Il banner dei cookie è la prima cosa che un visitatore vede del tuo sito e, nella maggior parte dei casi, è anche la prima cosa che gli comunica che stai cercando di ottenere qualcosa da lui. È un modo curioso di presentarsi.
Vediamo cosa serve perché regga una verifica, e perché la versione corretta funziona meglio anche per te.
Le regole, in breve
Il quadro è dato dal GDPR e, in Italia, dalle linee guida del Garante del 10 giugno 2021, che sono molto specifiche. I punti che contano:
- Nessun cookie non necessario prima della scelta. Non «prima dell’accettazione»: prima della scelta. Se mentre il banner è ancora aperto il sito ha già installato lo script di analitica, il consenso è irrilevante perché è arrivato dopo.
- Rifiutare deve costare quanto accettare. Se «Accetta tutto» è un pulsante e rifiutare richiede di aprire un pannello, scorrere, disattivare sei interruttori e salvare, quello non è un consenso libero.
- Niente scorrimento come consenso. Continuare a leggere non è un atto positivo.
- Niente caselle già spuntate. Il consenso è un’azione, non un’assenza di azione.
- Chiudere non vuol dire accettare. La X in alto a destra non può valere come sì.
- La revoca deve essere sempre possibile, e semplice come è stato dare il consenso.
- Non riproporlo a ogni visita a chi ha già scelto. Il Garante indica sei mesi come termine ragionevole prima di richiedere di nuovo.
I dark pattern che vedo più spesso
Li elenco perché riconoscerli è più utile che leggere la norma.
Il contrasto asimmetrico. «Accetta» pieno e colorato, «Rifiuta» scritto in grigio chiaro su fondo bianco. A volte il rifiuto non arriva nemmeno al minimo di contrasto richiesto dalle WCAG, quindi lo stesso banner viola due norme con un solo colore.
Il rifiuto travestito. «Accetta tutto» accanto a «Personalizza». Sembrano due opzioni pari, ma una conclude e l’altra apre un lavoro. Il rifiuto non è fra le scelte offerte.
Il legittimo interesse di default. Un pannello con i consensi a zero e, in una seconda scheda, quaranta fornitori già attivi come «legittimo interesse». Formalmente non è consenso, sostanzialmente è tracciamento a cui nessuno ha detto sì.
Il muro. Il banner copre il contenuto e non si può leggere niente finché non si accetta. Qui il problema è doppio, perché spesso quel banner intercetta anche il focus da tastiera: chi naviga senza mouse resta chiuso dentro e non può né accettare né uscire.
Come si costruisce quello giusto
Due pulsanti, stesso peso
«Accetta» e «Rifiuta» uno accanto all’altro, stessa dimensione, stesso stile, stesso contrasto. Un terzo comando testuale porta alle preferenze per chi le vuole. Questa è tutta l’interfaccia che serve.
Nessuno script prima della scelta
Va verificato, non dato per fatto. Si apre il pannello di rete del browser in una finestra pulita, si carica la home e si guarda cosa parte prima di toccare il banner. È un controllo di trenta secondi e nella mia esperienza il risultato sorprende spesso chi il sito ce l’ha da anni.
Accessibile, perché è un’interfaccia come le altre
Quando il banner compare il focus va dentro il banner e ci resta finché non si è scelto, perché altrimenti chi usa la tastiera tabula dietro un elemento che copre lo schermo. I pulsanti sono button veri. Il testo rispetta i contrasti. Esc non conta come rifiuto silenzioso: serve una scelta esplicita.
La revoca dove uno la cerca
Un link «Preferenze cookie» nel piè di pagina, sempre presente. Non dentro l’informativa, al terzo capoverso.
Il modo più semplice: non avere niente da chiedere
La strada che consiglio quando è praticabile è togliere il problema alla radice. Molti siti vetrina hanno un banner perché caricano tre cose che potrebbero non caricare:
- I caratteri tipografici da un server esterno. Scaricarli e servirli dal proprio sito richiede mezz’ora e toglie la comunicazione dell’indirizzo IP dei visitatori a un terzo.
- Le mappe incorporate. Un’immagine statica con l’indirizzo scritto sotto e un link che apre la mappa in una nuova scheda funziona meglio e non traccia nessuno.
- I video incorporati. Esistono modalità che non installano cookie finché non si preme play, oppure si può caricare un’anteprima e attivare il player solo su richiesta.
Toccati questi tre punti, a molti siti resta solo l’analitica. Se serve, esistono strumenti che si possono configurare per non richiedere consenso; se non serve, il banner sparisce del tutto.
Questo sito è fatto così. Non c’è un banner perché non c’è niente da autorizzare, e la pagina sui cookie lo spiega in dieci righe.
La parte che riguarda i numeri
C’è un’idea diffusa secondo cui un rifiuto facile da trovare significa perdere dati. In parte è vero: con un banner corretto le accettazioni scendono. Ma i consensi che restano sono consensi reali, e i dati che raccogli descrivono persone che hanno scelto di farsi misurare invece di persone che non hanno trovato il pulsante.
Dall’altro lato c’è quello che si guadagna: un visitatore che non parte con l’impressione di essere stato raggirato, e un banner che non è il primo rilievo in caso di verifica.
Se vuoi che guardi il tuo, scrivimi: controllo che cosa si installa prima della scelta, se il rifiuto è raggiungibile e se il banner si può usare da tastiera. Sono tre controlli concreti, e di solito la risposta arriva in poche ore.
Riferimenti
- Regolamento UE 2016/679 (GDPR), in particolare gli articoli 4, 6 e 7
- Direttiva 2002/58/CE, modificata dalla Direttiva 2009/136/CE
- Linee guida del Garante per la protezione dei dati personali del 10 giugno 2021 in materia di cookie
- WCAG 2.2, criteri 1.4.3 sul contrasto e 2.1.2 sulla trappola del focus da tastiera
Questo articolo serve a orientarsi. Per una valutazione con valore legale sulla tua situazione serve un professionista legale.