GDPR e Cookie: cosa deve avere un sito web nel 2026

Articolo aggiornato ad agosto 2026

Dal 9 gennaio 2022 sono pienamente operative le Linee guida del Garante Privacy in materia di cookie e altri strumenti di tracciamento.

Non si tratta, tecnicamente, di un “nuovo GDPR”: il Regolamento europeo sulla protezione dei dati personali è applicabile già dal 2018. Le Linee guida del Garante hanno però chiarito e rafforzato le regole da seguire per cookie, strumenti di tracciamento, informative e raccolta del consenso.

A distanza di alcuni anni, vediamo quindi quali informazioni deve avere un sito web e come deve essere configurato il Cookie Banner nel 2026.

Informazioni OBBLIGATORIE da indicare sui siti Web

Gli obblighi variano in base al soggetto che gestisce il sito e all'attività svolta.

È importante precisare che non tutti questi obblighi derivano direttamente dal GDPR: alcuni derivano dalla normativa fiscale, societaria, sul commercio elettronico o sulla tutela dei consumatori.

Ditte individuali e titolari di Partita IVA

Sul sito devono essere presenti o facilmente accessibili i dati necessari a identificare il titolare dell'attività.

In particolare:

• ragione sociale o denominazione dell'attività;
• indirizzo della sede;
• Partita IVA, che deve essere indicata anche nella home page del sito;
• dati di iscrizione al Registro delle Imprese/REA, quando applicabili;
• recapiti che permettano di contattare il titolare;
• Privacy Policy;
• Cookie Policy, quando il sito utilizza cookie o altri strumenti di tracciamento.

È inoltre opportuno indicare un indirizzo PEC quando pertinente all'attività, fermo restando che gli obblighi specifici devono essere valutati in base alla forma giuridica e al servizio svolto.

Società di capitali: S.r.l., S.p.A. e S.a.p.a.

Per le società di capitali devono essere rese disponibili sul sito le informazioni societarie previste dalla normativa.

Tra queste:

• denominazione sociale;
• sede legale;
• ufficio del Registro delle Imprese presso cui la società è iscritta;
• numero di iscrizione al Registro delle Imprese;
• Partita IVA e codice fiscale;
• capitale sociale effettivamente versato, come risultante dall'ultimo bilancio;
• eventuale indicazione che la società è in liquidazione;
• per S.p.A. e S.r.l., eventuale indicazione della presenza di un unico socio.

A queste informazioni vanno aggiunte:

• Privacy Policy;
• Cookie Policy, quando applicabile;
• recapiti del titolare.

Società di persone: S.n.c. e S.a.s.

Anche le società di persone devono rendere chiaramente identificabile il soggetto che gestisce il sito.

È quindi opportuno indicare almeno:

• ragione sociale;
• sede;
• Partita IVA e codice fiscale;
• Registro delle Imprese presso cui la società è iscritta;
• numero di iscrizione;
• dati REA, quando applicabili;
• recapiti;
• Privacy Policy;
• Cookie Policy, se vengono utilizzati strumenti di tracciamento.

Gli obblighi relativi al capitale sociale versato e alla presenza del socio unico riguardano invece specificamente le società di capitali e non devono essere estesi indistintamente alle società di persone.

Associazioni

Anche il sito di un'associazione deve permettere di identificare chiaramente il soggetto responsabile.

È quindi consigliabile indicare:

• denominazione completa dell'associazione;
• sede;
• codice fiscale e, se presente, Partita IVA;
• recapiti;
• eventuale iscrizione a registri prevista per la specifica tipologia di ente;
• natura o qualifica dell'ente quando rilevante, ad esempio APS, ASD o ETS;
• Privacy Policy;
• Cookie Policy, se applicabile.

Gli obblighi specifici possono cambiare in funzione della natura dell'associazione e della sua eventuale iscrizione al RUNTS o ad altri registri.

Professionisti iscritti a un Albo

Per i professionisti che esercitano un'attività regolamentata è necessario fornire informazioni che consentano all'utente di identificare il professionista e verificarne la qualifica.

Tra queste possono rientrare:

• nome e cognome;
• Partita IVA;
• sede professionale;
• recapiti;
• Ordine o Collegio professionale di appartenenza;
• numero di iscrizione;
• titolo professionale;
• Stato membro nel quale il titolo è stato rilasciato, quando pertinente;
• eventuali riferimenti alle norme professionali applicabili;
• Privacy Policy;
• Cookie Policy, quando necessaria.

Per categorie professionali specifiche possono essere previsti ulteriori obblighi: è quindi sempre opportuno verificare anche le regole dell'Ordine professionale di appartenenza.

Per i siti e-commerce devono essere inoltre presenti

Un sito che permette di acquistare prodotti o servizi online necessita di informazioni ulteriori rispetto a un normale sito vetrina.

Devono essere fornite in modo chiaro, prima dell'acquisto, tutte le informazioni necessarie relative al venditore e al contratto.

