La maggior parte dei siti ha un banner cookie perché la sua analitica ne ha bisogno. Togli l'obbligo e il banner può andarsene con lui, insieme al problema del tasso di consenso che ci sta sotto, che è la parte che ti costa davvero.

Questo è un riassunto di come funzionano le regole in pratica, non è consulenza legale. Se la tua situazione è fuori dall'ordinario, chiedi a qualcuno di qualificato.

Il testo che conta è l'articolo 5, paragrafo 3, della Direttiva ePrivacy, che ogni Stato membro dell'UE ha recepito nella propria legge: in Italia, l'art. 122 del Codice della privacy (d.lgs. 196/2003), applicato dal Garante per la protezione dei dati personali. Non menziona i cookie. Copre l'archiviare informazioni nell'apparecchiatura terminale di un utente, o accedere a informazioni ivi archiviate, il suo telefono, il suo portatile.

Quella formulazione è volutamente neutra dal punto di vista tecnologico, e risolve una questione su cui le persone discutono ancora. Il localStorage è archiviazione sul dispositivo dell'utente. Lo sono anche il sessionStorage, un record di IndexedDB, una voce di cache usata come identificativo, e un'impronta digitale di canvas; quest'ultima perché leggere le caratteristiche di un dispositivo è «accedere a informazioni ivi archiviate».

Scambiare document.cookie con localStorage.setItem non cambia niente giuridicamente. Moltissimi strumenti di analitica «senza cookie» fanno esattamente questo, e si descrivono come liberi da cookie sulla base di ciò. Il criterio è se qualcosa viene scritto sulla macchina di chi visita o letto da lì, non come si chiama l'API.

L'eccezione, e perché l'analitica ci rientra di rado

L'articolo 5, paragrafo 3, ha due eccezioni. L'archiviazione è ammessa senza consenso quando è o al solo scopo di effettuare una trasmissione, o strettamente necessaria per un servizio che l'utente ha esplicitamente richiesto.

«Strettamente necessaria» vuol dire necessaria per la cosa che chi visita ha chiesto. Un carrello della spesa rientra: senza, il processo di acquisto che chi visita ha chiesto non funziona. Una sessione con l'accesso fatto rientra. L'analitica no, perché il sito funziona benissimo per chi visita indipendentemente dal fatto che tu lo stia contando. La misurazione è una cosa che hai chiesto tu.

Alcune autorità hanno ritagliato uno spazio stretto per la misurazione dell'audience in prima parte. La CNIL francese è l'esempio più chiaro: pubblica un'esenzione per l'analitica strettamente limitata a misurare l'audience del sito stesso, usata solo da chi gestisce il sito, senza tracciamento fra siti e con un limite di conservazione. Le condizioni sono precise e vale la pena leggerle se operi in Francia; il Garante pubblica le proprie linee guida sui cookie e sugli altri strumenti di tracciamento, che affrontano i cookie di misurazione o analitici in termini simili. Molti Stati membri non hanno niente di equivalente, ed è per questo che uno strumento che evita del tutto l'archiviazione sul dispositivo è la posizione più semplice.

Che cosa ti costa un banner

Oltre a essere brutto, un banner di consenso ha un costo misurabile: le persone che rifiutano mancano dai tuoi dati.

Il tasso esatto dipende dal tuo pubblico, dalla tua geografia, e da come è scritto il banner, quindi tratta con sospetto qualunque cifra pubblicata, comprese quelle dette con sicurezza. Quello che è costante è la direzione. Le persone con più probabilità di rifiutare pendono verso chi ha a cuore la privacy, chi è tecnico, e chi blocca gli annunci, e quelle non sono un campione casuale del tuo traffico. La tua analitica smette di essere un conteggio e diventa un questionario con un gruppo di rispondenti che si è scelto da solo.

