L’informativa sui cookie è obbligatoria?

No, non per tutti. Se il sito scrive soltanto ciò che serve al servizio richiesto, basta l’informativa. Il banner cookie è una scelta, non un decoro.

Lei apre il Suo nuovo sito, con la storia dell’azienda, il telefono e il modulo di contatto, e la prima cosa che vede è una barra che chiede il consenso a cookie che quella pagina non scrive affatto, perché il plugin è stato copiato da un altro progetto in cui c’era Google Analytics, e adesso Lei paga un teatrino in cui il pulsante «Accetto» nasconde un inventario vuoto. Nella via accanto, un negozio con lo stesso WordPress, ma con Google Analytics 4 e il pixel di Meta, mostra soltanto i contenuti, mentre il browser ha già ricevuto un identificatore prima che l’acquirente abbia letto il nome di un solo prodotto, e questa differenza è l’argomento di tutto l’articolo. Il primo caso è un banner di troppo. Il secondo è un’archiviazione senza consenso, e la legge non chiede se la barra sia visibile, ma che cosa il sito scrive nell’apparecchio terminale e se ciò era necessario al servizio che l’utente ha chiesto lui stesso.

Questo articolo risponde alla domanda se l’informativa sui cookie sia obbligatoria, e la risposta non è «sì, per tutti», anche se quasi tutti i plugin si comportano così, e non è nemmeno «no, per nessuno», anche se è comodo dirlo a un sito che vuole restare pulito. La risposta è un confine: se il sito archivia o legge soltanto ciò che serve al servizio richiesto, la finestra di scelta non è un obbligo, ma le informazioni su questi cookie restano nell’informativa, che deve essere raggiungibile da ogni pagina. Se il sito misura i visitatori, mostra pubblicità o carica uno strumento di terze parti prima che l’utente abbia chiesto qualcosa, serve una base giuridica prima della prima scrittura, e quando quella base è il consenso la barra non è più un decoro, ma l’unico modo lecito per ottenerlo.

Insistiamo su questo confine perché abbiamo visto i due estremi nella stessa settimana: un sito che compra una piattaforma di gestione del consenso per nascondere un cookie di sessione, e un sito che avvia l’analisi senza alcuna scelta, perché «abbiamo pur l’informativa sulla privacy», e nessuno dei due è uno stato conforme. Nessuno dei due è nemmeno un motivo per riscrivere l’audit tecnico che abbiamo già scritto altrove, perché là sta la domanda se la barra, quando serve, ferma davvero i tag. Qui resta soltanto la prima domanda, a cui troppo spesso si risponde con un plugin: se Lei ha davvero qualcosa da chiedere, prima che qualcuno Le venda lo strumento con cui chiedere.

L’informativa sui cookie è obbligatoria?

No, non per ogni sito, e questa è la risposta che il Garante ha scritto nelle FAQ sui cookie: se il sito usa soltanto cookie tecnici, il titolare può dare l’informativa inserendola nell’informativa sulla privacy pubblicata sul sito, e un banner con i pulsanti di scelta non è obbligatorio. Non è un’opinione nostra e non è nemmeno una «scorciatoia pratica» che le agenzie inventano per vendere meno lavoro; è il confine dell’obbligo del titolare, che l’Autorità ha tracciato lei stessa, e conviene leggerlo prima che qualcuno Le venda una piattaforma di gestione del consenso per un sito in cui non c’è nulla da gestire. Se comunque vuole mostrare una barra anche quando non c’è una scelta, può essere informativa — «Ho capito» e un link all’informativa — e lì non deve stare «Accetto», perché in quel momento Lei non chiede un consenso e un pulsante che sembra un consenso è una cattiva prassi.

