Apri lo spazio

Guida · Regolamento europeo

GDPR per i siti con annunci, spiegato senza legalese

Se il tuo sito riceve visite dall'Europa e mostra annunci, il GDPR e le regole sui cookie valgono per quelle visite, anche se l'azienda è brasiliana. Questa guida mostra a chi si applica la legge, cos'è un consenso valido, quanto costa sbagliare e cosa richiede Google a chi usa AdSense e Ad Manager.

Fai l'audit del mio sito oraLeggi la guida
  • ✓Basato sul testo ufficiale del regolamento e sulle indicazioni dell'EDPB
  • ✓Esempi pratici di cosa è consentito e cosa no
  • ✓Lettura del sito senza modificare nulla
6basi giuridiche per trattare dati personali
4%del fatturato mondiale annuo, il tetto delle sanzioni più alte
2018anno in cui il GDPR ha iniziato ad applicarsi
3regioni nella norma sul consenso di Google: SEE, Regno Unito e Svizzera

Che cos'è

La legge europea che decide come si possono usare i dati delle persone

Il GDPR (Regolamento generale sulla protezione dei dati) è il Regolamento (UE) 2016/679. È stato adottato nell'aprile 2016 e ha iniziato ad applicarsi il 25 maggio 2018 in tutti i paesi dell'Unione europea, e vale anche nel resto dello Spazio economico europeo (Islanda, Liechtenstein e Norvegia).

La legge protegge i dati personali, cioè qualsiasi informazione collegata a una persona che può essere identificata. Per un sito, questo include cose che sembrano tecniche: indirizzo IP, identificatori dei cookie, ID del dispositivo e la cronologia di navigazione usata per scegliere gli annunci.

Chi decide perché e come i dati vengono usati è il titolare del trattamento. Quasi sempre è il proprietario del sito. Chi tratta i dati per suo conto, come uno strumento di e-mail o di hosting, è il responsabile del trattamento. Le reti pubblicitarie di solito agiscono come titolari autonomi per una parte dell'uso.

Il GDPR va di pari passo con la direttiva ePrivacy (2002/58/CE), che si occupa specificamente dei cookie. In pratica, la regola è questa: scrivere o leggere cookie non strettamente necessari, come quelli pubblicitari e di analisi, richiede il consenso preventivo. E questo consenso deve rispettare lo standard del GDPR.

Checklist

Cosa devi rispettare

Questi sono i punti che la legge, le autorità europee e Google richiedono a un sito con annunci che riceve visitatori dallo SEE.

  1. Usa una CMP certificata da Google

    Dal 16 gennaio 2024, AdSense e Ad Manager richiedono una CMP certificata da Google e integrata con IAB TCF per mostrare annunci personalizzati nello SEE. Senza di essa, quel traffico può ricevere solo annunci non personalizzati o limitati.

    Esempio

    In AdSense, clicca su Privacy e messaggi nella barra laterale e crea il messaggio sulle normative europee, oppure scegli un'altra CMP dall'elenco di Google.

  2. Chiedi il consenso prima dei cookie pubblicitari

    I cookie non essenziali possono essere salvati solo dopo un'azione chiara del visitatore. Secondo l'EDPB, caselle già selezionate, scorrere la pagina o continuare a navigare non valgono come consenso.

    Esempio

    Lascia tutte le finalità deselezionate finché la persona non clicca su un'opzione.

  3. Rendi il rifiuto e la revoca facili quanto l'accettazione

    La maggior parte delle autorità europee considera una violazione un banner senza opzione di rifiuto sullo stesso livello del pulsante di accettazione. Anche revocare il consenso in seguito deve essere facile quanto darlo.

    Esempio

    Usa il messaggio a 3 pulsanti di Google, che mostra Acconsento, Non acconsento e Gestisci opzioni nella prima schermata, e un link fisso nel footer per riaprire le scelte.

