La promessa del “nessun banner necessario”

Gli strumenti di analytics orientati alla privacy si presentano spesso come privi di cookie, e alcuni arrivano a suggerire che non serva più un banner di consenso. Per un publisher con uno stack snello, è un’idea allettante. La realtà è più sfumata. Se serva o meno il consenso dipende da ciò che lo strumento fa davvero sul dispositivo, dai dati che tratta, da dove si trovano i tuoi utenti e da cos’altro gira sulle tue pagine.

Questo articolo spiega le domande da porsi prima di togliere l’analytics dalla tua configurazione del consenso. È una guida generale, non una consulenza legale.

I cookie non sono l’unico fattore scatenante

Nell’UE, la regola sul consenso per i dispositivi deriva dall’articolo 5, paragrafo 3, della direttiva ePrivacy. Riguarda l’archiviazione di informazioni nel dispositivo di un utente, o l’accesso a informazioni già presenti — non solo i cookie. Local storage, session storage, pixel che causano la lettura di informazioni e tecniche che ricavano identificatori dalle caratteristiche del dispositivo possono rientrarvi. Il Comitato europeo per la protezione dei dati ha esposto questa lettura ampia nelle sue Linee guida 2/2023 sull’ambito tecnico dell’articolo 5, paragrafo 3.

Quindi “non impostiamo cookie” è l’inizio dell’analisi, non la fine. Devi sapere se lo strumento archivia o legge qualcosa sul dispositivo.

Quattro domande da porre a qualsiasi strumento di analytics

1. Archivia o legge qualcosa sul dispositivo?

Controlla i pannelli di archiviazione del browser dopo il caricamento di una pagina: cookie, local storage, session storage, IndexedDB. Esamina lo script alla ricerca di codice che raccoglie le caratteristiche del dispositivo per costruire un identificatore. Se qualcosa viene archiviato o letto a fini di analytics, scatta la regola ePrivacy, salvo che si applichi un’esenzione.

2. Tratta dati personali?

Anche senza archiviazione sul dispositivo, l’analytics di solito tratta indirizzi IP, user agent e URL delle pagine. Ai sensi del GDPR possono essere dati personali. Ciò richiede una base giuridica — che può essere il legittimo interesse anziché il consenso — oltre a trasparenza nell’informativa sulla privacy, minimizzazione dei dati e conservazione adeguata. “Nessun banner” non significa mai “nessun obbligo”.

3. Si applica un’esenzione nei paesi dei tuoi utenti?

Alcune autorità di controllo riconoscono che una misurazione limitata del pubblico può essere esente dal consenso se sono rispettate condizioni rigorose. La CNIL francese ha pubblicato le condizioni per esentare i tracker di misurazione del pubblico e mantiene un programma che individua gli strumenti configurabili per rispettarle. Le condizioni comprendono tipicamente un uso strettamente di prima parte, solo statistiche aggregate, nessun tracciamento tra siti e una conservazione limitata. La Data (Use and Access) Act 2025 del Regno Unito ha introdotto nuove eccezioni al requisito di consenso della PECR, anche per alcune finalità statistiche, subordinate a condizioni come un’informazione chiara e un modo per opporsi. Non tutti i paesi adottano la stessa posizione, quindi verifica la situazione in ogni mercato che servi e quali disposizioni siano in vigore.

4. I dati sono condivisi con qualcun altro?

Se lo strumento invia dati a un fornitore che li usa per scopi propri, o li combina tra clienti, le esenzioni in genere decadono. Leggi le condizioni di trattamento, non solo la pagina di marketing.

Cosa richiede ancora di solito il consenso

• I tag pubblicitari. I publisher finanziati dalla pubblicità hanno bisogno del consenso per la pubblicità personalizzata e per l’archiviazione sul dispositivo da parte dei fornitori pubblicitari, qualunque cosa faccia il loro strumento di analytics.
• Gli strumenti con identificatori tra sessioni. Gli ID visitatore persistenti, anche di prima parte, tendono a portare uno strumento fuori dalla maggior parte delle esenzioni.
• La riproduzione delle sessioni e le mappe di calore. Catturano un comportamento dettagliato e raramente sono trattate come misurazione esente.
• I contenuti incorporati e i widget social. Impostano cookie e identificatori propri.
• I pixel di conversione e remarketing. Esistono per collegare il comportamento alla pubblicità.

Per la maggior parte dei siti finanziati dalla pubblicità, il banner è comunque necessario per lo stack pubblicitario. La vera domanda è se l’analytics debba essere una delle categorie soggette a consenso o se possa funzionare in modo indipendente in base a una stretta esenzione.

Un modo pratico per decidere

1. Elenca ogni script di analytics e ciò che archivia, legge e invia.
2. Individua i paesi in cui si trova la maggior parte dei tuoi utenti.
3. Per ogni strumento, verifica se la sua configurazione soddisfa un’esenzione riconosciuta in quei paesi.
4. Configura lo strumento nella versione più rigorosa di cui hai bisogno: troncamento dell’IP, nessun ID persistente, conservazione breve, nessuna condivisione dei dati.
5. Documenta il ragionamento e mantieni in ogni caso lo strumento di analytics elencato nella cookie policy e nell’informativa sulla privacy.
6. Ricontrolla quando il fornitore cambia il prodotto o cambiano i tuoi mercati.

Far convivere un’analytics esente con un CMP

Se decidi che uno strumento ne ha i requisiti, indicalo nel tuo CMP come strettamente necessario o esente, in modo che sia dichiarato ma non soggetto a consenso, e assicurati che la sua configurazione resti entro i limiti dell’esenzione. Molti publisher mantengono anche una configurazione di analytics dipendente dal consenso per una misurazione più ricca e usano Google Consent Mode v2 o segnali analoghi per adattarla alla scelta dell’utente. FlexyConsent supporta Google Consent Mode v2 insieme a IAB TCF 2.4 e IAB GPP v1.1.

Punti chiave

• “Senza cookie” non significa automaticamente “consenso non necessario”; l’articolo 5, paragrafo 3, copre qualsiasi archiviazione o accesso sul dispositivo.
• L’analytics senza archiviazione sul dispositivo può comunque trattare dati personali e richiede una base giuridica e trasparenza.
• Esistono esenzioni per la misurazione del pubblico in alcuni paesi, ma con condizioni rigorose.
• Pubblicità, riproduzione delle sessioni e tag di remarketing richiedono ancora il consenso.
• Documenta perché uno strumento è trattato come esente e ricontrolla regolarmente.