Questo confine è anche il punto in cui i nomi cominciano a ingannare, perché informativa sui cookie, nel linguaggio di tutti i giorni, significa qualunque testo che dica che il sito archivia qualcosa, mentre il banner cookie è l’interfaccia di scelta con cui si ottiene il consenso per ciò a cui l’eccezione non arriva, e l’informativa sui cookie, come documento, è il luogo in cui il Garante vuole vedere finalità, destinatari e tempi di conservazione. La legge, in nessuno di questi punti, esige un disegno preciso della barra, e non esige nemmeno che ogni pagina con un token di sicurezza del modulo chieda prima se l’utente autorizza il sito a funzionare. Confondere queste tre cose significa o imporre una scelta dove non c’è, o immaginare che l’informativa da sola autorizzi una misurazione che nessuno ha chiesto.

Le conseguenze del lato sbagliato costano più di quanto sembri, perché un «Accetto» di troppo su un sito soltanto tecnico insegna al visitatore che il consenso è una formalità, e Le insegna che la conformità è installare un plugin, non verificare l’inventario. Una scelta assente là dove l’analisi scrive già non è «un rischio piccolo, tanto abbiamo l’informativa», ma un’archiviazione prima del consenso, che le Linee guida del 2021 e le FAQ pongono al centro: al primo accesso non può partire nessuno strumento diverso dai cookie tecnici. In entrambi i casi Lei ha fatto un lavoro che non corrisponde a ciò che accade sul sito, ed è uno stato peggiore di una pagina vuota, perché ha l’aria dell’ordine e per questo resta più a lungo senza controllo.

Prima di comprare qualunque strumento, scriva che cosa il sito registra nel browser nel primo secondo, su un profilo pulito, e per ogni riga si chieda se è necessaria al servizio che l’utente ha chiesto in quel momento, non al servizio che Lei vuole misurare. Se la risposta è sì per tutte le righe, Le serve l’informativa, non un banner, e questo articolo da qui in poi Le vende soltanto questa frase. Se anche una sola riga è misurazione, pubblicità o uno strumento estraneo, Le serve una base giuridica prima di quella riga — e quando quella base è il consenso, soltanto allora ha senso parlare del testo della barra, che scriveremo anche qui, ma non prima.

La legge parla di archiviazione e di accesso, non di banner

L’articolo 122 del Codice in materia di protezione dei dati personali, come le Linee guida del Garante del 10 giugno 2021 lo riprendono, dice che l’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente, o l’accesso a informazioni già archiviate, è consentito soltanto se è stato espresso il consenso dopo un’informativa resa con modalità semplificate, e la stessa frase, nell’Unione europea, sta nell’articolo 5, paragrafo 3, della direttiva ePrivacy. In nessuno di questi testi c’è la parola «banner», perché l’obbligo riguarda l’operazione sull’apparecchio terminale, e la barra è soltanto un modo per raccogliere quel consenso, se il consenso serve. Chi comincia comprando un plugin comincia dal lato sbagliato, come se la legge parlasse di una cornice in fondo allo schermo, non di ciò che accade prima della cornice.

Le eccezioni sono due, e sono strette: il consenso non serve se l’archiviazione o l’accesso sono strettamente necessari per effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, oppure se sono strettamente necessari al fornitore per erogare un servizio della società dell’informazione che il contraente o l’utente ha chiesto in modo esplicito. Il Garante traduce in pratica questa seconda ipotesi — identificatore di sessione per un modulo o per il carrello, autenticazione, sicurezza contro gli attacchi, sessione di un lettore, bilanciamento del carico, scelta della lingua o dell’aspetto che l’utente ha compiuto e che non viene usata per un altro fine — e questo elenco non è un menù in cui si può infilare tutto ciò che Le fa comodo. «Necessario a noi, per capire se il sito funziona» non è un’eccezione, per quanto spesso lo si scriva in un’offerta, perché l’utente, aprendo la home page, non ha chiesto una misurazione.

Il perimetro non è legato a un file nel cui nome c’è «cookie», perché le Linee guida 2/2023 del Comitato europeo per la protezione dei dati sul campo tecnico dell’articolo 5, paragrafo 3, adottate il 7 ottobre 2024 in seconda versione, ricordano che la norma parla di informazioni, non di dati personali, e di archiviazione o accesso, non di una sola tecnologia. Pixel, localStorage e impronta del dispositivo (fingerprinting) rientrano nella stessa domanda, e la Corte di giustizia, nella causa Planet49 (C-673/17), lo dice dall’altro lato: la tutela riguarda qualunque informazione nell’apparecchio terminale, anche se non è un dato personale. Perciò un’informativa che promette «non usiamo cookie» non ha ancora risposto se il sito, con un altro metodo, accede a ciò che nel dispositivo è già presente. Questa risposta conta più della presenza della parola «cookie» nel nome del file.

