Consent Mode e cookie di terze parti: a che punto è la misurazione

I cookie di terze parti non sono scomparsi. Il 17 ottobre 2025 Google ha confermato che Chrome mantiene l’impostazione attuale, con la scelta lasciata agli utenti, e ha annunciato il ritiro di gran parte del Privacy Sandbox, compresi Topics, Protected Audience e Attribution Reporting. Secondo MDN, Chrome li blocca solo in incognito o se l’utente lo chiede, mentre Firefox e Safari applicano di default protezioni che limitano il tracciamento tra siti.

Per chi fa pubblicità in Italia resta il vincolo del consenso. Chi rifiuta il banner esce dai dati osservati, e in quello spazio lavora Consent Mode, il sistema con cui i tag di Google adattano il proprio comportamento alla scelta dell’utente.

Che cosa fa Consent Mode

La documentazione Google descrive quattro segnali: ad_storage e analytics_storage per la memorizzazione, ad_user_data per l’invio di dati a fini pubblicitari, ad_personalization per la pubblicità personalizzata. Le implementazioni sono due. Nella versione base i tag restano bloccati finché l’utente non sceglie; se rifiuta, a Google non arriva nulla, nemmeno lo stato del consenso. Nella versione avanzata i tag si caricano all’apertura della pagina, con consenso negato per default, e si aggiornano dopo la scelta.

In caso di rifiuto, con la versione avanzata non vengono scritti né letti cookie pubblicitari, ma partono misurazioni senza cookie e ping con timestamp, user agent, referrer, stato del consenso e l’indicazione dell’eventuale presenza di identificatori di clic. Per il traffico europeo Google richiede i segnali di consenso a chi vuole usare i suoi strumenti di misurazione, personalizzazione e remarketing.

La modellazione ha soglie precise

Il comportamento di chi rifiuta viene stimato, ma non per tutti. In Google Analytics 4 la modellazione chiede l’implementazione avanzata, almeno 1.000 eventi al giorno con analytics_storage negato per almeno 7 giorni e almeno 1.000 utenti giornalieri con consenso per almeno 7 degli ultimi 28 giorni. Anche così l’idoneità non è garantita. I dati stimati restano fuori da audience, esportazioni verso BigQuery e da vari report esplorativi. Un sito con poche centinaia di visitatori al giorno non raggiunge queste soglie.

In Google Ads la soglia per le conversioni modellate è di 700 clic sugli annunci in 7 giorni per paese e gruppo di domini; una seconda pagina di assistenza la esprime in 100 clic al giorno e precisa che vale per la versione base, non per quella avanzata. Le conversioni stimate finiscono nella colonna Conversioni e alimentano le strategie di offerta.

Il nodo giuridico: che cosa parte prima del consenso

Le linee guida del Garante del 10 giugno 2021 chiedono che al primo accesso non si attivi alcun tracciamento non tecnico, attivo o passivo. Gli strumenti di analisi possono essere equiparati ai cookie tecnici solo a condizioni strette: niente individuazione del singolo, IP mascherato, statistiche aggregate su un solo sito, nessun incrocio dei dati da parte del fornitore.

Le linee guida 2/2023 del Comitato europeo per la protezione dei dati, adottate in versione definitiva il 7 ottobre 2024, applicano l’articolo 5, paragrafo 3, della direttiva ePrivacy anche a pixel e link di tracciamento, pure senza memorizzazione permanente. L’assenza di cookie, quindi, non basta a escludere l’obbligo di consenso. Google scrive che ottenere il consenso spetta a chi gestisce il sito e avverte che, se i tag non si caricano finché l’utente non interagisce con il banner, non può verificarne le scelte. Le due indicazioni spingono in direzioni opposte. Nelle ricerche della redazione non è emerso un provvedimento del Garante dedicato a Consent Mode: la scelta tra base e avanzata va valutata con il DPO, dentro il lavoro su cybersicurezza e privacy in azienda, e motivata per iscritto.

Che cosa può cambiare con il Digital Omnibus

Nel novembre 2025 la Commissione ha proposto di spostare le regole sui cookie nel GDPR, con rifiuto in un clic e un’esenzione per statistiche di visita e misure aggregate dell’audience. Il mandato negoziale del Consiglio, approvato il 21 ottobre 2026, tiene invece la materia nella direttiva ePrivacy. Tra le finalità esenti dal consenso indica la creazione di informazioni anonime e aggregate sull’uso di un servizio per misurarne l’audience, svolta dal fornitore o da un terzo per suo conto, purché i dati non siano usati per altri scopi, condivisi con terzi o combinati con dati di terzi. Prevede anche il rifiuto con un solo clic e un’attesa di almeno quattro mesi prima di riproporre la richiesta; oggi il Garante indica sei mesi.

Non è legge. Il testo deve passare dal negoziato con il Parlamento europeo e, nella versione del Consiglio, gli Stati avrebbero 24 mesi dall’adozione per applicarlo. In quella formulazione uno strumento che riusa i dati per la pubblicità o li incrocia con altre fonti resterebbe fuori dall’esenzione.

Che cosa fare adesso

Le indicazioni sono della redazione e non sostituiscono un parere legale.

• Verificare che cosa parte davvero prima della scelta sul banner, con gli strumenti per sviluppatori del browser, e controllare la diagnostica delle conversioni in Google Ads.
• Controllare le soglie. Se il sito non le raggiunge, in Analytics la versione avanzata non produce dati stimati: il vantaggio atteso va pesato contro il rischio giuridico.
• Separare osservato e stimato. In GA4 l’identità di reporting Blended include le stime; in Ads finiscono nella stessa colonna delle conversioni. Prima di confrontare due periodi, va controllato se nel frattempo la modellazione è cambiata.
• Costruire dati propri con consenso. Moduli, gestionale e CRM danno numeri verificabili. Per i caricamenti verso Google valgono le policy sui dati dei clienti.
• Seguire il negoziato sull’Omnibus senza progettare la misurazione su un testo non definitivo.