# Sanzioni cookie: quanto si rischia davvero e chi viene multato

> Chi cerca “sanzioni cookie” trova quasi sempre 20 milioni di euro o il 4% del fatturato. Sono cifre vere, ma sono il massimo previsto dalla legge. Abbiamo letto le decisioni del Garante sui siti delle PMI: ecco cosa succede davvero.

- Pubblicato: 2026-11-11
- Per chi: Titolari di PMI, e-commerce e chi gestisce il sito di un'azienda o di uno studio
- URL: https://cloudfactory.it/idee/sanzioni-cookie-garante-privacy/

## Le multe da milioni e quelle vere

Chi cerca “sanzioni cookie” trova quasi sempre due numeri: 20 milioni di euro, oppure il 4% del fatturato mondiale. Sono cifre vere, ma sono il **massimo previsto dalla legge**, non quello che succede a un sito aziendale con un banner sbagliato.

Abbiamo letto le decisioni pubblicate dal Garante Privacy dal 2024 a oggi. Per i soli cookie, i siti di piccole e medie imprese controllati hanno ricevuto un **ammonimento** e l'ordine di mettersi in regola, senza multa. In nessuna delle decisioni che abbiamo trovato una violazione che riguardava solo i cookie è stata punita con una sanzione in denaro.

Questo non vuol dire che i cookie siano un tema da ignorare. Vuol dire che il rischio va misurato bene: chi controlla, cosa trova, cosa succede la prima volta e cosa succede la seconda.

## Le regole in vigore

In Italia i cookie e gli altri strumenti di tracciamento seguono l'articolo 122 del Codice Privacy, il GDPR e le **Linee guida cookie** del Garante, adottate il 10 giugno 2021 e operative da gennaio 2022 ([Garante Privacy](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876)). In sintesi:

- i **cookie tecnici** richiedono solo l'informativa, non il consenso;
- tutti gli altri, dalla pubblicità alla profilazione, partono **solo dopo il consenso**;
- chiudere il banner con la **X** equivale a rifiutare, e il rifiuto deve essere facile quanto l'accettazione;
- lo **scroll** della pagina non vale come consenso;
- dopo una scelta, il banner **non va riproposto prima di 6 mesi**, salvo cambiamenti rilevanti;
- gli **analytics** sono equiparati ai cookie tecnici solo se anonimizzati e usati per statistiche aggregate di un solo sito.

Il banner, quindi, non è obbligatorio per tutti: serve solo se il sito usa strumenti non tecnici. Ne abbiamo parlato in [Un sito senza banner dei cookie](https://cloudfactory.it/idee/sito-senza-banner-cookie/).

> **Approfondimento tecnico: Quanto vale una violazione, sulla carta**
>
> L'articolo 166 del Codice Privacy collega la violazione dell'articolo 122 alla fascia più alta del GDPR: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore ([Brocardi, art. 166](https://brocardi.it/codice-della-privacy/parte-iii/titolo-iii/capo-i/art166.html)). Il GDPR chiede però che ogni sanzione sia proporzionata e tenga conto di gravità, durata, dimensioni, collaborazione e violazioni precedenti (art. 83, par. 2).
>
> In rete circolano ancora cifre come “da 6.000 a 36.000 euro” o “fino a 120.000 euro”. Vengono dal vecchio Codice Privacy, prima del GDPR: l'articolo 162 che le prevedeva è stato abrogato nel 2018 ([MioLegale, art. 162](https://miolegale.it/codici/codice-privacy/art-162/)).
>

## Chi controlla e chi rischia davvero

Dal 2022 il Garante ha affidato al Nucleo speciale tutela privacy della **Guardia di Finanza** controlli online sui siti di e-commerce e di altri operatori, anche per i numerosi reclami ricevuti. I siti vengono scelti con criteri di dimensione e area geografica, controllati a distanza e, mesi dopo, il Garante apre il procedimento. Lo raccontano le stesse decisioni ([Garante Privacy](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10093485)).

