A Sito web senza banner sui cookie Ciò è possibile se al primo accesso non vengono attivati accessi alla memoria che richiedono il consenso, tracker o servizi di terze parti non controllati. Il fattore decisivo non è se tecnicamente necessario Cookies Questi fattori possono verificarsi. Cruciali sono lo scopo, la necessità tecnica, i dati elaborati, i destinatari e l'accesso alla memoria sul dispositivo finale.
In oltre 20 anni di sviluppo web, ho riscontrato spesso la stessa causa principale nelle PMI: il banner in sé non è il vero problema, bensì una struttura tecnica disordinata. Questa include script di analisi obsoleti, mappe caricate automaticamente, feed di social media o font scaricati da fonti esterne. Un banner di consenso può gestire questi flussi di dati, ma non elimina le integrazioni superflue.
L'assenza di un banner sui cookie non è di per sé prova di protezione dei dati. Tuttavia, un sito web progettato con l'obiettivo di minimizzare i dati può funzionare senza richiedere il consenso all'accesso e, pertanto, non necessita di un banner di consenso.
Quando è possibile realizzare un sito web senza banner sui cookie?
Un sito web senza banner sui cookie è generalmente possibile se, alla prima visita, sono attive solo le funzioni tecnicamente necessarie e non vengono utilizzati tracker che richiedono il consenso o tecnologie simili. Ciò richiede un'analisi approfondita di tutti gli accessi alla memoria, delle risorse esterne e dei flussi di dati.
La base europea è l'articolo 5(3) della Direttiva ePrivacyIn generale, la direttiva richiede il consenso preventivo e informato quando le informazioni vengono memorizzate o lette dal dispositivo finale. Esistono delle eccezioni, in particolare per i processi tecnicamente necessari. Pertanto, la norma non si applica solo ai browser classici.Cookiesma anche tecnologie comparabili.
In Germania, la precedente legge TTDSG 2024 è stata rinominata TDDDG. L'articolo 25 della TDDDG richiede generalmente il consenso per la memorizzazione di informazioni sui dispositivi terminali e per l'accesso alle informazioni già memorizzate. Sono previste eccezioni per la trasmissione di messaggi e per l'accesso strettamente necessario alla fornitura di un servizio digitale esplicitamente richiesto.
Per le imprese italiane e altoatesine, sono rilevanti anche le normative nazionali e l'interpretazione del Garante per la protezione dei dati personali . Il Garante, nelle sue linee guida, specifica, tra l'altro, i requisiti per i tracker di profilazione, le impostazioni predefinite a tutela della privacy e la progettazione dei banner di consenso.
Una checklist generale sul GDPR non è quindi sufficiente per un sito web tedesco-italiano. È necessario esaminare l'implementazione tecnica specifica e i requisiti nazionali del mercato di riferimento. La seguente checklist funge da guida pratica, ma non sostituisce la consulenza legale nei singoli casi.
I banner sui cookie, i banner di consenso e le informative sulla privacy sono diversi.
Per valutare un sito web senza banner di consenso, è necessario distinguere tre livelli:
- Banner sui cookie: Il termine si riferisce solitamente all'indicatore visibile o alla maschera di selezione per CookiesAnche altri tentativi di accesso al dispositivo finale possono essere legalmente rilevanti.
- Banner di consenso: Un banner di consenso gestisce il consenso per specifiche attività e servizi di trattamento dei dati. Le funzioni che richiedono il consenso devono rimanere bloccate fino a quando non viene fornito un consenso valido.
- Datenschutzerklärung: L'informativa sulla privacy fornisce informazioni sui tipi di dati, le finalità, i destinatari, la base giuridica, il periodo di conservazione e i diritti. Tale obbligo di informazione non viene meno anche qualora non sia richiesto un banner.
Un sito web senza banner di consenso necessita comunque di un'informativa sulla privacy che rispecchi la tecnologia effettivamente utilizzata. Moduli di contatto, log del server, hosting, invio di email o candidature di lavoro possono elaborare dati personali senza richiedere automaticamente un banner sui cookie.
