I cookie sono piccoli file di testo che un sito web memorizza nel browser del visitatore. Senza di loro, carrelli della spesa, aree personali e autenticazione non funzionerebbero. Eppure, gli stessi cookie possono tracciare il comportamento dell'utente, raccogliere la cronologia di navigazione e passare quei dati alle reti pubblicitarie, che è esattamente il territorio che la normativa europea disciplina.

Ignorare questi requisiti è un rischio. La sanzione per la violazione della Direttiva ePrivacy e del GDPR può arrivare a 20 milioni di euro o al 4% del fatturato annuo, a seconda di quale sia l'importo più elevato. Per il titolare di un sito WordPress con un pubblico europeo, la conformità cookie non è opzionale; è una condizione obbligatoria per operare.

Mettere in regola il proprio sito è più semplice di quanto sembri. Tre passaggi, un plugin e mezz'ora del tuo tempo porteranno il tuo sito WordPress in piena conformità con i requisiti attuali del 2026.

💡 Panoramica rapida:

• Cosa sono i cookie, quali tipologie tracciano gli utenti e come WordPress li utilizza di default
• Cosa richiede la Direttiva ePrivacy (la legge europea sui cookie) in combinazione con il GDPR
• Tre passaggi per la conformità: una cookie policy, un banner di consenso e il blocco degli script fino al consenso esplicito
• Una rassegna di plugin funzionanti: dai semplici avvisi alle piattaforme complete di gestione del consenso

Cosa sono i cookie e come li utilizza WordPress

Un cookie è un blocco di informazioni che il server invia al browser, il quale lo restituisce a ogni richiesta successiva. Tecnicamente, è una coppia "chiave=valore" con attributi per scadenza, dominio e flag di sicurezza. Dal punto di vista normativo, i cookie si dividono in due grandi gruppi.

Il primo gruppo è quello dei cookie strettamente necessari. Senza di loro, il sito non funziona: il cookie di sessione PHPSESSID, il carrello di WooCommerce woocommerce_cart_hash e il cookie di autenticazione dopo il login nell'area di amministrazione. Questi richiedono solo l'informativa, non il consenso.

Il secondo gruppo è tutto il resto: cookie analitici (_ga, _gid di Google Analytics), cookie pubblicitari (Facebook Pixel, Google Ads) e cookie funzionali (player YouTube, mappe, widget social). Questi sono i cookie che richiedono un consenso esplicito e informato prima che qualsiasi script li scriva nel browser.

WordPress di default imposta diversi cookie. Al login nell'area di amministrazione, crea wordpress_logged_in_[hash] per l'autenticazione, wp-settings-{time}-[UID] per la personalizzazione dell'interfaccia e alcuni altri cookie tecnici. I commenti memorizzano un cookie con nome, email e sito web dell'autore per un anno, così da non dover ricompilare i campi. Tutto questo è strettamente necessario; l'informativa è richiesta, il consenso no.

Ma un sito WordPress reale raramente gira solo sul core nudo. Un plugin di notifiche push aggiunge i propri cookie, Google Analytics aggiunge i suoi e le reti pubblicitarie i loro. È qui che un banner di consenso diventa inevitabile.

Cosa richiede la legge europea sui cookie nel 2026

Il termine "legge europea sui cookie" si riferisce tipicamente a due documenti: la Direttiva ePrivacy 2002/58/CE (con le modifiche del 2009) e il GDPR (Regolamento Generale sulla Protezione dei Dati, in vigore dal 2018). La Direttiva ePrivacy fornisce una regolamentazione specifica per i cookie e tecnologie simili, mentre il GDPR copre i dati personali in generale.

Il requisito chiave è che i cookie non strettamente necessari possono essere impostati solo dopo che l'utente ha espresso un consenso esplicito. Il silenzio, lo scorrimento della pagina o la navigazione continuata non costituiscono più consenso (dal 2020, a seguito della sentenza della Corte UE nel caso Planet49).

Cosa deve fare concretamente il titolare di un sito WordPress:

• Creare una cookie policy, un documento separato o una sezione della privacy policy, che elenchi tutti i tipi di cookie, le finalità della raccolta e i periodi di conservazione
• Mostrare un banner di avviso cookie ben visibile sul sito prima che qualsiasi script di tracciamento venga caricato
• Fornire all'utente una scelta: accettare tutti i cookie, rifiutarli tutti (tranne quelli necessari) o configurare le categorie
• Bloccare gli script che impostano cookie fino a quando non viene dato il consenso esplicito, non dopo

Dal 2024, si è aggiunto un ulteriore livello: Google Consent Mode v2 è obbligatorio per i siti che utilizzano Google Ads e Google Analytics con un pubblico UE. Senza i segnali di consenso, Google semplicemente non mostrerà pubblicità personalizzata e limiterà la raccolta dati in Analytics. La buona notizia è che i moderni plugin per il consenso supportano Consent Mode di default.