I controllati non sono multinazionali: agenzie di gite in barca, compagnie di traghetti, negozi online, concessionarie di auto, ditte individuali. Non serve essere grandi per ricevere una verifica, ma finora non è servito essere grandi nemmeno per cavarsela con un ammonimento.

Altre strade che portano a un procedimento sono il **reclamo** di un utente e le istruttorie avviate d'ufficio dal Garante, di solito su settori o casi di rilievo, come quella sui siti dei giornali e sui cookie wall ([Il Post](https://www.ilpost.it/2022/10/21/garante-della-privacy-istruttoria-cookie-privacy-giornali-dati-utenti/)).

## Le sanzioni applicate finora

Queste sono le decisioni sui soli cookie, nate dai controlli della Guardia di Finanza, che abbiamo trovato tra il 2024 e il 2025. L'esito è sempre lo stesso.

| Data | Chi | Esito |
| --- | --- | --- |
| 4 dicembre 2025 | Ditta individuale, Calabria | [Ammonimento e ordine di adeguarsi](https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10217124) |
| 17 luglio 2025 | Ditta individuale, auto | [Ammonimento](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10174517) |
| 4 giugno 2025 | Due concessionarie di auto | [Ammonimento](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10152729) e [ammonimento](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10152755) |
| 27 marzo 2025 | Negozio online di cosmetica | [Archiviato, nessuna violazione](https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10148519) |
| 27 febbraio 2025 | Ditta individuale | [Ammonimento](https://garanteprivacy.it/garante/doc.jsp?ID=10118246) |
| 14 novembre 2024 | E-commerce di arredamento | [Ammonimento](https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10093567) |
| 13 novembre 2024 | Negozio di abbigliamento, ditta individuale | [Ammonimento e ordine di adeguarsi](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10093485) |
| 26 settembre 2024 | Gite in barca e traghetti | [Ammonimento](https://www.garanteprivacy.it/garante/doc.jsp?ID=10088927) e [ammonimento](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10088904) |

Anche la stampa specializzata ha notato che non si trattava di multe ma di ammonimenti ([ItaliaOggi](https://www.italiaoggi.it/diritto-e-fisco/giustizia/privacy-caos-cookie-sui-siti-internet-kn4avycr)). Il Garante motiva la scelta in modo sintetico, con le “specificità dell'accertamento”.

> **Caso reale: Il banner che torna a ogni visita**
>
> In una delle decisioni di giugno 2025, una concessionaria di auto aveva un banner che, chiuso con la X, ricompariva a ogni visita. Per il Garante è un modo di spingere l'utente ad accettare. A questo si aggiungevano una cookie policy che citava leggi abrogate e un'informativa senza riferimenti ai cookie. Durante il procedimento l'azienda ha spiegato che il sito era gestito da terzi e ha cambiato il banner, ma le modifiche hanno creato nuovi problemi. Esito: ammonimento e ordine di rifare banner e informativa ([Garante Privacy](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10152729)).
>

**La seconda volta è diversa.** Ogni ammonimento finisce nel registro interno del Garante. Le violazioni precedenti sono uno dei criteri per decidere l'importo di una sanzione futura, e non rispettare un ordine del Garante rientra a sua volta nella fascia fino a 20 milioni o al 4% del fatturato. L'ammonimento è gratis, ma è l'ultimo avviso.

> **Approfondimento tecnico: Le multe “per i cookie” che non erano per i cookie**
>
> Alcune sanzioni italiane vengono raccontate come multe sui cookie, ma le decisioni dicono altro. Nel caso di Benetton (240.000 euro, 2023) la parte sui cookie è stata archiviata e la multa riguardava conservazione dei dati e sicurezza ([Garante Privacy](https://garanteprivacy.it/garante/doc.jsp?ID=9902472)). Lo stesso per La Rinascente (300.000 euro, 2023), dove i punti sui cookie e sul retargeting sono stati chiusi senza violazioni ([Garante Privacy](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9909907)). Per Douglas (1,4 milioni, 2022) la gestione dei cookie non aggiornata è stata solo un aggravante della violazione principale ([Garante Privacy](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9825667)).
>
> Lo stesso vale per i totali. Una pagina di iubenda, uno dei fornitori di banner più diffusi, ricorda che dal 2018 in Italia sono state emanate 194 sanzioni per oltre 138 milioni di euro ([iubenda](https://www.iubenda.com/it/200949-cookie-solution-evita-le-sanzioni/)): è il conteggio di tutte le sanzioni GDPR, per qualunque violazione, non di quelle sui cookie.
>

