Cookie e GDPR: la checklist che usiamo prima di andare online

Il GDPR non è un banner. Il banner è la parte visibile di un lavoro che si fa prima, e che il banner non risolve.

I tre pilastri, in quest'ordine

**La base legale.** Per ogni trattamento serve una base legale esplicita. Il consenso è una possibilità, non l'unica: per i cookie tecnici basta il legittimo interesse o l'esecuzione del contratto. Il consenso serve per il marketing e per la profilazione.

**La minimizzazione.** Si raccoglie il minimo indispensabile. Se un tag serve solo a capire quali pagine vengono visitate, probabilmente non serve un cookie per farlo.

**L'informativa.** Deve dire chi tratta, perché, con quali basi legali, per quanto tempo e con quali destinatari. In italiano, comprensibile, linkata da ogni pagina.

Il banner che sappiamo fare bene

Un banner conforme non nasconde nulla: elenca per categoria, dice che il consenso è revocabile, ha un rifiuto altrettanto facile da usare quanto l'accettazione, e ricorda la scelta. La metà delle persone non accetta: se il banner è aggressivo, state solo usando la paura.

I tag, il vero punto debole

Il consenso non si applica a uno script: si applica al caricamento dello script. Il banner deve bloccare i tag non essenziali fino al consenso, e la decisione deve valere per tutte le pagine, non solo per la prima.

Il registro dei cookie, che nessuno tiene

Un foglio con nome, categoria, durata, scopo e fornitore per ogni cookie. Si aggiorna quando si aggiunge un tag, ed è la prima cosa che si chiede in un audit.

Il punto pratico

Se il vostro sito non ha un registro dei cookie, iniziate da lì: è il documento che rende tutto il resto verificabile.