Analytics senza cookie: opzioni, compromessi e consenso

L’analytics senza cookie misura il traffico di un sito web senza usare cookie, affidandosi invece ai log del server, a conteggi delle page view privi di identificativi, a hash di breve durata o a ping aggregati. Di solito raccoglie meno dati personali e in alcuni Paesi può rientrare in esenzioni circoscritte dal consenso. Ma non è esente dal consenso per definizione: la direttiva ePrivacy riguarda l’archiviazione di qualsiasi informazione su un dispositivo o l’accesso a essa, il che include il local storage e il fingerprinting.

Che cos’è l’analytics senza cookie?

È qualsiasi approccio di misurazione che non si basa su un cookie persistente per riconoscere un browser tra una visita e l’altra. Ciò che sostituisce il cookie varia molto, dal nulla assoluto a un hash di breve durata o a un altro meccanismo di archiviazione, e questa scelta determina sia la qualità dei dati sia la posizione giuridica.

L’analytics classica imposta un cookie di prima parte che contiene un ID client casuale e dura mesi; leggi tipi di cookie. Quell’ID collega le page view in sessioni, le sessioni in utenti di ritorno e gli utenti alle campagne. Se lo elimini, perdi il collegamento tra le visite. “Senza cookie” descrive una tecnica, non uno stato di conformità.

Quali sono le principali opzioni di analytics senza cookie?

Sei approcci sono comuni, con profili di privacy e accuratezza molto diversi.

Approccio	Come vengono riconosciuti i visitatori	Che cosa ottieni	Svantaggio principale
Analisi dei log del server o della CDN	Per nulla, oppure tramite indirizzo IP e user agent nei log	Richieste, pagine, referrer, errori; nessuno script lato client	Non rileva le pagine in cache e gli eventi lato client; i bot sono più difficili da filtrare
Conteggio aggregato delle page view	Non vengono riconosciuti	Page view, referrer, campagne, tipo di dispositivo	Nessun visitatore unico, nessuna sessione né funnel tra più visite
Hash a rotazione giornaliera	Hash di IP, user agent e un salt sostituito ogni giorno	Visitatori unici e sessioni giornalieri approssimativi	Nessun visitatore di ritorno da un giorno all’altro; restano dati personali
ID nello storage del browser	ID conservato in local storage o IndexedDB	Dettaglio vicino a quello basato sui cookie	Dal punto di vista giuridico non è senza cookie; stesse regole sul consenso dei cookie
Fingerprinting	Combinazione di caratteristiche del dispositivo e del browser	Riconoscimento senza archiviare nulla	Richiede il consenso; difficile da vedere o controllare per le persone
Ping senza cookie (Google Consent Mode avanzato)	Nessun cookie finché il consenso è negato	Conversioni e tendenze modellate	Posizione giuridica dibattuta; la modellazione avviene lato fornitore

Sull’ultima riga: nella configurazione avanzata di Google Consent Mode, i tag inviano ping senza cookie quando il consenso è negato, e Google usa la modellazione per colmare le lacune. Se ciò sia accettabile senza consenso è oggetto di dibattito; leggi Consent Mode di base e avanzato a confronto.

L’analytics senza cookie richiede il consenso?

A volte, ed eliminare i cookie non chiude la questione. L’articolo 5, paragrafo 3, della direttiva ePrivacy riguarda sia l’archiviazione di informazioni su un dispositivo sia l’accesso a informazioni già archiviate, qualunque sia la tecnologia. Il consenso è necessario a meno che l’archiviazione o l’accesso non siano strettamente necessari per un servizio esplicitamente richiesto dall’utente, e l’analisi raramente supera questo test da sola.

In pratica:

• Lo storage del browser richiede il consenso come un cookie. Un ID in localStorage, sessionStorage o IndexedDB è archiviato sul dispositivo.
• Il fingerprinting richiede il consenso. Leggere dimensioni dello schermo, font installati, rendering del canvas e caratteristiche simili per riconoscere un dispositivo significa accedere a informazioni presenti su di esso, anche se non viene archiviato nulla.
• Gli script non sono automaticamente esclusi. Uno script di misurazione istruisce il browser a leggere e inviare informazioni. Le autorità europee hanno interpretato in senso ampio l’“accesso”, quindi non dare per scontato che uno strumento sia esente solo perché non imposta nulla.
• I dati personali sono una questione separata. Nella sentenza Planet49, la CGUE ha stabilito che l’articolo 5, paragrafo 3, si applica indipendentemente dal fatto che le informazioni siano dati personali. Se i dati si riferiscono a persone identificabili, si applica in aggiunta il Regolamento generale sulla protezione dei dati (GDPR), e ti serve una base giuridica ai sensi dell’articolo 6. Alcuni team valutano il legittimo interesse per un’analisi minima nei casi in cui non si applica alcuna regola sul consenso.

