Tipi di cookie: di prima e terza parte, di sessione e persistenti

I cookie si classificano di solito in tre modi: in base a chi li installa (prima parte o terza parte), a quanto durano (di sessione o persistenti) e a cosa servono (strettamente necessari, preferenze, analisi o marketing). I primi due criteri descrivono il comportamento tecnico. Il terzo è quello che conta di più per la normativa sulla privacy, perché è la finalità di un cookie a stabilire se ti serve il consenso prima di installarlo.

Cos’è un cookie, dal punto di vista tecnico?

Un cookie è un piccolo frammento di testo che un sito web chiede al browser di memorizzare e di rinviare nelle richieste successive allo stesso sito. I server installano i cookie con l’header HTTP Set-Cookie, mentre gli script della pagina possono farlo tramite document.cookie.

Ogni cookie ha un nome, un valore e degli attributi che stabiliscono dove e per quanto tempo resta attivo:

Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax

Domain e Path stabiliscono quali richieste includono il cookie. Expires o Max-Age ne fissano la durata. Secure lo limita a HTTPS, HttpOnly lo nasconde a JavaScript e SameSite stabilisce se viene inviato nelle richieste cross-site.

Qual è la differenza tra cookie di prima parte e di terza parte?

Un cookie di prima parte è installato per il dominio mostrato nella barra degli indirizzi del browser. Un cookie di terza parte è installato per un dominio diverso, di solito da contenuti incorporati nella pagina, come un annuncio, un video player o un widget social.

Se un visitatore si trova su shop.example e un annuncio incorporato proveniente da ads.example-network.com installa un cookie, quel cookie è di terza parte. Poiché la stessa rete pubblicitaria è incorporata in molti siti, il suo cookie può riconoscere lo stesso browser su tutti questi siti. È proprio questo riconoscimento cross-site ad aver reso i cookie di terza parte la spina dorsale della pubblicità comportamentale.

In pratica contano due sfumature:

• Prima parte non significa che i dati restino a te. Molti script di analisi e pubblicitari vengono eseguiti sulla tua pagina e scrivono cookie sul tuo dominio. Tecnicamente quei cookie sono di prima parte, ma gli identificativi che contengono vengono comunque inviati al fornitore.
• Il supporto dei browser sta cambiando. Safari e Firefox limitano i cookie di terza parte per impostazione predefinita, mentre i piani di Chrome sono cambiati più volte. Verifica la situazione attuale prima di sviluppare qualcosa che dipenda da questi cookie.

Qual è la differenza tra cookie di sessione e cookie persistenti?

Un cookie di sessione non ha l’attributo Expires né Max-Age, quindi il browser lo elimina al termine della sessione. Un cookie persistente ha una scadenza esplicita e sopravvive ai riavvii del browser fino a quella data o finché l’utente non lo cancella.

È il browser, non il tuo sito, a decidere quando termina una sessione. Alcuni browser ripristinano i cookie di sessione quando riaprono le schede precedenti, quindi un cookie di sessione può durare più a lungo del previsto. Alcuni browser accorciano inoltre la durata di determinati cookie installati da JavaScript, indipendentemente dalla scadenza richiesta.

La durata conta anche ai fini della conformità. Le autorità di controllo si aspettano che la durata dei cookie sia proporzionata alla loro finalità, e la tua cookie policy dovrebbe indicare quanto dura ciascun cookie.

Quali sono le categorie di cookie in base alla finalità?

La maggior parte dei banner dei cookie raggruppa i cookie in quattro categorie basate sulla finalità. I nomi variano, ma la logica è la stessa:

• Strettamente necessari: servono a fornire un servizio esplicitamente richiesto dall’utente, come restare connesso, mantenere il carrello o ricordare una scelta di consenso. Per il test, leggi cosa si intende per cookie strettamente necessario.
• Preferenze (o funzionali): ricordano scelte che migliorano l’esperienza, come lingua, area geografica o impostazioni di visualizzazione.
• Analisi (o statistiche): misurano come i visitatori usano il sito, per esempio visualizzazioni di pagina, sorgenti di traffico e percorsi di conversione.
• Marketing (o pubblicità): creano profili, misurano il rendimento degli annunci, fanno retargeting sui visitatori o condividono dati con le piattaforme pubblicitarie.

Come si confrontano i diversi tipi di cookie?