La non conformità comporta rischi che vanno oltre le sanzioni. Perdita di fiducia degli utenti, ricavi pubblicitari bloccati e azioni legali da parte di attivisti della privacy sono tutte conseguenze aziendali reali.

Passaggio 1. Preparare la cookie policy

Una cookie policy è un documento che spiega agli utenti quali cookie utilizza il tuo sito, perché, chi li imposta e come disattivarli. La legge richiede che questo documento sia facilmente accessibile; in genere, un link ad esso viene inserito nel footer e all'interno del banner di consenso.

Cosa deve includere:

• Una dichiarazione diretta che il sito utilizza i cookie
• Una spiegazione di cosa sono i cookie, brevemente, in una o due frasi
• Un elenco dei tipi di cookie utilizzati: necessari, analitici, pubblicitari, funzionali, indicando quali imposti tu e quali provengono da terze parti
• Per ogni categoria, la finalità e il periodo di conservazione
• Istruzioni su come gli utenti possono disabilitare i cookie nelle impostazioni del browser o revocare il consenso già prestato

WordPress rende tutto più semplice. In Impostazioni → Privacy, c'è un modello di privacy policy integrato. Puoi modificarlo per aggiungere informazioni sui cookie specifici del tuo sito e pubblicarlo come pagina separata. Per un blog tipico con un paio di plugin, questo è sufficiente.

Se hai bisogno di un documento più dettagliato con scansione automatica dei cookie e generazione su misura per il tuo sito specifico, servizi specializzati possono aiutarti. Iubenda, ad esempio, scansiona il tuo sito, trova tutti i cookie attivi e genera una policy che soddisfa i requisiti ePrivacy e GDPR. Il piano gratuito copre le esigenze di base.

Passaggio 2. Aggiungere un banner di consenso al sito

Un banner di consenso è la prima cosa che un visitatore UE vede entrando nel sito. Il suo scopo è informarlo sull'uso dei cookie e ottenere il consenso esplicito prima che gli script inizino a scrivere dati nel browser.

Elementi minimi di un banner:

• Testo dell'avviso: "Utilizziamo i cookie per analisi e per migliorare le prestazioni del sito", indicato in modo specifico e senza formulazioni vaghe
• Un pulsante "Accetta" per il consenso a tutte le categorie di cookie
• Un pulsante "Rifiuta" per i soli cookie necessari (obbligatorio; un banner senza pulsante di rifiuto non è conforme al GDPR)
• Un link alla cookie policy, con etichetta "Scopri di più" o "Impostazioni"
• Impostazioni per categoria, opzionali ma raccomandate per trasparenza

Il banner dovrebbe apparire in un'area visibile dello schermo al primo caricamento, di solito come una barra in basso o centrato con un overlay. Non dovrebbe scomparire finché l'utente non effettua una scelta.

Ci sono tre modi per implementare tecnicamente un banner:

L'opzione più semplice è il plugin gratuito LuckyWP Cookie Notice (GDPR). Aggiunge una barra personalizzabile con pulsanti "Accetta" e "Rifiuta", un link alla policy e la possibilità di impostare la durata del consenso. Il plugin è leggero, non appesantisce il sito e copre i requisiti di base della Direttiva ePrivacy.

Uno strumento più potente è Iubenda All-in-one Compliance. Non è solo un banner, ma una piattaforma completa di gestione del consenso: scansione automatica dei cookie sul sito, blocco degli script fino all'ottenimento del consenso, integrazione con Google Consent Mode v2 e un generatore di privacy policy. Dopo l'installazione, il plugin aggiunge una scheda Iubenda nell'area di amministrazione dove incollare il codice dal pannello del tuo account.

Da lì, configura l'aspetto e il comportamento del banner: parte superiore o inferiore dello schermo, schema di colori e l'elenco degli script da bloccare. Dopo il salvataggio, il banner appare sul sito.

Qui si impostano anche la posizione del banner, lo schema di colori e l'elenco degli script da bloccare automaticamente. Iubenda consente di configurare in modo flessibile quali servizi di terze parti (Google Analytics, Facebook Pixel, Hotjar) devono attendere il consenso.

Dopo aver selezionato tutti i parametri, clicca "Salva modifiche" e il banner apparirà immediatamente sul sito.

La terza opzione è GDPR Cookie Compliance di Moove Agency (oltre 300.000 installazioni attive). Il plugin memorizza tutti i dati di consenso localmente in WordPress, supporta Consent Mode v2 nella versione premium e include un registro dei consensi per l'audit. È adatto a chi vuole evitare servizi esterni e mantenere la conformità interamente sul proprio server.

Passaggio 3. Bloccare gli script fino all'ottenimento del consenso

L'errore più comune è che il banner venga visualizzato mentre Google Analytics e Facebook Pixel si sono già caricati e hanno impostato i cookie. Questa è una violazione diretta; gli script devono essere bloccati fino a quando l'utente non clicca esplicitamente "Accetta".