  4. Invia Consent Mode v2 ai tag di Google

    Se il sito usa Google Analytics o Google Ads, Google richiede di raccogliere il consenso dei visitatori dello SEE e di inviare i segnali ad_user_data e ad_personalization. Il comando predefinito deve essere eseguito prima di qualsiasi tag che invia dati.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  5. Dì chi riceve i dati

    La politica sul consenso di Google chiede che il sito identifichi ogni azienda che può raccogliere o usare dati a causa dei prodotti Google. Chiede anche informazioni facili da trovare su come ciascuna usa questi dati.

    Esempio

    Nella privacy policy, inserisci una sezione Partner pubblicitari con Google e ogni rete pubblicitaria presente sul sito.

  6. Conserva la prova del consenso

    Secondo il GDPR, spetta al sito dimostrare che il consenso è stato dato. Anche la politica di Google richiede di conservare un registro dei consensi raccolti.

    Esempio

    Controlla nel pannello della CMP che il registro dei consensi sia attivo e per quanto tempo viene conservato.

  7. Non bloccare i contenuti a chi rifiuta

    Le linee guida dell'EDPB dicono che l'accesso al servizio non deve dipendere dall'accettazione dei cookie. Un sito che nasconde tutto finché non si clicca su accetta non ottiene un consenso libero.

    Esempio

    Chi rifiuta può continuare a leggere l'articolo e vedere annunci non personalizzati o limitati.

  8. Rispondi alle richieste entro un mese

    Quando un visitatore chiede accesso, rettifica o cancellazione dei dati, la risposta deve in linea di principio arrivare entro un mese, senza costi. In caso di dubbi su casi specifici, verifica con il tuo legale.

    Esempio

    Inserisci nella privacy policy un indirizzo e-mail dedicato alle richieste sulla privacy.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Per gli annunci personalizzati di Google nello SEE, la CMP deve essere nell'elenco di Google, e queste sono le pagine ufficiali per sceglierla e configurarla.

A chi si applica

Anche il tuo sito in Brasile può rientrare nel GDPR

La legge non guarda solo a dove si trova l'azienda. Guarda a dove si trovano le persone i cui dati vengono usati.

Aziende nell'Unione europea

Ogni azienda stabilita nell'UE segue il GDPR, non importa dove i dati vengono elaborati o dove si trovano i server.

Aziende fuori dall'Europa

L'articolo 3 riguarda chi è fuori dall'UE e offre prodotti o servizi a persone nell'UE o ne monitora il comportamento. Gli annunci personalizzati e i cookie di tracciamento sono un esempio chiaro di monitoraggio.

Sito brasiliano con pubblico europeo

Un blog in portoghese con visite dal Portogallo, o un sito in inglese con traffico dalla Germania, deve trattare quelle visite secondo le regole europee, anche con partita IVA e server in Brasile.

Regno Unito e Svizzera

Hanno leggi proprie, simili al GDPR (UK GDPR e la legge svizzera sulla protezione dei dati). Per Google, i tre territori seguono la stessa norma sul consenso.

Basi giuridiche

Le 6 basi giuridiche dell'articolo 6

Ogni uso di dati personali richiede una base giuridica scelta prima di iniziare. Per i cookie pubblicitari, in pratica, la base è il consenso.

Consenso

La persona acconsente in modo libero e chiaro. È la base richiesta per i cookie non essenziali e per gli annunci personalizzati.

Contratto

Il dato è necessario per adempiere a un contratto con la persona, come consegnare un ordine o mantenere un abbonamento.

Obbligo legale

Una legge obbliga a conservare o usare il dato, come fatture e registri contabili.

Interessi vitali

Proteggere la vita della persona o di un'altra persona. Raramente si applica ai siti di contenuti.

Interesse pubblico

Compiti di interesse pubblico o di pubblici poteri. Usata da enti pubblici, quasi mai dagli editori.

Legittimo interesse

Un interesse reale dell'azienda che non calpesti i diritti della persona, come la sicurezza del sito. Non sostituisce il consenso richiesto per i cookie pubblicitari.

