- Nel 2025 l’IFPDT ha inasprito in più punti la sua guida sui cookie e sulle tecnologie di tracciamento simili.
- Chi utilizza prodotti pubblicitari Google (Google Ads, GA4) e tratta traffico UE/SEE deve implementare il Consent Mode v2 da marzo 2024.
- Sì, non appena vengono impostati cookie non essenziali (marketing, analisi, personalizzazione).
- L’IFPDT ha inasprito nettamente la sua guida sui cookie nel 2025.
1. Cosa ha cambiato concretamente la guida IFPDT 2025
Fino alla guida precedente bastava spesso un cosiddetto «consenso implicito»: se l’utente continuava a navigare dopo un avviso, ciò veniva interpretato come assenso. Questa prassi non è più accettata nella nuova guida — in linea con la prassi delle autorità di vigilanza europee e con le sentenze dei tribunali.
I tre inasprimenti principali
- Default-deny: prima del consenso non può essere caricato alcun cookie non essenziale. Le caselle preselezionate non sono ammesse.
- Simmetria: il pulsante Rifiuta deve essere altrettanto evidente quanto il pulsante Accetta. I «dark pattern» (Accetta colorato, Rifiuta nascosto nel footer) non sono più ammessi.
- Granularità: l’utente deve poter scegliere singolarmente le categorie di cookie — un unico pulsante «Accetta» non è ammesso se esistono più categorie.
2. Categorie di cookie e obbligo di consenso
| Categoria | Consenso necessario? | Default | Esempi |
|---|---|---|---|
| Tecnicamente indispensabili / funzionali | No | Attivo | Login di sessione, token CSRF, carrello |
| Preferenze | Consigliato | Opzionale | Lingua, preferenze di layout |
| Statistica / analisi | Sì | Inattivo | Google Analytics, Matomo Cloud, Plausible (self-hosted eventualmente no) |
| Marketing / tracciamento | Sì | Inattivo | Meta Pixel, Google Ads, LinkedIn Insight |
| Contenuti esterni | Sì (nella maggior parte dei casi) | Inattivo | Embed YouTube, Google Maps, embed dei social media |
Precisazione importante: l’obbligo di consenso non deriva direttamente dalla nuova LPD, bensì dall’articolo 45c della Legge sulle telecomunicazioni (LTC) e dalla prassi dell’IFPDT. La guida IFPDT 2025 è il riferimento centrale per le aziende svizzere.
3. Requisiti concreti per il banner cookie
Un banner cookie conforme all’IFPDT deve avere almeno queste sette caratteristiche:
- Visibile alla prima visita: il banner appare prima che vengano caricati cookie non essenziali.
- Categorie chiare: almeno tre categorie (Necessari / Statistica / Marketing) con interruttori singoli.
- Pulsanti simmetrici: «Accetta tutti» e «Rifiuta tutti» ugualmente evidenti — stessa dimensione, stessa posizione, stesso peso cromatico.
- Vista dettagliata: link all’elenco dei cookie con fornitore, scopo, durata di conservazione.
- Possibilità di revoca: l’utente può modificare la sua scelta in qualsiasi momento (ad es. tramite il link nel footer «Impostazioni cookie»).
- Nessun dato prima del consenso: pixel di tracciamento e script di marketing possono essere caricati solo dopo il consenso.
- Documentazione: i consensi vengono salvati con timestamp, hash IP anonimizzato e categorie scelte.
4. Consent Mode v2 in Svizzera
Il Consent Mode v2 mette a disposizione quattro segnali di consenso che Lei trasmette a Google:
ad_storage— se possono essere impostati cookie pubblicitariad_user_data— se possono essere inviati a Google dati personali a fini pubblicitariad_personalization— se i dati possono essere utilizzati per pubblicità personalizzataanalytics_storage— se possono essere impostati cookie di analisi
Il setup default-deny
Nell’<head>, prima di tutto il resto, prima dello script gtag:
Dopo il consenso dell’utente (ad es. clic su «Accetta tutti») esegua l’aggiornamento:
Bonus: in caso di consenso negato, con il Consent Mode v2 Google invia i cosiddetti «cookieless ping» senza dati personali. Da questi Google modella algoritmicamente le conversioni mancanti (modeled conversions) — il che migliora in modo significativo il reporting con un tasso di consenso basso.
