Consenso cookie analytics: cosa resta misurabile

Quando il banner dei cookie del tuo sito diventa davvero conforme alle regole italiane, una parte del traffico che prima vedevi in Google Analytics 4 sparisce dai report, non perché il sito riceva meno visite, ma perché smetti di poterle contare. Questo articolo non riguarda come impostare il banner o come configurare la conservazione dei dati in GA4 — quella parte è già coperta altrove. Riguarda una domanda più scomoda: una volta che il consenso è raccolto correttamente, cosa puoi ancora misurare con certezza, cosa diventa una stima, e come si distingue in un report un calo dovuto al banner da un calo dovuto alla SEO.

Il punto di partenza è la posizione delle autorità italiane ed europee sulla misurazione web, perché è quella posizione — non una scelta di prodotto — a determinare quanto del tuo traffico resta visibile in Analytics dopo che l'utente ha detto no.

La posizione del Garante e delle autorità UE su Google Analytics

Dopo la sentenza Schrems II della Corte di giustizia UE, che nel 2020 ha invalidato il Privacy Shield come base per il trasferimento di dati personali verso gli Stati Uniti, diverse autorità nazionali per la protezione dei dati hanno esaminato in modo coordinato l'uso di Google Analytics proprio perché la misurazione implica l'invio di identificatori e indirizzi IP verso server statunitensi. Il Garante italiano è intervenuto nel 2022 con provvedimenti verso titolari di siti web che utilizzavano Google Analytics senza le garanzie richieste per quel trasferimento, chiedendo di adeguarsi o di sospendere lo strumento.

Non è stata un'iniziativa isolata: nello stesso periodo altre autorità di protezione dati nell'Unione Europea, tra cui quella austriaca e quella francese, hanno raggiunto conclusioni simili nell'ambito di un esame coordinato promosso a livello europeo sullo stesso tema, cioè se e come i trasferimenti extra-UE legati a Google Analytics potessero avvenire con garanzie sufficienti. Per chi gestisce un sito italiano la conseguenza è che la questione non riguarda una singola decisione locale isolata, ma una linea condivisa tra più autorità europee sulla stessa categoria di strumento, il che rende improbabile un ritorno alle vecchie prassi di misurazione senza consenso.

La conseguenza pratica per chi gestisce un sito italiano non è che Google Analytics sia vietato: è che il suo uso legittimo richiede un consenso raccolto correttamente prima che qualsiasi tag di misurazione parta, oltre a misure tecniche come l'anonimizzazione dell'IP dove disponibile. Molti siti hanno risposto bloccando GA4 fino al consenso esplicito, alcuni hanno adottato un proxy server-side, altri hanno affiancato o sostituito GA4 con strumenti con base dati in UE. Qualunque sia la scelta tecnica, il punto per chi legge un report resta lo stesso: la misurazione parte solo dopo un sì, e quel sì oggi è più difficile da ottenere di quanto non lo fosse tre anni fa.

Cosa richiedono davvero le linee guida italiane sul banner cookie

Le linee guida del Garante su cookie e altri strumenti di tracciamento, in vigore dal gennaio 2022, hanno chiuso diverse scorciatoie che prima gonfiavano artificialmente il tasso di consenso. Non sono indicazioni di stile grafico: sono requisiti che, applicati correttamente, cambiano quante persone dicono davvero sì al tracciamento analitico.

• Nessuna casella pre-selezionata per i cookie non essenziali: l'utente deve compiere un'azione attiva per attivare gli analytics, non deve doverla compiere per rifiutarli.
• Il pulsante di rifiuto deve avere la stessa evidenza grafica di quello di accettazione, sullo stesso livello del banner, senza doverlo cercare in un sottomenu.
• Continuare a navigare o scorrere la pagina non costituisce più consenso valido: la vecchia formula "continuando la navigazione acconsenti" non basta più.
• Revocare il consenso deve essere accessibile quanto darlo, in genere tramite un link o un'icona sempre raggiungibile, non sepolto in una pagina secondaria.