Esistono eccezioni nazionali circoscritte. La CNIL francese ha descritto le condizioni alle quali alcuni strumenti di misurazione dell’audience possono funzionare senza consenso, e una legge britannica approvata nel 2025 ha creato un’eccezione per alcune forme di archiviazione a fini di analisi, a determinate condizioni; leggi UK GDPR e PECR. Queste regole sono specifiche e ancora in evoluzione, quindi verifica le indicazioni aggiornate della tua autorità di controllo, come l’ICO nel Regno Unito, prima di eliminare il consenso per l’analisi.

Come implemento una misurazione senza cookie a basso rischio?

Conta le pagine, non le persone. Un beacon minimo per le page view non richiede cookie, storage né identificativi:

// Page view aggregata: nessun cookie, nessuno storage, nessun identificativo.
const referrer = document.referrer ? new URL(document.referrer).hostname : null;

navigator.sendBeacon(
  'https://analytics.example.com/collect',
  JSON.stringify({ path: location.pathname, referrer }), // solo il percorso, nessuna query string
);

Se ti servono i visitatori unici giornalieri approssimativi, una tecnica comune consiste nel calcolare l’hash dell’indirizzo IP e dello user agent con un salt casuale che viene sostituito ogni giorno e mai memorizzato. Una volta eliminato il vecchio salt, nessuno può ricalcolare le chiavi del giorno precedente né collegarle a quelle di oggi.

import { createHash, randomBytes } from 'node:crypto';

let salt = randomBytes(32);
let saltDay = new Date().toISOString().slice(0, 10);

export function dailyVisitorKey(ip: string, userAgent: string, site: string): string {
  const today = new Date().toISOString().slice(0, 10);
  if (today !== saltDay) {
    salt = randomBytes(32); // il vecchio salt viene scartato, mai salvato
    saltDay = today;
  }
  return createHash('sha256').update(salt).update(`${site}|${ip}|${userAgent}`).digest('hex');
}

In produzione, condividi il salt tra i server tramite una cache che lo fa scadere ogni giorno, mai tramite un database o un backup. Finché il salt esiste, la chiave è un dato personale pseudonimizzato ai sensi del GDPR, non un dato anonimo, e le autorità hanno posizioni diverse sul fatto che riconoscere i visitatori in base a indirizzo IP e user agent equivalga ad accedere al dispositivo.

Una configurazione a basso rischio di solito soddisfa questi requisiti:

1. Nessun cookie, nessuno storage del browser e nessuna tecnica di fingerprinting.
2. Query string e frammenti degli URL eliminati prima dell’archiviazione.
3. Indirizzi IP grezzi scartati dopo averne ricavato un paese approssimativo, se davvero ti serve.
4. Salt ruotati e scartati ogni giorno, e dati di input grezzi mai registrati nei log.
5. Solo report aggregati, senza tracciamento tra siti né riutilizzo per la pubblicità.
6. Conservazione breve degli eventi grezzi e una descrizione chiara nella tua informativa privacy.

A che cosa rinunci con l’analytics senza cookie?

Soprattutto alla continuità tra le visite. I conteggi dei visitatori unici diventano stime, e un hash giornaliero conta un visitatore di ritorno come nuovo ogni giorno. I funnel su più giorni, la retention per coorte e le finestre di attribuzione lunghe in gran parte scompaiono, e il tracciamento delle conversioni pubblicitarie a livello di singola persona di solito richiede comunque il consenso.

Aspettati che i tuoi numeri differiscano da quelli dello strumento precedente e annota la data del passaggio nei report. Per molti siti di contenuti e di marketing, le tendenze aggregate sono sufficienti. Quando ti serve di più, uno schema comune è il conteggio senza cookie per tutti, dove consentito dalla legge, più l’analytics completa per i visitatori che prestano il consenso, mantenendo separati i due set di dati.

In sintesi

L’analytics senza cookie è un’ottima scelta predefinita per una misurazione rispettosa della privacy, ma considerala come “meno dati”, non come “nessuna regola”. Scegli l’approccio che risponde alle tue domande reali, evita di archiviare o leggere identificativi sul dispositivo senza consenso e verifica prima le indicazioni nazionali. Strumenti come Cookiesh possono coprire i casi in cui il consenso è ancora necessario, mantenendo bloccati gli script della categoria analytics finché i visitatori non prestano il consenso, con banner differenziati per area geografica.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.