Un cookie banner configurato male è un doppio danno: da un lato non ti mette al riparo dalle contestazioni del Garante, dall’altro fa perdere ai pixel di Meta e Google una fetta di dati che, moltiplicata per migliaia di sessioni, si traduce in campagne che ottimizzano al buio. La buona notizia è che con Consent Mode v2 e una CMP configurata bene si può stare dentro GDPR e continuare a misurare in modo utile. La cattiva è che i default dei plugin non bastano quasi mai: serve mettere mano ai tag, ai trigger e ai testi del banner.
Questa guida spiega, passo per passo, cosa impostare in CookieYes (o equivalente), come attivare Consent Mode v2 su Google Tag Manager e Meta, quali testi usare nel banner e come verificare che tutto funzioni prima di considerare il lavoro chiuso.
Cosa chiede il Garante nel 2026 (e cosa cambia rispetto ai default dei plugin)
Le linee guida del Garante Privacy sui cookie sono in vigore dal 10 gennaio 2022 e non sono state stravolte: restano il riferimento operativo. I punti su cui i banner standard sbagliano più spesso sono sempre gli stessi:
- Pulsante “Rifiuta” alla pari di “Accetta”: stessa visibilità, stesso peso grafico, stesso livello (primo livello del banner, non nascosto in “Preferenze”).
- Nessun cookie di profilazione prima del consenso: fino al click su “Accetta”, nel browser devono esserci solo i cookie tecnici. Niente pixel Meta, niente Google Analytics, niente TikTok, niente Hotjar.
- Consenso granulare: l’utente deve poter accettare solo alcune categorie (es. statistica sì, marketing no).
- Scroll ≠ consenso: lo scorrimento della pagina o la chiusura del banner con la X non equivalgono ad accettazione.
- Riproposizione: il banner non si può ripresentare a ogni pagina se l’utente ha già negato. Si può ripresentare dopo un periodo ragionevole (6 mesi è lo standard) o quando cambiano le finalità.
La maggior parte dei plugin gratuiti installati “out of the box” viola almeno uno di questi punti. Prima di preoccuparti di Consent Mode, verifica che il banner rispetti queste regole di base.
Consent Mode v2: cos’è e perché non è opzionale
Consent Mode v2 è il meccanismo con cui Google riceve i segnali di consenso dell’utente e adatta il comportamento dei suoi tag (GA4, Google Ads, Floodlight). Da marzo 2024 è obbligatorio per chi vuole continuare a usare dati di conversione e remarketing negli account Google Ads di utenti nello Spazio Economico Europeo. Senza Consent Mode v2 attivo e configurato bene, il pubblico di remarketing si svuota e le conversioni importate in Ads iniziano a mancare.
Le modalità di implementazione sono due:
- Basic: i tag Google non partono se manca il consenso. Nessun dato viene inviato prima dell’accettazione. È la modalità più prudente lato compliance.
- Advanced: i tag Google partono sempre, ma se manca il consenso inviano solo “ping” anonimi (senza cookie, senza ID utente). Google usa questi ping per fare modellazione statistica e stimare le conversioni perse. È la modalità che fa perdere meno dati alle campagne, e resta compatibile con il GDPR perché i ping non contengono identificatori personali.
Nella pratica, per una PMI italiana che investe in Google Ads, la modalità Advanced è quella che serve. La Basic ha senso solo se il DPO impone una linea molto restrittiva.
Configurare CookieYes (o equivalente) passo per passo
Uso CookieYes come riferimento perché è la CMP più diffusa sui progetti WordPress, ma i passaggi valgono anche per Iubenda, Cookiebot e Complianz. I nomi dei menu cambiano, la logica no.
1. Scansione del sito e categorizzazione dei cookie
Dal pannello CookieYes vai su Cookie Manager → Scan e avvia una scansione. Al termine, apri ogni cookie rilevato e assegnalo alla categoria corretta: Necessary, Analytics, Advertisement, Functional, Others. Non lasciare cookie in “Uncategorized”: il Garante contesta esattamente questo.
Controlla che i cookie di WooCommerce (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_*) siano in Necessary. Il pixel Meta (_fbp, fr) e Google Ads (_gcl_au) vanno in Advertisement. GA4 (_ga, _ga_*) va in Analytics.
2. Impostare il banner conforme
Vai su Site Settings → Banner Layout e scegli il layout “Box” o “Bar” con i tre pulsanti visibili al primo livello: “Accetta”, “Rifiuta”, “Preferenze”. Attiva l’opzione Show reject button. Se il tuo plugin lo permette (versione a pagamento), imposta che il click sulla X equivalga a rifiuto, non ad accettazione.