Qui sta anche l’errore che vediamo negli acquisti, quando si compra una «soluzione cookie» come se la legge riguardasse la barra, e poi ci si meraviglia che l’audit trovi ancora richieste che nella barra non sono nominate. Una soluzione che parte dal plugin parte dal lato sbagliato, perché prima bisogna capire che cosa viene archiviato e a chi serve, e soltanto dopo ha senso scegliere se basta l’informativa oppure serve un’interfaccia di scelta che quella scelta la esegua davvero. Non inventiamo quest’ordine per rallentare il progetto; lo chiediamo perché il progetto, dopo il lancio, corrisponda ancora all’inventario con cui è stato ordinato.

Due strati: l’apparecchio terminale e i dati personali

Il primo strato è la direttiva ePrivacy e l’articolo 122 del Codice, che chiedono se Lei può proprio scrivere o leggere qualcosa; il secondo strato è il Regolamento (UE) 2016/679, che chiede, se poi si trattano dati personali, su quale base giuridica e con quale trasparenza. Il Garante, nelle Linee guida del 2021, ha già raccontato questo intreccio, richiamando il parere 5/2019 del Comitato europeo per la protezione dei dati, e ha avvertito che le due dimensioni non si fondono in un unico «banner GDPR». Uno strato non cancella l’altro. Una spunta verde non risponde a entrambi, per quanto sia comodo comprare, in un preventivo, un solo strumento contro due domande.

Questa differenza è il motivo per cui l’informativa sulla privacy non è un banner cookie, perché l’informativa assolve l’obbligo di informare — che cosa si fa, per quale finalità, per quanto tempo, a chi arrivano i dati — e lo si può fare anche quando la scelta non serve. Il banner assolve l’acquisizione del consenso là dove l’eccezione non arriva, e deve rispettare l’articolo 4, punto 11, del Regolamento: una manifestazione di volontà libera, specifica, informata e inequivocabile, resa con un’azione positiva inequivocabile. Non la danno il silenzio, l’inazione o la preselezione di caselle. Lo ha detto la Corte nel 2019 nella causa Planet49, e il Regolamento lo ha scritto anche nel considerando 32, quindi un pulsante che spera che la persona non noti la spunta non è un consenso, nemmeno se l’informativa sotto di esso è lunga.

Nel testo dell’articolo 122 resta il consenso dopo un’informativa semplificata, e non va letto come se la qualità di quel consenso fosse ancora quella del Codice anteriore al d.lgs. 101/2018, perché le Linee guida del 2021 hanno già riportato questa nozione sugli articoli 4, punto 11, e 7 del Regolamento. Il rinvio della direttiva ePrivacy alla direttiva 95/46/CE, dopo l’articolo 94 del Regolamento, è un rinvio al Regolamento stesso, e «consenso» significa ciò che dice l’articolo 4, punto 11, non ciò che qualcuno ricorda di una definizione abrogata. Segnaliamo questo scarto perché Lei non si metta a cercare il vecchio articolo là dove l’Autorità legge già il Regolamento.

In pratica significa due domande che non si pongono nello stesso respiro: prima, se quest’operazione può proprio avvenire prima della scelta, o se è un’eccezione; poi, se i dati sono dati personali, su quale base Lei li tratta in seguito e dove l’utente può leggerlo. Un sito che risponde soltanto alla seconda domanda con un’informativa lunga, e non risponde alla prima, ha scritto un saggio su ciò che fa e non ha chiesto se può farlo. Il saggio inverso, che risponde soltanto alla prima e dimentica la trasparenza dell’articolo 13, è una barra senza contenuto, e tutti e due li vediamo più spesso di un inventario che risponde a entrambi.

