Banner di consenso e divario di misurazione

Nel Regno Unito cookie e tecnologie analoghe sono disciplinati dalla regulation 6 delle Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR), il regolamento britannico sulla privacy nelle comunicazioni elettroniche. Il Data (Use and Access) Act 2025 ha sostituito la regulation 6 con un nuovo testo con effetto dal 5 febbraio 2026. La regola generale resta invariata. Fatto salvo lo Schedule A1, nessuno può archiviare informazioni, né accedere a informazioni archiviate, nell'apparecchiatura terminale di un abbonato o di un utente. Il nuovo testo aggiunge che rileva anche il fatto di promuovere l'archiviazione o l'accesso, e che l'accesso comprende la raccolta di informazioni emesse automaticamente dal dispositivo.

L'Information Commissioner's Office (ICO), l'autorità britannica per la protezione dei dati, ha finalizzato il 29 aprile 2026 le proprie linee guida sulle tecnologie di archiviazione e accesso. Le linee guida riguardano cookie, pixel di tracciamento, decorazione dei link, archiviazione locale, fingerprinting del dispositivo, script e tag. Stabiliscono cinque eccezioni all'obbligo di consenso, relative a comunicazione, stretta necessità, finalità statistiche, aspetto e assistenza in caso di emergenza.

Per la reportistica destinata al vertice aziendale l'eccezione più rilevante è quella per finalità statistiche. Secondo le linee guida dell'ICO, un'organizzazione può svolgere attività di analisi senza consenso quando l'unico scopo è raccogliere informazioni statistiche su come viene utilizzato il proprio servizio, al fine di migliorarlo. Le informazioni risultanti devono essere aggregate, i visitatori devono ricevere informazioni chiare ed esaurienti e deve esistere un modo semplice e gratuito per opporsi. Un fornitore terzo di strumenti di analisi può essere coinvolto, ma deve agire come responsabile del trattamento e non deve combinare i dati con informazioni provenienti da altre fonti.

L'eccezione ha confini precisi. L'ICO afferma che le finalità di pubblicità online "non sono esenti dagli obblighi di consenso del PECR e non lo sono mai state", e vi include la misurazione e le prestazioni degli annunci. Collegare un identificativo del visitatore agli acquisti per condividere le conversioni con i partner pubblicitari richiede ancora il consenso.

Il Data (Use and Access) Act modifica solo il diritto britannico. Le organizzazioni con visitatori nell'UE devono svolgere una verifica separata rispetto alle regole applicabili nel luogo in cui si trovano tali visitatori.

I siti web che utilizzano i tag di Google trasmettono loro le scelte di consenso tramite Google Consent Mode. La documentazione per sviluppatori di Google descrive due modalità di implementazione, e la scelta cambia ciò che l'impresa riesce a vedere.

Con la modalità di consenso di base, i tag di Google restano bloccati finché il visitatore non interagisce con il banner. Se il visitatore rifiuta, a Google non viene inviato alcun dato, nemmeno lo stato del consenso. La modellazione delle conversioni in Google Ads ricorre allora a un modello generale.

Con la modalità di consenso avanzata, i tag vengono caricati con il consenso impostato per impostazione predefinita su "denied". Finché il consenso è negato inviano misurazioni senza cookie, e la misurazione completa inizia solo quando il visitatore presta il consenso. Google afferma che in questo modo è possibile un modello specifico per l'inserzionista anziché un modello generale.

I singoli tipi di consenso hanno effetti specifici. Con analytics_storage negato, Google Analytics non legge né scrive i propri cookie proprietari. Con ad_storage negato, non vengono scritti nuovi cookie pubblicitari e gli indirizzi IP vengono troncati al momento della raccolta. Con ad_user_data negato, i dati proprietari sottoposti a hashing per le conversioni avanzate non vengono inviati. Ciascuno di questi casi riduce la quota di attività che può essere osservata e ricondotta a un singolo visitatore nel corso di una sessione o di una visita successiva.

Google Analytics 4 colma in parte la lacuna con la modellazione comportamentale, che stima il comportamento dei visitatori che hanno rifiutato i cookie di analisi a partire dal comportamento di visitatori simili che li hanno accettati. Il centro assistenza di Google ne elenca le condizioni. Consent Mode deve essere attivo su ogni pagina con l'implementazione avanzata. La proprietà deve raccogliere almeno 1.000 eventi al giorno con analytics_storage negato per almeno 7 giorni. Deve inoltre avere almeno 1.000 utenti giornalieri che inviano eventi con analytics_storage concesso in almeno 7 dei 28 giorni precedenti. Il rispetto di queste soglie non garantisce l'idoneità.

Una proprietà con traffico modesto può restare al di sotto di queste soglie, e Google è esplicita sulla conseguenza. Se il traffico con consenso non è sufficiente per addestrare il modello, gli eventi dei visitatori che hanno rifiutato il consenso non vengono riportati.

Dove la modellazione è attiva, si ferma davanti ad alcune funzionalità. Google indica come non supportati segmenti di pubblico, esplorazione utente, esplorazioni di coorte e del lifetime degli utenti, segmenti di sequenza, report sulla fidelizzazione, metriche predittive ed esportazione dei dati, compresa l'esportazione verso BigQuery. Un data warehouse alimentato dall'esportazione verso BigQuery contiene quindi solo dati osservati, mentre l'interfaccia di GA4 con l'identità per i report Blended mostra dati osservati più dati modellati. Quando la dashboard del data warehouse e la schermata di GA4 indicano un numero di utenti diverso per la stessa settimana, questa è una delle cause documentate da verificare per prima.

L'eccezione del 2026 consente agli strumenti di analisi che ne soddisfano le condizioni di funzionare senza consenso, mentre la misurazione pubblicitaria continua a dipenderne. Un'organizzazione che sposta la propria analisi sull'eccezione può vedere crescere sessioni e utenti nei report di analisi, mentre le conversioni riportate dalle piattaforme pubblicitarie restano invariate. Questa differenza dipenderebbe da ciò che ciascun sistema è autorizzato a osservare, senza alcuna variazione della domanda alle spalle.

La data di qualsiasi modifica alla configurazione del consenso va trattata come una discontinuità nella serie. Va registrata nel calendario della reportistica, con linee di tendenza separate prima e dopo, evitando di confrontare i tassi di conversione a cavallo della discontinuità senza una rettifica dichiarata. Come serie di riferimento va usato il numero di ordini della piattaforma di e-commerce o dell'ERP, perché non dipende dall'archiviazione di alcunché nel browser e non cambia quando un banner viene ridisegnato.

Il CTO dovrebbe sapere quale piattaforma di gestione del consenso è in uso, se Google Consent Mode è implementato nella forma di base o in quella avanzata, e se ogni tag del sito, compresi quelli di altri fornitori, rispetta la scelta del visitatore.

Il responsabile della protezione dei dati dovrebbe saper indicare su quale eccezione del PECR si basa ciascuna tecnologia non pubblicitaria, dove si trova il modo semplice per opporsi messo a disposizione del visitatore e se il contratto con il fornitore degli strumenti di analisi lo qualifica come responsabile del trattamento.

Il CMO e il CFO dovrebbero sapere quali indicatori del consiglio di amministrazione sono osservati e quali includono dati modellati, se la proprietà GA4 soddisfa le soglie per la modellazione comportamentale e quale serie funge da riferimento quando i sistemi non concordano. Ogni risposta richiede un responsabile nominato e una revisione ogni volta che cambiano il banner, la piattaforma di consenso o l'insieme dei tag.