Un banner dei cookie che blocca davvero: Consent Mode v2 e prova del consenso

Quasi tutti i negozi hanno un banner dei cookie. Molti meno hanno un banner che funzioni. Capita spesso di aprire un negozio in una finestra privata, non toccare nulla e trovare già nel browser i cookie di analisi, del pixel pubblicitario e della chat. Il banner c'è, con i suoi pulsanti, ma non impedisce niente: è solo decorazione.

Questo articolo non ripassa il GDPR in generale. Tratta tre cose concrete: come capire se il tuo banner blocca davvero, che ruolo ha Google Consent Mode v2 e quale prova devi conservare di ogni decisione del visitatore.

Cosa richiede la norma, in breve

L'articolo 22.2 della LSSI (la legge spagnola sui servizi della società dell'informazione) stabilisce che i cookie non strettamente necessari possono essere installati solo con il consenso informato dell'utente. Il consenso deve rispettare quanto richiesto dal GDPR: libero, specifico, informato e inequivocabile. E l'articolo 7.1 del GDPR aggiunge un punto che spesso si dimentica: il titolare deve essere in grado di dimostrare che l'interessato ha prestato il consenso.

La guida sui cookie dell'AEPD (l'autorità spagnola per la protezione dei dati) precisa come farlo in pratica. I due punti più disattesi:

• Rifiutare deve essere facile quanto accettare. Se «Accetta» è un grande pulsante verde e «Rifiuta» è un link grigio nascosto in un secondo livello, il consenso non è libero.
• Prima della scelta non si installa nulla che non sia necessario. Né analisi, né pubblicità, né video incorporati che impostano i propri cookie.

Perché tanti banner non bloccano niente

In PrestaShop ogni modulo inserisce i suoi script dove vuole: nel <head>, in fondo alla pagina o caricati in seguito via JavaScript. Un banner che si limita a «disegnare» la finestra e a salvare un cookie con la risposta non ha modo di fermare ciò che altri moduli hanno già iniettato. Gli errori tipici:

1. Il banner si carica dopo i tag. Quando il visitatore vede la finestra, Google Analytics o il pixel sono già partiti.
2. Blocco di interi moduli. Alcuni moduli per i cookie disattivano moduli interi finché non c'è consenso. Con un pixel funziona, ma se il modulo bloccato è un gateway di pagamento o un sistema di finanziamento, il checkout si rompe per chi rifiuta.
3. Ciò che aggiunge JavaScript sfugge. Una chat o un widget che crea i suoi script e iframe nel browser, dopo il caricamento della pagina, non passa per nessun filtro lato server.
4. Gli iframe non vengono toccati. Un video di YouTube o una mappa incorporata impostano cookie di terze parti appena vengono caricati.
5. L'inventario dei cookie è superato. La cookie policy elenca ciò che c'era il giorno in cui è stata redatta, e da allora sono stati installati tre moduli nuovi.

Come verificare il tuo in cinque minuti

1. Apri il negozio in una finestra privata, senza effettuare l'accesso.
2. Apri gli strumenti per sviluppatori del browser, la scheda di archiviazione (cookie e localStorage) e quella di rete.
3. Non toccare il banner. Visita la home, una categoria e una scheda prodotto.
4. Guarda quali cookie ci sono e quali domini sono stati chiamati. Tutto ciò che non è tecnico (sessione, carrello, lingua, il cookie del consenso stesso) non dovrebbe esserci.
5. Premi «Rifiuta tutti», cancella i cookie, ricarica e ripeti. Deve restare altrettanto pulito.
6. Fai un acquisto di prova dopo aver rifiutato: il pagamento deve funzionare.

Se al punto 4 vedi cookie di analisi o di pubblicità, il tuo banner non è a norma, per quanto sia bello.