Quando il consenso non serve — e quando l’informativa resta

Il consenso non serve là dove il cookie è necessario al servizio richiesto e non viene usato per un altro fine, ed è una condizione più stretta di quanto suoni. Un modulo che, senza un token di sessione, non distingue il Suo invio da quello di uno sconosciuto; un carrello che, senza identificatore, dimentica la merce; un bilanciamento del carico che dice soltanto quale server risponde; una lingua che l’utente ha scelto e che il cookie si limita a ricordare: questo è il nucleo dei cookie tecnici, non «tutto ciò senza cui siamo scomodi». Il Garante lascia in questo elenco la memorizzazione delle preferenze, se serve soltanto a quello; lo stesso Garante lascia fuori l’identificatore di un sito di viaggi che segue la persona da una visita all’altra per mostrarle destinazioni, perché là la finalità non è più la funzione che l’utente ha chiesto.

Qui si nasconde più spesso l’eccesso, perché l’analisi viene chiamata «necessaria per migliorare il sito», la finestra di chat «necessaria per rispondere al cliente», il pixel pubblicitario «necessario per capire se la campagna funziona», e nessuna di queste frasi è un’eccezione. L’utente, aprendo la home page, non ha chiesto una misurazione, una chat o una campagna, e l’eccezione appartiene alla funzione che sta usando in quel momento, non alla funzione che Lei vuole misurare. Se non riesce a scrivere questo nesso in una frase sola senza la parola «noi», non è un cookie tecnico. Conviene dirlo ad alta voce quando lo strumento si vuole ancora aggiungere, non quando scrive già.

L’informativa resta comunque, perché il Garante dice che il titolare che usa soltanto cookie tecnici può informare gli utenti con le modalità che ritiene più idonee, per esempio inserendo le indicazioni nell’informativa sulla privacy pubblicata sul sito, e che allora il banner non è obbligatorio. Il titolare deve però poter spiegare perché quello strumento è necessario. L’articolo 13 del Regolamento chiede questa informazione anche quando i dati personali si raccolgono senza banner, perché la trasparenza non è un accessorio del consenso e l’informativa non è un regalo che si può rimandare finché qualcuno non si lamenta.

Noi, sul nostro sito, teniamo la sessione, il token di sicurezza e la registrazione della scelta di consenso tra i cookie tecnici e per essi non chiediamo il consenso, perché senza di essi questa pagina non può accettare un modulo e non può ricordare ciò che Lei ha già scelto. È una decisione del nostro inventario, non una citazione del Garante che chiuda la questione per ogni sito, e non la nascondiamo dietro un generico «lo fanno tutti», perché una riga così non è un’esenzione universale. Se sul Suo sito queste righe non ci sono e non ci sono nemmeno misurazioni, Le basta l’informativa; se comunque vuole mostrare una barra informativa, mostri «Ho capito» e un link, non «Accetto», perché altrimenti chiede ciò che la legge, in quel momento, non chiede.

Quando il consenso serve prima della prima scrittura

Per i cookie di profilazione e per gli altri strumenti di tracciamento il consenso serve, e il Garante lo ha scritto nelle FAQ e nelle Linee guida del 2021 come regola, non come consiglio: si usano soltanto se l’utente ha espresso il consenso dopo essere stato informato. I cookie analytics, invece, non sono automaticamente cookie tecnici: il Garante risponde «No» e poi precisa che possono essere assimilati ai tecnici solo se servono all’ottimizzazione del sito, producono statistiche aggregate e, se interviene una terza parte, i dati sono minimizzati, non combinati con altre elaborazioni e non trasmessi ad ulteriori terzi. Fuori da queste condizioni il consenso, libero, specifico, informato e inequivocabile, serve prima della prima scrittura, e «noi contiamo soltanto le pagine» non diventa un’eccezione soltanto perché Lei la chiama statistica.