5. Testi boilerplate e setup di esempio
Intestazione del banner (IT)
«Rispettiamo la Sua privacy»
Utilizziamo cookie e tecnologie simili per migliorare la Sua esperienza, analizzare in forma anonima come viene utilizzato il nostro sito e mostrarLe contenuti pertinenti. Può scegliere tra le categorie o revocare la Sua scelta in qualsiasi momento. Dettagli nella nostra informativa sulla privacy.
Pulsanti
- Pulsante primario: «Accetta tutti»
- Pulsante simmetrico: «Rifiuta tutti»
- Link secondario: «Personalizza impostazioni»
Vista dettagliata (estratto)
Cookie necessari (sempre attivi)
Questi cookie sono indispensabili per il funzionamento del sito. Memorizzano le informazioni di sessione, proteggono dal cross-site request forgery e ricordano la Sua scelta della lingua.
Cookie statistici (opzionali)
Statistiche d’uso anonime ci aiutano a migliorare il sito. Utilizziamo [strumento], i dati vengono anonimizzati e conservati su server [UE/CH].
Cookie di marketing (opzionali)
Questi cookie ci permettono di mostrarLe pubblicità più pertinente su altri siti. Fornitori: [elenco]. Può revocare la Sua scelta in qualsiasi momento alla voce «Impostazioni cookie» nel footer.
Link nel footer per la revoca
Nel footer del sito, collegare il testo «Impostazioni cookie» o «Impostazioni privacy» in modo che riapra il banner. Così gli utenti possono modificare la loro scelta in qualsiasi momento.
6. Confronto degli strumenti per le PMI
| Strumento | Prezzo (PMI) | Conforme IFPDT? | Consent Mode v2? | Osservazione |
|---|---|---|---|---|
| Cookiebot | da CHF 12/mese | Sì, configurabile | Sì | Scansione automatica, multilingue |
| Usercentrics | da CHF 39/mese | Sì | Sì | Fornitore DE, molto granulare |
| Iubenda | da CHF 8/mese | Sì | Sì | Economico, generatori di informative privacy integrati |
| Borlabs (WP) | da CHF 50/anno | Sì | Sì | Specifico per WordPress, licenza una tantum |
| Klaro! (open source) | Gratuito | Sì, con configurazione corretta | Manuale | Self-hosted, setup tecnico necessario |
| Soluzione propria | Tempo di sviluppo | Sì, se implementata correttamente | Manuale | Per casi speciali / siti semplici |
Raccomandazione per le PMI: Cookiebot o Iubenda per i siti standard. Borlabs con WordPress. Soluzione propria solo se mantiene ridotto lo stack di tracciamento e dispone di risorse di sviluppo.
7. Errori frequenti nelle PMI svizzere
Errore 1: caricare gli script prima del consenso
Un classico: Google Tag Manager nell’<head> che carica direttamente tutti i tag di marketing — inclusi Meta Pixel e tag Google Ads — prima ancora che il banner cookie sia stato visualizzato. È una chiara violazione.
Errore 2: pulsanti asimmetrici
«Accetta tutti» nel colore del brand, «Rifiuta» solo come piccolo link testuale sotto il banner: non ammesso.
Errore 3: banner cookie ma nessun tracciamento nel backend
Mostrare un banner ma ignorare tecnicamente la scelta dell’utente (gli script si caricano comunque): violazione grave. Il setup tecnico deve rispettare effettivamente il consenso.
Errore 4: nessuna documentazione
In caso di controversia deve poter dimostrare che una determinata persona ha dato il consenso. Standard minimo: timestamp, identificatore anonimo, categorie scelte.
Errore 5: tracciamento verso Paesi terzi senza SCC
Se utilizza strumenti statunitensi (Google, Meta) e i dati fluiscono negli USA, ha bisogno delle clausole contrattuali standard (SCC) oppure dell’EU-US Data Privacy Framework. Per i dati svizzeri vale una logica analoga con lo Swiss-US DPF.