# Meta Pixel e consenso ai cookie: una configurazione che rispetta la scelta

> Come usare il Meta Pixel e la Conversions API con il consenso ai cookie: blocco prima del consenso, chiamate fbq consent, cookie _fbp e _fbc, Limited Data Use e GPC.

Source: https://www.cookiesh.eu/it/blog/meta-pixel-and-consent  
Published: 2026-10-29

## Key takeaways

- Il Meta Pixel imposta il cookie di prima parte _fbp, può impostare _fbc a partire dai clic sugli annunci e invia a Meta eventi di navigazione, quindi nell'UE e nel Regno Unito richiede il consenso prima di caricarsi.
- L'API di consenso di Meta, fbq('consent', 'revoke') e fbq('consent', 'grant'), trattiene gli eventi del Pixel, ma la configurazione più sicura blocca anche lo script del Pixel fino al consenso.
- Google Consent Mode non controlla il Meta Pixel: ti serve una verifica del consenso separata nel tag manager o nel tuo codice.
- La Conversions API invia eventi dal tuo server, ma anche questi eventi richiedono una base giuridica, quindi subordinali allo stesso consenso del Pixel nel browser.
- Per le leggi sulla privacy degli Stati USA, usa l'opzione Limited Data Use di Meta e rispetta i segnali di opt-out come Global Privacy Control.

Il Meta Pixel imposta cookie di prima parte e invia a Meta eventi di navigazione, quindi i visitatori dell'UE e del Regno Unito devono acconsentire prima che venga eseguito. La configurazione più sicura blocca lo script del Pixel finché il visitatore non accetta i cookie di marketing, usa l'API di consenso di Meta come seconda protezione e subordina la Conversions API alla stessa scelta. Negli Stati Uniti, aggiungi Limited Data Use e rispetta Global Privacy Control.

## Che cosa fa il Meta Pixel con i dati dei visitatori?

Il Pixel è una libreria JavaScript, `fbevents.js`, caricata dai server di Meta. Una volta inizializzato, invia a Meta eventi come `PageView`, `AddToCart` e `Purchase`, insieme all'URL della pagina, ai dati del browser e a identificativi che aiutano Meta ad abbinare il visitatore a un account.

Usa due cookie di prima parte sul tuo dominio:

- **`_fbp`** identifica il browser tra una visita e l'altra, così Meta può collegare gli eventi dello stesso visitatore.
- **`_fbc`** memorizza l'ID del clic quando un visitatore arriva da un annuncio di Meta con un parametro `fbclid` nell'URL, così le conversioni possono essere attribuite all'annuncio.

Se attivi l'advanced matching automatico, il Pixel applica anche l'hashing alle informazioni che i visitatori inseriscono nei moduli, come gli indirizzi email, e le invia a Meta per l'abbinamento. Tutto questo è tracciamento pubblicitario e richiede il consenso secondo le regole dell'UE e del Regno Unito. Per capire perché il sito web condivide la responsabilità, leggi la sentenza *Fashion ID* della CGUE, che ha considerato contitolare del trattamento un sito che incorporava un plugin di Facebook.

## Come blocco il Pixel fino al consenso?

Non permettere al browser di scaricare `fbevents.js` finché il visitatore non ha accettato i cookie di marketing. Rendi inerte lo snippet del Pixel e attivalo solo dopo il consenso:

```html
<!-- Inerte finché la categoria marketing non viene concessa -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* codice base standard di Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>
```

Quando il consenso viene concesso, il tuo livello di consenso sostituisce `type="text/plain"` con uno script reale, come descritto in [come bloccare gli script di terze parti fino al consenso](/it/blog/block-scripts-until-consent). Se usi Google Tag Manager, configura le impostazioni di consenso del tag Meta in modo che richiedano un consenso aggiuntivo per `ad_storage`, oppure attivalo solo da un evento di consenso; il tag di Meta non legge Google Consent Mode da solo.

## Come funziona l'API di consenso di Meta?

Meta fornisce due chiamate per i siti che caricano il Pixel prima che venga fatta una scelta. Chiama `fbq('consent', 'revoke')` prima di `fbq('init')` su ogni pagina, e il Pixel non invierà eventi a Meta. Quando il visitatore acconsente, chiama `fbq('consent', 'grant')` e gli eventi iniziano a essere inviati.

```js
fbq('consent', 'revoke'); // su ogni pagina, prima di init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// In seguito, dall'handler di accettazione del banner:
onConsent('marketing', () => fbq('consent', 'grant'));
```

È utile come protezione, ma è meno efficace del blocco. Con revoke attivo, il browser scarica comunque `fbevents.js` da Meta, il che invia a Meta l'indirizzo IP e i dati del browser del visitatore prima di qualsiasi scelta. Per il traffico dell'UE e del Regno Unito, blocca lo script e mantieni le chiamate di consenso come seconda linea di difesa, ad esempio quando un visitatore revoca in seguito il consenso su una pagina in cui il Pixel era già caricato.

## E la Conversions API?

La Conversions API (CAPI) invia gli eventi a Meta dal tuo server invece che dal browser. Viene spesso presentata come una soluzione contro gli ad blocker e le restrizioni dei browser e talvolta, a torto, come un modo per aggirare il consenso.

Gli eventi lato server contengono comunque dati personali: i valori di `_fbp` e `_fbc`, indirizzi IP, user agent e spesso indirizzi email o numeri di telefono sottoposti a hashing. Inviarli a Meta a fini pubblicitari richiede una base giuridica, e per i visitatori dell'UE e del Regno Unito si tratta normalmente dello stesso consenso che ti serve per il Pixel nel browser. Inoltre, i valori di `_fbp` e `_fbc` provengono da cookie a cui il visitatore ha dovuto acconsentire in primo luogo.

