Meta Pixel e consenso ai cookie: una configurazione che rispetta la scelta

Il Meta Pixel imposta cookie di prima parte e invia a Meta eventi di navigazione, quindi i visitatori dell’UE e del Regno Unito devono acconsentire prima che venga eseguito. La configurazione più sicura blocca lo script del Pixel finché il visitatore non accetta i cookie di marketing, usa l’API di consenso di Meta come seconda protezione e subordina la Conversions API alla stessa scelta. Negli Stati Uniti, aggiungi Limited Data Use e rispetta Global Privacy Control.

Che cosa fa il Meta Pixel con i dati dei visitatori?

Il Pixel è una libreria JavaScript, fbevents.js, caricata dai server di Meta. Una volta inizializzato, invia a Meta eventi come PageView, AddToCart e Purchase, insieme all’URL della pagina, ai dati del browser e a identificativi che aiutano Meta ad abbinare il visitatore a un account.

Usa due cookie di prima parte sul tuo dominio:

• _fbp identifica il browser tra una visita e l’altra, così Meta può collegare gli eventi dello stesso visitatore.
• _fbc memorizza l’ID del clic quando un visitatore arriva da un annuncio di Meta con un parametro fbclid nell’URL, così le conversioni possono essere attribuite all’annuncio.

Se attivi l’advanced matching automatico, il Pixel applica anche l’hashing alle informazioni che i visitatori inseriscono nei moduli, come gli indirizzi email, e le invia a Meta per l’abbinamento. Tutto questo è tracciamento pubblicitario e richiede il consenso secondo le regole dell’UE e del Regno Unito. Per capire perché il sito web condivide la responsabilità, leggi la sentenza Fashion ID della CGUE, che ha considerato contitolare del trattamento un sito che incorporava un plugin di Facebook.

Come blocco il Pixel fino al consenso?

Non permettere al browser di scaricare fbevents.js finché il visitatore non ha accettato i cookie di marketing. Rendi inerte lo snippet del Pixel e attivalo solo dopo il consenso:

<!-- Inerte finché la categoria marketing non viene concessa -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* codice base standard di Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>

Quando il consenso viene concesso, il tuo livello di consenso sostituisce type="text/plain" con uno script reale, come descritto in come bloccare gli script di terze parti fino al consenso. Se usi Google Tag Manager, configura le impostazioni di consenso del tag Meta in modo che richiedano un consenso aggiuntivo per ad_storage, oppure attivalo solo da un evento di consenso; il tag di Meta non legge Google Consent Mode da solo.

Come funziona l’API di consenso di Meta?

Meta fornisce due chiamate per i siti che caricano il Pixel prima che venga fatta una scelta. Chiama fbq('consent', 'revoke') prima di fbq('init') su ogni pagina, e il Pixel non invierà eventi a Meta. Quando il visitatore acconsente, chiama fbq('consent', 'grant') e gli eventi iniziano a essere inviati.

fbq('consent', 'revoke'); // su ogni pagina, prima di init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// In seguito, dall'handler di accettazione del banner:
onConsent('marketing', () => fbq('consent', 'grant'));

È utile come protezione, ma è meno efficace del blocco. Con revoke attivo, il browser scarica comunque fbevents.js da Meta, il che invia a Meta l’indirizzo IP e i dati del browser del visitatore prima di qualsiasi scelta. Per il traffico dell’UE e del Regno Unito, blocca lo script e mantieni le chiamate di consenso come seconda linea di difesa, ad esempio quando un visitatore revoca in seguito il consenso su una pagina in cui il Pixel era già caricato.

E la Conversions API?

La Conversions API (CAPI) invia gli eventi a Meta dal tuo server invece che dal browser. Viene spesso presentata come una soluzione contro gli ad blocker e le restrizioni dei browser e talvolta, a torto, come un modo per aggirare il consenso.

Gli eventi lato server contengono comunque dati personali: i valori di _fbp e _fbc, indirizzi IP, user agent e spesso indirizzi email o numeri di telefono sottoposti a hashing. Inviarli a Meta a fini pubblicitari richiede una base giuridica, e per i visitatori dell’UE e del Regno Unito si tratta normalmente dello stesso consenso che ti serve per il Pixel nel browser. Inoltre, i valori di _fbp e _fbc provengono da cookie a cui il visitatore ha dovuto acconsentire in primo luogo.

Subordina entrambi i canali alla stessa scelta:

Scenario	Pixel nel browser	Conversions API
Visitatore UE o Regno Unito che ha accettato il marketing	Carica e traccia	Invia, con lo stesso event_id per la deduplicazione
Visitatore UE o Regno Unito che ha rifiutato o non ha ancora scelto	Non caricare	Non inviare
Visitatore USA, nessun opt-out	Carica e traccia	Invia
Visitatore USA che ha esercitato l’opt-out o inviato il GPC	Non caricare, o carica con Limited Data Use	Non inviare, o invia con Limited Data Use

Trasmetti lo stato del consenso al tuo server con ogni richiesta, oppure leggilo dal registro del consenso, e verificalo prima di chiamare l’API. Leggi tagging lato server e consenso per lo schema generale.

Come gestisco le leggi sulla privacy degli Stati Uniti?

Le leggi statali USA come quella californiana sono per lo più regimi di opt-out: puoi eseguire il Pixel per impostazione predefinita, ma devi smettere di “vendere” o “condividere” i dati quando un visitatore esercita l’opt-out. L’opzione Limited Data Use (LDU) di Meta indica a Meta di limitare il modo in cui tratta gli eventi di quei visitatori.

// Lascia che Meta applichi Limited Data Use in base alla posizione del visitatore
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');

Chiamala prima di init. La Conversions API accetta le stesse opzioni di trattamento dei dati per ogni evento. Se un visitatore invia il segnale Global Privacy Control o esercita l’opt-out tramite il tuo banner, smetti di caricare il Pixel per lui oppure applica LDU, e fai lo stesso sul server.

Come verifico che funzioni?

Apri il tuo sito in una finestra privata con una posizione nell’UE o una VPN e, prima di fare clic su qualsiasi cosa:

1. Nel pannello di rete del browser, filtra per facebook. Non dovrebbero esserci richieste verso connect.facebook.net o facebook.com/tr.
2. Nel pannello dello storage, verifica che non esista alcun cookie _fbp o _fbc.
3. Accetta i cookie di marketing e verifica che il Pixel si carichi, che i cookie compaiano e che gli eventi vengano visualizzati in Gestione eventi di Meta.
4. Revoca il consenso e verifica che il Pixel si fermi dopo il successivo caricamento della pagina.

Ripeti il test con un rifiuto per verificare che non venga caricato nulla, e con un URL ?fbclid=test per verificare che _fbc venga impostato solo dopo il consenso. Un audit dei cookie dovrebbe includere periodicamente questi controlli, perché gli snippet del Pixel tendono a ricomparire in template e plugin.

In sintesi

Tratta il Meta Pixel come tracciamento pubblicitario, perché lo è. Blocca lo script fino al consenso, usa fbq('consent') come protezione, subordina la Conversions API alla stessa scelta e usa Limited Data Use e il GPC per gli opt-out negli Stati Uniti. Strumenti come Cookiesh bloccano i tracker noti come il Pixel finché i visitatori non acconsentono, e le scansioni programmate segnalano i nuovi script, così uno snippet dimenticato non passa inosservato.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.