# Gestire il consenso ai cookie su molti siti dei clienti

> Playbook per agenzie che gestiscono il consenso ai cookie su molti siti di clienti: ruoli e contratti, baseline condivise, onboarding, monitoraggio e registri.

Source: https://www.cookiesh.eu/it/blog/cookie-consent-for-agencies  
Published: 2026-10-20

## Key takeaways

- Di solito è il cliente a essere titolare del trattamento per i cookie del proprio sito web, quindi spetta al cliente approvare i testi del banner, le categorie e l'informativa.
- Le agenzie rendono scalabile la gestione del consenso standardizzando categorie, blocco degli script e logica di Consent Mode, per poi configurare i contenuti legali per ciascun cliente.
- Una sequenza di onboarding fissa, fatta di audit, classificazione, configurazione, test e approvazione, rende uniforme ogni lancio per i clienti.
- Le scansioni dei cookie programmate individuano i tracker che i team dei clienti aggiungono tramite i tag manager dopo il lancio.
- Mantieni i registri del consenso di ciascun cliente separati ed esportabili, con accesso limitato alle persone che lavorano su quel cliente.

Per gestire il consenso ai cookie su molti siti dei clienti, standardizza tutto ciò che è tecnico e personalizza per ciascun cliente tutto ciò che è legale. Usa un unico schema di configurazione, un unico modello di categorie e un unico approccio al blocco degli script per tutti i siti. Assegna a ogni cliente la propria configurazione, i propri testi dell'informativa, le proprie regole regionali e i propri registri del consenso. Poi ripeti le scansioni regolarmente, perché i siti dei clienti continuano a cambiare dopo il lancio.

## Chi è responsabile del consenso sul sito di un cliente?

Di solito il cliente. In quanto azienda che decide perché e come vengono trattati i dati dei visitatori, il cliente è normalmente il titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR), ed è il soggetto che un'autorità di controllo contatterà.

Le agenzie agiscono in genere come responsabili del trattamento quando gestiscono tag, analytics o log del consenso per conto di un cliente. L'articolo 28 del GDPR richiede un contratto che stabilisca che cosa può fare un responsabile del trattamento con quei dati. In pratica, ciò significa:

- Un accordo sul trattamento dei dati con ogni cliente per cui tratti dati personali.
- L'approvazione scritta del cliente su testi del banner, categorie, aree geografiche e cookie policy.
- Una linea di demarcazione chiara tra implementazione e consulenza legale. Raccomanda che siano i legali del cliente a decidere le questioni controverse, come l'eventuale uso del [Consent Mode avanzato](/it/blog/basic-vs-advanced-consent-mode).

Ruoli chiari tutelano l'agenzia quanto il cliente. Quando arriva un reclamo, tutti dovrebbero già sapere chi ha approvato che cosa.

## Che cosa standardizzare tra i diversi clienti?

Standardizza l'ingegneria e il processo, non i contenuti legali. Una baseline condivisa riduce i tempi di configurazione, e ogni sito ne beneficia quando correggi o migliori qualcosa una volta sola.

| Standardizza per tutti i clienti | Configura per ciascun cliente |
|---|---|
| Componente del banner, accessibilità e budget di prestazioni | Ragione sociale, branding e lingue |
| Modello di categorie: necessari, preferenze, analisi, marketing | Quali fornitori e cookie rientrano in ciascuna categoria |
| Schema di blocco degli script | Aree geografiche servite e banner mostrato in ciascuna |
| Logica di default e aggiornamento di Google Consent Mode | Modalità di base o avanzata, secondo la decisione legale del cliente |
| Formato del log del consenso e meccanismi di conservazione | Periodo di conservazione e condizioni del trattamento dei dati |
| Pianificazione delle scansioni e instradamento degli avvisi | Referenti del cliente che ricevono gli avvisi |

Usa ovunque lo stesso approccio per [bloccare gli script fino al consenso](/it/blog/block-scripts-until-consent). Quando ogni sito segue un unico schema, qualsiasi sviluppatore del tuo team può fare il debug del sito di qualsiasi cliente in pochi minuti, invece di dover reimparare una configurazione personalizzata.

Mantieni la baseline sotto controllo di versione, con un changelog. Quando la modifichi, distribuisci l'aggiornamento in modo ponderato, cliente per cliente, e registra quale versione usa ciascun sito.

## Come si fa l'onboarding del sito di un nuovo cliente?

Tratta l'onboarding come una sequenza fissa, così niente viene saltato sotto la pressione delle scadenze.