Google Consent Mode v2: cos'è e cosa non è

Consent Mode è il modo in cui i tag di Google (gtag, Google Tag Manager, Google Ads, GA4) ricevono la decisione del visitatore. Non è un banner e non sostituisce il consenso: è il canale attraverso cui il tuo banner dice a Google cosa può fare.

La versione 2 usa quattro segnali principali:

Google richiede questi segnali per continuare a usare le funzioni pubblicitarie e di pubblico con i visitatori dello Spazio economico europeo. Se non arrivano, la misurazione delle conversioni e gli elenchi di remarketing ne risentono.

Base o avanzata

• Modalità base: i tag di Google non si caricano finché il visitatore non accetta. È la più prudente.
• Modalità avanzata: i tag si caricano fin dall'inizio con tutto negato, inviano ping senza cookie e si aggiornano quando il visitatore decide. Permette a Google di modellare le conversioni, ma conviene valutarla con chi ti segue in materia di protezione dei dati.

Il dettaglio tecnico che fallisce più spesso: il valore predefinito del consenso deve essere dichiarato prima di qualsiasi tag di Google, come prima cosa nel <head>. Se GTM si carica prima, i suoi tag partono senza sapere nulla del consenso.

La prova del consenso

Se un giorno ti chiedono di dimostrare che un visitatore ha accettato la pubblicità, «abbiamo un banner» non è una risposta. La cosa ragionevole è conservare, per ogni decisione:

• Un identificativo del consenso, lo stesso salvato nel cookie del visitatore.
• Data e ora.
• Quali categorie ha accettato e quali ha rifiutato, e i segnali inviati a Consent Mode.
• La versione della policy in vigore e ciò che gli veniva mostrato: testi, categorie, fornitori.
• L'IP troncato o sottoposto a hash, non completo, per non conservare più dati del necessario.

E una regola di manutenzione: se cambi le categorie o compare un nuovo fornitore, chiedi di nuovo. Ciò che il visitatore ha accettato sei mesi fa non copre un pixel che hai installato ieri.

Un negozio aggiornato è anche questo

Molti moduli per i cookie di negozi rimasti per anni su 1.6 o 1.7 si sono fermati alla prima versione di Consent Mode, o a nessuna. Quando aggiorni PrestaShop o migri di versione, controlla il banner con la stessa prova della finestra privata: è una delle prime cose che smettono di funzionare senza avvisare, perché nessuno guarda i cookie dopo una migrazione.

Checklist

• «Rifiuta tutti» allo stesso livello di «Accetta tutti», nel primo livello.
• Finestra privata senza scegliere: solo cookie tecnici.
• Acquisto di prova dopo aver rifiutato: il pagamento funziona.
• Consent Mode v2 dichiarato prima di GTM o gtag, con i quattro segnali.
• Video e mappe incorporati trattenuti fino all'accettazione.
• Registro di ogni decisione, esportabile.
• Cookie policy con l'inventario reale, e nuova versione quando cambia.
• Un link o pulsante sempre presente perché il visitatore possa cambiare idea.

Come risolverlo in PrestaShop

RKR Cookies mostra «Rifiuta tutti» e «Accetta tutti» come lo stesso pulsante, senza che si possano differenziare dal back office, e dichiara Consent Mode v2 come prima cosa nel <head>, in modalità base o avanzata. Il blocco è reale: riscrive l'HTML per rendere inerti gli script delle categorie non accettate, sostituisce gli iframe con un avviso «Carica questo contenuto» e ferma nel browser ciò che viene aggiunto via JavaScript, senza mai bloccare i moduli di pagamento. Salva ogni decisione con la sua istantanea e la esporta in CSV, mantiene un inventario dei cookie che si compila da solo e una tabella per la tua policy. Importa la configurazione di hicookielaw, Cookies Plus ed EU Cookie Law, e ha una modalità di prova per vederlo prima dei tuoi clienti.

Questo articolo è informativo e non sostituisce la consulenza legale. Per un caso concreto, rivolgiti a chi ti segue in materia di protezione dei dati.