Cookie: cosa sono, come funzionano e perché il 2026 sta per cambiarli per sempre

L'articolo in breve:

• Cos'è un cookie. Un cookie è un file di testo che un sito salva nel browser dell'utente per riconoscerlo nelle visite successive.
• Tecnici vs profilazione. I cookie tecnici non richiedono consenso; i cookie di profilazione sì, e deve essere preventivo, esplicito e revocabile.
• Il GDPR impone un consenso vero. Deve essere libero, specifico e informato: i dark pattern (tasto "rifiuta" nascosto, X che accetta) sono violazioni sanzionate.
• Il Digital Omnibus UE cambia le regole. Il 19 novembre 2025 la Commissione Europea ha presentato il Digital Omnibus: la proposta sposta la gestione del consenso direttamente nei browser, eliminando i banner cookie così come li conosciamo oggi.

Ogni giorno, milioni di utenti italiani cliccano "Accetta tutti" su un banner cookie senza leggere una riga di quello che stanno autorizzando. Non è pigrizia, è che quei banner sono diventati d'uso quotidiano e vengono ignorati.

Il risultato è un sistema dove la "tutela della privacy" esiste sulla carta ma non nella pratica. Chi gestisce un sito web o una strategia digitale non può permettersi questa ignoranza: i cookie sono dati, i dati sono responsabilità, e la responsabilità ha un costo in termini legali, tecnici e di reputazione.

Quindi partiamo dall'inizio. Cosa sono i cookie, come funzionano davvero, e perché il 2026 sta per cambiare le regole del gioco in modo radicale.

Cosa sono i cookie? La definizione tecnica, senza filtri

Un cookie contiene: un nome identificativo, un valore (l'informazione memorizzata), una data di scadenza, il dominio di appartenenza e alcune istruzioni di sicurezza (HttpOnly, Secure, SameSite, …). Quando torni su un sito già visitato, il browser invia automaticamente i cookie salvati per quel dominio: il sito li legge e "riconosce" il tuo browser.

Semplice nel meccanismo. Potenzialmente molto rilevante nelle implicazioni.

I tipi di cookie: una mappa per orientarsi.

Non tutti i cookie sono uguali. La distinzione fondamentale è tra cookie tecnici e cookie di profilazione, perché da qui dipende l'intero impianto normativo.

Cookie tecnici: necessari al funzionamento del sito: gestiscono la sessione (es. il carrello di un ecommerce), memorizzano le preferenze dell'utente (lingua, tema) e, se usati in forma aggregata e anonima, supportano le analytics di base. Per questi non è richiesto il consenso, ma devono essere descritti nella cookie policy.

Cookie di profilazione: raccolgono informazioni sul comportamento dell'utente per costruire un profilo e usarlo a fini pubblicitari o commerciali. Rientrano in questa categoria i pixel di Meta e Google Ads, i tag LinkedIn, le analytics avanzate (heatmap, session recording, funnel individuali). Per questi il consenso è obbligatorio, preventivo ed esplicito.

Una seconda distinzione riguarda l'origine: i cookie first-party sono impostati direttamente dal sito visitato; i cookie third-party provengono da domini esterni (piattaforme advertising, analytics di terze parti) e permettono il tracciamento cross-site, cioè seguire l'utente su siti diversi. Sono questi ultimi al centro della pressione normativa più intensa.

A cosa servono i cookie? Applicazioni reali.

Quando si parla di cookie, bisogna distinguere le cinque macro finalità con cui questi strumenti operano.

• Cookie necessari: sono l'infrastruttura invisibile del sito, si occupano di gestire l'hosting backend, ottimizzare la distribuzione del traffico per evitare rallentamenti, garantire la protezione dallo SPAM e far funzionare in sicurezza pagamenti e backup di sistema.
• Cookie funzionali: servono a ottimizzare l'interazione con l'utente, entrando in gioco quando un visitatore utilizza una live chat, compila un form per essere ricontattato, richiede assistenza tecnica, si autentica al proprio profilo o naviga in una sessione di web conference.
• Cookie di esperienza: permettono di mostrare media integrati da piattaforme esterne (come video o mappe), gestire la sezione commenti, integrare i pulsanti dei social network, somministrare sondaggi o erogare i feed RSS.
• Cookie di misurazione: vengono impiegati per raccogliere statistiche sull'uso delle pagine, condurre A/B test per capire quale versione di una risorsa funzioni meglio, eseguire registrazioni anonime delle sessioni e generare heatmap per ottimizzare l'usabilità.
• Cookie di marketing: è la categoria più orientata alla conversione e alle vendite. Traccia il comportamento del visitatore per alimentare le piattaforme pubblicitarie, gestire campagne di remarketing, supportare le reti di affiliazione e personalizzare i messaggi promozionali.