Evitare i banner sui cookie: l'ordine di controllo per le PMI
Non è possibile evitare in modo affidabile un banner sui cookie semplicemente rimuovendo un plugin. Prima di tutto, è necessario capire cosa sta facendo tecnicamente il sito web. Consulenza di procedere nel seguente ordine:
- 1. Servizi di inventario: Acquisisci hosting, moduli, analisi, video, mappe, font, chat, newsletter, servizi di pagamento, prenotazioni di appuntamenti, contenuti per i social media e script di marketing.
- 2. Registrare gli scopi: Documentare per ogni servizio la specifica attività che svolge.
- 3. Testare gli accessi alla memoria: Controlla quale CookiesGli oggetti di archiviazione locale, i pixel, gli script o identificatori simili diventano attivi prima che venga dato il consenso.
- 4. Flussi di dati dei documenti: Documentare quali dati vengono trasferiti a quali destinatari, dove avviene il trattamento e quali subappaltatori sono coinvolti.
- 5. Valutare la necessità: tecnicamente necessario separato Cookies e funzioni di comfort, analisi e servizi di marketing.
- 6. Verifica gli embedding: Video, mappe e post esterni non possono trasmettere dati senza controllo prima di aver ottenuto il consenso necessario.
- 7. Controlla la documentazione: L'informativa sulla privacy, gli accordi sul trattamento dei dati e l'elenco dei servizi interni devono corrispondere alla configurazione attuale.
- 8. Verifica le modifiche: Ripetere il controllo tecnico dopo ogni nuova integrazione.
Una spiegazione più approfondita di questo approccio è disponibile nel mio articolo sulla Privacy by Design per le PMI . La protezione dei dati viene pianificata prima della selezione degli strumenti e dell'implementazione tecnica, non solo poco prima della pubblicazione.
Protezione dei dati fin dalla progettazione con btlabs Core
In btlabs Core, la privacy dei dati è una priorità fin dalla progettazione . Il sistema di base non viene prima esteso con servizi pubblicitari e di tracciamento, per poi essere sovrapposto a un complesso meccanismo di consenso. La configurazione di base, orientata al minimalismo dei dati, riduce fin dall'inizio i flussi di dati non necessari.
La base prevista comprende:
- Nessun tracker pubblicitario statunitense nel sistema di base,
- statistiche efficienti in termini di dati invece di profili utente dettagliati,
- incorporamenti controllati per i media esterni,
- Ospitalità UE come parte della pianificazione infrastrutturale,
- caratteri locali invece del recupero automatico da server di font esterni,
- un'architettura elegante con meno dipendenze tecniche,
- Sovranità dei dati e flussi di dati tracciabili.
Questa architettura fornisce una base adeguata per un sito web senza banner sui cookie, ma non è una garanzia assoluta di conformità al GDPR. Non appena integrerete un pixel di marketing, una chat esterna o un'altra estensione, la valutazione dovrà essere aggiornata. Spiego come è strutturato il sistema come base digitale nell'articolo su btlabs Core per le PMI.
Perché ospitare l'UE da sola non basta
L'hosting nell'UE è una componente utile dell'infrastruttura, ma non risolve tutti i problemi relativi alla protezione dei dati. Anche con un server situato nell'UE, un trasferimento verso un paese terzo può comunque verificarsi se i dati personali vengono divulgati a, o resi accessibili da, un'azienda giuridicamente indipendente in un paese terzo.
Le linee guida 05/2021 del Comitato europeo per la protezione dei dati (EDPB) si concentrano sugli attori coinvolti, sulla divulgazione dei dati e sulla localizzazione del destinatario in relazione ai trasferimenti internazionali di dati. Pertanto, oltre alla posizione del server, è necessario esaminare i fornitori, i subappaltatori, l'accesso all'assistenza e i destinatari tecnici.