Tra queste:

• identità e recapiti del venditore;
• caratteristiche essenziali dei prodotti o servizi;
• prezzi, imposte e costi aggiuntivi;
• eventuali spese di spedizione;
• condizioni di vendita;
• modalità e condizioni di pagamento;
• modalità e tempi di consegna o esecuzione;
• informazioni sulla garanzia legale;
• eventuali garanzie commerciali aggiuntive;
• condizioni e modalità per esercitare il diritto di recesso;
• eventuali casi nei quali il diritto di recesso è escluso;
• modalità di gestione dei reclami;
• informazioni sulle procedure di risoluzione extragiudiziale delle controversie, quando applicabili.

Attenzione alla vecchia piattaforma ODR europea

Molti e-commerce riportano ancora nelle proprie Condizioni di Vendita il collegamento alla piattaforma europea ODR per la risoluzione online delle controversie.

Questa informazione è oggi superata.

La piattaforma ODR europea è stata definitivamente dismessa il 20 luglio 2025.

Se sul proprio sito è ancora presente il vecchio collegamento alla piattaforma ODR, è quindi opportuno aggiornare le Condizioni di Vendita e verificare quali informazioni sulle procedure ADR siano attualmente applicabili all'attività.

REGISTRO DELLE PREFERENZE COOKIE

Quando il sito utilizza cookie o altri strumenti di tracciamento che richiedono il consenso, non è sufficiente mostrare semplicemente un banner.

Il sito deve essere in grado di gestire e documentare le preferenze espresse dall'utente.

Il sistema di gestione del consenso dovrebbe quindi consentire di registrare almeno:

• la scelta effettuata dall'utente;
• le categorie di cookie accettate o rifiutate;
• la versione dell'informativa o della configurazione a cui il consenso si riferisce;
• le informazioni necessarie a dimostrare la scelta effettuata.

Il GDPR richiede infatti al titolare di poter dimostrare che l'interessato abbia prestato il consenso quando il trattamento si basa su tale consenso.

Questo non significa necessariamente che la legge imponga un particolare software o uno specifico “registro cookie”: è il titolare, secondo il principio di accountability, che deve adottare una soluzione in grado di dimostrare e rispettare le preferenze raccolte.

Come deve essere fatto il Cookie Banner nel 2026?

Quando vengono utilizzati cookie o altri strumenti di tracciamento non tecnici, il banner deve permettere all'utente di scegliere liberamente.

Al primo accesso al sito, prima che venga acquisito il consenso, non devono essere installati cookie o attivati strumenti di tracciamento diversi da quelli tecnici.

Il Cookie Banner deve quindi:

• permettere all'utente di accettare i cookie non necessari;
• permettere di rifiutarli o proseguire senza accettarli, ad esempio attraverso un apposito comando o una “X” che abbia chiaramente questa funzione;
• permettere di scegliere le categorie di cookie o strumenti di tracciamento da autorizzare;
• consentire di accedere all'informativa completa;
• permettere successivamente di modificare o revocare le proprie preferenze.

Le categorie di cookie non necessari non devono essere preselezionate in modo da considerare automaticamente prestato il consenso.

Lo scroll della pagina vale come consenso?

No, il semplice scrolling della pagina non costituisce normalmente un consenso valido.

Un comportamento dell'utente può essere considerato valido solo quando permette di dimostrare in modo inequivocabile la volontà di prestare il consenso.

Per un normale sito web, quindi, è corretto utilizzare un comando esplicito attraverso il quale l'utente effettua la propria scelta.

Cookie wall e Pay or Consent

Anche il tema del cosiddetto cookie wall si è evoluto rispetto al 2022.

Un sistema nel quale l'unica possibilità per accedere al sito è accettare cookie di profilazione può compromettere la libertà del consenso.

Negli ultimi anni si sono però diffusi sistemi denominati “Pay or Consent”, “Pay or Ok” o “Consent Paywall”, nei quali all'utente viene offerta la possibilità di scegliere tra il consenso alla profilazione e un accesso alternativo a pagamento.

Questi modelli non possono essere considerati automaticamente leciti o illeciti in ogni circostanza.

È necessario verificare concretamente se il consenso ottenuto possa essere considerato realmente libero, informato e specifico e se l'alternativa proposta all'utente sia adeguata.

La materia è ancora oggetto di particolare attenzione da parte delle autorità europee e del Garante Privacy.

L'utente deve poter aggiornare le proprie preferenze

Il consenso non deve essere una scelta irreversibile.

Sul sito dovrebbe quindi essere sempre disponibile un comando facilmente individuabile, ad esempio:

“Gestisci preferenze cookie”

attraverso il quale l'utente possa:

• controllare le preferenze già espresse;
• accettare nuove categorie;
• rifiutare categorie precedentemente accettate;
• revocare il consenso.

Revocare il consenso deve essere semplice quanto prestarlo.

Dopo quanto tempo posso chiedere nuovamente il consenso?