Il tempo è parte di questa regola, non una nota in calce, perché se un identificatore viene scritto o letto prima che l’utente abbia scelto, il consenso non è stato ottenuto, per quanto sia bella la barra che compare mezzo secondo dopo. Il Garante, al primo accesso, vuole che per impostazione predefinita non parta nessuno strumento diverso dai cookie tecnici, e un’animazione più rapida non ripara quel secondo. Perciò la domanda non è «abbiamo un banner?», ma «che cosa accade nel primo secondo su un profilo pulito», e quel secondo, in un audit, lo fissiamo con un registro, non con l’impressione che la barra sia comparsa abbastanza presto.

Gli strumenti di terze parti non spostano questo confine, lo rendono soltanto più visibile, perché il Garante dice con chiarezza che, per i cookie di terze parti installati tramite il sito, gli obblighi di informativa e di consenso riguardano le terze parti, e il titolare del sito, intermediario tecnico, deve inserire nell’informativa estesa i link aggiornati alle loro informative. Non è ancora dire che ogni lettore video incorporato pretenda automaticamente una barra di scelta prima del primo pixel, perché se il video si carica soltanto dopo un clic dell’utente, nel primo secondo può non esserci nulla da archiviare. Il test resta lo stesso — se prima dell’azione richiesta è già avvenuta un’archiviazione o un accesso — e, se è avvenuta, il consenso serviva prima; se non è avvenuta, Lei ha lasciato la scelta là dove sta.

Prima o terza parte non decide questo test, e il Garante lo disegna per finalità, non per dominio: un cookie di prima parte e un cookie di terze parti possono essere entrambi tecnici, e entrambi possono non esserlo, quindi un identificatore che Lei scrive in prima parte per misurare poi il comportamento non è «più sicuro» di un pixel estraneo soltanto perché il dominio è il Suo. La legge chiede l’operazione e la finalità, non su quale server viva il file, e un’informativa che si vanta di «non usare cookie di terze parti» non ha ancora risposto che cosa fa la Sua analisi. È anche il punto in cui di solito chiediamo di aprire il registro Network, non di discutere la parola «first-party». Il registro chiude la discussione prima.

L’informativa sui cookie non è il banner cookie

L’informativa è informazione, il banner è scelta, e il documento è il luogo in cui l’informazione resta quando la barra è chiusa, ma questi tre nomi, nel quotidiano, si fondono in un unico «cookie notice», come se informare e chiedere il consenso fossero un solo obbligo. Non lo sono, perché si può informare nell’informativa sulla privacy, senza barra, se i cookie tecnici coprono tutto ciò che il sito fa, mentre la scelta si ottiene soltanto con un’interfaccia che permetta anche di rifiutare, e quell’interfaccia è il banner cookie. Confonderli significa o chiedere una firma là dove serve soltanto un testo, o immaginare che il testo da solo autorizzi una misurazione.

Il Garante ha mostrato questa differenza nel punto in cui dice che l’obbligo del banner non grava su chi usa soltanto cookie tecnici: un sito così, se mostra comunque «Accetto», chiede ciò che non serve e insegna che il consenso è l’unico pulsante che chiude qualcosa. La buona prassi, da parte nostra, è un testo informativo, un link all’informativa e «Ho capito», che non riconosce nulla e toglie soltanto la barra; se rinomina questo «Ho capito» in consenso, torna all’esempio cattivo, soltanto con una parola più educata. Non raccontiamo questo esempio per ridere dei plugin; lo raccontiamo perché è il modo più economico per vedere che un oggetto sullo schermo non è ancora un obbligo.

Quando il consenso serve, il Garante vuole un banner in cui la X in alto a destra mantiene le impostazioni predefinite, senza cookie diversi dai tecnici, e in cui rifiutare è semplice quanto accettare, al primo sguardo, non al terzo menu. Un cookie wall — il muro che non lascia leggere i contenuti finché non c’è una scelta — non è lecito, salva l’ipotesi, da verificare caso per caso, in cui il titolare offra un contenuto o un servizio equivalente senza che l’interessato presti il consenso, e l’obbligo di informare resta anche allora. Queste indicazioni bastano, in Italia, a non confondere l’informativa con la scelta: il confine lo tracciano l’articolo 122 e il Garante.