L'hosting nell'UE è solo un elemento, non la certificazione GDPR. Una valutazione completa include anche la minimizzazione dei dati, la sicurezza, le basi giuridiche, gli obblighi di informazione, i contratti, i periodi di cancellazione e i diritti degli interessati.
Esempio pratico: sito web di una PMI altoatesina
Un'azienda artigianale a conduzione familiare della Eisack Valley gestisce un sito web che è stato ampliato nel corso degli anni. Alla prima visita, viene avviato uno strumento di analisi. Contemporaneamente, vengono caricati da server esterni un video di YouTube, Google Maps, un feed di social media, un pixel di marketing e dei font.
In precedenza: molti servizi, flussi di dati poco chiari
- Gli script di analisi iniziano prima della selezione nel banner.
- Video, mappe e feed dei social media trasmettono dati a diversi fornitori terzi.
- L'azienda non è in grado di identificare completamente i destinatari.
- Il banner elenca le categorie, ma non blocca tutte le connessioni esterne.
- L'informativa sulla privacy non rispecchia appieno la tecnologia utilizzata.
Una configurazione di questo tipo è più difficile da documentare e gestire. L'aggiunta di script può inoltre aumentare i tempi di caricamento, le dipendenze e la probabilità di errori. Allo stesso tempo, l'organizzazione raccoglie dati che potrebbero non esserle necessari per il proprio processo decisionale.
Successivamente: elaborazione limitata e documentata
- Le statistiche web registrano solo i dati chiave necessari.
- I caratteri tipografici e gli elementi grafici principali vengono forniti localmente.
- Il video viene inizialmente visualizzato come immagine di anteprima e carica il servizio esterno solo dopo l'approvazione necessaria.
- La mappa caricata automaticamente viene sostituita da una descrizione testuale del percorso; l'utilizzo di una mappa esterna rimane facoltativo.
- I post sui social media non vengono caricati automaticamente dalla piattaforma.
- I destinatari e i flussi di dati sono documentati.
- L'informativa sulla privacy rispecchia il sistema attuale.
L'azienda conserva i propri servizi, le informazioni di contatto, le referenze e i dettagli relativi alla posizione. Tuttavia, il sito web senza banner sui cookie trasmette meno dati a piattaforme esterne alla prima visita.
Quali estensioni devono essere riesaminate?
Anche una singola nuova integrazione può modificare la valutazione di un sito web senza un banner di consenso. Ciò riguarda in particolare i media e i servizi di comunicazione esterni.
- YouTube o Vimeo: I video incorporati direttamente possono stabilire una connessione con il provider al momento del caricamento. Un'immagine di anteprima con autorizzazione o un'alternativa ospitata localmente impediscono l'accesso immediato.
- Google Maps: Una mappa incorporata direttamente integra un fornitore esterno. Le indicazioni testuali o l'incorporamento controllato riducono i flussi di dati automatici.
- Profili social: I feed in diretta e i plugin della piattaforma sono tecnicamente diversi da un normale link a un profilo.
- Strumenti di chat: Le funzionalità di chat possono inviare identificativi, contenuto della conversazione e metadati tecnici a fornitori esterni.
- Moduli: I moduli incorporati possono trasmettere dati non appena vengono caricati, non solo quando vengono inviati.
Anche i servizi transazionali e pubblicitari richiedono una revisione separata:
- Newsletter: I moduli, i servizi di spedizione, i processi di conferma e la misurazione del successo devono essere valutati separatamente.
- Prenotazione appuntamento: I sistemi di prenotazione esterni spesso elaborano i dati di contatto e di appuntamento e possono caricare risorse aggiuntive.
- Servizi di pagamento: Un negozio elabora dati diversi rispetto a un sito web puramente informativo e richiede una documentazione adatta.
- Pixel di marketing: Le tecnologie di pubblicità, retargeting e profilazione sono tipici strumenti di tracciamento che richiedono il consenso.