Consenso valido

Libero, specifico, informato e inequivocabile

Il GDPR definisce il consenso come una manifestazione di volontà libera, specifica, informata e inequivocabile della persona, data con una dichiarazione o con un'azione positiva chiara. Ognuna di queste parole ha un effetto pratico sul banner dei cookie.

Libero significa che esiste una scelta vera. Il pulsante per rifiutare deve essere visibile come quello per accettare, e rifiutare non deve comportare svantaggi. Le linee guida del Comitato europeo per la protezione dei dati (EDPB) dicono che bloccare il contenuto finché la persona non accetta i cookie, il cosiddetto cookie wall, non genera un consenso libero.

Specifico e informato significa che la persona sa a cosa serve ogni utilizzo e chi sono i partner che ricevono i dati. Inequivocabile significa che c'è stata un'azione chiara: caselle già spuntate, silenzio, continuare a navigare o scorrere la pagina non valgono come consenso.

Infine, l'articolo 7 richiede che revocare il consenso sia facile come darlo. In pratica, il sito ha bisogno di un link o pulsante permanente, come Preferenze cookie nel footer, che riapre le opzioni in qualsiasi momento. E il titolare deve poter dimostrare che la persona ha acconsentito, per questo la CMP conserva una registrazione di ogni scelta.

Obblighi del sito

Cosa deve avere un sito con annunci per i visitatori europei

  1. Mappa ciò che il sito raccoglieElenca i cookie, i tag e i partner pubblicitari che si caricano in ogni pagina. Senza questa mappa, il banner e l'informativa sulla privacy restano incompleti.
  2. Mostra un banner di consenso prima dei cookieUsa una CMP che blocchi i cookie pubblicitari e di analisi fino alla scelta della persona, con pulsanti accetta e rifiuta sullo stesso livello.
  3. Pubblica un'informativa sulla privacy chiaraSpiega chi è il titolare, quali dati vengono usati, per cosa, con quale base giuridica, per quanto tempo, con quali partner e come la persona esercita i propri diritti.
  4. Rispondi ai diritti delle personeAbbi un canale per le richieste di accesso, rettifica, cancellazione, portabilità, opposizione e revoca del consenso. La risposta deve arrivare senza ritardo, di regola entro un mese.
  5. Documenta e valuta i rischiMantieni un registro delle attività di trattamento. Quando l'uso dei dati comporta un rischio elevato, come il monitoraggio su larga scala, fai una valutazione d'impatto (DPIA).
  6. Prepara la risposta agli incidentiUna violazione dei dati con rischio per le persone deve essere comunicata all'autorità entro 72 ore da quando l'azienda ne viene a conoscenza.
  7. Verifica se ti serve un rappresentante nell'UELe aziende fuori dall'UE che rientrano nel GDPR tramite l'articolo 3 possono dover nominare un rappresentante nell'Unione. Conferma con il legale se il tuo caso rientra nelle eccezioni.

Controlli e sanzioni

Chi controlla e quanto costa sbagliare

Ogni paese ha la propria autorità per la protezione dei dati, come la CNIL in Francia e la CNPD in Portogallo. Ricevono reclami, indagano e applicano sanzioni.

Sanzioni fino a 20 milioni di euro o al 4%

Per le violazioni più gravi, come usare dati senza base giuridica o non rispettare il consenso, il tetto è di 20 milioni di euro o il 4% del fatturato mondiale annuo, a seconda di quale sia maggiore.

Sanzioni fino a 10 milioni di euro o al 2%

Per carenze organizzative, come non tenere i registri o non fare la valutazione d'impatto quando richiesta, il tetto è di 10 milioni di euro o il 2% del fatturato mondiale.

Altre misure

L'autorità può dare un ammonimento, ordinare di correggere il banner, limitare o vietare un trattamento di dati. Per una violazione solo probabile, può emettere un semplice avviso.

