Cookie Consent Mode di Google: cos’è e come funziona

La corretta gestione dei cookie impone agli inserzionisti che operano nello Spazio Economico Europeo e nel Regno Unito, di adottare un approccio basato sulla privacy, acquisendo sempre il consenso degli utenti all’uso dei cookie e delle tecnologie di tracciamento ai fini di marketing online.

Questa funzione viene svolta da sistemi appositi chiamati Cookie Management Platform (abbr. CMP) opportunamente integrati in siti web e app mobile.

Se il consenso non c’è o viene esplicitamente rifiutato, però, si perdono dati statistici fondamentali per una corretta valutazione delle performance delle campagne di marketing online. Per aiutare gli inserzionisti a catturare più informazioni possibili sull’andamento delle campagne anche quando l’utente nega il consenso, Google ha creato il sistema Consent Mode (abbr. CMv2).

In questo articolo vediamo che cos’è Google Consent Mode e come implementarlo, cercando di offrire un’introduzione generale sull’argomento e un successivo approfondimento più tecnico.

Cos’è Google Consent Mode

La Consent Mode è un framework sviluppato da Google per gestire dinamicamente il comportamento dei tag e dei tracciamenti di marketing, in base al consenso espresso dall’utente su un sito o un app.

La Consent Mode legge lo stato del consenso degli utenti e può inviare segnali aggiuntivi a Google, per generare dati statistici modellati tracciando – anche in assenza di consenso – il comportamento dei visitatori e le conversioni su Google Ads e Google Analytics.

La Consent Mode di Google non fornisce nè un banner né un widget aggiuntivo, ma interagisce direttamente con la piattaforma di gestione del consenso (CMP) già presente sul sito, da cui riceve il consenso dei visitatori e, in base a questo, adatta in modo dinamico il comportamento dei tag di Google, nel rispetto delle scelte degli utenti.

Può essere impostata in 2 modalità: Base o Avanzata. In entrambi i casi, riceve sempre le impostazioni di consenso dal sistema di cookie consent presente sul sito. Se non c’è consenso o questo è stato esplicitamente rifiutato, la Consent Mode potrebbe intervenire ed eseguire comunque i tag di marketing per raccogliere dati aggiuntivi in forma anonima per modellare le conversioni: ciò avviene solo se l’utente attiva la Consent Mode nella così detta “Modalità Avanzata“. In caso contrario, non viene collezionato alcun dato aggiuntivo.

La Consent Mode non è obbligatoria, ma funzionale a migliorare i tracciamenti di marketing.

Le versioni di Google Consent Mode

Google ha introdotto la Consent Mode a Settembre 2020 con il fine di gestire i dati relativi alle conversioni delle campagne su Google Ads anche se l’utente non aveva dato il consenso di tracciamento a fini di marketing. A novembre 2023 Google rilascia la Versione 2 in conseguenza al Digital Markets Act (DMA).

Il DMA individua Google come “gatekeepers” e lo obbliga a garantire che i dati personali degli utenti che non hanno espresso il consenso al loro trattamento per finalità di marketing non vengano utilizzati. La Consent Mode versione 2 (CMv2) è quindi stata rilasciata per permettere di tracciare, anche in mancanza di consenso, un maggior numero di dati, in modo più accurato, in particolare per le campagne di remarketing e ottimizzando il budget pubblicitario.

Perché implementare la Consent Mode

Quando gli utenti rifiutano il consenso, Google non può raccogliere dati di marketing, perdendo così la possibilità di elaborare statistiche dettagliate. La Consent Mode è la soluzione tecnica offerta da Google per raccogliere informazioni statistiche anche senza il consenso all’uso dei cookie pubblicitari, tramite modellazione delle conversioni basata sul machine learning.

Grazie alla Consent Mode, Google dichiara di riuscire a recuperare il 70% circa dei dati di conversione dai clic degli annunci che altrimenti sarebbero andati persi quando gli utenti rifiutano il tracciamento tramite cookie.

Recupero delle Conversioni con Consent Mode – Fonte: Google

Consent Mode Base e Avanzata

Il consenso all’uso dei cookie avviene sul sito web, tramite la piattaforma di gestione del consenso (CMP): la scelta dell’utente sul banner cookie determina quali informazioni vengono passate o meno.