Questa differenza è anche il motivo per cui non scriviamo più un secondo documento tecnico con un altro titolo, perché le Linee guida e le FAQ parlano di informativa estesa, e in quello stesso documento c’è posto per la finalità, il destinatario e il periodo di conservazione. Un secondo file con un altro titolo non crea una seconda conformità; dà soltanto un secondo luogo in cui l’inventario può restare indietro, e lo abbiamo visto abbastanza spesso da non promettere più un secondo file come un regalo. Se ha un’informativa in cui queste righe ci sono, ha l’informativa; se ha soltanto una barra senza queste righe, ha un decoro, e un decoro, in un audit, non conta come prova.

Che cosa scrivere nell’informativa sui cookie, se il consenso serve

Se il consenso serve, l’informazione deve essere tale che la persona capisca a che cosa acconsente, prima di acconsentire, e la Corte, nella causa Planet49, ha detto che nell’informazione chiara e completa rientrano la durata dei cookie e se terze persone vi accedono. Il Garante divide la stessa materia in categorie, finalità e destinatari, e dice che queste informazioni devono stare nel banner quanto basta perché la scelta sia consapevole, e nell’informativa estesa, dove si possono raccontare per esteso. Un testo generico con citazioni di legge non è informazione, è uno schermo, e lo schermo resta uno schermo anche se è tradotto in dodici lingue.

Al primo sguardo devono essere ugualmente visibili il consenso e il rifiuto, perché il Garante chiede comandi di uguali dimensioni, enfasi e colori. Proseguire la navigazione e chiudere il banner, da soli, non è un consenso valido — lo scrolling, dice il Garante, non è di per sé una scelta consapevole — e Planet49 aggiunge che una casella già spuntata non è un consenso, perché il consenso chiede un atto attivo, non un silenzio in cui Lei ha sperato che la persona non notasse la spunta. Queste righe stanno in questo articolo perché sono la forma dell’obbligo, non i passi in DevTools, che abbiamo lasciato all’altro testo.

La revoca del consenso deve essere altrettanto semplice quanto prestarlo, perché l’articolo 7, paragrafo 3, del Regolamento lo dice in questi termini, e il Garante lo traduce in un accorgimento che resta quando la barra è sparita, di solito un link nel piè di pagina, da ogni pagina. Un pulsante che salva la nuova scelta ma non la comunica ai tag già caricati è lo stesso errore di cui abbiamo scritto nell’audit tecnico, soltanto dall’altro lato: qui è la forma dell’obbligo, là è la mancanza di una prova. Non chiudiamo questo articolo con i passi del registro Network, perché appartengono all’altro testo; qui basta dire che una revoca che non si trova non è una revoca, anche se l’informativa l’ha promessa.

Il testo che scriviamo per i clienti nasce dall’inventario, non da un modello, perché il Garante chiede che l’informativa estesa descriva caratteristiche e finalità, distingua i cookie tecnici da quelli analytics e da quelli di profilazione, e indichi destinatari e tempi di conservazione, e questo è ciò che chiediamo anche a noi: ogni riga deve potersi controllare rispetto a ciò che accade sul sito. Un modello rimasto dal progetto precedente è peggiore di una pagina vuota, perché nomina cookie che non ci sono più e tace quelli che ci sono, ed è anche il momento in cui smettiamo di scrivere un saggio giuridico. Il lavoro successivo è una verifica, non un’altra firma sotto un testo che nessuno ha confrontato con ciò che accade nel primo secondo.

Quanto costa un banner cookie che il sito non deve avere

Un banner di troppo non è prudenza. Ruba il primo schermo, insegna al visitatore a fare clic senza leggere e Le insegna che la conformità è l’impostazione predefinita di un plugin, non la corrispondenza dell’inventario a ciò che accade sul sito. L’esempio di cattiva prassi con «Accetto» su un sito tecnico è proprio questo conto: ha messo una scelta dove non c’è, e adesso deve mantenere una scelta che non cambia nulla, perché sotto non c’è nulla da spegnere.

È uno stato peggiore del silenzio. Un oggetto sullo schermo dà l’impressione dell’ordine, ed è proprio quest’«ordine» il motivo per cui consideriamo un errore la barra di troppo.

