La maggior parte dei siti ha un banner cookie perché la sua analitica ne ha bisogno. Elimina l'obbligo e anche il banner può sparire, insieme al problema del tasso di consenso che ci sta sotto, che è ciò che ti costa davvero.

Ecco, in sintesi, come funzionano le regole in pratica; non è consulenza legale. Se la tua situazione è fuori dall'ordinario, rivolgiti a un professionista qualificato.

Il testo che conta è l'articolo 5, paragrafo 3, della Direttiva ePrivacy, che ogni Stato membro dell'UE ha recepito nella propria legge: in Italia, l'art. 122 del Codice della privacy (d.lgs. 196/2003), applicato dal Garante per la protezione dei dati personali. Non menziona i cookie. Riguarda l'archiviazione di informazioni nell'apparecchiatura terminale di un utente, o l'accesso a informazioni ivi archiviate: il suo telefono, il suo portatile.

Quella formulazione è volutamente neutra dal punto di vista tecnologico, e risolve una questione su cui le persone discutono ancora. Il localStorage è archiviazione sul dispositivo dell'utente. Lo sono anche il sessionStorage, un record di IndexedDB, una voce di cache usata come identificativo, e un'impronta digitale di canvas; quest'ultima perché leggere le caratteristiche di un dispositivo è «accedere a informazioni ivi archiviate».

Sostituire document.cookie con localStorage.setItem non cambia niente giuridicamente. Moltissimi strumenti di analitica «senza cookie» fanno esattamente questo, e per questo si presentano come privi di cookie. Il criterio è se qualcosa viene scritto sul dispositivo di chi visita o letto da lì, non come si chiama l'API.

L'eccezione, e perché l'analitica ci rientra di rado

L'articolo 5, paragrafo 3, ha due eccezioni. L'archiviazione è ammessa senza consenso quando serve al solo scopo di effettuare una trasmissione o quando è strettamente necessaria per un servizio che l'utente ha esplicitamente richiesto.

«Strettamente necessaria» vuol dire necessaria per la cosa che chi visita ha chiesto. Un carrello della spesa rientra: senza di esso, il processo di acquisto che chi visita ha chiesto non funziona. Anche una sessione di login. L'analitica no, perché il sito funziona benissimo per chi visita indipendentemente dal fatto che tu lo stia contando. La misurazione è una cosa che hai chiesto tu.

Alcune autorità hanno ritagliato uno spazio stretto per la misurazione dell'audience effettuata in proprio. La CNIL francese è l'esempio più chiaro: pubblica un'esenzione per l'analitica strettamente limitata a misurare l'audience del sito stesso, usata solo da chi gestisce il sito, senza tracciamento fra siti e con un limite di conservazione. Le condizioni sono precise e vale la pena leggerle se operi in Francia; il Garante pubblica le proprie linee guida sui cookie e sugli altri strumenti di tracciamento, che affrontano i cookie di misurazione o analitici in termini simili. Molti Stati membri non hanno niente di equivalente, ed è per questo che la soluzione più semplice è uno strumento che eviti del tutto l'archiviazione sul dispositivo.

Che cosa ti costa un banner

Oltre a essere brutto, un banner di consenso ha un costo misurabile: le persone che rifiutano mancano dai tuoi dati.

Il tasso esatto dipende dal tuo pubblico, dalla tua geografia, e da come è scritto il banner, quindi tratta con sospetto qualunque cifra pubblicata, comprese quelle presentate con sicurezza. Quello che è costante è la direzione. Chi rifiuta più spesso è soprattutto chi ha a cuore la privacy, chi ha un profilo tecnico e chi blocca gli annunci, e queste persone non sono un campione casuale del tuo traffico. La tua analitica smette di essere un conteggio e diventa un questionario con un gruppo di rispondenti che si è scelto da solo.

Quella distorsione si propaga. Il tasso di conversione viene calcolato su un denominatore a cui manca una frazione sconosciuta delle visite. All'attribuzione per canale mancano i canali da cui quelle persone sono arrivate. I risultati dei test A/B sono tratti dal sottoinsieme che ha accettato di essere misurato.

