma tu usi, verifica come memorizza la scelta e cosa fa scattare una nuova richiesta, e confrontalo con le regole che hai scritto sopra.

Punti chiave

• Il consenso dovrebbe scadere; non esiste un unico numero di legge, quindi scegli un periodo, scrivilo e consulta le indicazioni della tua autorità.
• Richiedi di nuovo quando cambiano finalità, fornitori, informative o scelte del banner, usando un numero di versione del consenso.
• Non infastidire i visitatori che hanno rifiutato senza un vero trigger.
• Mantieni un modo sempre disponibile per cambiare o revocare il consenso.
• Registra timestamp, versione e scelta e rivedi le regole ogni trimestre.