Subordina entrambi i canali alla stessa scelta:

| Scenario | Pixel nel browser | Conversions API |
| --- | --- | --- |
| Visitatore UE o Regno Unito che ha accettato il marketing | Carica e traccia | Invia, con lo stesso `event_id` per la deduplicazione |
| Visitatore UE o Regno Unito che ha rifiutato o non ha ancora scelto | Non caricare | Non inviare |
| Visitatore USA, nessun opt-out | Carica e traccia | Invia |
| Visitatore USA che ha esercitato l'opt-out o inviato il GPC | Non caricare, o carica con Limited Data Use | Non inviare, o invia con Limited Data Use |

Trasmetti lo stato del consenso al tuo server con ogni richiesta, oppure leggilo dal registro del consenso, e verificalo prima di chiamare l'API. Leggi [tagging lato server e consenso](/it/blog/server-side-tagging-and-consent) per lo schema generale.

## Come gestisco le leggi sulla privacy degli Stati Uniti?

Le leggi statali USA come quella californiana sono per lo più regimi di opt-out: puoi eseguire il Pixel per impostazione predefinita, ma devi smettere di “vendere” o “condividere” i dati quando un visitatore esercita l'opt-out. L'opzione Limited Data Use (LDU) di Meta indica a Meta di limitare il modo in cui tratta gli eventi di quei visitatori.

```js
// Lascia che Meta applichi Limited Data Use in base alla posizione del visitatore
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');
```

Chiamala prima di `init`. La Conversions API accetta le stesse opzioni di trattamento dei dati per ogni evento. Se un visitatore invia il segnale [Global Privacy Control](/it/blog/global-privacy-control) o esercita l'opt-out tramite il tuo banner, smetti di caricare il Pixel per lui oppure applica LDU, e fai lo stesso sul server.

## Come verifico che funzioni?

Apri il tuo sito in una finestra privata con una posizione nell'UE o una VPN e, prima di fare clic su qualsiasi cosa:

1. Nel pannello di rete del browser, filtra per `facebook`. Non dovrebbero esserci richieste verso `connect.facebook.net` o `facebook.com/tr`.
2. Nel pannello dello storage, verifica che non esista alcun cookie `_fbp` o `_fbc`.
3. Accetta i cookie di marketing e verifica che il Pixel si carichi, che i cookie compaiano e che gli eventi vengano visualizzati in Gestione eventi di Meta.
4. Revoca il consenso e verifica che il Pixel si fermi dopo il successivo caricamento della pagina.

Ripeti il test con un rifiuto per verificare che non venga caricato nulla, e con un URL `?fbclid=test` per verificare che `_fbc` venga impostato solo dopo il consenso. Un [audit dei cookie](/it/blog/how-to-run-a-cookie-audit) dovrebbe includere periodicamente questi controlli, perché gli snippet del Pixel tendono a ricomparire in template e plugin.

## In sintesi

Tratta il Meta Pixel come tracciamento pubblicitario, perché lo è. Blocca lo script fino al consenso, usa `fbq('consent')` come protezione, subordina la Conversions API alla stessa scelta e usa Limited Data Use e il GPC per gli opt-out negli Stati Uniti. Strumenti come Cookiesh bloccano i tracker noti come il Pixel finché i visitatori non acconsentono, e le scansioni programmate segnalano i nuovi script, così uno snippet dimenticato non passa inosservato.

*Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.*

## FAQ

### Posso caricare il Meta Pixel con il consenso revocato e concederlo in seguito?

Meta supporta questo schema, che impedisce l'invio degli eventi finché non concedi il consenso. Caricare la libreria, però, collega comunque il browser del visitatore a Meta, quindi per i visitatori dell'UE e del Regno Unito è più sicuro bloccare del tutto lo script fino al consenso e usare l'API di consenso come seconda protezione.

### La Conversions API evita la necessità del consenso ai cookie?

No. Gli eventi lato server includono di solito identificativi ricavati dai cookie, come _fbp e _fbc, oppure dati di contatto sottoposti a hashing, che sono dati personali. Inviarli a Meta richiede una base giuridica ai sensi del GDPR, che per la pubblicità è normalmente il consenso.

### Il Meta Pixel è coperto da Google Consent Mode?

No. Consent Mode adatta solo il comportamento dei tag Google. Il Meta Pixel lo ignora, quindi devi subordinarlo al consenso tramite il tuo strumento di consenso, le impostazioni di consenso del tag manager o il tuo codice.

### Sono responsabile di ciò che Meta fa con i dati del Pixel?

In parte. Nella sentenza Fashion ID, la CGUE ha stabilito che un sito che incorpora un plugin di Facebook è contitolare del trattamento insieme a Facebook per la raccolta e la trasmissione dei dati dei visitatori. Questo ragionamento viene ampiamente applicato al Pixel, quindi spetta a te ottenere il consenso e informare i visitatori.

## Sources

- [General Data Protection Regulation and the Meta Pixel, Meta for Developers](https://developers.facebook.com/docs/meta-pixel/implementation/gdpr)
- [Data Processing Options for US users, Meta for Developers](https://developers.facebook.com/docs/marketing-apis/data-processing-options)
- [Case C-40/17, Fashion ID, CJEU](https://curia.europa.eu/juris/liste.jsf?num=C-40/17)