Peggio ancora: la perdita è silenziosa. Niente nella dashboard dice «e c'è stato un 30% di visite in più che non riesci a vedere». I numeri sembrano completi.

Che aspetto ha un'identità senza archiviazione sul dispositivo

Se non si può scrivere niente sul dispositivo, la domanda ovvia è come faccia qualcuno a distinguere una persona da un'altra.

La risposta è ricavare un identificativo sul server da cose che la richiesta già contiene (tipicamente l'indirizzo IP, l'agente utente, il sito e la data) e passarli attraverso una funzione di hash insieme a un segreto che ruota. Ruotare il segreto ogni giorno fa sì che l'identificativo di una data persona domani sia diverso, e distruggere il segreto vecchio fa sì che dopo non si possa più ricostruire, nemmeno da parte di chi tiene i dati.

Questo ti dà conteggi precisi dentro una giornata e rinuncia volutamente alla possibilità di seguire qualcuno da un giorno all'altro. È un compromesso vero, e vale la pena essere diretti su quali report ti costa:

  • I visitatori unici al giorno, le sessioni, la frequenza di rimbalzo, le sorgenti, le pagine, le conversioni funzionano tutti normalmente.
  • I tassi di persone che tornano e le coorti di retention su più giorni no. Non possono, perché lo scopo stesso è che l'identificativo di oggi non si possa collegare a quello di ieri.

Chi sostiene che puoi avere identità fra un giorno e l'altro senza niente conservato sul dispositivo e senza identificativo persistente sta descrivendo un'impronta digitale, comunque la chiami, e un'impronta digitale rientra in pieno nell'articolo 5, paragrafo 3.

Dove si colloca Skomi

Skomi ricava l'identità sul server da un sale che ruota ogni giorno e che viene distrutto dopo due giorni. Il tracker non scrive nessun cookie e non archivia nessun identificativo sul dispositivo di chi visita; il codice che lo farebbe non è soltanto disattivato, ma tolto dal file che il browser scarica, il che è un'affermazione ben diversa da «non lo usiamo». L'unica cosa che vi archivia è una scelta della persona stessa, per esempio che ha chiuso il widget di feedback, e solo dopo che l'ha fatta.

Le coorti di retention sono il report che questo costa, e la cosa è detta chiaramente sulla pagina Analytics invece di essere nascosta. Un sito che ne ha bisogno può attivare, sito per sito, l'identità conservata sul dispositivo, e da quel momento gli serve di nuovo un banner: è la descrizione onesta di quello che fa quell'interruttore.

L'altra cosa che vale la pena controllare in qualunque strumento tu valuti: se il fornitore può ricondurre le persone che ti visitano a quelle degli altri siti che misura. Un identificativo per singolo sito che non attraversa mai i confini fra siti è un approccio alla privacy diverso da uno globale, e di solito non viene pubblicizzato.

Che cosa controllare sul tuo sito

  1. Apri il tuo sito in una finestra privata con gli strumenti per sviluppatori aperti.
  2. Prima di accettare qualunque cosa, guarda Applicazione → Local Storage, Session Storage, IndexedDB e Cookie.
  3. Tutto quello che c'è è stato scritto prima del consenso. Se ce l'ha messo la tua analitica, il banner non sta facendo niente per te giuridicamente, perché l'archiviazione è già avvenuta.

Quel terzo punto coglie in fallo più siti di qualunque altro errore. Un banner che compare dopo che il tracker ha già scritto il proprio identificativo è decorazione.

Se vuoi che sia lo strumento stesso il motivo per cui il banner può sparire, è proprio per questo che è pensato il valore di serie di Skomi. Le pagine di confronto dicono quali alternative condividono quel valore di serie e quali no, compresi i punti in cui sono loro a vincere.

Il meccanismo ha un nome e una definizione: senza cookie vuol dire identità ricavata sul server da un sale che cambia ogni giorno, ed è anche il motivo per cui una persona che torna la settimana prossima viene contata come nuova.