Cookie di profilazione: cosa sono, quali sono e quali hai sul tuo sito senza saperlo

I cookie di profilazione sono piccoli file che il tuo sito salva nel browser di chi lo visita, per riconoscerlo nel tempo e costruire un profilo dei suoi interessi a uso della pubblicità. Punto.

La parte che le guide generaliste non dicono: quasi certamente il tuo sito ne ha alcuni, e molto probabilmente non li hai installati tu. Sono arrivati con il pixel di una campagna, un video incorporato, un plugin di recensioni. La definizione completa la trovi nel paragrafo dopo — poi ti mostriamo come scoprire quali hai davvero, e da dove sono entrati.

Cosa sono i cookie di profilazione?

I cookie di profilazione sono piccoli file che un sito salva nel browser per riconoscere la stessa persona nel tempo e fra siti diversi, e costruire un profilo dei suoi interessi da usare per la pubblicità. Si distinguono dai cookie tecnici, che servono a far funzionare il sito: quelli di profilazione servono a chi vende spazi pubblicitari.

La differenza fra le tre categorie non sta nel nome del cookie, sta nell'uso che se ne fa.

• Un cookie tecnico serve a far funzionare il sito: ricorda cosa hai messo nel carrello, tiene aperta la sessione dopo il login, salva la lingua che hai scelto. Senza, certe funzioni si rompono. Non serve consenso.
• Un cookie analitico misura le visite in forma aggregata — quante persone sono passate, da dove arrivano, quanto tempo restano — senza costruire un profilo della singola persona. A condizioni precise può essere trattato come tecnico, e quindi esente da consenso preventivo: ne parliamo più avanti, quando quelle condizioni saranno verificate punto per punto.
• Un cookie di profilazione segue la stessa persona da un sito all'altro per capire cosa le interessa, e usa quell'informazione per mostrarle pubblicità mirata. Serve consenso, sempre, prima che il cookie venga installato.

Il punto che la maggior parte delle guide lascia implicito: la profilazione non ha bisogno del tuo nome. Basta un identificativo pseudonimo — una stringa casuale associata al tuo browser — e il quadro normativo lo tratta comunque come dato personale, perché permette di isolare e seguire un individuo specifico anche senza sapere chi è anagraficamente. Un cookie che si chiama _fbp non sa che ti chiami Marco, ma sa che sei lo stesso Marco che ieri ha guardato tre volte la stessa pagina prodotto.

Se sei arrivato qui perché stai navigando su un sito qualunque e vuoi solo sapere come rifiutare questi cookie, la risposta breve è nell'ultima sezione di questo articolo. Se invece un sito ce l'hai tu, e ti stai chiedendo cosa hai installato sopra senza saperlo, il problema — e la parte utile di quello che segue — comincia adesso.

Quali sono i cookie di profilazione?

Sono di profilazione i cookie installati da circuiti pubblicitari e social per seguire l'utente fra siti diversi: fra i più diffusi _fbp di Meta, _gcl_au di Google Ads, IDE di Google DoubleClick, _ttp di TikTok, li_sugr di LinkedIn. Il nome da solo non basta a classificarli: conta la finalità dichiarata da chi li installa, non la sigla.

La domanda più utile, però, non è "quali esistono" — è "come sono finiti sul mio sito". Quasi nessun titolare li ha installati con una decisione esplicita. Sono entrati insieme a qualcos'altro:

• un pixel di campagna attivato per una campagna su Google Ads o su Meta due anni fa, e mai spento da allora — è la porta d'ingresso più comune di tutte;
• un video di YouTube incorporato in una pagina prodotto o in un articolo del blog;
• una mappa interattiva nella pagina contatti;
• un widget di recensioni di terze parti, per mostrare le stelline sulla home;
• una chat di supporto, spesso installata gratis con un plugin;
• un plugin di condivisione social, quello con le iconcine sotto ogni articolo;
• un tema che carica font o script da un dominio remoto invece che dal tuo server.

