I cookies sono piccoli file di testo che i siti web salvano sul dispositivo dell’utente per ricordare preferenze, mantenere sessioni attive e raccogliere dati di navigazione. Esistono diversi tipi — tecnici, analitici, di profilazione — ciascuno con finalità e implicazioni legali diverse.
In questa guida trovi come funzionano i cookies, le differenze tra i vari tipi, cosa dice il GDPR, come implementare una cookie policy conforme nel 2026 e gli errori più comuni che espongono il sito a sanzioni.
Ogni volta che visiti un sito web, il tuo browser riceve e memorizza dei piccoli file chiamati cookies. Sono invisibili, pesano pochi kilobyte e svolgono funzioni essenziali: dal tenere aperto il carrello di un e-commerce al ricordare la lingua preferita, dal tracciare il comportamento di navigazione al personalizzare gli annunci pubblicitari. Nel 2026, con il GDPR pienamente applicato e il progressivo abbandono dei cookie di terze parti, capire cosa sono e come gestirli è fondamentale sia per chi naviga che per chi gestisce un sito web.
Cosa sono i cookies e come funzionano
Un cookie è un file di testo che un server web invia al browser dell’utente durante la visita di un sito. Il browser lo salva sul dispositivo (computer, smartphone, tablet) e lo reinvia al server a ogni visita successiva. In questo modo il sito “ricorda” l’utente: le sue preferenze, il fatto che ha effettuato il login, i prodotti nel carrello.
Il meccanismo è semplice: quando il browser richiede una pagina al server, il server risponde con il contenuto della pagina e, nell’intestazione HTTP, inserisce un’istruzione “Set-Cookie” con il nome, il valore e la durata del cookie. Da quel momento, a ogni richiesta successiva allo stesso dominio, il browser allega automaticamente quel cookie. Il server lo legge e “riconosce” l’utente.
📊 Cookies — i numeri che contano nel 2026
42
Cookie medi per sito
Un sito web medio installa 42 cookie al primo accesso. Molti provengono da servizi di terze parti integrati nella pagina.
80%
Utenti che rifiutano profilazione
In Europa, circa l’80% degli utenti rifiuta i cookie non essenziali quando il banner offre un’opzione chiara di rifiuto.
2025
Fine dei cookie terze parti
Google Chrome ha iniziato a deprecare i cookie di terze parti, cambiando radicalmente il tracking pubblicitario online.
20M€
Sanzione massima GDPR
La multa massima per violazioni GDPR relative ai cookie è 20 milioni di euro o il 4% del fatturato globale annuo.
I diversi tipi di cookies
Non tutti i cookies hanno la stessa funzione né le stesse implicazioni legali. La distinzione è fondamentale perché determina se serve il consenso dell’utente e come il cookie va dichiarato nella cookie policy.
⚙️
Cookie tecnici
Indispensabili per il funzionamento del sito: sessione, autenticazione, carrello, preferenze lingua. Non richiedono consenso preventivo, solo informativa.
📊
Cookie analitici
Raccolgono dati aggregati su come gli utenti utilizzano il sito: pagine visitate, durata, percorso. Se anonimizzati (es. GA4 con IP masking), non richiedono consenso.
🎯
Cookie di profilazione
Tracciano il comportamento dell’utente per creare profili personalizzati e mostrare pubblicità mirata. Richiedono sempre il consenso esplicito e preventivo.
🌐
Cookie di terze parti
Installati da domini diversi dal sito visitato (es. Facebook Pixel, Google Ads). In fase di eliminazione progressiva da parte dei browser. Richiedono consenso.
🏠
Cookie di prima parte
Creati dal dominio del sito visitato. Più affidabili e meno soggetti a restrizioni dei browser. Sono il futuro del tracking post-cookie di terze parti.
⏱️
Cookie di sessione vs persistenti
I cookie di sessione si cancellano alla chiusura del browser. I persistenti restano salvati fino alla scadenza impostata (giorni, mesi o anni).
