Apri la console del browser sul tuo sito WordPress e vedi una dozzina di cookie con nomi poco chiari. Poi arriva un'email: «Il tuo sito non è conforme al GDPR, regolarizza entro 14 giorni». Ti suona familiare?

Il tema dei cookie è tecnicamente semplice ma legalmente delicato. Le sanzioni per la non conformità al GDPR raggiungono i 20 milioni di euro o il 4% del fatturato annuo, a seconda di quale sia l'importo maggiore. E questo non riguarda solo i negozi online: qualsiasi sito con Google Analytics, un modulo per i commenti o un video YouTube incorporato tecnicamente raccoglie dati degli utenti. Secondo il GDPR Enforcement Tracker, il totale delle sanzioni dal 2018 ha superato i 6 miliardi di euro e solo nel 2025 le autorità di controllo hanno emesso sanzioni per 1,2 miliardi di euro.

Analizziamo la questione passo dopo passo: quali cookie imposta esattamente WordPress, cosa significa consenso esplicito ai sensi del GDPR e come rendere il tuo sito pienamente conforme alla normativa usando un plugin gratuito, senza bisogno di un programmatore e in mezz'ora.

💡 Panoramica rapida:

• Verifica l'elenco effettivo dei cookie sul tuo sito: apri la console del browser (F12), scheda Applicazione → Cookie e fai uno screenshot
• Installa il plugin gratuito GDPR CCPA Compliance & Cookie Consent Banner dal catalogo di WordPress: copre tutti i requisiti tecnici della normativa senza scrivere codice
• Configura l'anonimizzazione dell'IP in Google Analytics tramite MonsterInsights e aggiorna la tua privacy policy per riflettere l'elenco aggiornato dei cookie

Cosa sono i cookie e come li usa WordPress

Un cookie è un piccolo file di testo che il server invia al browser e che il browser restituisce a ogni richiesta successiva. È un meccanismo di «memoria» per il protocollo HTTP, che di per sé non mantiene lo stato. Senza cookie, internet sembrerebbe affetto da amnesia: ogni clic sarebbe come una prima visita, niente autenticazione, niente carrello.

WordPress utilizza i cookie in tre scenari chiave.

Autenticazione. Quando accedi al pannello di amministrazione, WordPress imposta cookie di sessione che confermano la tua identità a ogni passaggio tra le pagine della console. La durata è di 48 ore; con l'opzione «Ricordami», fino a 14 giorni.

Commenti. WordPress ricorda nome, email e URL dell'autore del commento usando tre cookie: comment_author_{HASH}, comment_author_email_{HASH} e comment_author_url_{HASH}. Il periodo di conservazione è di circa un anno. Comodo per l'utente, ma dal punto di vista del GDPR ciascuno di questi tre cookie richiede una dichiarazione nella privacy policy.

Plugin e temi. Lo scenario più comune. Qualsiasi codice di terze parti può impostare i propri cookie: tracciamento del comportamento, pop-up, test A/B, carrello di WooCommerce, pixel pubblicitari. Legalmente, il titolare del sito è responsabile di informare su ciascuno di questi cookie, non lo sviluppatore del plugin.

Cookie da servizi esterni: Google Analytics, social media e chat

Una categoria a parte sono i cookie che non provengono da WordPress ma da servizi esterni collegati. L'esempio più comune è Google Analytics.

Quando colleghi il codice di tracciamento di Google Analytics, direttamente o tramite un plugin come MonsterInsights, tre cookie principali finiscono nel browser del visitatore:

• _ga, identificatore utente, dura 2 anni;
• _gat, limitatore della frequenza di richieste, dura 1 minuto;
• _gid, identificatore di sessione, dura 24 ore.

Google Analytics di per sé non viola il GDPR a una condizione: l'anonimizzazione dell'IP. In MonsterInsights c'è un interruttore integrato per questo: si attiva con un clic e gli indirizzi IP vengono mascherati prima di essere inviati ai server di Google.

Lo stesso vale per qualsiasi altro codice esterno: Facebook Pixel, player YouTube incorporati, script pubblicitari, chat come Intercom, tracker di heatmap (Hotjar, Microsoft Clarity). Ognuno aggiunge i propri cookie e ognuno deve essere dichiarato nella privacy policy e coperto da un meccanismo di consenso.

Consenso esplicito e implicito: cosa richiede la legge

Dal punto di vista del GDPR, ci sono due approcci per ottenere il permesso per i cookie.

Consenso esplicito. Il sito non imposta alcun cookie non essenziale finché il visitatore non clicca su «Accetta». Fino a quel momento, funzionano solo i cookie strettamente necessari: sessione di autenticazione, contenuto del carrello, token di sicurezza. Questo è l'unico approccio pienamente conforme al GDPR ed è ciò che le autorità di controllo europee richiedono dal 2018.