Nessuno di questi elementi è nato per fare profilazione. Ognuno l'ha portata come effetto collaterale, perché il fornitore del servizio la usa per i propri scopi — misurare l'efficacia della sua pubblicità, per esempio — non solo per farti funzionare il video o la chat.

Questa tabella è la fotografia dei casi più comuni, non un elenco esaustivo: ogni sito ha la sua combinazione, a seconda di quali plugin e quali servizi esterni ha accumulato negli anni. La sezione successiva ti mostra come vedere la tua, non quella teorica.

Cosa sono i cookie di profilazione di prima e di terza parte?

Un cookie è di prima parte quando lo installa il sito che stai visitando, di terza parte quando lo installa un dominio diverso — Meta, Google, TikTok — incluso in quella pagina. La differenza conta per la responsabilità: i cookie di terza parte finiscono sul tuo sito, ma i dati li riceve un'altra azienda.

È una distinzione che sposta il problema, non lo risolve. Se un visitatore scopre di essere tracciato e si arrabbia, protesta con te — è il tuo sito che ha caricato lo script — non con l'azienda che lo riceve. Il fatto che tecnicamente sia "colpa" di un fornitore esterno non ti solleva da niente: sei tu che hai deciso di integrare quel pixel, quella mappa, quel widget.

Il punto che ribalta la percezione comune: anche un cookie di prima parte può essere di profilazione. Non è vero che "prima parte" equivalga automaticamente a "sicuro" o "tecnico". Diversi circuiti pubblicitari si sono spostati proprio su questo terreno, facendo installare al sito stesso un cookie che poi viene letto e incrociato dal loro server: il dominio che compare nel browser è il tuo, ma la finalità resta la profilazione. Guardare solo "chi ha il dominio del cookie" non basta più a capire cosa stai facendo.

Come faccio a sapere quali cookie di profilazione ha il mio sito?

Si guarda direttamente dal browser: apri il tuo sito in finestra anonima, premi F12, vai su Application → Storage → Cookies e leggi i domini che compaiono prima di toccare il banner. Tutto ciò che non è il tuo dominio è di terza parte, e se è già lì prima del consenso il problema esiste.

La procedura, passo per passo, per chi non ha mai aperto i DevTools:

1. Apri una finestra di navigazione anonima (così non porti con te cookie e consensi già dati in passato).
2. Vai sul tuo sito, ma non cliccare ancora sul banner dei cookie.
3. Premi F12 (o tasto destro → Ispeziona) per aprire gli strumenti per sviluppatori.
4. Vai sulla scheda Application (su Chrome) o Storage (su Firefox).
5. Apri la voce Cookies nel menu a sinistra e seleziona il dominio del tuo sito.
6. Guarda la colonna Domain: ogni riga che non riporta il tuo dominio è un cookie di terza parte, ed è già stato installato prima che tu abbia dato o negato il consenso.
7. Solo a questo punto clicca "Accetta" o "Rifiuta" sul banner e ripeti il controllo: se dopo "Rifiuta" i domini di terza parte restano, il banner non sta facendo il suo lavoro.

Cosa è normale trovare: cookie tecnici del tuo dominio, magari un cookie di sessione, un cookie che ricorda il tema chiaro o scuro. Cosa non è normale: domini di Meta, Google, TikTok o altri circuiti pubblicitari già presenti nella lista prima di aver toccato il banner. Se li vedi lì, quei cookie sono partiti senza consenso, e non è un dettaglio tecnico — è esattamente la violazione più comune fra i siti di piccole imprese.

Su un sito che vende scarpe, questo è un problema da sistemare. Su un sito che prende prenotazioni sanitarie, cambia peso: lo abbiamo visto lavorando su un poliambulatorio specialistico a Lecce, dove il blocco preventivo dei tracciamenti non era una voce burocratica nella lista dei requisiti, perché il dato che rischiava di finire nel tracciamento non era "un utente ha visitato una pagina" — era "un utente ha visitato la pagina di una visita specialistica". Su quel tipo di sito, sapere cosa parte prima del consenso non è un esercizio, è la differenza fra un cookie banner e un problema reale.

