Sanzioni cookie: quanto si rischia davvero e chi viene multato

Le multe da milioni e quelle vere

Chi cerca “sanzioni cookie” trova quasi sempre due numeri: 20 milioni di euro, oppure il 4% del fatturato mondiale. Sono cifre vere, ma sono il massimo previsto dalla legge, non quello che succede a un sito aziendale con un banner sbagliato.

Abbiamo letto le decisioni pubblicate dal Garante Privacy dal 2024 a oggi. Per i soli cookie, i siti di piccole e medie imprese controllati hanno ricevuto un ammonimento e l'ordine di mettersi in regola, senza multa. In nessuna delle decisioni che abbiamo trovato una violazione che riguardava solo i cookie è stata punita con una sanzione in denaro.

Questo non vuol dire che i cookie siano un tema da ignorare. Vuol dire che il rischio va misurato bene: chi controlla, cosa trova, cosa succede la prima volta e cosa succede la seconda.

Le regole in vigore

In Italia i cookie e gli altri strumenti di tracciamento seguono l'articolo 122 del Codice Privacy, il GDPR e le Linee guida cookie del Garante, adottate il 10 giugno 2021 e operative da gennaio 2022 (Garante Privacy). In sintesi:

• i cookie tecnici richiedono solo l'informativa, non il consenso;
• tutti gli altri, dalla pubblicità alla profilazione, partono solo dopo il consenso;
• chiudere il banner con la X equivale a rifiutare, e il rifiuto deve essere facile quanto l'accettazione;
• lo scroll della pagina non vale come consenso;
• dopo una scelta, il banner non va riproposto prima di 6 mesi, salvo cambiamenti rilevanti;
• gli analytics sono equiparati ai cookie tecnici solo se anonimizzati e usati per statistiche aggregate di un solo sito.

Il banner, quindi, non è obbligatorio per tutti: serve solo se il sito usa strumenti non tecnici. Ne abbiamo parlato in Un sito senza banner dei cookie.

Chi controlla e chi rischia davvero

Dal 2022 il Garante ha affidato al Nucleo speciale tutela privacy della Guardia di Finanza controlli online sui siti di e-commerce e di altri operatori, anche per i numerosi reclami ricevuti. I siti vengono scelti con criteri di dimensione e area geografica, controllati a distanza e, mesi dopo, il Garante apre il procedimento. Lo raccontano le stesse decisioni (Garante Privacy).

I controllati non sono multinazionali: agenzie di gite in barca, compagnie di traghetti, negozi online, concessionarie di auto, ditte individuali. Non serve essere grandi per ricevere una verifica, ma finora non è servito essere grandi nemmeno per cavarsela con un ammonimento.

Altre strade che portano a un procedimento sono il reclamo di un utente e le istruttorie avviate d'ufficio dal Garante, di solito su settori o casi di rilievo, come quella sui siti dei giornali e sui cookie wall (Il Post).

Le sanzioni applicate finora

Queste sono le decisioni sui soli cookie, nate dai controlli della Guardia di Finanza, che abbiamo trovato tra il 2024 e il 2025. L'esito è sempre lo stesso.

Anche la stampa specializzata ha notato che non si trattava di multe ma di ammonimenti (ItaliaOggi). Il Garante motiva la scelta in modo sintetico, con le “specificità dell'accertamento”.

La seconda volta è diversa. Ogni ammonimento finisce nel registro interno del Garante. Le violazioni precedenti sono uno dei criteri per decidere l'importo di una sanzione futura, e non rispettare un ordine del Garante rientra a sua volta nella fascia fino a 20 milioni o al 4% del fatturato. L'ammonimento è gratis, ma è l'ultimo avviso.

Cosa conta davvero

Nelle decisioni ricorrono i primi quattro errori dell'elenco; il quinto è la regola di base delle linee guida. Sono le cose da controllare per prime:

1. 01

   Informativa sui cookie assente o vecchia

   Cookie policy mancante, che cita leggi abrogate, o un'informativa privacy che non parla di cookie.

2. 02

   Banner che non dice cosa fa il sito

   Dal banner non si capisce se il sito usa solo cookie tecnici o anche altri strumenti.

3. 03

   Rifiuto difficile

   Manca il pulsante per rifiutare, oppure la X non viene trattata come rifiuto.

4. 04

   Banner che torna a ogni visita

   Dopo una scelta non va riproposto prima di 6 mesi.

5. 05

   Strumenti attivi prima del consenso

   Pixel pubblicitari e analytics non anonimizzati devono partire solo dopo il sì.

Un banner messo e mai più controllato è il caso più comune. Il sito cambia, arrivano un video, un nuovo pixel, un plugin: il banner resta quello di tre anni fa.

Un banner fatto bene, o nessun banner

La paura delle multe da milioni porta spesso a installare il primo banner che capita e a dimenticarsene. Il rischio reale è un altro: un controllo, un ammonimento, l'obbligo di rifare tutto in fretta e, alla volta successiva, una sanzione vera.

In Cloudfactory partiamo da cosa installa davvero il sito. Spesso si scopre che il banner si può togliere, sostituendo gli strumenti che lo rendono necessario. Quando serve, usiamo CF Consent, il nostro gestore del consenso costruito sulle linee guida del Garante. Scriveteci l'indirizzo del sito: vi diciamo cosa va sistemato e cosa no.

Come abbiamo scritto questo articolo

In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.

Domande frequenti

Fonti

1. Garante Privacy, Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
2. Garante Privacy, provvedimento del 13 novembre 2024 (ammonimento, e-commerce)
3. Garante Privacy, provvedimento del 4 giugno 2025 (ammonimento, concessionaria)
4. Garante Privacy, linee guida sui pixel di tracciamento nelle email, 17 aprile 2026
5. Brocardi, Codice Privacy, art. 166
6. MioLegale, Codice Privacy, art. 162 (abrogato)
7. ItaliaOggi, Privacy, caos cookie sui siti internet (21 gennaio 2025)
8. Il Post, istruttoria del Garante sui cookie dei giornali (21 ottobre 2022)
9. iubenda, Cookie Solution: evita le sanzioni
10. CNIL, sanzioni a Google e SHEIN (settembre 2025)
11. DLA Piper, CNIL fines Facebook and Google (gennaio 2022)
12. Punto Informatico, sanzione a Condé Nast (dicembre 2025)
13. EU Digital Policy, stato del Digital Omnibus