Quella distorsione si propaga. Il tasso di conversione viene calcolato contro un denominatore a cui manca una frazione sconosciuta delle visite. All'attribuzione per canale mancano i canali da cui quelle persone sono arrivate. I risultati dei test A/B sono tratti dal sottoinsieme che ha accettato di essere misurato.

Peggio, la perdita è silenziosa. Niente nella dashboard dice «e sono successe un altro 30% di visite che non riesci a vedere». I numeri sembrano completi.

Che aspetto ha un'identità senza archiviazione sul dispositivo

Se non si può scrivere niente sul dispositivo, la domanda ovvia è come faccia qualcuno a distinguere una persona da un'altra.

La risposta è ricavare un identificativo sul server da cose che la richiesta già contiene (tipicamente l'indirizzo IP, l'agente utente, il sito e la data) e passarli attraverso una funzione di hash insieme a un segreto che ruota. Ruotare il segreto ogni giorno vuol dire che l'identificativo di una data persona domani è diverso e non può essere ricostruito dopo, nemmeno da chi tiene i dati.

Questo ti dà conteggi precisi dentro una giornata e perde volutamente la capacità di seguire qualcuno attraverso i giorni. È un compromesso vero, e vale la pena essere diretti su quali report ti costa:

  • I visitatori unici al giorno, le sessioni, la frequenza di rimbalzo, le sorgenti, le pagine, le conversioni funzionano tutti normalmente.
  • I tassi di persone che tornano e le coorti di retention su più giorni no. Non possono, perché tutto il punto è che l'identificativo di ieri è irrecuperabile.

Chi sostiene che puoi avere identità fra un giorno e l'altro senza niente conservato sul dispositivo e senza identificativo persistente sta descrivendo un'impronta digitale, comunque la chiami, e un'impronta digitale sta in pieno dentro l'articolo 5, paragrafo 3.

Dove si colloca Skomi

Skomi ricava l'identità sul server da un sale che ruota ogni giorno e che non viene mai scritto da nessuna parte. Il tracker non scrive nessun cookie e non tocca nessuna archiviazione sul dispositivo di chi visita; il codice che lo farebbe non è soltanto spento ma tolto dal file che il browser scarica, che è un'affermazione sensibilmente diversa da «non lo usiamo».

Le coorti di retention sono il report che questo costa, e la cosa è detta chiaramente sulla pagina Analytics invece che sepolta. Un sito che le vuole può scegliere l'identità conservata sul dispositivo, per singolo sito, momento in cui gli serve di nuovo un banner, che è la descrizione onesta di quello che quell'interruttore fa.

L'altra cosa che vale la pena controllare in qualunque strumento tu valuti: se il fornitore possa legare le persone che ti visitano fra loro attraverso gli altri siti che misura. Un identificativo per singolo sito che non attraversa mai i confini fra siti è una postura di privacy diversa da uno globale, e di solito non viene pubblicizzata.

Che cosa controllare sul tuo sito

  1. Apri il tuo sito in una finestra privata con gli strumenti per sviluppatori aperti.
  2. Prima di accettare qualunque cosa, guarda Applicazione → Local Storage, Session Storage, IndexedDB e Cookie.
  3. Tutto quello che c'è è stato scritto prima del consenso. Se ce l'ha messo la tua analitica, il banner non sta facendo niente per te giuridicamente, perché l'archiviazione è già avvenuta.

Quel terzo punto coglie più siti di qualunque altro singolo errore. Un banner che compare dopo che il tracker ha già scritto il proprio identificativo è decorazione.

Se vuoi che sia lo strumento stesso il motivo per cui il banner può andarsene, è per quello che il valore di serie di Skomi è costruito. Le pagine di confronto dicono quali alternative condividono quel valore di serie e quali no, comprese le righe in cui vincono loro.

Il meccanismo ha un nome e una definizione: senza cookie vuol dire identità ricavata sul server da un sale giornaliero che ruota, che è anche il motivo per cui una persona che torna la settimana prossima viene contata come nuova.