Consenso implicito. I cookie vengono impostati immediatamente e l'utente vede un avviso «Continuando a navigare il sito, accetti...». Questo approccio non è più considerato sufficiente secondo le norme del GDPR: serve un'azione attiva. La tendenza legale si sta chiaramente orientando verso il consenso esplicito e i plugin che simulano la «sufficienza» del consenso implicito creano un falso senso di protezione.

Cos'è il GDPR e a chi si applica

Il GDPR (General Data Protection Regulation) è un regolamento europeo sulla protezione dei dati entrato in vigore il 25 maggio 2018. La sua giurisdizione si estende a qualsiasi azienda che tratti dati di cittadini dell'UE, indipendentemente dal paese di registrazione dell'azienda.

In parole povere: se il tuo sito WordPress può essere visitato da un residente in Germania, Francia o Polonia, il GDPR ti riguarda.

Il regolamento attribuisce agli utenti sei diritti: accesso ai propri dati, rettifica, cancellazione («diritto all'oblio»), limitazione del trattamento, portabilità dei dati e opposizione al trattamento. Per il titolare di un sito WordPress, questo significa che gli utenti devono avere la possibilità tecnica di richiedere, rettificare o cancellare tutti i propri dati e il sito deve soddisfare la richiesta entro un tempo ragionevole.

Le sanzioni per la non conformità arrivano fino a 20 milioni di euro o al 4% del fatturato annuo, a seconda di quale sia l'importo maggiore. Secondo l'Enforcement Tracker, il totale delle sanzioni nell'intero periodo di vigenza del regolamento ha superato i 6 miliardi di euro e il ritmo è in aumento: nel 2025 le autorità di controllo hanno emesso sanzioni per 1,2 miliardi di euro, più di qualsiasi anno precedente.

Conformità GDPR CCPA e plugin per il banner di consenso ai cookie: coprire i requisiti con un solo strumento

GDPR CCPA Compliance & Cookie Consent Banner (ex Ninja GDPR Compliance) è un plugin gratuito presente nel catalogo ufficiale di WordPress. Copre praticamente tutti i requisiti tecnici della normativa senza scrivere una sola riga di codice. A giugno 2026, il plugin è attivamente mantenuto: la versione 2.7.5 di dicembre 2025 ha migrato l'interfaccia da Vue.js a React e ha corretto diverse vulnerabilità.

Avviso sui cookie

La prima e più visibile funzionalità è il pop-up di consenso. Si configura tramite un builder visuale: testo, colori, posizione sullo schermo. Il pulsante «Rifiuta» può essere attivato separatamente, così i visitatori possono esplicitamente rifiutare i cookie non essenziali. Finché non si clicca sul pulsante «Accetta», gli script di tracciamento non si attivano.

Consenso alla privacy policy

Quando questa opzione è attiva, gli utenti vengono automaticamente indirizzati alla pagina della privacy policy e i visitatori che hanno effettuato l'accesso devono accettarne esplicitamente i termini. Il plugin registra ogni accettazione, creando una traccia documentale utile in fase di verifica legale.

Modulo «Diritto all'oblio»

La funzione «Forget Me» crea un modulo sul sito tramite il quale gli utenti richiedono la cancellazione di tutti i propri dati. Dopo l'invio, l'amministratore riceve una notifica via email e deve solo confermare la cancellazione. Questo copre il requisito GDPR relativo al «diritto all'oblio».

Controllo del traffico UE

Permette di mostrare gli avvisi sui cookie solo ai visitatori provenienti dai paesi dell'Unione Europea o di bloccare completamente l'accesso dagli IP europei. L'elenco dei paesi è modificabile: puoi escludere un paese specifico se non operi con i suoi residenti.

Rettifica dei dati

Implementa il diritto dell'utente di correggere le informazioni memorizzate, un altro requisito del GDPR. Gli utenti compilano un modulo descrivendo cosa deve essere corretto e l'amministratore riceve una notifica.

Notifica di violazione dei dati

La funzione di notifica di violazione dei dati (Data Breach Notification) è una di quelle che speri di non dover mai usare, ma che è obbligatoria ai sensi della normativa. Se il sito subisce un attacco informatico e i dati degli utenti potrebbero essere stati compromessi, il plugin notifica in massa tutti i visitatori interessati con un solo clic.

Il plugin è completamente gratuito e funziona subito. Installazione: «Plugin → Aggiungi nuovo», cerca «GDPR CCPA Compliance», attivalo, vai al menu GDPR → Impostazioni e configura l'avviso sui cookie in linea con il design del tuo sito. L'intero processo richiede meno di cinque minuti.