Il meccanismo di blocco funziona come segue. Il plugin per il consenso intercetta i tag <script> contenenti identificatori di tracciamento noti (Google Analytics, Meta Pixel, Hotjar, LinkedIn Insight) e ne impedisce l'esecuzione. Quando il visitatore dà il consenso, il plugin sblocca gli script che vengono eseguiti normalmente. Se il visitatore clicca "Rifiuta", gli script rimangono bloccati e gli unici cookie sul sito sono quelli strettamente necessari.

Iubenda lo fa automaticamente: scansiona la pagina, rileva gli script associati ai cookie e li blocca fino al consenso. Consente anche di specificare manualmente ulteriori script da bloccare nelle impostazioni del plugin. LuckyWP Cookie Notice offre un campo dove incollare gli script che devono essere eseguiti solo dopo il consenso, quindi sposti lì i tuoi codici di Google Analytics e altri servizi dall'header del sito.

Uno scenario a parte riguarda i video di YouTube. Incorporare un iframe standard da youtube.com imposta i cookie immediatamente al caricamento della pagina, anche se il visitatore non ha premuto Play. La soluzione è utilizzare youtube-nocookie.com (modalità privacy avanzata) o il plugin GDPR Helper for YouTube Videos, che sostituisce l'iframe con un segnaposto che richiede il consenso.

Il video qui sopra è una dimostrazione visiva della configurazione della soluzione WPConsent in 10 minuti. Il principio di funzionamento è simile in tutti i plugin moderni: scansiona i cookie, configura il banner e verifica che gli script siano bloccati fino al consenso.

⁉️🤔 Domande frequenti

Sono obbligato a rispettare la legge europea sui cookie se il mio sito non ha sede fisica in Europa?

Sì, se il tuo pubblico include utenti dall'UE. La legge si applica extraterritorialmente: qualsiasi sito che raccoglie dati da utenti europei tramite cookie deve rispettare la Direttiva ePrivacy e il GDPR, indipendentemente da dove si trovi il server. Se il traffico europeo è insignificante per te, un semplice banner informativo può bastare, ma tecnicamente i requisiti sono gli stessi.

Devo ottenere il consenso per i cookie strettamente necessari?

No. I cookie strettamente necessari, quelli senza i quali il sito non funziona (cookie di sessione, carrello, autenticazione), non richiedono consenso. Devi però informare l'utente sul loro utilizzo nella privacy policy. Una sfumatura importante: se un cookie è necessario per una funzionalità che l'utente ha esplicitamente richiesto (ad esempio, ricordare la lingua dell'interfaccia), può essere considerato necessario, ma le autorità di controllo interpretano questo aspetto in modo restrittivo.

In cosa differisce la Direttiva ePrivacy dal GDPR per quanto riguarda i cookie?

La Direttiva ePrivacy (2002, aggiornata nel 2009) è una legge specifica che copre i cookie, le comunicazioni elettroniche e la privacy dei dispositivi terminali. Il GDPR (2018) è un regolamento generale sui dati personali. Per quanto riguarda i cookie: l'ePrivacy richiede il consenso per impostare i cookie, mentre il GDPR richiede il consenso per trattare i dati personali che i cookie raccolgono. In pratica, lavorano insieme: un banner di consenso soddisfa entrambi i requisiti se implementato correttamente.

Posso usare un banner cookie senza un pulsante "Rifiuta"?

No. La sentenza della Corte UE nel caso Planet49 (2019) richiede esplicitamente che rifiutare i cookie sia facile quanto accettarli. Un banner con solo un pulsante "OK" o "Accetta" e nessuna opzione per rifiutare tutti i cookie non essenziali non è conforme al GDPR. Il pulsante "Rifiuta" deve essere ugualmente visibile, non grigio su sfondo grigio.

Cosa succede se ignoro semplicemente i requisiti?

Formalmente, una sanzione fino a 20 milioni di euro o al 4% del fatturato annuo. In pratica, le autorità di controllo UE (DPA) perseguono più attivamente le grandi aziende e i siti con un pubblico europeo significativo. Ma anche per un piccolo sito, i rischi includono reclami degli utenti all'autorità del proprio paese, ricavi pubblicitari Google bloccati (senza Consent Mode v2) e perdita di fiducia del pubblico. Installare un plugin per il consenso richiede 20 minuti; la proporzionalità tra sforzo e rischio è evidente.

Cosa fare oggi: un piano in tre passaggi

La conformità cookie per un sito WordPress non richiede un avvocato e non costa nulla. Tre azioni che risolvono il problema:

• Se il sito è semplice, installa LuckyWP Cookie Notice, configura il banner con i pulsanti "Accetta" e "Rifiuta" e aggiungi un link alla pagina della privacy policy
• Se hai bisogno del blocco automatico degli script e della conformità a Consent Mode v2, usa Iubenda (piano gratuito per la conformità di base) o GDPR Cookie Compliance
• Testa il risultato: apri il sito in modalità incognito, verifica che Google Analytics e altri tracker non si carichino prima del consenso e che, dopo aver cliccato "Accetta", si carichino

Il momento migliore per mettere in regola il tuo sito era ieri. Il secondo momento migliore è oggi.