Perché ogni requisito abbassa il tasso di consenso agli analytics

Ognuna di queste regole rimuove una spinta che prima faceva salire artificialmente il numero di sessioni misurabili. Con una casella pre-selezionata, la maggior parte degli utenti non toccava affatto il banner e il tag di misurazione partiva comunque per quasi tutti: il consenso era tecnicamente presente, ma non era una scelta. Con due pulsanti di pari peso visivo, chi non ha interesse a essere tracciato ora ha un'opzione di rifiuto altrettanto facile da premere quanto quella di accettazione, e la sceglie.

Lo stesso vale per lo scorrimento della pagina: prima, un utente che semplicemente leggeva l'articolo veniva conteggiato come consenziente senza aver deciso nulla. Tolta quella regola, quello stesso utente resta non tracciato finché non compie un'azione esplicita. Nessuna di queste dinamiche è un difetto del tuo sito o un segnale che qualcosa nella SEO sia peggiorato: è il comportamento atteso di un banner finalmente conforme, che lascia vedere le preferenze reali degli utenti invece di preferenze indotte dal design.

Il divario tra le sessioni in GA4 e i log del server

GA4 misura solo i visitatori che hanno acconsentito, più una quota di sessioni stimate dal consent mode quando è attivo. I log del server o dell'hosting, invece, registrano ogni richiesta HTTP a prescindere dal consenso: bot, crawler, e anche utenti umani che hanno rifiutato il tracciamento risultano comunque nei log, perché quella richiesta ha comunque raggiunto il server. Sono due fonti che rispondono a domande diverse, e confonderle porta a letture sbagliate.

Quando cambi banner per adeguarti alle linee guida, il numero di sessioni visibili in GA4 può scendere in modo evidente da un giorno all'altro, anche se il traffico reale verso il sito non è cambiato affatto: puoi verificarlo confrontando l'andamento nei log grezzi del server nello stesso periodo. Se i log restano stabili e solo le sessioni GA4 scendono, il calo è nel tasso di consenso, non nel traffico. Trattare quel calo come una perdita di traffico organico, in un report, è l'errore più comune e il più facile da correggere una volta che sai dove guardare.

Va detto anche il contrario: i log del server non sono un sostituto perfetto di GA4, solo una fonte diversa con difetti diversi. Contengono richieste di bot, crawler e strumenti automatici che GA4 in genere filtra, quindi il numero grezzo di richieste tende a essere più alto del traffico umano reale. Il loro valore in questo contesto non è sostituire Analytics come fonte di dettaglio comportamentale, ma offrire un totale indipendente dal consenso con cui verificare, nell'ordine di grandezza, se il volume di richieste verso il sito è rimasto stabile intorno alla data in cui è cambiato il banner.

Cosa può restare senza consenso: il caso dei cookie analytics assimilati ai tecnici

Non tutta la misurazione richiede consenso per legge. Il quadro normativo italiano prevede una categoria di cookie di analisi che può essere trattata come i cookie tecnici, quindi senza obbligo di consenso preventivo, a condizioni precise: il cookie deve essere di prima parte oppure gestito da un fornitore che si impegna a non incrociare i dati raccolti su quel sito con altre informazioni in suo possesso, gli indirizzi IP devono essere mascherati o troncati in modo da impedire l'identificazione del singolo utente, e i dati non devono essere usati per finalità ulteriori rispetto alla sola statistica aggregata sul sito stesso.

Google Analytics 4, nella sua configurazione predefinita, in genere non soddisfa queste condizioni, perché la piattaforma può utilizzare e combinare i dati raccolti con altri trattamenti propri di Google: per questo la prassi corrente resta chiedere il consenso esplicito prima di attivarlo. La ragione per cui vale la pena conoscere l'eccezione è diversa: capire esattamente quali condizioni la fanno scattare aiuta a valutare, sito per sito, se una configurazione più anonima o uno strumento con base dati differente possa spostare parte della misurazione fuori dal perimetro del consenso obbligatorio, aumentando la quota di traffico che resta osservabile a prescindere dalla scelta dell'utente sul banner.