🔗 GDPR CCPA Compliance su WordPress.org

Plugin alternativi: quando un solo banner non basta

GDPR CCPA Compliance è valido come soluzione leggera «tutto in uno», ma il mercato è più ampio. Se hai bisogno della generazione automatica delle policy, della scansione dei cookie o dell'integrazione con Google Consent Mode v2, ecco tre alternative attive:

• Complianz, esegue automaticamente la scansione del sito alla ricerca di cookie, genera un'informativa sulla privacy basata sull'elenco reale e documenta il consenso. La versione gratuita è sufficiente per la maggior parte dei siti di piccole dimensioni.
• CookieYes, si concentra sulla personalizzazione del design della notifica: configurazione flessibile di colori, posizione e testo del banner. Supporta Google Consent Mode v2 per gli inserzionisti.
• WPConsent, pensato su misura per Google Consent Mode v2: gestisce il modo in cui Google Ads e Analytics rispondono allo stato del consenso dell'utente. Per i siti con monetizzazione pubblicitaria attiva questo aspetto è critico, perché senza Consent Mode v2 gli script pubblicitari di Google semplicemente non vengono eseguiti nell'UE.

Per un blog o una landing page tipici, il plugin gratuito GDPR CCPA Compliance è più che sufficiente. Se invece utilizzi Google Ads o gestisci un negozio WooCommerce con clienti europei, dai un'occhiata a Complianz o WPConsent.

Configurare Google Analytics per il GDPR con MonsterInsights

MonsterInsights è uno dei plugin Google Analytics più diffusi per WordPress, con oltre 3 milioni di installazioni attive. Oltre al pannello di analytics direttamente nella dashboard, il plugin dispone di una modalità di conformità GDPR integrata.

Cosa fa MonsterInsights per la conformità GDPR:

• Anonimizzazione IP. Attivabile con un interruttore nelle impostazioni, il plugin aggiunge il parametro anonymizeIp al codice di tracciamento e Google riceve un indirizzo IP troncato.
• Disabilitare il tracciamento per gli utenti autenticati. Amministratori ed editor del sito non dovrebbero comparire nelle statistiche, questo distorce i dati sui visitatori reali.
• Integrazione con i plugin di consenso cookie. MonsterInsights può ascoltare gli eventi provenienti da Complianz, CookieBot e altri plugin GDPR e attiva il tracciamento solo dopo aver ricevuto il consenso dell'utente.

🔗 MonsterInsights su WordPress.org

Moduli di contatto e GDPR

Qualsiasi modulo di contatto su un sito WordPress raccoglie dati personali. In base al GDPR devi soddisfare tre condizioni:

• Specificare lo scopo della raccolta subito sopra il pulsante di invio, in una frase. Ad esempio: «Il tuo nome e la tua email saranno utilizzati solo per rispondere a questa richiesta.»
• Ottenere il consenso esplicito se prevedi di usare i contatti per invii di newsletter. Una casella di controllo separata, non pre-spuntata.
• Disabilitare la registrazione degli indirizzi IP e dello user-agent nei log del modulo. Per Contact Form 7 si fa tramite il componente aggiuntivo Flamingo, per WPForms è un'impostazione GDPR integrata.

Vale la pena menzionare a parte la funzione «Delete Me», un meccanismo aggiuntivo che copre il requisito GDPR del diritto alla cancellazione dell'account.

Quando attivata, gli utenti possono eliminare il proprio profilo autonomamente, senza contattare l'amministratore. WordPress procede quindi a eliminare tutti i post, i link e i commenti dell'utente. L'accesso alla funzione può essere limitato a un ruolo specifico, ad esempio consentendolo solo agli abbonati.

Come verificare i cookie nel browser in un minuto

A volte non serve la conformità GDPR ma una semplice diagnostica: vedere quali cookie imposta un determinato sito. Ecco come si fa nei due browser principali.

Google Chrome. Apri il sito, premi F12 (strumenti per sviluppatori), vai alla scheda Application, nel menu a sinistra seleziona Cookies → dominio del sito. Davanti a te c'è l'elenco completo dei cookie con i relativi valori, durate e flag HttpOnly/Secure. Per la gestione globale delle impostazioni: Impostazioni → Privacy e sicurezza → Impostazioni sito → Cookie di terze parti.

Mozilla Firefox. F12 → scheda Storage → Cookies → dominio. Impostazioni globali: Impostazioni → Privacy e sicurezza → Protezione antitracciamento avanzata. Firefox offre tre livelli: standard, rigorosa e personalizzata, quest'ultima consente di regolare con precisione quali cookie bloccare.