Cosa dice la normativa sui cookie nel 2026

Il quadro normativo sui cookie nasce dall'incrocio di due strumenti europei distinti.

La Direttiva ePrivacy (2002/58/CE, modificata nel 2009) richiede consenso preventivo e informato per qualsiasi cookie non tecnico. Si applica a qualsiasi meccanismo di tracciamento sul dispositivo: cookie, pixel, fingerprinting. In Italia è applicata dal Garante Privacy, che nel giugno 2021 ha pubblicato linee guida operative ancora in vigore.

Il GDPR (Reg. UE 2016/679) si applica ogni volta che i cookie trattano dati personali. Stabilisce che il consenso deve essere libero (non condizionato all'accesso al servizio), specifico, informato e inequivocabile; un atto positivo esplicito, mai una casella pre-spuntata.

Questo esclude per definizione i dark pattern: il tasto "accetta" verde e grande con il "rifiuta" nascosto in un menu secondario, la X che accetta invece di chiudere, i toggle preimpostati su "on". Il Garante italiano li considera violazioni e li sanziona. Nel 2026 l'enforcement è aumentato sia in frequenza che in entità.

Rendere un sito conforme non è banale. La normativa è tecnica, in continua evoluzione, e un'implementazione sbagliata è difficile da rilevare senza competenze specifiche. Per questo siamo Partner Gold Iubenda: supportiamo i nostri clienti nella gestione completa della cookie compliance, dalla cookie policy al banner conforme, fino alla configurazione della CMP.

Se vuoi capire se il tuo sito è davvero a norma, contattaci.

Cosa sta cambiando: il Digital Omnibus UE e la fine del cookie banner

Il 19 novembre 2025 la Commissione Europea ha presentato il pacchetto "Digital Omnibus", che propone una svolta radicale: spostare la gestione del consenso direttamente nei browser. L'utente imposta una volta le proprie preferenze privacy in Chrome, Safari o Firefox, e i siti sono obbligati a rispettarle automaticamente senza banner su ogni singolo sito.

L'idea circolava già dai tempi della Direttiva ePrivacy del 2009, ma era stata abbandonata. Ora la Commissione la riprende con una motivazione precisa: il sistema attuale non funziona. Oltre il 60% degli utenti accetta i cookie senza leggere nulla, rendendo il "consenso" ottenuto privo di significato reale.

Le tempistiche: una fase transitoria con banner semplificati è attesa per il 2026, mentre la gestione centralizzata nei browser richiederà l'aggiornamento tecnico dei produttori di browser, come Apple, Google e Mozilla (probabile entrata in vigore tra il 2027 e il 2028). Non mancano le critiche: centralizzare nel browser potrebbe rafforzare il potere delle Big Tech che li controllano. Il dibattito è aperto e le proposte potrebbero cambiare prima dell'approvazione definitiva.

Per le aziende, oggi: le regole attuali restano pienamente in vigore. Il 2026 non è ancora l'anno della rivoluzione operativa, ma è il momento giusto per mettere in ordine la propria compliance prima che il contesto diventi ancora più complesso.

Google Consent Mode v2 e Server-Side Tracking: cosa sono e perché contano

Due evoluzioni tecniche hanno già cambiato il modo di raccogliere e usare i dati per chi fa advertising.

Google Consent Mode v2 è obbligatoria per chi usa Google Ads e Analytics da marzo 2024. Quando l'utente rifiuta i cookie, non vengono inviati dati individuali, ma segnali anonimi che Google usa per modellare statisticamente le conversioni perse. Il risultato è una stima del rendimento delle campagne che tiene conto anche degli utenti che non hanno acconsentito, senza violare la loro privacy. Non perfetta per la precisione, ma legalmente solida e operativamente necessaria.

Il Server-Side Tracking è l'evoluzione tecnica che sposta il tracciamento dal browser a un server intermedio di proprietà dell'azienda. I vantaggi concreti: meno interferenze da ad blocker e dalle limitazioni ITP di Safari, controllo totale su cosa viene inviato alle piattaforme esterne, migliori performance del sito, maggiore sicurezza. Il consenso resta obbligatorio: i dati vengono comunque raccolti, ma l'architettura permette di implementarlo in modo più preciso e affidabile.

Cosa deve fare un'azienda oggi. La checklist operativa

Se gestisci un sito web aziendale, un ecommerce o una piattaforma digitale, ecco cosa non può mancare.