Cookies e privacy: GDPR e normativa italiana
Dal 2018, il GDPR (Regolamento Generale sulla Protezione dei Dati) ha cambiato radicalmente il modo in cui i siti web devono gestire i cookies. In Italia, le Linee Guida del Garante Privacy del 2021 hanno ulteriormente precisato gli obblighi per i titolari dei siti. La gestione dei cookie è strettamente connessa al trattamento dei dati sensibili e dati personali: ogni cookie che permette di identificare un utente, anche indirettamente, è soggetto alla normativa sulla privacy.
Tipo di cookie
Consenso richiesto
Informativa
Rischio sanzione
Tecnici / necessari
No
Sì (cookie policy)
Basso
Analitici anonimizzati
No (se IP anonimo)
Sì
Basso
Analitici non anonimizzati
Sì
Sì
Medio
Di profilazione (1ª parte)
Sì (opt-in esplicito)
Sì + registro consensi
Alto
Di terze parti (marketing)
Sì (opt-in esplicito)
Sì + link policy terze parti
Alto
Social media widget
Sì
Sì
Medio-Alto
Per i siti che utilizzano strumenti di analytics, è importante sapere che esistono alternative a Google Analytics conformi al GDPR che non richiedono il consenso per i cookie, perché non raccolgono dati personali. L’adozione di questi strumenti semplifica la compliance e riduce il rischio di sanzioni.
Come gestire i cookies sul tuo sito web
Implementare una gestione corretta dei cookies non è solo un obbligo legale — è anche un’opportunità per costruire fiducia con gli utenti. Ecco i 6 passi per mettere in regola il tuo sito.
1
Mappa tutti i cookie del sito
Usa uno scanner automatico (Cookiebot, CookieYes, OneTrust) per identificare tutti i cookie installati dal tuo sito — compresi quelli di terze parti che spesso non conosci. Classifica ogni cookie per tipo, durata, finalità e dominio di appartenenza.
2
Scrivi la cookie policy
Redigi una cookie policy chiara e completa che elenchi ogni cookie con nome, finalità, durata e tipo. Deve essere accessibile da ogni pagina del sito (link nel footer) e scritta in linguaggio comprensibile, non in legalese. Includi le istruzioni per disattivare i cookie dal browser.
3
Implementa il banner di consenso
Il banner deve apparire al primo accesso e offrire tre opzioni chiare: accetta tutti, rifiuta tutti, personalizza. Il pulsante “rifiuta” deve essere ugualmente visibile rispetto ad “accetta” — non nascosto o in grigio. Il banner non deve impedire la navigazione (niente wall).
4
Blocca i cookie prima del consenso
I cookie non essenziali (analitici non anonimizzati, profilazione, terze parti) non devono essere installati prima che l’utente abbia dato il consenso. Questo richiede uno script di blocco preventivo che intercetti i cookie e li attivi solo dopo l’opt-in.
5
Registra e conserva i consensi
Ogni consenso deve essere registrato con data, ora, versione della policy e scelte dell’utente. In caso di controllo del Garante, devi poter dimostrare che il consenso è stato raccolto correttamente. Le piattaforme CMP (Consent Management Platform) gestiscono questo automaticamente.
6
Monitora e aggiorna periodicamente
I cookie cambiano ogni volta che aggiungi un plugin, un widget social o un nuovo strumento di analytics. Esegui una scansione almeno ogni 3 mesi e aggiorna la cookie policy di conseguenza. Uno strumento come Google Analytics 4, configurato con la consent mode, si adatta automaticamente alle scelte dell’utente.
Errori comuni nella gestione dei cookies
Molti siti italiani hanno implementato i cookie banner in modo formale ma non sostanziale, esponendosi a sanzioni che il Garante Privacy sta erogando con frequenza crescente. Ecco gli errori più diffusi.
⚠️ Errori di gestione cookie che causano sanzioni
Il Garante Privacy italiano ha sanzionato centinaia di siti per queste violazioni:
Cookie installati prima del consenso: molti siti attivano Google Analytics, Facebook Pixel o cookie di remarketing al caricamento della pagina, prima che l’utente abbia interagito con il banner. Questo viola il principio di opt-in preventivo.
Banner senza opzione “Rifiuta”: il GDPR richiede che rifiutare sia facile quanto accettare. Un banner con solo “Accetta” e “Personalizza” non è conforme. Il Garante considera manipolativo anche il design che rende “Rifiuta” meno visibile.
