Conformità e cookie

Come funziona questo controllo

Scanaris fa due test sull'HTML della tua pagina, entrambi deliberatamente generosi per non dare falsi positivi. Primo: cerca qualsiasi link la cui destinazione o il cui testo contenga parole come privacy, cookies, note legali, legal notice, aviso legal, Datenschutz, RGPD, GDPR, termini, terms o condizioni, in varie lingue. Se non ne trova nemmeno uno, apre un rilievo di gravità media: il segnale che non c'è una pagina legale è forte. Secondo: se la risposta del tuo server imposta cookie (header Set-Cookie) e nell'HTML non compare nessuna piattaforma di consenso nota (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron e un'altra ventina) né i testi tipici di un banner ("usiamo i cookie", "accept cookies", "cookie policy"), apre un rilievo di gravità bassa. Bassa perché molti banner vengono caricati da JavaScript e non stanno nell'HTML iniziale; il rilievo stesso lo avverte.

Perché è importante

Nell'Unione Europea, e in sempre più paesi, trattare dati personali obbliga a informare chi li tratta, per cosa e per quanto tempo: questa è la privacy policy, e un modulo di contatto, una registrazione o uno strumento di analitica sono già trattamento di dati. La normativa sui cookie aggiunge che quelli non essenziali (analitica, pubblicità, social) possono essere installati solo con consenso preventivo, informato e revocabile. Le multe esistono e le autorità per la protezione dei dati le applicano anche a piccole aziende, di solito dopo una segnalazione di un utente. Ma il motivo più pratico è la fiducia: un sito senza note legali né privacy policy sembra abbandonato o poco serio, e i clienti aziendali lo verificano prima di pagare.

Come risolvere

Privacy policy e note legali

• Cosa includere: chi sei (nome, partita IVA, indirizzo, email), quali dati raccogli e con quale finalità, su quale base giuridica, a chi li cedi (il tuo hosting, il tuo fornitore di email, la tua analitica), per quanto li conservi, come esercitare i diritti di accesso e cancellazione, e se ci sono trasferimenti fuori dall'UE.
• Come: un generatore di policy ti dà una base; adattala a ciò che fai davvero. Una pagina /privacy e un'altra /legal o /terms, collegate dal footer di tutte le pagine.

Consenso ai cookie

• Prima, un inventario: quali cookie imposti e quali sono essenziali (sessione, carrello, la stessa preferenza di consenso) e quali no (Google Analytics, pixel pubblicitari, video incorporati).
• Se usi solo quelli essenziali, non serve il banner; serve una cookie policy che lo dica.
• Se usi quelli non essenziali, un gestore del consenso che li blocchi finché l'utente non accetta, con "rifiuta" visibile quanto "accetta". Cookiebot, iubenda, Termly o CookieYes per iniziare; Complianz o Borlabs su WordPress. Se usi Google Analytics o Ads, configura la modalità di consenso perché rispetti la scelta.
• Carica il banner nell'HTML iniziale o con uno script nell'<head>, non differito: così compare prima dei cookie e questo controllo lo rileva.

Verifica che sia risolto

curl -s https://tuodominio.it | grep -oiE '<a[^>]*href="[^"]*(privac|legal|cookie|terms|termini|condizioni)[^"]*"[^>]*>'
curl -sI https://tuodominio.it | grep -i set-cookie
curl -s https://tuodominio.it | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|usiamo i cookie|accept cookies" | head -3

Il primo deve mostrare almeno un link legale. Se il secondo mostra cookie, il terzo deve mostrare il tuo gestore del consenso.

Domande frequenti

Il mio sito è un progetto personale senza scopo di lucro. Anche così?

Se raccogli dati di altre persone (un modulo, una registrazione, analitica), sì. Se è una pagina statica senza moduli né analitica, non tratti dati personali e basta un avviso su chi sei. Ma la maggior parte dei siti "senza niente" ha Google Analytics.

Ho il banner ma esce il rilievo.

Probabilmente lo carica JavaScript dopo che l'HTML è arrivato, e questo controllo non esegue JavaScript. Il rilievo è di gravità bassa proprio per questo. Se il tuo banner funziona e blocca i cookie finché non si accetta, puoi darlo per accettato; meglio ancora, carica lo script del gestore nell'<head>.

E i cookie di sessione hanno bisogno del consenso?

No: quelli strettamente necessari al funzionamento del servizio sono esenti. Ma devono essere configurati bene, che è ciò che guarda cookie insicuri. Il resto della lista legale e tecnica prima del lancio è in la checklist prima del lancio.