• Cookie Policy: obbligatoria sempre, anche se il sito non usa cookie di profilazione. Deve elencare tutti i cookie presenti, le finalità, la durata, i soggetti terzi coinvolti. Va aggiornata ogni volta che cambia la configurazione del sito.
• Banner cookie conforme: se il sito utilizza cookie non tecnici, il banner è obbligatorio. Deve permettere di rifiutare il tracciamento con la stessa semplicità con cui lo si accetta e garantire scelte granulari per categoria. In Italia le linee guida del Garante consentono l'uso della "X" in alto a destra per chiudere il banner e proseguire la navigazione mantenendo solo i cookie tecnici di default; mentre, in altri paesi europei, è obbligatorio un tasto "Rifiuta" ben visibile e contrapposto ad "Accetta".
• Blocco preventivo degli script: gli script di tracciamento devono essere bloccati prima del consenso. Non "caricati ma non attivati": proprio non caricati. È il requisito tecnico più spesso ignorato e più facilmente verificabile dalle autorità.
• CMP (Consent Management Platform): gestisce, registra e conserva i consensi. Non è obbligatoria per legge, ma è praticamente indispensabile per dimostrare la conformità in caso di ispezione.
• Link per aggiornare le preferenze: sempre accessibile, per permettere all'utente di cambiare idea in qualsiasi momento.
• Manutenzione continuativa: la normativa evolve, i plugin si aggiornano, i servizi di terze parti cambiano. La cookie compliance non è un progetto con una data di fine.

Perché questa materia riguarda chi fa business digitale, non solo i legali?

I cookie non sono solo un problema di compliance. Sono l'infrastruttura su cui poggia buona parte del marketing digitale: analytics, advertising, personalizzazione, misurazione delle conversioni.

Ogni cambiamento normativo impatta direttamente la qualità dei dati disponibili, l'efficacia delle campagne e la capacità di misurare il ROI. Chi ignora questa evoluzione lavora con dati sempre meno affidabili e strategie sempre meno ottimizzabili.

Chi invece la presidia con una CMP configurata correttamente, Consent Mode v2 attivo, o un'architettura di tracking aggiornata, ha un vantaggio competitivo concreto: dati più accurati, campagne più performanti, nessuna sorpresa dal Garante. Il futuro del tracking digitale non è la fine del dato. È la fine del dato raccolto male.

I cookie esistono da trent'anni e rimarranno, in una forma o nell'altra, ancora a lungo. Quello che cambia è il sistema di regole intorno a loro: più stringente, più controllato, e strutturalmente diverso da come lo abbiamo conosciuto fino a oggi.

Se gestisci un sito, un ecommerce o una strategia di advertising digitale, non puoi aspettare che il cambiamento arrivi per adeguarti. La finestra per farlo in modo ordinato è aperta ora. Contattaci per una verifica della tua cookie compliance.

Per approfondire. Le domande più frequenti sui cookie

Il sito di un piccolo professionista o di una PMI con poco traffico è comunque soggetto alla normativa cookie?

Sì, senza eccezioni. La normativa si applica a qualsiasi sito web accessibile da utenti europei, indipendentemente dalle dimensioni dell'azienda o dal volume di traffico. Non esiste una soglia minima. Le sanzioni del Garante hanno colpito realtà di ogni dimensione, e l'assenza di un banner conforme (o peggio, il mancato blocco preventivo degli script) è una violazione rilevabile con un semplice audit tecnico automatizzato. Le autorità ne fanno uso regolarmente.

Cosa succede se un utente revoca il consenso dopo averlo dato?

Il titolare del sito è obbligato a cessare il trattamento dei dati raccolti tramite cookie di profilazione dal momento della revoca in avanti. I dati già raccolti con consenso valido possono essere conservati nei limiti delle finalità originarie, ma non possono essere ulteriormente trattati. È per questo che la CMP deve non solo raccogliere i consensi, ma anche registrarli e gestirne le variazioni nel tempo, inclusa la revoca. Un sistema che non gestisce la revoca in modo tecnico ed efficace non è conforme.

I cookie di un plugin WordPress installato da terzi sono una responsabilità del proprietario del sito?

Sì. Il principio di accountability del GDPR stabilisce che il titolare del sito è responsabile di tutti i trattamenti che avvengono attraverso la propria piattaforma, inclusi quelli originati da plugin, temi o script di terze parti. Se un plugin installa cookie di profilazione senza che il proprietario del sito ne fosse consapevole, questo non costituisce un'esimente legale. È uno dei motivi per cui un audit tecnico periodico, che verifichi quali cookie vengono effettivamente installati, è parte integrante di una gestione seria della compliance.