Cookie wall: bloccare l’accesso al sito finché l’utente non accetta i cookie è illegale in Europa. L’utente deve poter navigare anche rifiutando tutti i cookie non essenziali.
Cookie policy generica o assente: una policy che elenca genericamente “cookie tecnici e di profilazione” senza specificare nome, durata e finalità di ciascun cookie non è conforme. Deve essere dettagliata e aggiornata.
Nessun registro dei consensi: in caso di ispezione, devi dimostrare che ogni consenso è stato raccolto correttamente. Senza un sistema di registrazione, non puoi provarlo.
Per assicurarti che il tuo sito sia conforme alla normativa vigente e che la gestione dei cookie non comprometta né la compliance né l’esperienza utente, è consigliabile includere una verifica cookie in ogni progetto di realizzazione di siti web professionali, integrando la conformità privacy fin dalla fase di sviluppo.
Sito web a norma
Il tuo sito è conforme al GDPR per i cookie?
Un sito web professionale integra la conformità privacy fin dal progetto: cookie policy, banner, blocco preventivo e registro consensi — tutto a norma.
No, i cookies non sono virus né malware — sono semplici file di testo che non possono eseguire codice sul tuo dispositivo. Il rischio riguarda la privacy: i cookie di profilazione e di terze parti possono tracciare il tuo comportamento online su più siti per creare profili dettagliati a fini pubblicitari. Per questo il GDPR impone il consenso esplicito per questi tipi di cookie.
Cosa succede se rifiuto tutti i cookies?
Se rifiuti solo i cookie non essenziali (profilazione, marketing), il sito funziona normalmente perché i cookie tecnici restano attivi. Se disattivi anche i cookie tecnici dal browser, potresti avere problemi: il login non funziona, il carrello si svuota a ogni cambio pagina, le preferenze di lingua si resettano. In pratica, i cookie tecnici sono necessari per la navigazione base.
Come cancello i cookies dal mio browser?
In Chrome: Impostazioni → Privacy e sicurezza → Cancella dati di navigazione → seleziona “Cookie e altri dati dei siti”. In Firefox: Impostazioni → Privacy e sicurezza → Cookie e dati dei siti web → Elimina dati. In Safari: Preferenze → Privacy → Gestisci dati siti web → Rimuovi tutto. Puoi anche impostare il browser per cancellare automaticamente i cookie alla chiusura, ma questo ti disconnetterà da tutti i siti a ogni sessione.
Qual è la differenza tra cookie di prima e terza parte?
I cookie di prima parte sono creati dal dominio del sito che stai visitando (es. verycontent.it). I cookie di terza parte sono creati da domini diversi — servizi esterni integrati nella pagina come Google Analytics, Facebook, widget social o piattaforme pubblicitarie. La differenza è cruciale perché i browser stanno progressivamente bloccando i cookie di terze parti per proteggere la privacy degli utenti, mentre quelli di prima parte restano pienamente funzionanti.
Google Analytics usa i cookies?
Sì, Google Analytics 4 utilizza cookie di prima parte (il cookie principale è _ga, con durata di 2 anni) per identificare gli utenti unici e tracciare le sessioni. Se configurato con anonimizzazione IP e senza condivisione dati con Google per scopi pubblicitari, il Garante Privacy italiano ha indicato che può essere considerato un cookie analitico assimilabile ai tecnici. Tuttavia, la configurazione va fatta correttamente e la consent mode di GA4 deve essere attivata per rispettare le scelte dell’utente.
Cosa sono i cookie banner e sono obbligatori?
Il cookie banner è l’avviso che appare al primo accesso al sito e informa l’utente sull’uso dei cookie, chiedendone il consenso. È obbligatorio per tutti i siti web che installano cookie non tecnici (analitici non anonimizzati, di profilazione, di terze parti). Se il sito usa solo cookie tecnici, è sufficiente l’informativa nella cookie policy senza banner. Il banner deve offrire opzioni chiare di accettazione, rifiuto e personalizzazione, e non deve bloccare la navigazione.
