Generatore di COOKIE POLICY in italiano

Compilate il modulo e ottenete il testo completo, pronto da pubblicare. Sotto trovate lo stesso modello commentato blocco per blocco, per capire cosa state mettendo online invece di incollarlo alla cieca.

Leggete questo prima del resto

ONiDEA adv è un'agenzia di comunicazione, non uno studio legale. Quello che segue è un modello da adattare al vostro caso concreto e da far validare da un professionista, non un documento conforme per definizione. Una cookie policy corretta descrive i cookie che il vostro sito installa davvero: se copiate un testo che parla di cookie che non usate, o che tace su quelli che usate, avete un documento sbagliato — e un documento sbagliato è, di per sé, la violazione.

Prima di scrivere: quali cookie avete davvero

Il novanta per cento delle cookie policy sbagliate lo è per un solo motivo: descrivono un sito immaginario. Prima di toccare il testo, fate l'inventario reale.

Quasi sempre saltano fuori cose dimenticate: un pixel di una campagna finita due anni fa, un embed di YouTube in una pagina interna, un plugin di recensioni che carica un servizio esterno. Vanno tutti nella policy, oppure vanno rimossi.

Come si fa, in due minuti

Aprite il sito in una finestra anonima.
Strumenti per sviluppatori (F12) → scheda Applicazione → Cookie.
Guardate cosa viene scritto prima di aver cliccato qualsiasi cosa.
Poi accettate tutto e riguardate: la differenza fra le due liste è la mappa del vostro problema.

Per ciascun cookie annotate: nome, chi lo installa, a cosa serve, quanto dura.

Cosa deve esserci

Le linee guida del Garante (provvedimento n. 231 del 10 giugno 2021) prevedono un'informativa su due livelli: il banner, breve, e l'informativa estesa — questa policy — raggiungibile dal banner con un solo click e linkata anche nel footer.

Il modello, commentato blocco per blocco

Sostituite tutto ciò che è racchiuso [tra parentesi quadre]. Dopo ogni blocco, il riquadro con il punto interrogativo spiega perché quel blocco esiste e dove si sbaglia di solito.

Intestazione e titolare

Cookie Policy di [nome del sito]
Ultimo aggiornamento: [data]

Questa pagina descrive i cookie e gli altri strumenti di tracciamento utilizzati da [nome del sito], raggiungibile all'indirizzo [dominio], e le modalità con cui l'utente può esprimere, modificare o revocare le proprie scelte.

Titolare del trattamento è [ragione sociale completa], con sede in [indirizzo], P. IVA [numero], contattabile all'indirizzo [email].

Il Responsabile della protezione dei dati (DPO) è contattabile all'indirizzo [email del DPO].

Il titolare va identificato in modo che l'utente possa scrivergli davvero: una casella di contatto generica va bene, un form senza indirizzo no. Se non avete nominato un DPO — e la maggior parte delle PMI non è tenuta a farlo — togliete l'ultima riga anziché lasciarla vuota.

Cosa sono i cookie

I cookie sono piccoli file di testo che i siti visitati inviano al dispositivo dell'utente, dove vengono memorizzati per essere ritrasmessi agli stessi siti alla visita successiva. Accanto ai cookie esistono altri strumenti che svolgono funzioni analoghe — tra cui pixel di tracciamento, SDK, identificativi pubblicitari e tecniche di fingerprinting — ai quali si applicano le medesime regole.

I cookie possono essere installati direttamente dal gestore del sito (cookie di prima parte) oppure da soggetti terzi i cui servizi sono utilizzati all'interno del sito (cookie di terza parte).

La menzione degli “altri strumenti” non è pedanteria: l'articolo 122 del Codice privacy non parla di cookie, parla di archiviazione e accesso a informazioni nel dispositivo dell'utente. È una norma neutra rispetto alla tecnologia, e nell'aprile 2026 il Garante l'ha applicata esplicitamente ai pixel nelle email. Se la vostra policy parla solo di “cookie”, copre meno di quello che fate.

Cookie tecnici — non richiedono il consenso

Sono i cookie necessari a trasmettere una comunicazione o a fornire un servizio esplicitamente richiesto dall'utente. Per questi cookie non è richiesto il consenso, ma resta dovuta l'informativa che state leggendo.

[nome del sito] utilizza i seguenti cookie tecnici:

Nome	Finalità	Durata
[nome]	[es. mantiene la sessione dell'utente autenticato]	[durata]
[nome]	[es. memorizza la scelta espressa sul banner]	[durata]
[nome]	[es. conserva il contenuto del carrello]	[durata]

Il Garante non pubblica una lista chiusa di cookie tecnici: definisce la categoria per funzione, e l'onere di dimostrare che un cookie è davvero tecnico è vostro. Non è un dettaglio formale: l'EDPB ha indicato la classificazione disinvolta di cookie come “essenziali” tra le violazioni ricorrenti in Europa. Nel dubbio, un cookie non è tecnico. Il cookie che memorizza la scelta espressa sul banner è tecnico e va dichiarato.

