# Come consentire ai visitatori di revocare il consenso ai cookie (e cosa fare quando lo revocano)

> Il GDPR impone che revocare il consenso sia facile quanto prestarlo. Come progettare il percorso di revoca, fermare i tag, eliminare i cookie e aggiornare Consent Mode e i log.

Source: https://www.cookiesh.eu/it/blog/withdraw-cookie-consent  
Published: 2026-10-29

## Key takeaways

- L'articolo 7, paragrafo 3, del GDPR riconosce alle persone il diritto di revocare il consenso in qualsiasi momento e impone che la revoca sia facile quanto la prestazione del consenso.
- Se per prestare il consenso è bastato un clic su un banner, per revocarlo dovrebbe bastare più o meno un clic da un link o da un'icona disponibile su ogni pagina.
- La revoca deve cambiare ciò che fa il tuo sito: fermare i tag, aggiornare segnali come Google Consent Mode ed eliminare i cookie e lo storage non essenziali che hai impostato.
- Gli script già eseguiti non possono essere scaricati dalla pagina, quindi ricaricarla dopo la revoca è il modo più affidabile per fermarli.
- Registra la revoca come qualsiasi altra scelta e interrompi il trattamento dei dati raccolti sulla base del consenso, o eliminali, quando non hai un'altra base giuridica per conservarli.

Il GDPR riconosce a chiunque il diritto di revocare il consenso in qualsiasi momento, e l'articolo 7, paragrafo 3, impone che la revoca sia facile quanto la prestazione del consenso. Per i cookie, questo significa un link o un'icona su ogni pagina che riapra le scelte di consenso con all'incirca lo stesso numero di clic necessari per accettare. Poi il sito deve dare seguito alla nuova scelta: fermare i tag, eliminare i cookie che ha impostato, aggiornare segnali come Google Consent Mode e registrare la modifica.

## Che cosa richiede la legge?

L'articolo 7, paragrafo 3, del GDPR fissa quattro regole. Le persone possono revocare il consenso in qualsiasi momento. La revoca non rende illecito il trattamento precedente. Devono essere informate di questo diritto prima di prestare il consenso. E revocare il consenso deve essere facile quanto prestarlo.

Le Linee guida 05/2020 dell'EDPB sul consenso precisano l'ultimo punto: quando il consenso viene ottenuto per via elettronica con un solo clic, uno swipe o la pressione di un tasto, le persone devono poterlo revocare con la stessa facilità. La revoca dovrebbe inoltre avvenire senza pregiudizio, quindi un visitatore che cambia idea non dovrebbe perdere l'accesso al sito né essere costretto a seguire una procedura più lunga. Poiché la direttiva ePrivacy riprende la definizione di consenso del GDPR, le stesse regole si applicano ai cookie.

## Quanto deve essere facile la revoca?

Confronta i percorsi. Se per accettare è bastato un clic sul primo livello del banner, per revocare dovrebbe bastare all'incirca un clic per aprire le scelte e uno per salvarle.

| Percorso di revoca | È facile quanto prestare il consenso? |
| --- | --- |
| Link o icona “Impostazioni cookie” persistente su ogni pagina che riapre il pannello delle preferenze | Sì, è l'approccio comune |
| Un pulsante “Rifiuta tutto” o “Revoca il consenso” in quel pannello | Sì |
| Un link presente solo nella cookie policy | Di solito no, perché aggiunge passaggi |
| Istruzioni per cancellare i cookie dalle impostazioni del browser | No, scarica il lavoro sull'utente |
| Un indirizzo email o un modulo di contatto | No, per un consenso prestato con un clic |

Metti il link dove le persone lo cercano, di solito nel footer del sito, e dagli un'etichetta chiara. Riutilizzare lo stesso pannello e gli stessi controlli del banner originale aiuta le persone a riconoscerlo. Per saperne di più sul layout del banner, leggi [come progettare un banner dei cookie conforme e facile da usare](/it/blog/cookie-banner-design-best-practices).

## Che cosa deve succedere quando qualcuno revoca il consenso?

La revoca deve cambiare ciò che fa il tuo sito, non solo ciò che memorizza. Segui questi passaggi nell'ordine.

1. **Memorizza la nuova scelta.** Sovrascrivi lo stato del consenso memorizzato, così ogni visualizzazione di pagina successiva legge la revoca.
2. **Aggiorna i segnali a valle.** Invia un aggiornamento di Consent Mode con i tipi interessati impostati su `denied` e chiama le API equivalenti degli altri fornitori, come `fbq('consent', 'revoke')` per il Meta Pixel.
3. **Elimina i cookie e lo storage di prima parte.** Rimuovi i cookie non essenziali e le chiavi di storage del browser che i tag hanno impostato sul tuo dominio.
4. **Ricarica la pagina.** Il codice già eseguito non può essere scaricato, e alcuni script mantengono timer, listener o identificativi in memoria. Ricaricare è il modo più semplice per ripartire da zero.
5. **Informa i tuoi server.** Se usi il [tagging lato server](/it/blog/server-side-tagging-and-consent) o invii eventi dal tuo backend, trasmetti anche lì il nuovo stato.
6. **Registrala.** Registra la revoca con un timestamp e la versione del banner, insieme alle altre [prove del consenso](/it/blog/proof-of-consent-records).
7. **Sincronizzala per gli utenti noti.** Se il visitatore ha effettuato l'accesso e sincronizzi il consenso tra dispositivi, applica la revoca al suo account.