Non vendiamo una piattaforma di gestione del consenso a un sito a cui basta l’informativa, e suona come un affare perso, e lo è. Preferiamo perdere un lavoro in cui dovremmo installare Cookiebot, OneTrust o un banner su misura là dove nell’inventario ci sono soltanto la sessione e il token di sicurezza, piuttosto che ottenere un cliente che dopo sei mesi chiede perché paga una barra che non gestisce nulla. Questa è la frase che in una presentazione di vendita di solito si salta, ed è proprio per questo che la scriviamo qui. Un articolo che finisce sempre con «compri il nostro audit» non è una risposta alla domanda se l’informativa sia proprio obbligatoria.

L’altro prezzo è giuridico, non soltanto estetico, perché una barra che chiede il consenso a ciò a cui non serve, o che nasconde il rifiuto, è lo stesso inganno contro cui il Garante interviene anche là dove il consenso serve. Non può difendersi con «abbiamo pur un banner» se il banner è stato costruito sull’inventario sbagliato, perché la conformità non è la presenza di un oggetto sullo schermo, ma la corrispondenza tra ciò che il sito fa e ciò che Lei ne ha detto. Un oggetto di troppo non rovina questa corrispondenza meno di uno assente, ed è anche il motivo per cui a volte consigliamo di togliere la barra, non di aggiungerla, anche se suona il contrario di ciò che da un’agenzia ci si aspetta.

Se il banner serve, la domanda successiva non è «se sta bene»

Se l’inventario mostra analisi, pubblicità o un altro strumento a cui l’eccezione non arriva, allora sì, Le serve una scelta prima della prima scrittura, e qui finisce il perimetro di questo articolo, perché la domanda successiva è se la barra, che adesso serve, fermi davvero ciò che promette di fermare. A quella domanda abbiamo già risposto nell’articolo sulla verifica del banner cookie: un «Rifiuta» che chiude la cornice ma non spegne il tag non è un rifiuto, e questo testo non lo riscrive, perché è già scritto. Ripetere qui sette errori significherebbe rubare all’altro articolo la sua domanda, e non lo facciamo nemmeno se il link interno, in questo punto, sembra una vendita.

Il nostro servizio di audit dei cookie parte da 800 € e di solito richiede 1–4 settimane, a seconda dei modelli, delle lingue, della CMP e del contenitore dei tag, e questo «a partire da» è una soglia, non una fattura. Appartiene all’inventario, alla configurazione e alla verifica, non alla promessa che tutta la protezione dei dati dell’organizzazione sarà a posto con una sola barra, e la modalità di consenso di base o avanzata la scegliamo dopo la Sua valutazione giuridica e le Sue esigenze di analisi. Non promettiamo dati modellati là dove la proprietà Google non soddisfa le condizioni di Google, perché queste righe sono le stesse che stanno nella pagina del servizio, e questo articolo non le alza e non le abbassa.

Prima di scriverci, faccia lo stesso controllo con cui questo testo è cominciato: profilo pulito, primo secondo, elenco di ciò che è stato scritto, e una riga per ogni «perché», perché questo elenco costa meno di qualunque offerta. Se l’elenco è vuoto o contiene soltanto l’eccezione, Le serve l’informativa, e glielo diremo, anche se significa che l’audit non è l’affare di questa settimana. Se nell’elenco c’è una riga per cui il consenso serviva ieri, allora la barra che oggi ha un’aria educata non è ancora una risposta, e allora conviene leggere l’altro articolo, non questo un’altra volta.

Se vuole che leggiamo questo elenco insieme a Lei e Le diciamo quale lato Le appartiene, ci scriva, perché a volte la risposta più onesta è che basta l’informativa e che i soldi conviene tenerli per i contenuti, non per una barra, e a volte la risposta è che il consenso serve e che adesso bisogna verificare se funziona. Tutte e due sono valide, e soltanto una, in ciascun sito, è giusta, e preferiamo perdere un audit in cui dovremmo installare un banner su un inventario vuoto piuttosto che ottenere un progetto in cui quel banner, dopo il lancio, diventa un rimprovero.