YouTube, Google Maps e altri embed: come caricarli dopo il consenso

Video di YouTube, Google Maps e post social incorporati caricano codice di terze parti nel momento stesso in cui la pagina viene visualizzata, e quel codice può impostare cookie e inviare i dati dei visitatori al fornitore. Per incorporarli in modo lecito nell’UE e nel Regno Unito, mostra prima un placeholder locale e carica l’embed reale solo dopo che il visitatore ha acconsentito o ha fatto clic per caricarlo. La modalità di privacy avanzata di YouTube aiuta, ma non sostituisce il consenso.

Perché gli embed richiedono il consenso?

Un embed è una finestra sul sito web di qualcun altro. Quando il browser visualizza un iframe di youtube.com o google.com, richiede la pagina, gli script e le immagini del fornitore, invia l’indirizzo IP e i dati del browser del visitatore e permette al fornitore di leggere e scrivere i propri cookie e il proprio storage. Niente di tutto questo aspetta il tuo banner.

Per questo gli embed sono soggetti alle stesse regole sul consenso degli script di tracciamento. Archiviare o leggere informazioni sul dispositivo del visitatore per finalità diverse da quelle strettamente necessarie richiede il consenso, qualunque sia la tecnologia usata; leggi il consenso ai cookie copre localStorage, pixel e fingerprinting? per capire fin dove arriva questa regola.

Sei anche responsabile della scelta di incorporare. Nella sentenza Fashion ID (C-40/17), la CGUE ha stabilito che un sito web che incorporava il pulsante “Mi piace” di Facebook era contitolare del trattamento insieme a Facebook per la raccolta dei dati del visitatore e la loro trasmissione a Facebook. La stessa logica si applica agli altri embed che inviano dati al proprio fornitore.

youtube-nocookie.com è sufficiente?

No. La modalità di privacy avanzata di YouTube, che si attiva cambiando il dominio dell’embed in www.youtube-nocookie.com, fa sì che le visualizzazioni del video incorporato non vengano usate per personalizzare l’esperienza YouTube dello spettatore o gli annunci che vede altrove. È un miglioramento reale.

Non impedisce però al player di caricarsi dai server di Google o di usare lo storage del browser, e i dati del visitatore raggiungono comunque Google quando l’iframe si carica. Usa la modalità di privacy avanzata come URL da caricare dopo il consenso, non come motivo per caricare il player senza consenso.

Che cosa carica ciascun embed comune?

Ogni grande fornitore di embed carica il proprio codice e può impostare i propri identificativi. Questa tabella mostra le alternative abituali che non richiedono il consenso.

Embed	Che cosa si carica prima dell’interazione	Alternativa senza consenso
Video di YouTube	Pagina del player, script, miniature, cookie o storage di Google	Miniatura ospitata in locale con un pulsante click-to-load
Video di Vimeo	Pagina del player, script, analisi	Miniatura ospitata in locale, oppure l’opzione do-not-track del player di Vimeo dopo aver verificato che cosa copre
Google Maps	Riquadri della mappa, script, cookie di Google	Immagine statica della mappa e un link per aprire le indicazioni stradali
Post social (X, Instagram, Facebook)	Script del fornitore che riscrive il post	Il fallback HTML statico fornito dal fornitore
Widget di chat e prenotazione	Script del fornitore, spesso con tracciamento della sessione	Un pulsante che apre il widget su richiesta

Come creo un placeholder click-to-load?

Visualizza un placeholder che somigli all’embed, spieghi che cosa succederà e contenga un vero pulsante. Tieni l’URL dell’embed in un attributo data, così il browser non lo richiede.