Cookie analitici

Opzione A — analytics equiparati ai cookie tecnici
Il sito utilizza cookie analitici configurati in modo da non consentire l'identificazione diretta dell'utente: l'indirizzo IP è mascherato, i dati sono utilizzati esclusivamente in forma aggregata e limitatamente a questo sito, non vengono incrociati con altre informazioni né trasmessi a ulteriori terzi. In queste condizioni non è richiesto il consenso.

Opzione B — analytics che richiedono il consenso
Il sito utilizza cookie analitici che consentono di analizzare il comportamento degli utenti che non soddisfano tutte le condizioni previste dal Garante per l'equiparazione ai cookie tecnici. Per questi cookie è richiesto il consenso, che l'utente può prestare o negare dal banner e modificare in qualsiasi momento.

Nome	Fornitore	Finalità	Durata
[nome]	[fornitore]	[finalità]	[durata]

Qui si sbaglia più che altrove. Gli analytics si possono trattare come tecnici solo se ricorrono tutte insieme queste condizioni: identificazione diretta impedita; IP mascherato almeno nella quarta componente; dati solo aggregati; uso limitato a un singolo sito o app; nessun incrocio con altri dati e nessuna ritrasmissione a terzi. Sono cinque condizioni cumulative, non un menu — e una configurazione standard di Google Analytics, così come esce dalla scatola, in genere non le soddisfa. Scegliete un'opzione sola e cancellate l'altra.

Cookie di profilazione e marketing — richiedono il consenso

Sono i cookie utilizzati per ricondurre a soggetti determinati comportamenti e preferenze, allo scopo di inviare messaggi pubblicitari in linea con gli interessi manifestati o di modulare la fornitura del servizio in modo personalizzato. Vengono installati solo dopo che l'utente ha prestato un consenso libero, specifico, informato e inequivocabile.

Nome	Fornitore	Finalità	Durata	Informativa
[nome]	[fornitore]	[finalità]	[durata]	[link]

Il consenso qui non è negoziabile e non può poggiare sul legittimo interesse: l'EDPB è stato esplicito nel dire che il legittimo interesse non può fare da base giuridica all'installazione o alla lettura di cookie. Il link all'informativa di ciascun fornitore è parte dell'obbligo, non una cortesia.

Cookie di terza parte

Alcune funzionalità del sito si appoggiano a servizi forniti da soggetti terzi, che possono installare propri cookie sul dispositivo dell'utente. Su questi cookie il titolare non ha controllo diretto. Di seguito l'elenco aggiornato dei terzi e il rinvio alle rispettive informative.

Servizio	Fornitore	Finalità	Informativa
[es. YouTube]	[Google Ireland Ltd]		[link]
[es. Google Maps]	[Google Ireland Ltd]	[mappe interattive]	[link]

Alcuni dei fornitori indicati trattano i dati anche al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea oppure delle altre garanzie previste dagli articoli 44 e seguenti del Regolamento (UE) 2016/679, come indicato nell'informativa di ciascun fornitore.

L'elenco delle terze parti deve essere aggiornato: è uno dei pochi obblighi su cui il provvedimento è esplicito, ed è anche quello che decade per primo, perché i siti cambiano e le policy no. Mettetevi in calendario una revisione periodica. Se incorporate video di YouTube, valutate la modalità no-cookie per gli embed.

Come prestare, modificare e revocare il consenso

Alla prima visita compare un banner che consente di accettare tutti i cookie, di rifiutarli tutti, oppure di scegliere per singola categoria. Chiudendo il banner con il comando di chiusura (X) senza effettuare una scelta, vengono mantenute le impostazioni predefinite: nessun cookie diverso da quelli tecnici viene installato e la navigazione prosegue senza tracciamento.

L'utente può modificare o revocare in qualsiasi momento le scelte espresse tramite il link [Preferenze cookie] presente nel footer di ogni pagina. La revoca è semplice quanto la prestazione del consenso e non pregiudica la liceità del trattamento effettuato prima della revoca.

Il banner non viene riproposto agli utenti che hanno già espresso una scelta, salvo che siano trascorsi almeno sei mesi dalla precedente presentazione, che mutino significativamente le condizioni del trattamento, oppure che non sia tecnicamente possibile conservare traccia della scelta precedente.

Attenzione, questo è il blocco più pericoloso da copiare alla cieca: descrive come si comporta il banner. Tenete solo le frasi vere per il vostro sito e cancellate le altre — una policy che dichiara comandi o blocchi che non avete è, di per sé, la prova scritta della violazione. Tre cose che devono essere vere anche nei fatti, non solo nel testo: la X deve avere la stessa evidenza grafica dei pulsanti di scelta ed equivalere a un rifiuto; la revoca deve essere raggiungibile sempre e con la stessa facilità con cui si è acconsentito; il banner non va riproposto a ogni accesso. Una precisazione che gira storta un po' ovunque: le linee guida del 2021 non impongono un pulsante “Rifiuta tutti” nel primo livello. Impongono che rifiutare sia immediato e accessibile quanto accettare, e individuano nella X il comando per farlo. Il “Rifiuta tutti” allo stesso livello è però la raccomandazione dell'EDPB e la strada più sicura: mettetelo.

