Seguire il percorso completo
Il controllo dovrebbe partire dalla pagina informativa e arrivare al portale, includendo eventuali reindirizzamenti, script di terze parti e componenti incorporati. Una piattaforma separata può ridurre alcune interferenze, ma non basta dichiararne la separazione se il collegamento registra eventi identificativi o trasferisce parametri non necessari. Il DPO può chiedere una descrizione del flusso e una verifica tecnica con dati fittizi, senza raccogliere traffico reale dei segnalanti per svolgere l’audit.
I componenti che meritano attenzione
Pixel pubblicitari, strumenti di registrazione delle sessioni, chatbot esterni e analisi dei moduli possono raccogliere dati non necessari al canale. La presenza di un banner cookie non rende automaticamente appropriato ogni trattamento. Occorre valutarne necessità, configurazione, destinatari e rischi. Per il percorso riservato è opportuno evitare componenti di marketing e funzioni che registrino contenuti digitati o attività individuali, salvo una valutazione specifica che dimostri la compatibilità del trattamento.
Separare assistenza tecnica e misurazione commerciale
L’impresa può voler sapere se la comunicazione del canale è efficace. Non deve per questo ricostruire il percorso dei singoli visitatori o associare un clic alla persona. Sono preferibili verifiche organizzative, test funzionali e informazioni aggregate adeguatamente protette. Anche dati apparentemente aggregati possono essere rivelatori in gruppi molto piccoli. La raccolta necessaria alla sicurezza tecnica va progettata e documentata per quella finalità, senza essere riutilizzata automaticamente a fini commerciali.
Una prova utile per l’agenzia web
In un test ipotetico, il referente naviga dal sito al portale con dati inventati e verifica quali domini vengono contattati. Si controllano richieste di rete, identificatori nell’URL e componenti ereditati dal sito principale. Il risultato dovrebbe descrivere le anomalie e gli interventi, non contenere dati reali. Se il portale usa un dominio diverso, verificare comunque il collegamento iniziale: la riservatezza può essere compromessa anche prima dell’arrivo al modulo.
Documentare chi mantiene le configurazioni
Un aggiornamento del sito o di un sistema di gestione dei tag può reintrodurre uno script eliminato. È utile assegnare un referente, mantenere una configurazione documentata e ripetere i controlli dopo modifiche rilevanti. Il principio discende dalla protezione dei dati fin dalla progettazione e dalle misure adeguate ai rischi; non esiste una spunta «senza cookie» che dimostri da sola l’intera sicurezza del canale.
Domande frequenti
Senza cookie non esiste tracciamento?
No. Si possono raccogliere informazioni anche attraverso richieste di rete, log, identificatori e altri meccanismi.
Questi controlli certificano l’anonimato assoluto?
No. Riducono rischi specifici; restano da considerare contenuto della segnalazione, infrastruttura e dispositivi utilizzati.