Nel campo Banner Message scrivi un testo asciutto, senza dark pattern:
«Utilizziamo cookie tecnici necessari al funzionamento del sito e, previo tuo consenso, cookie di analisi statistica e marketing per migliorare l’esperienza e misurare le campagne. Puoi accettare tutto, rifiutare o scegliere quali categorie attivare.»
Aggiungi il link alla cookie policy estesa e alla privacy policy. Se non le hai aggiornate di recente, è il momento di rifarle: la cookie policy deve elencare ogni singolo cookie con finalità, durata e titolare del trattamento.
3. Attivare Consent Mode v2 in CookieYes
Dal menu Site Settings → Google Consent Mode, attiva la voce e scegli la modalità (Advanced consigliata per la maggior parte dei casi). CookieYes inietterà automaticamente le funzioni gtag('consent', 'default', {...}) prima del caricamento di GTM. Verifica che tutti i parametri v2 siano presenti: ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage.
Configurare Google Tag Manager per rispettare il consenso
Dentro GTM devi dire a ogni tag quali segnali di consenso richiede. Se non lo fai, i tag partono comunque e Consent Mode diventa una finzione.
Attivare la “Consent Overview” in GTM
Nel container GTM apri Admin → Container Settings e attiva la voce Enable consent overview. Da quel momento, nell’elenco dei tag comparirà una nuova colonna dove puoi vedere in un colpo d’occhio quali tag hanno il consenso configurato e quali no.
Impostare Additional Consent Checks su ogni tag
Apri ogni tag rilevante e vai su Advanced Settings → Consent Settings → Require additional consent for tag to fire. Configura così:
Tag GA4 Configuration → analytics_storage
Tag GA4 Event → analytics_storage
Tag Google Ads Conversion → ad_storage, ad_user_data, ad_personalization
Tag Google Ads Remarketing → ad_storage, ad_user_data, ad_personalization
Tag Meta Pixel (custom HTML) → ad_storage
Tag Floodlight → ad_storagePer il pixel Meta, che non è un tag Google nativo, devi anche gestire il fallback: il tag custom HTML del pixel deve avere come trigger un evento che si attiva solo dopo consenso marketing. In CookieYes questo evento si chiama cookie_consent_update con categoria advertisement accettata. In GTM crei un trigger di tipo “Custom Event” con quel nome e lo assegni al tag del pixel.
Il pixel Meta e la Conversions API: recuperare i dati persi
Con Consent Mode Advanced Google modella le conversioni mancanti. Meta non ha un meccanismo equivalente lato browser: se l’utente rifiuta, il pixel non parte e il dato è perso. L’unico modo per recuperarlo è la Conversions API (CAPI), che invia gli eventi server-side aggirando il blocco del browser, ma va usata rispettando le stesse regole di consenso.
La configurazione corretta è: pixel lato browser che parte solo con consenso marketing, CAPI lato server che invia gli stessi eventi solo per gli utenti che hanno dato consenso. In WooCommerce puoi usare il plugin ufficiale “Facebook for WooCommerce” oppure una soluzione via GTM Server-Side. Non attivare CAPI “per tutti gli utenti” ignorando il consenso: è la scorciatoia che i consulenti superficiali suggeriscono, ed è esattamente il tipo di implementazione che il Garante contesta.
Testare che tutto funzioni davvero
La configurazione va sempre verificata. I test da fare, in ordine:
- Test in navigazione anonima con cookie policy non accettata: apri il sito, non cliccare nulla sul banner. Apri i DevTools del browser → Application → Cookies. Devono esserci solo i cookie tecnici. Nessun
_ga, nessun_fbp, nessun_gcl_au. - Test Consent Mode con Tag Assistant: installa l’estensione Google Tag Assistant Companion, apri il sito in modalità debug, verifica nel pannello “Consent” che i valori di default siano tutti “denied” prima del click e “granted” dopo il click su “Accetta tutto”.
- Test tag Meta con Meta Pixel Helper: prima del consenso, il pixel non deve risultare attivo. Dopo il consenso marketing, deve caricare PageView e gli eventi standard.
- Test del rifiuto: clicca “Rifiuta”, ricarica la pagina, verifica che nessun tag di marketing o analytics parta. Solo i cookie tecnici devono essere presenti.
- Test di persistenza: chiudi il browser, riapri il sito. Se avevi rifiutato, il banner non deve ripresentarsi finché non scade il periodo impostato (tipicamente 6 mesi).
Su un sito con volumi significativi, dopo la messa in produzione monitora anche in Search Console eventuali cali di crawling anomali: capita che un banner mal implementato blocchi Googlebot come se fosse un utente non consenziente. Non deve succedere, perché Googlebot non accetta cookie e i tag di marketing non lo interessano, ma è una verifica che vale la pena fare.