> **Caso reale: Le multe milionarie sono in Francia, e ai giganti**
>
> Le grandi sanzioni sui cookie in Europa le ha decise soprattutto il CNIL, l'autorità francese: 150 milioni a Google e 60 milioni a Facebook a fine 2021, perché rifiutare era più difficile che accettare ([DLA Piper](https://privacymatters.dlapiper.com/2022/01/france-cookies-new-record-sanctions-for-tech-giants-cnil-fines-facebook-ireland-60-million-euros-and-google-150-million-euros/)); 325 milioni a Google e 150 milioni a SHEIN a settembre 2025 ([CNIL](https://www.cnil.fr/fr/node/167505)). Il caso più vicino a un'azienda “normale” è un editore: 750.000 euro a Condé Nast per il sito di Vanity Fair, nel 2025 ([Punto Informatico](https://www.punto-informatico.it/cookie-senza-consenso-sanzione-conde-nast/)).
>

## Cosa conta davvero

Nelle decisioni ricorrono i primi quattro errori dell'elenco; il quinto è la regola di base delle linee guida. Sono le cose da controllare per prime:

1. **Informativa sui cookie assente o vecchia.** Cookie policy mancante, che cita leggi abrogate, o un'informativa privacy che non parla di cookie.
2. **Banner che non dice cosa fa il sito.** Dal banner non si capisce se il sito usa solo cookie tecnici o anche altri strumenti.
3. **Rifiuto difficile.** Manca il pulsante per rifiutare, oppure la X non viene trattata come rifiuto.
4. **Banner che torna a ogni visita.** Dopo una scelta non va riproposto prima di 6 mesi.
5. **Strumenti attivi prima del consenso.** Pixel pubblicitari e analytics non anonimizzati devono partire solo dopo il sì.

Un banner messo e mai più controllato è il caso più comune. Il sito cambia, arrivano un video, un nuovo pixel, un plugin: il banner resta quello di tre anni fa.

> **Approfondimento tecnico: Controllare il proprio sito in cinque minuti**
>
> Aprite il sito in una finestra anonima di Chrome, senza toccare il banner. Con il tasto destro scegliete “Ispeziona”, poi la scheda **Applicazione** (Application) e la voce **Cookie**: prima del consenso dovrebbero comparire solo cookie tecnici. Nella scheda **Rete** (Network) cercate richieste verso domini come google-analytics.com, googletagmanager.com, facebook.com o doubleclick.net: non dovrebbero partire finché non accettate.
>
> Poi chiudete il banner con la X, ricaricate la pagina e ripetete il controllo: il banner non deve ricomparire e i tracciamenti devono restare spenti.
>

> **Approfondimento tecnico: Cosa è cambiato nel 2026**
>
> Il 17 aprile 2026 il Garante ha adottato le linee guida sui **pixel di tracciamento nelle email**: le immagini invisibili che registrano l'apertura di una newsletter richiedono il consenso, salvo statistiche anonime e aggregate e comunicazioni di servizio. Sono operative da fine ottobre 2026 ([Garante Privacy](https://www.garanteprivacy.it/garante/doc.jsp?ID=10241943)).
>
> A livello europeo il **Digital Omnibus** propone di cambiare le regole sui cookie, ma è ancora una proposta. Il 21 ottobre 2026 gli Stati membri hanno concordato la loro posizione, il Parlamento europeo non ha ancora votato e i negoziati non sono iniziati ([EU Digital Policy](https://eudigitalpolicy.eu/instruments/data-omnibus/)). Oggi valgono le regole del 2021.
>

## Un banner fatto bene, o nessun banner

La paura delle multe da milioni porta spesso a installare il primo banner che capita e a dimenticarsene. Il rischio reale è un altro: un controllo, un ammonimento, l'obbligo di rifare tutto in fretta e, alla volta successiva, una sanzione vera.

