Cookie di profilazione

1. Definizione

Un cookie è di profilazione quando registra il comportamento dell’utente (pagine viste, prodotti guardati, campagna di provenienza, tempo di permanenza) per ricondurlo a un profilo e usarlo a fini pubblicitari o di marketing. La differenza con i cookie tecnici non sta in chi li installa, ma nella finalità: il cookie tecnico fa funzionare il sito, il cookie di profilazione osserva l’utente per raggiungerlo altrove. Le Linee guida del Garante del 10 giugno 2021 li assoggettano al consenso preventivo previsto dall’articolo 122 del Codice Privacy.

2. Esempi

I cookie di conversione e remarketing di Google Ads (_gcl). I cookie di Meta Pixel (_fbp, _fbc), che alimentano il retargeting su Facebook e Instagram. Il pixel di TikTok (_ttp). Il LinkedIn Insight Tag (li_fat_id). I cookie dei network di affiliazione, che attribuiscono la vendita al partner che ha portato il traffico. I pixel delle piattaforme di programmatic advertising. Anche i player video e i widget social incorporati nelle pagine possono installare cookie di profilazione: vanno bloccati finché l’utente non accetta.

3. Cookie di terze parti

Un cookie è di terza parte quando viene installato da un dominio diverso da quello che l’utente sta visitando. È il caso tipico dei pixel pubblicitari. Il titolare del sito resta responsabile di ciò che permette di installare sulle proprie pagine: deve informare l’utente, indicare i terzi coinvolti con il link alle rispettive informative e raccogliere il consenso prima dell’attivazione.

Sul piano tecnico lo scenario è cambiato meno del previsto. Ad aprile 2025 Google ha deciso di mantenere i cookie di terze parti attivi di default in Chrome, rinunciando al prompt di scelta, e nell’ottobre 2025 ha dismesso gran parte delle API di Privacy Sandbox. Safari li blocca dal 2020 e Firefox li isola dal 2022, quindi una quota consistente di traffico è già senza cookie di terze parti. Gli obblighi di consenso restano identici: sono una questione giuridica, non tecnologica.

4. Requisiti di consenso

Il consenso deve essere libero, specifico, informato e inequivocabile (articolo 4, punto 11 del GDPR) e va raccolto prima dell’installazione del cookie. In pratica significa: nessuna casella preselezionata, nessun tag che parte al caricamento della pagina, rifiuto facile quanto l’accettazione, scelta possibile per singola finalità, revoca sempre disponibile. Lo scroll della pagina o la semplice prosecuzione della navigazione non valgono come consenso. Il banner non può essere riproposto prima di sei mesi a chi ha già rifiutato, salvo cambiamenti nelle condizioni del trattamento. Il consenso va conservato come prova: data, ora, versione dell’informativa e scelta effettuata.

5. Cosa succede senza consenso

Installare cookie di profilazione senza un consenso valido espone alle sanzioni dell’articolo 83 del GDPR, fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Il Garante è intervenuto più volte su banner con consensi raccolti in modo scorretto: nel 2024 Italiaonline è stata sanzionata anche per caselle preselezionate e consenso raccolto in blocco, e nel 2025 sono arrivati provvedimenti su banner privi del comando di rifiuto.

C’è poi un effetto pratico che pesa quanto la sanzione. Senza il consenso comunicato correttamente a Google tramite Consent Mode v2, dal marzo 2024 il remarketing e la misurazione delle conversioni non funzionano più nello Spazio Economico Europeo. I dati semplicemente non arrivano nelle piattaforme.

6. Come li gestisce Permissor

Permissor blocca preventivamente i cookie di profilazione: i tag restano inattivi finché l’utente non esprime il consenso e si attivano nell’istante in cui lo dà. Il consenso viene registrato con prova, Consent Mode v2 è integrato, la cookie policy si aggiorna quando cambiano i cookie del sito. Prezzo fisso, supporto italiano, installazione in pochi minuti. Se il tuo sito cresce, il prezzo non cambia.

Non sai quali cookie di profilazione installa il tuo sito? Contattaci.