Abbiamo caricato in un browser reale oltre 10.000 e-commerce italiani e 374 società quotate in Borsa Italiana, e abbiamo registrato quali cookie venivano depositati prima che l’utente esprimesse una qualsiasi scelta.
Non stime, non sondaggi: misurazioni dirette, sito per sito. È l’Osservatorio Standards sulla Compliance Digitale, e questo è quello che ha trovato.
I quattro numeri che contano
- 97,8% degli e-commerce analizzati installa cookie di profilazione prima di qualsiasi consenso.
- 98,6% dei siti che hanno un cookie banner installato deposita comunque tracker prima della scelta dell’utente. Lo strumento c’è, ma è configurato male.
- 99% delle società quotate analizzate non è conforme sui cookie — con un’esposizione reputazionale e di governance ben più rilevante.
- 90,7% degli e-commerce non espone in homepage gli obblighi informativi essenziali previsti dal Codice del Consumo.
Il dato che colpisce di più, però, è un altro: 4.032 aziende hanno installato un sistema di gestione del consenso — Iubenda, Cookiebot, OneTrust — e nella quasi totalità dei casi quel sistema non blocca realmente i tracker. Hanno pagato la soluzione e conservato il problema.
Perché il banner non basta
È l’equivoco più diffuso, e spiega da solo quasi tutti i numeri qui sopra.
Installare un cookie banner non rende conforme un sito. Il banner è l’interfaccia con cui si raccoglie la scelta: se dietro non c’è un blocco tecnico effettivo degli script, i cookie di profilazione partono comunque al primo caricamento della pagina — mentre il banner è ancora sullo schermo.
Le Linee Guida del Garante del 10 giugno 2021 sono esplicite su questo punto: il consenso deve essere preventivo. Un consenso raccolto dopo che il tracciamento è già iniziato non è un consenso.
Nella pratica il difetto nasce quasi sempre in fase di installazione: il sistema di consenso viene messo online senza mappare gli script già presenti, e quelli continuano a caricarsi come prima. Da fuori tutto sembra a posto. Da dentro, no.
Il dettaglio per settore
Nessun settore si salva, ma con sfumature che raccontano qualcosa:
| Settore | Cookie prima del consenso |
|---|---|
| Farmacie | 99% |
| Turismo | 99% |
| Salute e bellezza | 98% |
| Moda | 98% |
| Alimentare | 98% |
| Bambini e giocattoli | 97% |
| Elettronica | 97% |
| Scommesse e gioco | 41% |
L’eccezione è il dato più interessante di tutta la rilevazione. Il settore del gioco e delle scommesse mostra una conformità enormemente superiore agli altri — plausibilmente per effetto della vigilanza più stringente cui è già sottoposto.
La lettura è difficile da evitare: dove il regolatore vigila da vicino, la compliance migliora. Non è una questione di buona volontà delle imprese, è una questione di attenzione percepita.
Come abbiamo misurato
Il metodo, con i suoi limiti dichiarati:
- Analisi diretta. Ogni sito è stato caricato in un browser reale che registra i cookie effettivamente depositati prima di qualsiasi consenso.
- Doppia valutazione. Per ogni sito due giudizi indipendenti: conformità privacy e cookie da un lato, presenza degli obblighi informativi e-commerce dall’altro.
- Solo dati aggregati. Mai il nome di una singola azienda. L’Osservatorio fotografa il mercato, non punta il dito sul singolo.
Va detto con altrettanta chiarezza cosa questo lavoro non è: lo screening è un’analisi di primo livello. Rileva segnali oggettivi, non sostituisce il parere legale sul caso concreto. Un dato anomalo è un punto da approfondire, non una condanna.
Cosa farne, se sei un’impresa
Tre verifiche che puoi fare oggi sul tuo sito, senza consulenti:
- Apri il sito in una finestra anonima e, senza toccare il banner, guarda i cookie già presenti negli strumenti per sviluppatori del browser. Se ce ne sono di profilazione, il problema è confermato.
- Verifica che il pulsante per rifiutare sia altrettanto immediato di quello per accettare: un rifiuto nascosto dietro due passaggi non è una scelta libera.
- Controlla se il consenso raccolto viene conservato in modo dimostrabile, con data, ora e versione dell’informativa mostrata.
Se anche una sola verifica dà esito incerto, il sito rientra con ogni probabilità in quel 97,8%.
Perché lo abbiamo pubblicato
Non per allarmare. In un mercato in cui quasi nessuno è realmente in regola, esserlo diventa un elemento di distinzione verso clienti, partner e investitori — oltre che il modo di evitare una sanzione.
E perché sul tema circolano molte opinioni e pochi dati. Abbiamo preferito contribuire con i secondi.
Il report completo
La rilevazione integrale — oltre 10.000 imprese, 17 settori e le società quotate di Borsa Italiana, con il quadro normativo di riferimento — è disponibile su richiesta per imprese e professionisti.
Per riceverlo, scrivici dalla pagina contatti indicando “report Osservatorio” nel messaggio, oppure invia una mail a info@standardslegal.it. Te lo mandiamo noi.
Approfondimenti
- Consulenza privacy, GDPR e DPO per imprese
- Pixel di tracciamento nelle email: cosa cambia dal 29 ottobre 2026
Vuoi sapere se il tuo sito rientra in quel 97,8%? Scrivici l’indirizzo e ti diciamo cosa abbiamo rilevato, senza impegno. L’area privacy è seguita dall’Avv. Elio Viola, Data Protection Officer certificato.