Quando l’utente acconsente al tracciamento, si attivano i tag di tracciamento: la CMP rileva quali consensi sono stati concessi, quindi autorizza l’invio di dati personali tramite i tag di marketing, che inviano dati statistici e conversioni.

La Consent Mode entra in gioco quando gli utenti non prestano il consenso.

In caso di rifiuto all’uso dei cookie, l’invio di dati aggiuntivi viene bloccato nel rispetto delle preferenze dell’utente, a meno che si decida di implementare la Consent Mode Avanzata: solo in questo caso, Google attiva comunque i tag di tracciamento inviando ping senza cookie.

L’attivazione della Consent Mode Avanzata è un’opzione.

La strategia di implementazione può essere di due tipi:

Ogni inserzionista potrà scegliere se attivare o meno la Consent Mode Avanzata, effettuando le proprie valutazioni tecniche e legali: nelle aziende più strutturate, la scelta se abilitare o meno questa opzione è in carico al DPO (Data Protection Officer), di conseguenza si procederà con un’implementazione ristretta o piena sulla base della valutazione da questi effettuata.

I parametri tecnici della Consent Mode

La Consent Mode raccoglie 7 parametri, che rappresentano lo stato del consenso dell’utente.

4 Parametri sono relativi ai consensi:

3 Parametri sono relativi alla privacy sui consensi:

Gli stati del consenso

I parametri possono assumere lo stato di “granted” (consenso fornito) o “denied” (consenso non fornito), in base ai valori dei consenso passati dalla piattaforma di gestione del consenso (CMP) alla CMv2. Questi valori possono essere:

Denied è il default di inizializzazione, prima del banner cookie.

Se l’utente presta il consenso all’uso dei cookie, lo stato del parametro cambia e assume un valore diverso a seconda dei consensi forniti dall’utente, ovvero alle sue scelte sul banner cookie.

Se l’utente presta il consenso ai soli cookie con finalità di marketing, il parametro assume il valore di G110 il che significa che Google Ads ha il consenso per tracciare le azioni dell’utente. Se l’utente presta il consenso ai soli cookie con finalità di statistica, il parametro assume il valore di  G101  il che significa che Google Analytics ha il consenso per tracciare le azioni dell’utente. Se l’utente presta il consenso sia ai cookie con finalità di marketing che statistici, il parametro assume il valore di  G111  il che significa che sia Google Ads sia Google Analytics hanno il consenso per tracciare le azioni dell’utente.

Se l’utente nega il consenso all’uso dei cookie, la CMP gestisce questa informazione in modo diverso, secondo il tipo di implementazione.

Se la Consent Mode è in modalità base, non sarà inviato alcun dato. Solo nel caso di implementazione della Consent Mode in modalità avanzata viene passato il valore G100 e saranno inviati a Google dei dati identificativi aggiuntivi (ping), tra cui indirizzo ip, user agent e altri dati visibili dal payload della hit di analytics.

Come verificare i valori inviati

Un metodo per visualizzare gli stati di consenso è analizzare quanto viene passato nel payload di analytics.

Un payload è un pacchetto di dati inviati da un client a un server, a seguito di una richiesta di rete. Nel caso di Google Analytics, il pacchetto di dati contiene le informazioni tracciate (es. visualizzazioni, eventi, conversioni) e viene inviato da un’applicazione o da un sito web al server di tracciamento di Google Analytics. Per approfondirne le specifiche tecniche, si rimanda al riferimento ufficiale “Measurement Protocol di Google Analytics“.

I dati vengono inviati tramite richieste HTTP e includono diversi parametri tecnici, come ad esempio evento, stato del consenso, lingua, risoluzione schermo, ID sessione, etc…  Il payload di analytics è visibile dal browser Chrome tramite console (F12) dalla scheda Network, filtrando su “collect”:

Nel caso di invio di dati di marketing, in questa sezione sarà visualizzata una stringa la collect?v= relativa alla richiesta inviata dal browser ai server di Google Analytics, contenente i dati di tracciamento relativi a visite, eventi e stato del consenso. Questa riga è presente in tutti i casi in cui il consenso è stato fornito (G110– G101 – G111), oppure solo se è attiva la CMv2 avanzata nel caso in cui il consenso non sia stato fornito (G100). In caso di implementazione della Consent Mode in modalità base e consenso non fornito, non viene inviata nessuna stringa collect?v= .