Criteri per l'importo

La sanzione tiene conto di gravità, durata, dolo o negligenza, di ciò che è stato fatto per ridurre il danno e del livello di cooperazione con l'autorità.

Cronologia

Le date che influiscono di più su un sito con annunci

Dalla regola sui cookie all'obbligo di una CMP certificata da Google.

  1. 2002

    Direttiva ePrivacy

    Crea le regole europee per cookie e comunicazioni elettroniche, poi rafforzate per richiedere il consenso prima di scrivere cookie non essenziali.

  2. 27 aprile 2016

    Il GDPR viene adottato

    Il Regolamento (UE) 2016/679 viene approvato, con due anni di tempo per l'adeguamento delle aziende.

  3. 25 maggio 2018

    Il GDPR entra in applicazione

    Iniziano ad applicarsi le regole su consenso, diritti e sanzioni. Nello stesso mese, Google lancia aggiornamenti per editori e inserzionisti.

  4. 2020

    Linee guida 05/2020 dell'EDPB

    Il comitato europeo dettaglia il consenso valido: cookie wall, scorrimento della pagina e caselle preselezionate non vanno bene.

  5. 16 gennaio 2024

    CMP certificata da Google

    Per gli annunci personalizzati nel SEE e nel Regno Unito, AdSense, Ad Manager e AdMob iniziano a richiedere una CMP certificata da Google e integrata con il TCF.

  6. 31 luglio 2024

    La Svizzera entra nella regola

    L'obbligo di una CMP certificata con TCF vale anche per i visitatori della Svizzera.

AdSense e Ad Manager

Cosa richiede Google a chi ha visitatori europei

La norma di Google sul consenso degli utenti UE vale per SEE, Regno Unito e Svizzera. Richiede un consenso legalmente valido per i cookie dove la legge lo prevede, il consenso per usare i dati negli annunci personalizzati, l'identificazione di tutti i partner che ricevono dati, la registrazione delle scelte e istruzioni chiare per revocare il consenso.

Dal 16 gennaio 2024, per ricevere annunci personalizzati in queste regioni, il sito ha bisogno di una CMP certificata da Google e integrata con il TCF di IAB Europe. Il messaggio sulla privacy di AdSense e Ad Manager è una delle opzioni certificate.

Senza una CMP certificata, il traffico europeo può restare solo con annunci non personalizzati o annunci limitati, che pagano meno. Nel pannello di AdSense, questo compare come personalizzazione degli annunci limitata nel SEE, nel Regno Unito e in Svizzera. Se il sito usa anche Google Analytics o Google Ads, Consent Mode porta la scelta del banner a questi tag.

Google può limitare o sospendere l'uso dei prodotti di chi non rispetta la norma. Per questo, il banner giusto è allo stesso tempo una questione legale e una questione di ricavi.

In pratica

Cosa è consentito e cosa no nel banner e nei cookie

Esempi reali di configurazioni che compaiono nei siti con annunci.

Consentito

  • Pulsanti Accetta tutto e Rifiuta tutto affiancati, con la stessa dimensione ed evidenza
  • Caricare cookie essenziali, come il carrello o il login, senza chiedere il consenso
  • Mostrare il messaggio TCF solo ai visitatori di SEE, Regno Unito e Svizzera
  • Un link Preferenze cookie nel footer che riapre le opzioni in qualsiasi momento
  • Elencare i partner pubblicitari nel secondo livello del banner, con la finalità di ciascuno
  • Offrire annunci non personalizzati a chi rifiuta

Non consentito

  • Scrivere cookie pubblicitari prima che la persona risponda al banner
  • Nascondere il Rifiuta in un'altra schermata mentre l'Accetta è in evidenza
  • Lasciare le caselle delle finalità già spuntate
  • Trattare lo scorrimento della pagina o il continuare a navigare come consenso
  • Bloccare tutto il contenuto finché la persona non accetta i cookie
  • Usare un normale plugin per i cookie senza certificazione di Google per gli annunci personalizzati

Errori comuni

Errori che compaiono di più nei siti brasiliani con traffico europeo

Quasi tutti passano inosservati, perché il sito continua a funzionare e gli annunci continuano a comparire.