Checklist finale prima di considerare il lavoro chiuso
- Banner primo livello con “Accetta”, “Rifiuta”, “Preferenze”: tre pulsanti alla pari, stessa grafica.
- Nessun cookie di terze parti prima del consenso: verificato in DevTools su sessione pulita.
- Consent Mode v2 attivo: parametri
ad_storage,analytics_storage,ad_user_data,ad_personalizationgestiti dalla CMP. - Tutti i tag GTM hanno le Additional Consent Checks configurate: verificato in Consent Overview.
- Pixel Meta parte solo con consenso marketing: verificato con Pixel Helper.
- Cookie policy aggiornata: elenca ogni cookie con finalità, durata, titolare.
- Registro dei consensi attivo: la CMP conserva prova del consenso (data, ora, versione policy accettata).
- Banner accessibile da tastiera e screen reader: parte del più ampio tema dell’accessibilità del sito secondo la normativa EAA.
- Link permanente per revocare il consenso: solitamente un’icona flottante o un link in footer. Obbligatorio.
Se anche una sola voce di questa checklist è scoperta, il banner non è conforme. E i dati che stai raccogliendo, oltre a essere a rischio contestazione, sono probabilmente sporcati da configurazioni parziali che confondono le campagne.
Domande frequenti
Devo per forza usare Consent Mode v2 se non faccio Google Ads?
Se usi solo Google Analytics 4 senza campagne Ads, Consent Mode v2 non è strettamente obbligatorio nella sua versione completa, ma è comunque il modo raccomandato da Google per gestire il consenso lato GA4. Ti permette anche in questo scenario di beneficiare della modellazione statistica sulle sessioni non consenzienti, quindi conviene attivarlo lo stesso.
Il banner devo mostrarlo anche agli utenti fuori dall’Unione Europea?
Dipende dalla tua strategia. Legalmente sei tenuto a rispettare il GDPR per gli utenti nello Spazio Economico Europeo. Puoi configurare la CMP in modalità “geo-targeting” e mostrare il banner solo agli utenti UE, oppure mostrarlo a tutti per semplicità e coerenza. La seconda opzione riduce il rischio di errori di geolocalizzazione ed è quella che scelgono la maggior parte delle PMI italiane con traffico prevalentemente domestico.
Posso considerare “accettato” un utente che continua a navigare senza cliccare?
No. Le linee guida del Garante sono esplicite: lo scroll, il click su un link interno e la chiusura del banner con la X non equivalgono a consenso. Il consenso deve essere un’azione affermativa esplicita. Se il tuo plugin è configurato per interpretare la navigazione come accettazione, è fuori norma.
Ogni quanto devo far riscansionare il sito dalla CMP?
Almeno ogni tre mesi, e sempre dopo modifiche significative (installazione di nuovi plugin di tracciamento, integrazioni con CRM o chatbot, cambio del pixel di una piattaforma pubblicitaria). I cookie cambiano in silenzio quando aggiorni plugin o embed di terze parti: una scansione trimestrale è il minimo per non trovarsi con cookie non dichiarati nella policy.
Cosa rischio se il banner non è conforme?
Le sanzioni del Garante per uso improprio dei cookie vanno da poche migliaia di euro per PMI con violazioni lievi fino a cifre più significative per casi di trattamento massiccio senza base giuridica. Il rischio più immediato, però, è la segnalazione da parte di un utente o competitor: una volta aperta l’istruttoria, il costo di consulenza e adeguamento è quasi sempre superiore al costo di aver fatto le cose bene dall’inizio.
Il punto operativo
La conformità del banner e la qualità del tracciamento non sono due obiettivi in conflitto: sono lo stesso problema visto da due lati. Un banner configurato bene raccoglie il consenso in modo chiaro, non innervosisce l’utente, e permette a Consent Mode di fare il suo lavoro di modellazione per recuperare parte dei dati persi. Un banner configurato male fa scappare l’utente prima del click, sporca i pixel e ti lascia comunque scoperto sulla compliance.
Se hai un sito in produzione con volumi di traffico rilevanti e non hai mai fatto un audit serio della configurazione, mettilo in agenda adesso: è il tipo di lavoro che ti fa risparmiare molto tempo quando arriva la prima domanda scomoda, dal Garante, da un cliente attento, o dal tuo stesso account manager di Google Ads che ti chiede perché il remarketing non converte più. Il tema si intreccia da vicino con il marketing etico e la gestione trasparente dei dati, che nel 2026 è passato dall’essere un plus a essere un requisito operativo di base.