Gestione dei cookie dal browser

Indipendentemente dalle scelte espresse su questo sito, l'utente può configurare il proprio browser per bloccare o eliminare i cookie. Le istruzioni sono disponibili nella documentazione di ciascun browser: [Chrome], [Firefox], [Safari], [Edge]. La disattivazione dei cookie tecnici può compromettere il corretto funzionamento del sito.

Non è obbligatorio, ma è utile e non costa niente. Attenzione a non farne l'unico meccanismo di scelta: rimandare l'utente alle impostazioni del browser al posto di un banner funzionante non è conforme.

I vostri diritti

L'utente può in ogni momento esercitare i diritti previsti dagli articoli da 15 a 22 del Regolamento (UE) 2016/679: accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione. Le richieste vanno indirizzate a [email del titolare].

È inoltre riconosciuto il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

L'indicazione dell'autorità di controllo è un obbligo dell'articolo 13 del GDPR, non una formula di cortesia.

Modifiche a questa policy

Questa cookie policy può essere aggiornata a seguito di modifiche ai servizi utilizzati o alla normativa applicabile. Le modifiche sostanziali possono richiedere una nuova acquisizione del consenso.

È la clausola che vi consente di aggiornare senza riscrivere tutto, e ricorda a voi stessi che un cambio significativo — una terza parte nuova, una finalità nuova — richiede di richiedere il consenso da capo.

Cinque errori che rendono inutile un modello copiato

Elencare cookie che non avete

Se il modello parla di Facebook Pixel e voi non lo usate, avete dichiarato il falso in un documento pubblico.

Tacere cookie che avete

Molto più comune, e molto più grave. Fate l'inventario.

Chiamare tecnico un analytics che non lo è

Le cinque condizioni del blocco 4 valgono tutte insieme, non una alla volta.

Scrivere una policy corretta sopra un banner che non lo è

Il documento descrive il comportamento del sito: se il banner installa i cookie prima del consenso, la policy diventa la prova scritta della violazione.

Non aggiornarla mai più

Una policy datata 2019 su un sito con strumenti del 2026 racconta soltanto che nessuno la guarda.

Il documento non basta: serve che il sito si comporti di conseguenza

Una cookie policy corretta descrive un comportamento. Se il comportamento non c'è — se gli script partono prima del consenso, se la revoca non è raggiungibile, se le scelte non vengono registrate da nessuna parte — il documento non protegge nessuno.

La parte tecnica la potete risolvere con qualsiasi strumento serio. Noi ne abbiamo scritto uno per i nostri clienti e l'abbiamo pubblicato gratuitamente sulla directory di WordPress: blocca gli script fino al consenso, gestisce le categorie, tiene il registro delle scelte sul vostro server e supporta Consent Mode v2.

Il documento e il banner, insieme

Il modello qui sopra vi dà il testo.
Il plugin vi dà il comportamento: blocco preventivo degli script, quattro categorie granulari, revoca sempre raggiungibile e registro dei consensi come prova.

Preferite non occuparvene? Ce ne occupiamo noi: configuriamo banner, categorie e informativa in modo coerente tra loro.

Domande frequenti

La cookie policy e la privacy policy sono la stessa cosa?

No. La privacy policy descrive tutti i trattamenti di dati personali; la cookie policy si concentra su cookie e strumenti di tracciamento. Possono stare in due pagine distinte o in un unico documento con una sezione dedicata, purché la parte sui cookie sia raggiungibile dal banner con un solo click.

Serve anche se uso solo cookie tecnici?

Il consenso no, l'informativa sì. Un sito con soli cookie tecnici non deve mostrare un banner di consenso, ma deve comunque dire da qualche parte quali cookie usa e perché.

Posso usare un generatore automatico?

Potete, e per un sito semplice il risultato è spesso accettabile. Il limite è che un generatore non sa quali script avete davvero installato: vi produce un testo plausibile, non un testo vero. Qualunque strada scegliate, l'inventario dei cookie dovete farlo voi.

Ogni quanto va aggiornata?

Non c'è un termine di legge. Ha senso rivederla a ogni modifica rilevante del sito e comunque una volta l'anno, verificando che l'elenco delle terze parti sia ancora quello reale.

Quanto devo conservare la prova dei consensi raccolti?

Il Garante non fissa una durata: rimette la decisione all'accountability del titolare. Circolano online indicazioni precise — cinque anni, dieci anni — che non trovano fondamento nel provvedimento. La scelta ragionevole è conservare la prova per tutto il tempo in cui il consenso è valido, più il periodo utile a difendersi da un'eventuale contestazione, e documentare il criterio adottato.

Posso usare questo modello per il sito di un cliente?

Sì, liberamente. È nato per essere adattato. L'unica raccomandazione vale per voi come per noi: fatelo validare da un legale prima della messa online, perché la responsabilità del documento resta di chi lo pubblica.

Vi serve una mano a metterlo a posto?

Inventario dei cookie, classificazione, banner configurato e informativa coerente con quello che il sito fa davvero. È il nostro mestiere.

Oppure partite dal plugin

Gratuito, sulla directory ufficiale di WordPress, con il registro dei consensi che resta sul vostro server.