L'ispezione la fai tu in trenta secondi, come hai appena letto. La correzione, quando i cookie di terza parte partono prima del consenso, vive nel codice del sito — nel modo in cui gli script sono caricati, non nel testo del banner. È il lavoro che facciamo quando costruiamo un sito che gestisce il consenso nel codice, non solo nel banner.

I cookie di profilazione si possono installare senza consenso?

No. I cookie di profilazione richiedono il consenso preventivo, libero e specifico dell'utente: finché non lo dà, non devono essere installati. I cookie tecnici, che servono a far funzionare il sito, sono l'unica categoria esente.

"Preventivo" è la parola su cui la maggior parte dei banner mal configurati inciampa. Non basta che il banner sia visibile in pagina: nessuno script di profilazione deve partire prima che l'utente abbia cliccato, non "Accetta", proprio nessun clic. Se il pixel si carica nell'istante in cui la pagina si apre, e il banner appare solo un secondo dopo come sovrimpressione, tecnicamente il consenso non è più preventivo — è arrivato dopo il fatto.

I tre errori che si ripetono più spesso su questo punto:

• Caricamento anticipato: gli script di tracciamento sono nel codice della pagina fin dall'inizio, e il banner si limita a comparire sopra, senza bloccare nulla.
• "Rifiuta" reso meno visibile di "Accetta": bottone verde grande per accettare, link grigio minuscolo o nascosto in un sottomenu per rifiutare. È un dark pattern, e conta come consenso non libero.
• Scroll trattato come consenso: continuare a scorrere la pagina non è mai un'azione di accettazione valida per i cookie di profilazione, anche se tecnicamente il banner scompare quando lo fai.

Per la checklist completa — cosa controllare voce per voce sul tuo banner, oltre a questi tre punti — abbiamo scritto una guida dedicata: il tuo sito è a norma? La checklist GDPR completa. Qui ci siamo fermati alla definizione e a dove nasce il problema; lì trovi la verifica passo per passo.

Cosa rischia chi installa cookie di profilazione senza consenso?

Rischia una sanzione amministrativa del Garante per la protezione dei dati personali e, prima ancora, di dover spegnere il tracciamento da cui dipendono le sue campagne. Il secondo effetto arriva quasi sempre per primo, ed è quello che si sente davvero: chi vende online perde la misurazione delle conversioni proprio nel giorno in cui gliela contestano.

Il meccanismo, in breve: il Garante può intervenire su segnalazione di un utente o d'ufficio, e la sanzione — quando arriva — è proporzionata alla gravità della violazione e decisa caso per caso, non è un importo fisso uguale per tutti. Non ti diamo qui una cifra media: le fonti che girano online su questo punto sono aggregate e non le abbiamo verificate abbastanza da metterle nero su bianco in un articolo che parla di conformità.

La parte che interessa di più a un imprenditore, e che quasi nessun concorrente racconta, è il costo operativo che arriva prima della sanzione stessa: quando un adeguamento va fatto di corsa, sotto pressione, si porta dietro le sue conseguenze. Le campagne pubblicitarie vanno riconfigurate da zero, perché i pixel bloccati o rimossi interrompono la raccolta dati. Lo storico delle conversioni si spezza in due tronconi non confrontabili, prima e dopo l'intervento. E i consensi vanno raccolti di nuovo, con tutto quello che significa per chi aveva costruito liste e segmentazioni sopra dati raccolti in modo scorretto. Nessuna di queste tre cose si risolve in un pomeriggio.

Come si bloccano i cookie di profilazione su un sito che li ha già?

Si blocca l'esecuzione degli script prima del consenso, non si aggiunge un banner sopra a un sito che traccia comunque. In pratica: si censiscono i tag attivi, si eliminano quelli che non servono più, si condiziona il caricamento dei restanti alla scelta dell'utente e si registra chi ha acconsentito a cosa e quando.