In sintesi:

Se la Consent Mode è in modalità è Base, non si vedrà nessuna chiamata di rete verso Google Analytics fino a che non si preme sul pulsante “Accetta” del banner cookie. Se invece appaiono le chiamate collect?v= prima di aver accettato i cookie o dopo averli rifiutati, significa che la Consent Mode è  modalità Avanzata.

Cliccando sulla stringa, è possibile analizzare i parametri inviati e valutare come cambiano in base agli stati di consenso. Riportiamo una tabella di esempio con dati di payload reali, e un confronto tra  Consenso fornito / Consenso non fornito per evidenziare i cambiamenti:

Come implementare la Cookie Consent Mode

Sintetizzando quanto finora descritto, la Consent Mode è un framework sviluppato da Google che permette di gestire dinamicamente il comportamento dei tag e il tracciamento dei dati, in base al consenso espresso dall’utente.

Funziona attraverso chiamate API, che possono essere eseguite dal sistema di Cookie Management Platform (abbrev. CMP), ovvero dalla piattaforma che si occupa di raccogliere il consenso dell’utente tramite banner o altro widget, se correttamente implementata a rappresentare le scelte tecniche.

Tag che supportano la Consent Mode

La Consent Mode è supportata dai seguenti prodotti Google:

• Google Ads (inclusi gli strumenti di tracciamento e remarketing delle conversioni)
• Google Analytics
• Floodlight
• Linker conversioni

La Consent Mode nativa in modalità Avanzata è supportata solo dai tag dei prodotti sopra elencati.

Google Consent Mode richiede la libreria gtag.js o Google Tag Manager

Per funzionare correttamente, Google Consent Mode deve essere implementata tramite la libreria globale gtag.js oppure attraverso Google Tag Manager (GTM), che consentono di gestire dinamicamente lo stato del consenso e adattare il comportamento dei tag Google in base alle scelte espresse dall’utente nel banner cookie.

Esempio di setup con Google Tag Manager

La Consent Mode viene attivata tramite il sistema di Cookie Management Platform o CMP, che deve essere opportunamente configurato al fine di gestire correttamente tutti i consensi. Nativamente pensata per i tag Google, può essere estesa a tag terzi solo in modalità base e al fine di gestire, con un’unica logica implementativa, tutti i tracciamenti.

Ogni CMP propone diverse modalità di implementazione: dall’opzione manuale, a plugin pensati per integrarsi nel cms in uso, fino all’integrazione tramite Google Tag Manager (abbr. GTM) quest’ultima va da considerarsi tecnicamente preferenziale.

Vediamo un esempio di implementazione della Consent Mode con la CMP Cookiebot via Google Tag Manager. Segue una descrizione sintetica dei passaggi principali, pensata per utenti che già conoscono GTM.

Step 1: Tag di Cookiebot

Il primo step è la creazione del tag della CMP, in questo caso Cookiebot.

Creare un Tipo di Tag usando il modello Cookiebot CMP, affinché si basi sul modello ufficiale di Cookiebot. Attivarlo su Consent Initialization – All Pages.

Attivando il parametro Enable Google Consent Mode vengono aggiunti i 7 parametri di base (visti sopra) e i default state allo script di cookiebot:

Il risultato del set è che viene aggiunto, dopo lo script di Cookiebot, l’inizializzazione a Denied come default:

Con questo flag, vengono aggiunte allo script della CMP le funzioni gtag che aggiornano gli stati del consenso

È possibile modificare il comportamento per specifiche esigenze, agendo su questi parametri: per saperne di più, rimandiamo alla documentazione ufficiale cookiebot.

Step 2: Tag di Google

Settiamo ora i singoli tag nativi di Google: a livello di singolo tag, è possibile implementare lo stato di consenso per scegliere la modalità (Base o Avanzata). Negli esempi che seguono omettiamo la parte che riguarda gli attivatori (non oggetto di questa trattazione) e ci concentriamo sugli aspetti relativi la sola Consent Mode.