- Caratteri: I font caricati esternamente creano connessioni a server esterni. I font caricati localmente evitano questa richiesta.
Se il tuo modello di business richiede una misurazione dettagliata delle campagne, un processo di consenso configurato correttamente ha più senso che rinunciare completamente ai banner. Spiego le differenze tra Matomo, GA4 e il consenso in modo più dettagliato nel mio articolo sul tracciamento GDPR per le PMI.
Statistiche sul risparmio dati per un sito web senza banner dei cookie
Molte piccole imprese non necessitano di profili utente personalizzati. Spesso, le visualizzazioni di pagina, i contenuti più popolari, le fonti di traffico generali e le semplici azioni compiute dagli utenti sono sufficienti per sviluppare ulteriormente un sito web.
Le statistiche di minimizzazione dei dati hanno uno scopo limitato, ovvero ridurre gli identificatori ed evitare collegamenti non necessari. Tuttavia, "senza cookie" non significa "senza obblighi". Anche senza Cookies Possono essere trattati indirizzi IP, informazioni sul dispositivo, URL o altri dati tecnici.
Con Matomo, la valutazione della protezione dei dati dipende dalla configurazione. La guida alla configurazione della CNIL francese menziona, tra le altre cose, il modello di hosting, l'anonimizzazione dell'indirizzo IP e l'evitare fornitori terzi.Cookies e il tracciamento tra domini diversi, nonché la disattivazione di ulteriori funzioni personali.
Matomo non è quindi né generalmente privo di consenso né automaticamente problematico. Verifica quali funzioni sono attive, se Cookies Spiega quali dati vengono memorizzati e chi può accedervi. Ulteriori opzioni sono illustrate nella mia guida a... Statistiche senza cookie per le PMI.
In questo modo, il sito web rimane efficiente in termini di utilizzo dei dati, senza bisogno di un banner sui cookie.
Un sito web senza banner sui cookie non è una condizione permanente. Nuove funzionalità possono modificare l'accesso alla memoria, i destinatari e la base giuridica. Pertanto, la responsabilità per le modifiche tecniche deve essere definita chiaramente.
- Prima della pubblicazione: Eseguire un inventario tecnico, un test degli accessi allo storage e un test di accettazione per tutti i fornitori terzi.
- Ad ogni espansione: Verifica lo scopo, il fornitore, i tipi di dati, l'accesso all'archiviazione, i destinatari e l'hosting.
- Prima dell'attivazione: Decidi se è necessario il consenso e come il servizio verrà bloccato fino a quando non verrà fornito.
- Dopo l'integrazione: Prova ad accedere nuovamente al sito web con un nuovo profilo del browser.
- Aggiornare la documentazione: Adattare l'informativa sulla privacy, l'elenco dei servizi e i relativi contratti.
- Controllare regolarmente: Programmate un audit sulla protezione dei dati e sulle tecnologie come parte della manutenzione ordinaria.
- Identificare le responsabilità: Definisci chi rilascerà i nuovi servizi e documenta la revisione tecnica.
Nella nostra strategia per il sito web e nella sua implementazione tecnica, la protezione dei dati non è un aspetto secondario. La scelta del servizio ha un impatto simultaneo sulla protezione dei dati, sui tempi di caricamento, sulle dipendenze, sull'impegno richiesto per la manutenzione e sulla sovranità dei dati.
Domande e risposte
È possibile utilizzare Matomo senza il banner dei cookie?
Matomo può essere considerato in una configurazione limitata e che minimizza i dati senza previo consenso. I fattori cruciali sono... CookiesElaborazione IP, hosting, funzionalità attivate, collegamento dati e destinatari. Il solo nome del prodotto non è sufficiente a rispondere alla domanda.
Google Analytics richiede il consenso?