Una delle indicazioni introdotte dalle Linee guida riguarda la ripresentazione del banner.

Se l'utente ha già effettuato una scelta, il sito non deve continuare a chiedere il consenso ad ogni visita.

Il banner può essere nuovamente presentato, ad esempio, quando:

• sono cambiate in modo significativo le condizioni del trattamento;
• sono cambiati i cookie o le terze parti coinvolte;
• è impossibile sapere se una scelta sia già stata effettuata, ad esempio perché l'utente ha cancellato i cookie;
• sono trascorsi almeno sei mesi dalla precedente presentazione del banner.

La regola dei sei mesi non significa però che il consenso “scada automaticamente” ogni sei mesi.

Significa che, nelle condizioni previste dalle Linee guida, dopo tale periodo può essere nuovamente proposta all'utente la richiesta di consenso.

Cookie analytics di terze parti: serve il consenso?

Qui è importante correggere una delle semplificazioni più diffuse negli anni scorsi.

I cookie analytics non sono automaticamente cookie tecnici.

Possono però essere assimilati ai cookie tecnici quando vengono utilizzati esclusivamente per produrre statistiche aggregate e vengono adottate misure che riducono significativamente la possibilità di identificare gli utenti.

Quando l'analisi viene svolta da una terza parte, i dati devono essere adeguatamente minimizzati e non devono essere:

• combinati con altre elaborazioni;
• utilizzati per profilare gli utenti;
• trasmessi ad ulteriori soggetti per finalità differenti.

Solo quando ricorrono le condizioni previste dal Garante possono essere applicate agli analytics le regole previste per i cookie tecnici.

Non è quindi corretto affermare genericamente che qualsiasi cookie analytics di terze parti possa essere installato senza consenso.

La configurazione concreta dello strumento deve essere verificata.

Qual è la base giuridica per i cookie?

Per l'installazione o l'utilizzo di cookie e strumenti di tracciamento non tecnici per i quali la normativa richiede il consenso, non è possibile sostituire il consenso con il semplice legittimo interesse.

Per i cookie tecnici necessari al funzionamento del sito, invece, il consenso non è richiesto.

È quindi fondamentale classificare correttamente gli strumenti presenti sul sito prima di configurare il banner.

Non esistono soltanto i cookie

Le regole non riguardano esclusivamente i classici file cookie.

Un sito può utilizzare anche altre tecnologie capaci di identificare, seguire o profilare un utente, ad esempio:

• pixel;
• tag;
• SDK;
• local storage;
• fingerprinting;
• script pubblicitari;
• strumenti incorporati di terze parti;
• widget social;
• video o mappe esterne che effettuano tracciamento.

Per questo motivo verificare soltanto l'elenco dei cookie presente nella Cookie Policy non è sufficiente.

È necessario controllare che cosa viene effettivamente caricato dal sito prima e dopo la scelta dell'utente.

Privacy Policy e Cookie Policy devono essere aggiornate

Le informative devono descrivere ciò che avviene realmente sul sito.

È quindi importante aggiornarle quando vengono introdotti, rimossi o modificati strumenti come:

• Google Analytics;
• Google Ads;
• Meta Pixel;
• sistemi di remarketing;
• newsletter;
• CRM;
• strumenti di chat;
• video incorporati;
• mappe;
• plugin social;
• strumenti di marketing automation;
• altri servizi esterni.

Una Cookie Policy generata anni fa e mai aggiornata potrebbe non corrispondere più al reale comportamento tecnico del sito.

In sintesi: cosa controllare sul proprio sito nel 2026

Per verificare che un sito sia correttamente configurato è utile controllare:

1. che siano presenti tutti i dati obbligatori relativi al titolare o alla società;
2. che Partita IVA e informazioni societarie siano correttamente indicate;
3. che Privacy Policy e Cookie Policy siano aggiornate;
4. che siano identificati tutti i cookie e gli altri strumenti di tracciamento;
5. che i tracciatori non necessari siano bloccati prima del consenso;
6. che il Cookie Banner permetta realmente di accettare e rifiutare;
7. che sia possibile personalizzare le preferenze;
8. che l'utente possa successivamente modificare o revocare il consenso;
9. che gli strumenti analytics siano configurati correttamente;
10. che un e-commerce disponga di Condizioni di Vendita e informazioni precontrattuali aggiornate;
11. che siano stati eliminati eventuali vecchi riferimenti alla piattaforma europea ODR;
12. che il comportamento tecnico del sito corrisponda effettivamente a quanto dichiarato nelle informative.

Vuoi verificare se il tuo sito è aggiornato?

Le regole non riguardano soltanto la presenza formale di Privacy Policy, Cookie Policy e banner.

È necessario verificare anche come il sito si comporta realmente, quali servizi vengono caricati e quali dati vengono trasmessi prima e dopo il consenso.

Per controllare se il tuo sito è configurato correttamente e ricevere un preventivo per l'adeguamento GDPR e Cookie:

Contattaci: info@open-media.pro