L'ordine dei lavori, senza tecnicismi:

1. Si fa l'elenco di tutti gli script che il sito carica — non quelli che pensi di aver installato, quelli effettivamente presenti, con il metodo dell'H2 precedente.
2. Si decide, per ognuno, se serve ancora. Qui arriva il punto onesto e un po' scomodo: su un sito che ha dieci anni, spesso metà dei tag trovati non serve più a nessuno. Sono pixel di campagne chiuse, plugin sostituiti, integrazioni di un fornitore che non esiste più. La risposta giusta per quelli non è chiedere il consenso — è cancellarli.
3. Quello che resta si condiziona al consenso, tecnicamente: lo script parte solo dopo il clic su "Accetta", per categoria (uno switch per la profilazione, uno per l'analitica, e così via).
4. Si registra il consenso: chi ha accettato cosa, quando, e con quale versione del banner — è il registro che manca quasi sempre, ed è la prima cosa che viene chiesta in caso di verifica.

Lo abbiamo affrontato così per Studio CEN.TER., uno studio di consulenza multidisciplinare: invece di accumulare script nel tempo e scoprirli solo quando serviva un audit, il sistema di misurazione delle conversioni è stato deciso a tavolino fin dall'inizio, sapendo esattamente cosa si stava installando e perché. È la differenza fra costruire il tracciamento e trovarselo addosso.

I dati raccolti dopo un consenso corretto — e il registro di chi lo ha dato — restano comunque dati sensibili da proteggere: una volta che li hai messi in ordine sul fronte del consenso, i controlli che difendono quei dati raccolti da un attacco sono il capitolo successivo, non un'aggiunta facoltativa. E se il sito accumula ancora script di terza parte mai spenti, quelli pesano anche sui tempi di caricamento: vale la pena guardare anche quanto la lentezza del sito ti sta costando in prestazioni.

Come rifiuto i cookie di profilazione mentre navigo?

Dal banner, scegliendo "Rifiuta" o personalizzando le preferenze: se il tasto di rifiuto non c'è o è nascosto, quel sito non è a norma. In più, ogni browser permette di bloccare i cookie di terze parti dalle impostazioni sulla privacy e di cancellare quelli già salvati.

Se il banner che ti si presenta ha solo un tasto "Accetta" ben visibile e nessun modo altrettanto semplice per rifiutare, non è un limite del sito — è una scorrettezza, e la responsabilità è di chi lo ha messo online così. La regola resta la stessa anche quando il banner è scomodo: finché non compi un'azione esplicita di accettazione, i cookie di profilazione non dovrebbero partire — un sito corretto non ti obbliga a scegliere "Accetta" per continuare a navigare.

Oltre al banner, hai il controllo anche a livello di browser: nelle impostazioni privacy puoi bloccare i cookie di terze parti in generale, ed eliminare periodicamente quelli già accumulati. Non è la soluzione più comoda — alcuni siti perdono funzionalità se blocchi tutto — ma è quella che resta sempre disponibile, indipendentemente da come è configurato il banner che hai davanti.

Domande frequenti

I cookie di profilazione sono legali? Sì, se installati dopo un consenso libero e revocabile. È l'installazione prima del consenso a essere vietata, non il cookie in sé.

Quali sono i cookie di profilazione più diffusi? Quelli dei circuiti pubblicitari e social più usati: Meta, Google Ads, DoubleClick, TikTok, LinkedIn.

Che differenza c'è fra cookie di profilazione e cookie analitici? I primi servono alla pubblicità, i secondi a misurare le visite. Alcuni cookie analitici sono assimilati ai tecnici solo a condizioni precise, che vanno verificate caso per caso.

Google Analytics installa cookie di profilazione? Dipende dalla configurazione e dalle funzioni pubblicitarie attive sull'account. La risposta va data guardando il singolo sito, non in generale.