<div class="embed" data-consent="marketing"
     data-embed-src="https://www.youtube-nocookie.com/embed/VIDEO_ID?autoplay=1"
     data-embed-title="Video dimostrativo del prodotto">
  <img src="/images/demo-thumbnail.jpg" alt="" width="560" height="315">
  <p>Questo video è ospitato da YouTube. Riprodurlo carica contenuti da Google,
     che potrebbe impostare cookie. <a href="/cookie-policy">Scopri di più</a></p>
  <button type="button" class="embed-load">Riproduci il video</button>
  <label><input type="checkbox" class="embed-remember"> Consenti sempre i video di YouTube</label>
</div>

Poi sostituisci il placeholder con l’iframe al clic, oppure sostituisci tutti i placeholder di una categoria quando il visitatore acconsente tramite il banner:

function loadEmbed(placeholder) {
  const frame = document.createElement('iframe');
  frame.src = placeholder.dataset.embedSrc;
  frame.title = placeholder.dataset.embedTitle;
  frame.width = '560';
  frame.height = '315';
  frame.allow = 'autoplay; encrypted-media; picture-in-picture';
  frame.allowFullscreen = true;
  placeholder.replaceWith(frame);
  frame.focus(); // mantiene la posizione di chi naviga da tastiera
}

document.addEventListener('click', (event) => {
  const button = event.target.closest('.embed-load');
  if (!button) return;
  const placeholder = button.closest('.embed');
  if (placeholder.querySelector('.embed-remember')?.checked) {
    grantConsent(placeholder.dataset.consent); // il tuo livello di consenso; carica gli altri
  }
  loadEmbed(placeholder);
});

// Richiamala dagli handler del banner quando una categoria viene concessa
function activateEmbeds(category) {
  document.querySelectorAll(`.embed[data-consent="${category}"]`).forEach(loadEmbed);
}

Alcuni dettagli fanno la differenza tra un placeholder che funziona e uno che infastidisce:

• Ospita in locale l’immagine di anteprima. L’hotlinking della miniatura di YouTube invia una richiesta a Google prima che venga fatta qualsiasi scelta.
• Riserva lo spazio. Dai al placeholder le stesse dimensioni dell’iframe per evitare spostamenti del layout quando viene sostituito.
• Indica chi è il fornitore. È un avviso specifico (“ospitato da YouTube”) a rendere il clic una scelta informata.
• Registra le scelte durature. Se il visitatore seleziona “consenti sempre”, memorizza la scelta tramite il tuo livello di consenso e registrala, come qualsiasi scelta fatta nel banner.

Per lo schema generale con cui trattenere gli script, leggi come bloccare gli script di terze parti fino al consenso.

Come gestisco post social e mappe?

La maggior parte degli embed social include già un fallback statico. Un post incorporato di X, ad esempio, è un blockquote con il testo del post, che lo script del widget del fornitore trasforma poi in una scheda interattiva. Mantieni il blockquote e carica lo script del widget solo dopo il consenso:

<blockquote class="twitter-tweet">
  <p>Testo del post, autore e data, come forniti dal codice di embed.</p>
  <a href="https://x.com/example/status/1234567890">Visualizza il post</a>
</blockquote>

<!-- Inerte finché la categoria marketing non viene concessa -->
<script type="text/plain" data-consent="marketing"
        src="https://platform.twitter.com/widgets.js"></script>

Per le mappe, un’immagine statica del luogo con un link “Apri in Google Maps” copre la maggior parte delle esigenze senza caricare nulla da Google. Se ti serve una mappa interattiva, usa lo stesso placeholder click-to-load dei video.

Il click-to-load migliora le prestazioni?

Sì. I player video e i widget delle mappe sono tra gli elementi più pesanti di molte pagine, spesso centinaia di kilobyte di JavaScript. Caricarli solo quando qualcuno lo chiede elimina questo costo per ogni visitatore che scorre oltre, il che giova a metriche come Largest Contentful Paint e Interaction to Next Paint. Leggi banner dei cookie e Core Web Vitals per saperne di più su come mantenere veloci gli strumenti di consenso.

In sintesi

Ogni embed è una richiesta di terze parti e di solito comporta uno storage di terze parti, quindi trattalo come qualsiasi altro tracker: niente si carica prima del consenso. Sostituisci gli embed con placeholder accessibili e ospitati in locale, carica il contenuto reale quando il visitatore fa clic o acconsente e mantieni i fallback statici per post social e mappe. Strumenti come Cookiesh possono trattenere iframe come video e mappe fino al consenso, e lo scanner di Cookiesh elenca i fornitori di embed insieme alle altre richieste di terze parti, così puoi vedere quali pagine hanno bisogno di placeholder.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.