[GDPR & Cookie Tech Compliance]

Sanzioni amministrative GDPR fino al 4% del fatturato annuo o 20 milioni di euro, ispezioni del Garante Privacy italiano, class action degli utenti e perdita reputazionale. Il Garante italiano nel 2024-2025 ha intensificato i controlli con sanzioni a società di varie dimensioni — non solo enterprise. I principali rischi non sono solo economici: comprometti la base legale del tracking, perdi attribuzione su Google Ads e Meta, e Consent Mode v2 viene disabilitato. La compliance non è ostacolo, è prerequisito tecnico.

Dipende dalla complessità del sito e dai volumi di traffico. CMP gratuiti o low-cost (Cookiebot Free, Iubenda Free, plugin WordPress) coprono siti corporate, blog e piccoli e-commerce con compliance base accettabile. Per e-commerce con volumi alti, multi-mercato o B2B con esigenze di customizzazione avanzata servono CMP enterprise (OneTrust, Usercentrics) con configurazioni granulari, multi-language nativo e supporto SLA. Spesso il problema non è il tool, ma la configurazione fatta male.

Consent Mode v2 è l’evoluzione del Consent Mode di Google che, dal marzo 2024, è obbligatorio per usare funzionalità di remarketing e ottimizzazione conversioni di Google Ads nello Spazio Economico Europeo. Aggiunge due nuovi parametri obbligatori (ad_user_data, ad_personalization) ai due precedenti (analytics_storage, ad_storage). Senza implementazione corretta, le campagne Google Ads in EU perdono capacità di remarketing, audience sharing e ottimizzazione AI sul traffico cookieless.

Le linee guida del Garante 2021 (e successive) sono chiare: scroll, continuazione di navigazione e chiusura del banner senza scelta non costituiscono consenso valido. Servono azioni esplicite e univoche dell’utente. Il banner deve avere pulsanti chiari di “accetta” e “rifiuta” con stesso effort visivo (dark pattern come “accetta” colorato e “rifiuta” nascosto in link grigio sono sanzionabili). Linee guida specifiche italiane sono più stringenti delle linee guida EDPB europee in alcuni aspetti.

Con tracking client-side puro perdi tipicamente il 30-60% dei dati su utenti che rifiutano. Con Consent Mode v2 attivo Google ricostruisce parte dei dati persi tramite modellazione su utenti consentiti, recuperando 60-80% delle conversioni perse. Combinato con GTM Server Side e Conversions API, il recupero arriva ulteriormente. La compliance fatta bene non fa perdere dati significativi; la compliance fatta male o assente li fa perdere a causa di sanzioni o disabilitazione di funzionalità Google.

Ogni volta che cambia qualcosa nel setup tecnico (nuovo tag, nuovo strumento, nuovo fornitore) e almeno con audit periodico annuale. Cookie e finalità di trattamento cambiano frequentemente — nuovi pixel marketing, integrazioni CRM, strumenti di analytics — e la policy deve riflettere lo stato reale. Una cookie policy non aggiornata è uno dei primi elementi che il Garante contesta in caso di ispezione. È documentazione viva, non documento da stilare una volta e dimenticare.