Segue esempio del Tag di Analytics:

Esempio Tag di Google Analytics con Consent Mode: da Base ad Avanzata

L’immagine a sinistra mostra come impostare il tag per la Consent Mode Base: oltre ai “Controlli integrati del consenso” quali ad_storage – ad_personalization – ad_user_data – analytics_storage, è aggiunto nella sezione Controlli del consenso aggiuntivi il parametro analytics_storage. Questo determina che, per attivarsi, il tag richiede il consenso specifico dell’utente ai cookie statistici.

L’immagine a destra mostra invece come impostare il tag per la Consent Mode Avanzata: con l’indicazione Non è necessario un consenso aggiuntivo si determina che, in mancanza di consenso ai cookie statistici, saranno inviati comunque dei ping senza cookie.

Segue esempio del Tag di Google Ads:

Esempio Tag di Google Ads con Consent Mode: da Base ad Avanzata

Il ragionamento è speculare a quello effettuato per il cookie di Analytics, con la differenza che nei Controlli del consenso aggiuntivi va aggiunto il parametro ad_storage (al posto di analytics_storage): così facendo, per attivarsi, il tag richiede il consenso specifico dell’utente ai cookie di marketing.

Step 3: Tag di terze parti

Google Consent Mode può essere considerata un’API di gestione del consenso, che Google offre come funzionalità integrata nei suoi tag. Gli stessi parametri del consenso possono, tuttavia, essere usati anche nelle impostazioni avanzate di tag di terze parti, come ad esempio il Pixel di Meta, determinandone l’attivazione o il blocco.

In questo modo, utilizzando le stesse logiche, è possibile impostare l’aggiornamento dinamico dei permessi e il tracciamento in base alle scelte dell’utente anche su tag non Google. Questi tag saranno bloccati completamente se manca il consenso, e attivati solo in caso di consenso concesso, come previsto nella modalità Base (non è prevista la modalità Avanzata su tag di terzi).

L’impostazione prevede l’utilizzo della stessa funzionalità “Controlli del consenso aggiuntivo” nella sezione Impostazioni relative al consenso vista sopra, integrata in ogni tag GTM.

Segue esempio del Tag del Pixel di Meta:

Esempio Tag di Pixel Meta con Consent Mode

Per poter condizionare correttamente l’attivazione del tag all’accettazione dei cookie di marketing da parte dell’utente, va aggiunto nei Controlli del consenso aggiuntivi il parametro ad_storage. Questo determina che, per attivarsi, il tag richiede che l’utente abbia espresso esplicito consenso al tracciamento ai fini di marketing.

Step 4: Controllo finale

Per un miglior controllo, Google Tag Manager offe una funzione per ottenere la panoramica del consenso.

Va abilitata dalle Impostazioni del contenitore GTM,  spuntando la casella “Abilita panoramica sul consenso“.

Consent Mode via GTM: Panoramica del consenso: attivazione

Attivata la funzione, apparirà un’icona a forma di scudo in alto a destra, nell’area Tag:

Consent Mode via GTM: Panoramica del consenso – come aprirla

Cliccando sull’icona, appare un’interfaccia che permette di controllare la situazione e verificare che ogni tag sia associato al tipo di consenso corretto:

Consent Mode via GTM: Panoramica del consenso – Esempio con dati

La Consent Mode è compliant al GDPR?

La conformità della consent Mode al GDPR dipende dal modo in cui viene implementata, dalla CMP utilizzata e dalle configurazioni adottate sul sito.

Nel caso della Consent Mode Base, i tag Google restano completamente bloccati fino all’espressione del consenso. In assenza di accettazione, non vengono inviati dati in rete. Per questo motivo, viene generalmente considerata l’implementazione più prudente dal punto di vista privacy.

La Consent Mode Avanzata introduce invece un approccio differente: anche quando l’utente rifiuta i cookie, Google può ricevere ping cookieless utili alla modellazione statistica di Google Ads e GA4. Secondo Google, questi segnali non contengono cookie pubblicitari o identificatori persistenti, ma possono includere dati tecnici e contestuali — come browser, dispositivo, timestamp, URL visitato e indirizzo IP a livello di rete — che vengono inviati e solo successivamanete memorizzati secondo logiche di minimizzazione e anonimizzazione.