Per le configurazioni tipiche di Google Analytics, è opportuno presumere il consenso preventivo, soprattutto se si utilizzano identificatori, analisi cross-device o link a servizi pubblicitari. La configurazione completa e le normative nazionali applicabili sono determinanti.
È consentito pubblicare contenuti su YouTube e Google Maps senza banner?
Un link standard a YouTube o Google Maps è tecnicamente diverso da un contenuto incorporato caricato direttamente. Se il contenuto incorporato trasmette dati al caricamento della pagina o attiva l'accesso alla memoria di archiviazione che richiede il consenso, deve essere bloccato fino a quando non viene concessa l'autorizzazione o sostituito con un'alternativa locale.
Sono sufficienti i font locali e l'hosting nell'UE?
No. I font locali e l'hosting nell'UE riducono alcuni flussi di dati esterni, ma non sostituiscono la revisione di analisi, moduli, destinatari, accesso all'assistenza e fornitori terzi. L'ubicazione del server è solo una parte della valutazione GDPR.
Ho bisogno di un'informativa sulla privacy anche se non ho un banner sui cookie?
Sì. Anche un sito web efficiente in termini di utilizzo dei dati elabora regolarmente dati tecnici relativi all'hosting, ai log del server, alle misure di sicurezza o ai moduli di contatto. L'informativa sulla privacy deve descrivere tale elaborazione in modo chiaro e preciso.
Cosa succede se in un secondo momento viene aggiunto un servizio di marketing?
Ogni nuova integrazione può modificare la valutazione esistente. Prima dell'attivazione, è necessario rivedere l'accesso allo spazio di archiviazione, i flussi di dati, i destinatari e lo scopo, e aggiungere un processo di consenso efficace, se necessario.
È possibile che un banner progettato da professionisti presenti difetti tecnici?
Sì. Un banner non raggiunge il suo scopo se i servizi che richiedono il consenso vengono caricati in anticipo, se la disattivazione è resa inutilmente difficile o se la selezione non ha alcun effetto tecnico. Il fattore determinante è il comportamento del sito web.
Chi è responsabile del sito web?
La responsabilità della protezione dei dati ricade generalmente sul titolare del trattamento, di solito la società operativa. Gli sviluppatori, i fornitori di hosting e gli altri fornitori di servizi devono adempiere ai propri obblighi contrattuali e tecnici, ma non si assumono automaticamente la responsabilità complessiva.
Un sito web senza banner sui cookie è automaticamente conforme al GDPR?
No. Un banner mancante non dice nulla sugli obblighi informativi, i moduli, la sicurezza dei dati, i contratti, i periodi di cancellazione o i diritti dell'interessato. La conformità al GDPR richiede una valutazione completa di tutte le attività di trattamento.
Conclusione: è possibile realizzare un sito web senza banner sui cookie.
Se vuoi evitare il banner dei cookie, inizia dai servizi, dalle finalità e dai flussi di dati. Rimuovi i tracker non necessari, sostituisci i fornitori terzi non controllati, utilizza risorse locali e carica contenuti esterni solo in modo controllato.
btlabs Core fornisce una solida base tecnica per la gestione efficiente dei dati. La possibilità che un sito web rimanga permanentemente funzionante senza un banner sui cookie dipende dalla configurazione specifica e da eventuali estensioni successive. Pertanto, è fondamentale elaborare solo i dati necessari per uno scopo verificabile e che apportino un beneficio concreto all'azienda e ai suoi visitatori.
Swell
- Direttiva 2002/58/CE, articolo 5(3) — EUR-Lex (2002, modificata nel 2009)
- Articolo 25 della legge sulle telecomunicazioni, i servizi digitali e la protezione dei dati — Leggi su Internet (versione attuale)
- Garanzia per la protezione dei dati personali: linee guida su Cookies e altri strumenti di tracciamento (2021)
- Comitato europeo per la protezione dei dati: Linee guida 05/2021, versione 2.0 (2023)
- CNIL: Matomo Analytics – Esenzione, Guida di configurazione (2023)