I passaggi da 2 a 4 potrebbero avere questo aspetto:

```js
function withdrawConsent(categories) {
  saveConsent(categories); // il tuo archivio del consenso; ora le categorie sono false

  gtag('consent', 'update', {
    analytics_storage: categories.analytics ? 'granted' : 'denied',
    ad_storage: categories.marketing ? 'granted' : 'denied',
    ad_user_data: categories.marketing ? 'granted' : 'denied',
    ad_personalization: categories.marketing ? 'granted' : 'denied',
  });
  if (!categories.marketing && window.fbq) fbq('consent', 'revoke');

  deleteCookies(/^_ga($|_)/, /^_gcl_/, /^_fbp$/, /^_fbc$/);
  localStorage.removeItem('analytics_client_id');

  location.reload();
}
```

## Come elimino i cookie da JavaScript?

Imposta di nuovo il cookie con lo stesso nome, percorso e dominio con cui è stato creato e con una scadenza nel passato. Il problema è che `document.cookie` non indica il dominio né il percorso di un cookie, quindi prova le combinazioni probabili:

```js
function deleteCookies(...patterns) {
  const names = document.cookie
    .split('; ')
    .map((pair) => pair.split('=')[0])
    .filter((name) => patterns.some((re) => re.test(name)));

  // Gli strumenti di analisi impostano spesso i cookie sul dominio padre (".example.com")
  const labels = location.hostname.split('.');
  const domains = [''];
  for (let i = 0; i < labels.length - 1; i++) {
    domains.push(`; domain=.${labels.slice(i).join('.')}`);
  }

  for (const name of names) {
    for (const domain of domains) {
      document.cookie = `${name}=; Max-Age=0; path=/${domain}`;
    }
  }
}
```

Ci sono tre limiti da conoscere. I cookie contrassegnati come `HttpOnly` non possono essere rimossi da JavaScript, quindi eliminali dal server con un header `Set-Cookie`. I cookie impostati con un percorso diverso da `/` richiedono quel percorso. E i cookie sul dominio di un fornitore non possono essere eliminati dal tuo sito in alcun modo, quindi il massimo che puoi fare è smettere di caricare il codice del fornitore.

## E i dati già raccolti?

La revoca non cancella il passato, ma incide su ciò che conservi. Una volta revocato il consenso, devi interrompere il trattamento che si basava su di esso. Se non hai un'altra base giuridica per i dati già raccolti, l'EDPB si aspetta che tu li elimini, e il diritto alla cancellazione previsto dal GDPR copre la stessa situazione.

Per i dati di analisi e pubblicitari conservati dai fornitori, verifica quali strumenti di cancellazione offrono, come le API per l'eliminazione degli utenti, e includili nel tuo processo per gli utenti che hanno effettuato l'accesso e di cui conosci l'identità. Per i visitatori anonimi, interrompere l'ulteriore raccolta è di solito ciò che puoi realisticamente fare.

## In sintesi

Fai della revoca un percorso da un clic disponibile su ogni pagina, poi rendila effettiva: memorizza la scelta, aggiorna Consent Mode e le API dei fornitori, elimina i cookie e lo storage di prima parte, ricarica la pagina, informa i tuoi server e registra la revoca. Non chiedere di nuovo il consenso al visitatore subito dopo. Strumenti come Cookiesh includono un preference center in cui i visitatori possono modificare le proprie scelte, inviano l'aggiornamento di Consent Mode corrispondente e registrano ogni modifica, comprese le revoche.

*Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.*

## FAQ

### Basta un link nella cookie policy per revocare il consenso?

Di solito no. Se il consenso è stato prestato con un clic su un banner, costringere le persone a trovare la pagina della policy, leggerla e poi individuare un controllo è più difficile che prestare il consenso. L'approccio comune è un link o un'icona persistente su ogni pagina che riapre il pannello delle preferenze.

### Posso eliminare i cookie di terze parti quando un utente revoca il consenso?

Non dal tuo dominio. I browser consentono a un sito di eliminare solo i cookie del proprio dominio, quindi i cookie impostati sul dominio di un fornitore restano finché non scadono o finché il fornitore non li rimuove. Quello che puoi fare è smettere di caricare il codice del fornitore, così quei cookie non vengono più letti né rinnovati.

### La revoca rende illecito il trattamento passato?

No. Il GDPR stabilisce che la revoca non pregiudica la liceità del trattamento effettuato prima di essa. Dal momento della revoca, però, devi interrompere il trattamento basato sul consenso.

### Devo mostrare di nuovo il banner subito dopo che qualcuno ha revocato il consenso?

No. La revoca è una scelta come le altre, quindi memorizzala e rispettala. Chiedere di nuovo alla visualizzazione di pagina successiva è il tipo di richiesta ripetuta che le autorità considerano una pressione ad acconsentire.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Guidelines 05/2020 on consent under Regulation 2016/679, EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)