In Cloudfactory partiamo da cosa installa davvero il sito. Spesso si scopre che il banner si può togliere, sostituendo gli strumenti che lo rendono necessario. Quando serve, usiamo [CF Consent](https://cloudfactory.it/servizi/cf-consent-banner-cookie/), il nostro gestore del consenso costruito sulle linee guida del Garante. [Scriveteci](https://cloudfactory.it/contatti/) l'indirizzo del sito: vi diciamo cosa va sistemato e cosa no.

## Come abbiamo scritto questo articolo

In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.

## Domande frequenti

### Quanto si rischia per un banner dei cookie non a norma?

Sulla carta fino a 20 milioni di euro o il 4% del fatturato mondiale. Nelle decisioni sui soli cookie che abbiamo trovato, dal 2024 a oggi, le piccole e medie imprese controllate hanno ricevuto un ammonimento e l'ordine di mettersi in regola, senza multa.

### Chi fa i controlli sui cookie?

Il Garante Privacy, che dal 2022 ha affidato controlli online alla Guardia di Finanza. Un procedimento può partire anche dal reclamo di un utente.

### Il banner dei cookie è obbligatorio?

No. Serve solo se il sito usa cookie o altri strumenti di tracciamento non tecnici, come pubblicità, profilazione o analytics non anonimizzati.

### Le multe da 6.000 a 36.000 euro valgono ancora?

No. Erano previste dal vecchio Codice Privacy, prima del GDPR. L'articolo che le prevedeva è stato abrogato nel 2018.

### Dopo un ammonimento cosa succede?

Bisogna adeguarsi a quanto ordinato. L'ammonimento resta nel registro del Garante e una violazione successiva, o il mancato rispetto dell'ordine, può portare a una sanzione in denaro.

## Fonti

- [Garante Privacy, Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876)
- [Garante Privacy, provvedimento del 13 novembre 2024 (ammonimento, e-commerce)](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10093485)
- [Garante Privacy, provvedimento del 4 giugno 2025 (ammonimento, concessionaria)](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10152729)
- [Garante Privacy, linee guida sui pixel di tracciamento nelle email, 17 aprile 2026](https://www.garanteprivacy.it/garante/doc.jsp?ID=10241943)
- [Brocardi, Codice Privacy, art. 166](https://brocardi.it/codice-della-privacy/parte-iii/titolo-iii/capo-i/art166.html)
- [MioLegale, Codice Privacy, art. 162 (abrogato)](https://miolegale.it/codici/codice-privacy/art-162/)
- [ItaliaOggi, Privacy, caos cookie sui siti internet (21 gennaio 2025)](https://www.italiaoggi.it/diritto-e-fisco/giustizia/privacy-caos-cookie-sui-siti-internet-kn4avycr)
- [Il Post, istruttoria del Garante sui cookie dei giornali (21 ottobre 2022)](https://www.ilpost.it/2022/10/21/garante-della-privacy-istruttoria-cookie-privacy-giornali-dati-utenti/)
- [iubenda, Cookie Solution: evita le sanzioni](https://www.iubenda.com/it/200949-cookie-solution-evita-le-sanzioni/)
- [CNIL, sanzioni a Google e SHEIN (settembre 2025)](https://www.cnil.fr/fr/node/167505)
- [DLA Piper, CNIL fines Facebook and Google (gennaio 2022)](https://privacymatters.dlapiper.com/2022/01/france-cookies-new-record-sanctions-for-tech-giants-cnil-fines-facebook-ireland-60-million-euros-and-google-150-million-euros/)
- [Punto Informatico, sanzione a Condé Nast (dicembre 2025)](https://www.punto-informatico.it/cookie-senza-consenso-sanzione-conde-nast/)
- [EU Digital Policy, stato del Digital Omnibus](https://eudigitalpolicy.eu/instruments/data-omnibus/)

---

Cloudfactory S.r.l., Roma. Contatti: hello@cloudfactory.it