Il nocciolo della questione legale non sono i cookie, ma il transito dell’indirizzo IP. Anche se la modalità Avanzata invia a Google “ping cookieless” (senza tracciare l’utente o salvare cookie), qualsiasi richiesta web espone l’indirizzo IP a livello di rete per motivi tecnici. Poiché il GDPR considera l’indirizzo IP un dato personale, per alcuni DPO l’invio di questi ping costituisce comunque un trattamento dati non autorizzato se l’utente ha espresso un dissenso.

Proprio questo aspetto rappresenta oggi il principale punto di dibattito giuridico: i ping cookieless potrebbero costituire trattamento di dati personali, rendendo necessario valutare con attenzione la base giuridica, configurazione tecnica e modalità di raccolta del consenso.

Cosa scrivere nell’informativa

Se si decide di implementare la Consent Mode Avanzata, è necessario descriverla all’interno della Privacy e Cookie Policy.

La Consent Mode Avanzata richiede particolare attenzione sul piano della trasparenza GDPR (Art. 13 e 14): anche in assenza di cookie, i ping cookieless possono trasmettere dati tecnici verso Google — incluso l’indirizzo IP a livello di rete — motivo per cui il funzionamento della modalità avanzata deve essere descritto chiaramente all’interno delle policy, specificando finalità, tipologia di dati trattati e logiche di anonimizzazione adottate.

Secondo il principio della trasparenza, l’utente ha il diritto di sapere esattamente quali dati vengono trattati, come e da chi, anche se questo trattamento avviene sotto forma di “ping tecnici senza cookie”. Inoltre, poiché l’indirizzo IP dell’utente transita comunque verso i server di Google prima di essere minimizzato, questa operazione non può essere considerata esente da informativa.

Elementi chiave da inserire nella policy saranno:

• La descrizione della modalità Consent Mode Avanzata
• Cosa succede in caso di rifiuto, specificando che i cookie di profilazione e tracciamento non vengono rilasciati ma che vengono inviati comunque segnali tecnici aggregati e cookieless (come timestamp, tipo di dispositivo, stato del consenso)
• Dichiarare in modo trasparente che l’indirizzo IP transita per motivi tecnici di rete, ma viene anonimizzato/eliminato da Google prima di qualsiasi memorizzazione
• Esplicitare la finalità per cui questi dati vengono trattati, indicando che servono unicamente a Google per elaborare modelli statistici aggregati (conversion modeling).

Si consiglia di consultare il proprio DPO o ufficio legale per redigere le informative corrette.

Come scegliere la modalità corretta per il tuo business

La scelta tra Consent Mode Base e Avanzata dipende quindi dal bilanciamento tra esigenze privacy e necessità di misurazione.

La modalità Base privilegia la massima cautela normativa, ma comporta una perdita dei dati degli utenti che non autorizzano l’uso dei cookie. La modalità Avanzata consente, di contro, una misurazione più accurata grazie alla modellazione AI di Google con un approccio cookieless, ma richiede un’implementazione particolarmente attenta e l’assunzione di un maggiore rischio di compliance.

Fonti articolo

Consulenza GDPR per l'adeguamento ai cookie

In questo articolo abbiamo cercato di riportare le informazioni più utili e importanti riguardanti i cookie e l’adeguamento del sito web al GDPR. L’adeguamento del sito web alla normativa sulla gestione dei cookie è un aspetto molto importante: si tratta di una tematica complessa, che richiede la massima attenzione sia dal punto di vista tecnico che normativo, soprattutto quando il sito è collegato a campagne digitali oppure è un sito ecommerce.

Non esiste un modello predefinito ma bisogna mettere in campo un mix di competenze professionali diversificate, dove spesso l'agenzia digital deve collaborare con web development, avvocati e consulenti privacy per un adeguamento corretto alla normativa. 

Puoi chiederci una consulenza specialistica per valutare lo stato di adeguamento del tuo sito web alla GDPR: forniamo supporto ad aziende e professionisti, per connettere correttamente tutti gli strumenti e integrare le parti mancanti, e mettersi al riparo da rischi o interventi disciplinari.

Contattaci per saperne di più.

Guide alla gestione dei Cookie sul nostro sito