Ogni cookie ha contemporaneamente una parte, una durata e una finalità: per esempio, un cookie di analisi persistente di prima parte. Questa tabella mostra come ciascun tipo si rapporta al consenso secondo le regole UE.

Tipo	Classificato per	Esempio tipico	Serve il consenso secondo le regole UE?
Prima parte	Dominio che lo installa	Sessione di login sul tuo dominio	Dipende dalla finalità
Terza parte	Dominio che lo installa	Cookie di una rete pubblicitaria da un annuncio incorporato	Dipende dalla finalità; in pratica di solito sì
Di sessione	Durata	Carrello che si svuota alla chiusura del browser	Dipende dalla finalità
Persistente	Durata	Preferenza della lingua conservata per un anno	Dipende dalla finalità
Strettamente necessario	Finalità	Autenticazione, bilanciamento del carico, registrazione del consenso	No, esente
Preferenze	Finalità	Lingua o tema memorizzati	Di solito sì; eccezioni limitate per impostazioni scelte attivamente dall’utente
Analisi	Finalità	Misurazione di visitatori e visualizzazioni di pagina	In genere sì; alcune autorità nazionali ammettono eccezioni limitate
Marketing	Finalità	Cookie di retargeting e di conversione pubblicitaria	Sì

I tipi tecnici, da soli, non rispondono mai alla domanda sul consenso. Lo fa solo la finalità.

Alla normativa sulla privacy interessa il tipo di cookie o la finalità?

La finalità. L’articolo 5, paragrafo 3, della direttiva ePrivacy si applica all’archiviazione di qualsiasi informazione sul dispositivo dell’utente o all’accesso a essa, e le sue esenzioni sono definite in base alla finalità. A meno che l’archiviazione non sia strettamente necessaria per un servizio richiesto dall’utente o usata al solo scopo di trasmettere una comunicazione, ti serve il consenso preventivo.

Ne derivano tre conseguenze:

1. Le regole sono neutrali rispetto alla tecnologia. localStorage, sessionStorage, IndexedDB, pixel di tracciamento e fingerprinting del dispositivo sono trattati esattamente come i cookie. Per capire come interagiscono le due norme UE, leggi direttiva ePrivacy e GDPR a confronto.
2. Quando i dati sono personali si applica anche il GDPR. Il Regolamento generale sulla protezione dei dati (GDPR) cita gli identificativi dei cookie tra gli identificativi online che possono rendere identificabile una persona, quindi la maggior parte dei cookie di tracciamento comporta dati personali.
3. Le leggi statunitensi adottano un modello diverso. Secondo il CCPA e il CPRA, i cookie pubblicitari possono configurare una “vendita” o una “condivisione” di informazioni personali. Invece di raccogliere un consenso opt-in, devi offrire un modo per esercitare l’opt-out e rispettare i segnali Global Privacy Control.

Come scopro quali cookie usa il mio sito?

Parti dagli strumenti per sviluppatori del browser, che elencano i cookie e gli altri dati archiviati per ogni dominio con cui una pagina interagisce. Ottieni così un’istantanea rapida, che però non include i cookie che compaiono solo su determinate pagine, dopo il login o dopo che il visitatore ha prestato il consenso.

Un processo più affidabile:

1. Apri il sito in una finestra privata pulita e registra tutto ciò che viene installato prima di qualsiasi consenso.
2. Accetta tutti i cookie, naviga tra le pagine e i flussi principali e registra ciò che compare.
3. Per ogni cookie, annota nome, dominio che lo installa, durata e finalità.
4. Assegna a ciascuno una categoria di finalità e verifica che nulla di non essenziale sia comparso prima del consenso.
5. Ripeti il controllo a intervalli regolari, perché nuovi tag compaiono ogni volta che i team di marketing o di prodotto aggiungono strumenti.

La nostra guida su come eseguire un audit dei cookie approfondisce questo processo, e i suoi risultati confluiscono direttamente nella tua cookie policy.

In sintesi

Prima parte o terza parte, di sessione o persistente: queste distinzioni descrivono come si comporta un cookie. La finalità descrive perché esiste, ed è la finalità a stabilire se ti serve il consenso. Fai l’inventario dei tuoi cookie, classifica ciascuno in base alla finalità e blocca tutto ciò che non è essenziale finché i visitatori non acconsentono. Strumenti come Cookiesh possono automatizzare la scansione dei cookie e bloccare gli script contrassegnati fino al consenso dei visitatori.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.