Perché Search Console resta il riferimento onesto per il trend organico

Google Search Console non dipende da un tag JavaScript che deve attendere il consenso dell'utente nel browser: le impressioni vengono registrate quando una pagina compare in un risultato di ricerca idoneo, e i clic quando l'utente lo seleziona, entrambi rilevati lato Google all'interno della sua infrastruttura di ricerca. Il banner dei cookie del tuo sito, qualunque scelta faccia l'utente, non entra in questa catena: GSC non chiede il consenso e non ne ha bisogno per contare un'impressione o un clic.

Per questo, quando cambi un banner o rivedi la configurazione del consenso, l'andamento di clic e impressioni in Search Console resta la linea di base più affidabile per capire se la visibilità organica sta davvero salendo o scendendo. Se GSC mostra un trend stabile o in crescita mentre GA4 mostra un crollo di sessioni proprio nei giorni successivi a un cambio di banner, la lettura corretta è quasi sempre che la SEO sta funzionando e che è la misurazione, non il traffico, ad essere cambiata.

I limiti della modellazione del consent mode sui siti italiani a basso traffico

Il consent mode prova a colmare il vuoto lasciato dai visitatori non consenzienti costruendo un modello statistico a partire dal comportamento osservato sui visitatori che invece hanno acconsentito, in condizioni simili per pagina, dispositivo o area geografica. Perché un modello di questo tipo sia credibile serve un volume adeguato di segnale, sia consentito che non consentito, da cui imparare: più il segmento che stai guardando è ristretto, più il modello lavora con pochi dati reali su cui basarsi.

Su molti siti italiani di piccole e medie dimensioni, con volumi giornalieri modesti, questo volume adeguato spesso non c'è appena si scende sotto il livello aggregato: per canale, per singola pagina, per area geografica regionale, i numeri modellati diventano più simili a una stima statistica che a una misurazione. Google non pubblica una soglia minima di traffico sotto la quale il modello smette di essere affidabile, quindi la regola pratica è comportamentale, non numerica: più affini il taglio dei dati, meno ti fidi del numero modellato che ne esce, e più torni ai totali aggregati o a fonti che non dipendono dal consenso.

Come presentare un report in cui il calo è del banner, non della SEO

Un report che mescola sessioni GA4 e visibilità organica senza distinguere l'effetto del consenso porta chi lo legge a conclusioni sbagliate, spesso nella direzione peggiore: tagli di budget o revisioni della strategia SEO decise per rincorrere un calo che non è mai esistito nel traffico reale. Separare le due cose richiede poche accortezze, ma vanno fatte sistematicamente ogni volta che cambia qualcosa nel banner o nella piattaforma di gestione del consenso. Vale anche la pena scrivere in una riga, all'inizio del report, cosa è cambiato e perché: un lettore che non segue da vicino la parte tecnica del sito non deve dedurre da solo che un calo in GA4 è dovuto al banner, va detto esplicitamente, altrimenti la spiegazione più semplice che chi legge troverà da sé è quella sbagliata, cioè che qualcosa nella SEO non funziona più.

• Segna sul grafico la data esatta di ogni modifica al banner o al CMP, così chi legge il report vede subito se un calo coincide con quella data.
• Affianca sempre l'andamento di clic e impressioni di Search Console a quello delle sessioni GA4 nello stesso periodo, sullo stesso asse temporale.
• Dove possibile, cita un numero indipendente dal consenso, come le richieste totali nei log del server, per confermare che il traffico reale non si è mosso.
• Indica nel report il tasso di consenso stimato per il periodo, così chi lo rilegge tra mesi ha il contesto per interpretare correttamente i numeri di GA4.