1. **Audit:** esegui un [audit dei cookie](/it/blog/how-to-run-a-cookie-audit) del sito in produzione per censire cookie, script e fornitori.
2. **Classificazione:** associa ogni fornitore a una categoria e segnala tutto ciò che non riesci a identificare, perché sia il cliente a spiegarlo.
3. **Scelta delle aree geografiche:** verifica da dove provengono i visitatori e quali regole si applicano, come il consenso preventivo (opt-in) previsto dal GDPR nell'UE, lo UK GDPR e il PECR nel Regno Unito o i diritti di opt-out del CCPA in California.
4. **Configurazione:** crea il banner del cliente, il link all'informativa e le versioni linguistiche a partire dalla tua baseline.
5. **Blocco dei tag:** blocca gli script non essenziali fino al consenso e imposta i valori predefiniti di Consent Mode in Google Tag Manager (GTM).
6. **Test:** verifica che nulla di non essenziale venga eseguito prima del consenso e che sia il rifiuto sia la revoca funzionino.
7. **Approvazione:** ottieni l'approvazione scritta del cliente prima della messa online.
8. **Passaggio di consegne:** documenta che cosa hai configurato, chi può modificarlo e come il cliente può richiedere i registri del consenso.

Il passaggio 2 è quello in cui emergono più sorprese. I siti meno recenti contengono spesso script che nessuno, lato cliente, ricorda di aver aggiunto, e ognuno di essi ha bisogno di un responsabile e di una finalità prima di poter essere classificato.

## Come si mantengono conformi i siti dei clienti dopo il lancio?

Pianifica scansioni ricorrenti e imposta avvisi sulle modifiche. I siti dei clienti cambiano nel tempo: un team di marketing aggiunge un pixel in GTM, l'aggiornamento di un plugin introduce un nuovo cookie, oppure uno strumento per landing page porta con sé i propri tracker.

Controlli che tengono sotto controllo queste derive:

- Limita chi può pubblicare nei container GTM dei clienti e imponi le impostazioni di consenso su ogni nuovo tag.
- Ripeti la scansione dopo ogni rilascio e a cadenza fissa, e indirizza i cookie nuovi e non classificati a un referente designato del cliente.
- Aggiorna la versione del banner e chiedi di nuovo il consenso quando finalità o fornitori cambiano in modo sostanziale.
- Rivedi il design del banner alla luce delle indicazioni aggiornate delle autorità sugli schemi manipolativi almeno una volta all'anno.

Comunica questi risultati ai clienti in un riepilogo breve e periodico: nuovi fornitori rilevati, versioni del banner modificate e questioni aperte. Mostra il valore del lavoro svolto e mantiene documentate le decisioni.

## Come si gestiscono i registri del consenso di molti clienti?

Mantieni i registri di ciascun cliente separati a livello logico, con accesso limitato alle persone che lavorano su quel cliente. Mescolare i dati di più clienti in un unico log condiviso crea problemi di riservatezza e complica le esportazioni.

Ogni cliente dovrebbe poter ottenere su richiesta un'esportazione dei propri [registri del consenso](/it/blog/proof-of-consent-records), ad esempio per rispondere a un'autorità di controllo o a una richiesta di accesso di un interessato. Concorda nel contratto che cosa succede ai registri alla fine dell'incarico: restituzione, cancellazione o entrambe, e con quali tempi.

Applica la stessa disciplina alle persone. Usa un controllo degli accessi basato sui ruoli e l'autenticazione a più fattori, e revoca tempestivamente gli accessi quando un collaboratore lascia l'agenzia o un rapporto con un cliente si conclude.

## In sintesi

Le agenzie che gestiscono bene il consenso lo trattano come un prodotto replicabile, non come un progetto da reinventare per ogni sito. Standardizza la baseline tecnica, lascia le decisioni legali al cliente, monitora i siti in modo continuo e mantieni i registri di ciascun cliente separati ed esportabili. Strumenti come Cookiesh offrono white label e multi-tenancy per le agenzie, così puoi applicare questo playbook da un unico punto.

*Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.*

## FAQ

### Un'agenzia è responsabile del trattamento per il consenso ai cookie dei propri clienti?

Spesso sì, quando tratta dati personali come i log del consenso o i dati di analisi per conto del cliente. In tal caso l'articolo 28 del GDPR richiede un contratto scritto che disciplini quel trattamento. Il ruolo esatto dipende dall'accordo, quindi verificalo con un legale.

### Tutti i clienti dovrebbero usare lo stesso banner dei cookie?

Possono condividere lo stesso componente e lo stesso comportamento, ma non gli stessi contenuti. Ogni cliente ha bisogno dei propri dati aziendali, del proprio elenco dei cookie, del link alla propria informativa, delle proprie lingue e del proprio branding, perché ogni sito usa fornitori diversi per finalità diverse.

### Chi dovrebbe scrivere la cookie policy del sito di un cliente?

Spetta al cliente, perché descrive i trattamenti del cliente. Un'agenzia può fornire un modello e l'inventario tecnico ricavato dalle scansioni dei cookie, ma il testo finale dovrebbe essere rivisto e approvato dal cliente o dal suo consulente legale.

### Ogni quanto le agenzie dovrebbero ripetere la scansione dei siti dei clienti?

Dopo ogni rilascio e a cadenza fissa, ad esempio mensile. I tag manager consentono ai team di marketing di aggiungere tag senza un deploy del codice, quindi le scansioni programmate individuano le modifiche che i controlli legati ai rilasci non intercettano.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)