Pensare che la legge non valga per il Brasile

L'azienda è brasiliana, ma il visitatore è in Portogallo. Per quel visitatore valgono le regole europee e la norma di Google.

Banner che si limita a informare

Una barra con il testo Questo sito usa i cookie e un pulsante OK non chiede il consenso. I cookie sono già stati scritti prima del clic.

Tag che si caricano prima della scelta

Il codice degli annunci o Analytics è in cima alla pagina, sopra la CMP. I cookie vengono scritti nei primi secondi, senza consenso.

Informativa sulla privacy generica

Testo copiato da un altro sito, senza citare Google, i partner pubblicitari, le basi giuridiche e come revocare il consenso.

Nessun modo per cambiare idea

Dopo il primo clic, il visitatore non trova più il banner. Revocare il consenso diventa più difficile che darlo.

Messaggio europeo per tutto il mondo

Mostrare il TCF ai visitatori del Brasile o degli Stati Uniti non è richiesto e fa calare senza necessità i ricavi di quei visitatori.

In ConsentMode

Cosa controlla l'audit sul GDPR nel tuo sito

  • Apre il sito come visitatore dall'Europa e come visitatore da fuori, e mostra in uno screenshot dove il banner compare e dove no.
  • Verifica se ci sono cookie pubblicitari o di analisi scritti prima di qualsiasi clic sul banner.
  • Identifica la CMP, legge la stringa TCF e verifica se è nell'elenco delle CMP certificate da Google.
  • Verifica se il pulsante di rifiuto è nel primo livello e se esiste un link per riaprire le preferenze.
  • Legge l'informativa sulla privacy e segnala cosa manca: Google, partner pubblicitari, cookie e come revocare il consenso.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sul GDPR

Il mio sito è brasiliano e scritto in portoghese. Il GDPR si applica a me?

Vale per le visite che arrivano dall'Europa quando usi cookie pubblicitari o di tracciamento su quei visitatori. Per il pubblico del Brasile vale la LGPD. Per questo, la configurazione giusta usa le regioni: regole europee per gli europei, regole locali per il resto.

Mi serve il consenso per Google Analytics?

In Europa, i cookie di analisi non sono considerati strettamente necessari, quindi di regola richiedono il consenso preventivo. Consent Mode aiuta a rispettare questa scelta senza perdere tutta la misurazione.

Posso usare il legittimo interesse per gli annunci personalizzati?

Per scrivere e leggere cookie pubblicitari, la regola europea sui cookie richiede il consenso. Inoltre, Google richiede il consenso per gli annunci personalizzati in SEE, Regno Unito e Svizzera. In pratica, la strada sicura è il consenso.

Il cookie wall è vietato?

Le linee guida dell'EDPB dicono che condizionare l'accesso al contenuto all'accettazione dei cookie non genera un consenso libero. Alcuni paesi discutono modelli alternativi, come pagare per navigare senza annunci, ma serve un'analisi legale caso per caso.

Per quanto tempo vale un consenso?

Il GDPR non fissa un termine unico. Molte autorità raccomandano di chiedere di nuovo dopo alcuni mesi, e anche il TCF di IAB Europe ha regole proprie. Verifica le indicazioni del paese del tuo pubblico e quelle della tua CMP.

ConsentMode sostituisce un avvocato o una CMP?

No. ConsentMode è un audit di sola lettura. Mostra cosa fa il sito per ogni tipo di visitatore, con screenshot e un piano di correzione. La decisione legale e il banner restano al tuo team e alla tua CMP.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri cosa vedono i visitatori europei sul tuo sito

L'audit apre il sito come visitatore dall'Europa, controlla banner, cookie e TCF, e mostra esattamente cosa correggere.

Avvia l'audit