Video: configurazione rapida del consenso cookie in WordPress

Guarda una dimostrazione di tre minuti sulla configurazione dell'informativa sui cookie realizzata dal team di Elementor, è più veloce che leggere le istruzioni testuali.

⁉️🤔 Domande frequenti

WordPress usa i cookie se ho un blog semplice senza registrazione?

Sì. Anche se i commenti sono disabilitati e nessuno effettua l'accesso, WordPress imposta wp-settings-time-{ID} e wp-settings-{ID} per l'amministratore. Qualsiasi plugin di analytics, pixel pubblicitario o video YouTube incorporato aggiungerà i propri cookie a prescindere dalla tua volontà. Minimo di base: vai nella console del browser (F12 → Application → Cookies), confronta l'elenco reale con l'informativa sulla privacy e aggiornala se ci sono discrepanze. Quindici minuti di lavoro cambiano radicalmente la posizione legale durante un audit.

In cosa differisce il GDPR dalla Direttiva ePrivacy ("legge sui cookie")?

La Direttiva ePrivacy è stata adottata nel 2002 e aggiornata nel 2009, richiede di ottenere il consenso per archiviare e accedere a informazioni sul dispositivo di un utente. Il GDPR, entrato in vigore nel 2018, è più ampio: regolamenta qualsiasi trattamento di dati personali, non solo tramite cookie. Differenza pratica: il GDPR ha alzato l'asticella della qualità del consenso. Non puoi pre-spuntare "Acconsento" di default, nascondere il rifiuto in profondità nelle impostazioni o subordinare l'uso del sito al consenso per i cookie pubblicitari. Tutto questo oggi è sanzionato e gli importi crescono ogni anno.

Quale plugin scegliere: GDPR CCPA Compliance o Complianz?

GDPR CCPA Compliance vince per semplicità: impostazioni minime, tutto funziona out of the box, gratuito. Adatto a blog, landing page e siti di piccole dimensioni. Complianz offre di più: scansione automatica dei cookie, generazione dell'informativa sulla privacy basata sull'elenco reale, documentazione dettagliata del consenso. Per un negozio WooCommerce o un sito con pubblicità attiva scegli Complianz, la sua versione gratuita è sufficiente. Se i ricavi principali arrivano tramite Google Ads, orientati verso WPConsent con Google Consent Mode v2.

Devo essere conforme al GDPR se non mi trovo in Europa?

Quasi certamente sì. Il GDPR protegge i cittadini dell'UE, non le aziende, e si applica a qualsiasi organizzazione che tratti i loro dati, indipendentemente dalla giurisdizione. Se il tuo sito è pubblicamente accessibile e non blocca il traffico europeo, il regolamento si applica a te. In pratica, i siti piccoli fuori dall'UE raramente diventano bersaglio delle autorità di controllo, ma il rischio legale esiste. Raccomandazione: se tra i visitatori ci sono europei (Google Analytics lo mostra nel report sulla geografia), installa almeno un plugin gratuito per l'avviso sui cookie. Sono zero soldi e cinque minuti di tempo, ma crea una traccia documentale degli sforzi in buona fede per conformarsi al regolamento.

Come posso verificare esattamente quali cookie utilizza il mio sito?

Il modo più semplice: apri il sito in modalità incognito, premi F12 → Application → Cookies e fai uno screenshot dell'elenco. Per un audit più approfondito, funziona il servizio CookieServe, che scansiona il sito gratuitamente e produce un report con la classificazione dei cookie per categorie (necessari, analitici, pubblicitari). Se usi Complianz, lo scanner integrato fa la stessa cosa automaticamente. Il valore principale di un audit del genere: scopri se un vecchio plugin di Facebook Pixel che hai dimenticato tre anni fa sta impostando cookie. Succede più spesso di quanto sembri.

Cosa fare per il GDPR adesso

La conformità sui cookie non è un tema che puoi impostare una volta e dimenticare per un anno. I plugin si aggiornano, si aggiungono nuovi script, i requisiti delle autorità di controllo cambiano. Ma il punto di partenza è uguale per tutti: verifica l'elenco reale dei cookie, installa un plugin per il consenso e assicurati che Google Analytics anonimizzi gli IP.

Il percorso più rapido per ottenere risultati: installa GDPR CCPA Compliance & Cookie Consent Banner, abilita l'anonimizzazione dell'IP nel plugin MonsterInsights e sostituisci l'informativa sulla privacy standard di WordPress con una aggiornata che elenchi i cookie effettivamente utilizzati. Trenta minuti e la domanda "come sono messo con il GDPR?" smette di essere una domanda.