Cos’è una consent management platform (CMP)?

Una consent management platform (CMP), o piattaforma di gestione del consenso, è il software che chiede ai tuoi visitatori se accettano i cookie e strumenti di tracciamento simili, trattiene tutto ciò che richiede il consenso finché non rispondono e conserva una traccia di ciò che hanno scelto. Molte producono anche l’elenco dei cookie che serve alla tua cookie policy e trasmettono la scelta a strumenti come Google Analytics. Il banner è la parte che vedi; la CMP è il meccanismo che c’è dietro.

Il termine non è solo gergo dei fornitori. La CNIL francese lo usa nella sua raccomandazione sui cookie, dove suggerisce che le configurazioni successive di una CMP possano essere conservate, con marca temporale, dall’azienda che la fornisce, come uno dei modi per dimostrare che il consenso è stato raccolto correttamente.

Perché i siti ne hanno bisogno

Nell’UE, l’articolo 5, paragrafo 3, della direttiva ePrivacy consente a un sito di memorizzare o leggere informazioni sul dispositivo di un visitatore solo con il suo consenso, a meno che non sia strettamente necessario per un servizio che ha richiesto o serva al solo fine di trasmettere una comunicazione. Il GDPR definisce poi cos’è il consenso: una manifestazione di volontà «libera, specifica, informata e inequivocabile», espressa «mediante dichiarazione o azione positiva inequivocabile». Il Regno Unito ha una regola equivalente nel PECR.

Su un sito con un tag manager, uno strumento di analytics, un pixel pubblicitario e un paio di video incorporati, rispettare questa regola a mano è quasi impossibile. È il compito di cui si fa carico una CMP.

Cosa fa una CMP

Mostra la scelta. Un banner che offre Accetta e Rifiuta allo stesso livello, più un modo per scegliere per categoria. Quando la task force sui banner dei cookie dell’EDPB ha interpellato le autorità europee, «una vasta maggioranza» ha ritenuto una violazione il caso in cui un livello del banner ha un pulsante per accettare ma nessuna opzione per rifiutare. Lo stesso rapporto conferma che le caselle preselezionate non producono un consenso valido.

Blocca prima del consenso. I cookie e gli script che richiedono il consenso devono aspettare che il visitatore dia il suo opt-in. I cookie installati senza consenso sono stati il motivo della sanzione da 150 milioni di euro della CNIL contro SHEIN nel 2025, e la nostra analisi di cosa puniscono davvero le autorità mostra quanto spesso il problema ritorni.

Registra la decisione. Ai sensi dell’articolo 7, paragrafo 1, del GDPR, «il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso». Una CMP memorizza cosa ha scelto ogni visitatore e quando.

Permette ai visitatori di cambiare idea. L’articolo 7, paragrafo 3, aggiunge: «Il consenso è revocato con la stessa facilità con cui è accordato.» In pratica significa un link o un’icona che riapre la scelta su qualsiasi pagina.

Spiega i cookie. Il consenso vale solo se è informato, quindi il banner e la cookie policy devono dire quali cookie usa il sito e perché. Quali di questi richiedano davvero il consenso è una questione di finalità, trattata in quali cookie richiedono il consenso.

Trasmette la scelta. Altri strumenti devono sapere cosa ha deciso il visitatore:

Segnale	Cosa trasmette	Chi se lo aspetta
Google Consent Mode	Quattro tipi di consenso: `ad_storage`, `analytics_storage`, `ad_user_data` e `ad_personalization`	I tag di Google. Per i visitatori nel SEE, Google dice che «devi raccogliere il consenso» e condividere i segnali di consenso per continuare a usare le sue funzionalità di misurazione, personalizzazione degli annunci e remarketing (Google)
Global Privacy Control (GPC)	Un segnale del browser che chiede ai siti di non vendere né condividere i dati del visitatore	Il procuratore generale della California afferma che «deve essere rispettato dalle aziende soggette alla legge come una richiesta valida del consumatore» (OAG)
TCF di IAB Europe	Una stringa di consenso standard per i fornitori pubblicitari	Google richiede una CMP certificata da Google e integrata con il TCF per gli annunci personalizzati tramite AdSense, Ad Manager o AdMob nel SEE, nel Regno Unito e in Svizzera (Google)

Consent Mode non chiede nulla al visitatore. La documentazione di Google prevede che tu ottenga prima la scelta tramite un banner, una tua soluzione o una CMP, e che poi la trasmetta.

Cosa una CMP non fa

Per un sito europeo che usa analytics o pubblicità, una CMP è il modo pratico per rispettare la regola. Da sola però non basta, e un fornitore che ti dice il contrario sta promettendo troppo.

Non ti rende conforme. Una CMP configurata con il pulsante Rifiuta nascosto, o con un cookie di marketing classificato come necessario, raccoglie un consenso che non è valido.
Controlla solo ciò che conosce. Uno script incollato direttamente in un template o un tag aggiunto dal marketing il trimestre prossimo possono restarne fuori. E decide se un tag viene eseguito, non cosa fa il tag una volta in esecuzione: nel caso Apoteket il filtro del consenso ha funzionato, e il Meta Pixel ha comunque inviato a Meta nomi, indirizzi e acquisti dei clienti che avevano accettato i cookie di marketing.
Non vede i tuoi server. I dati che il tuo backend invia a una piattaforma pubblicitaria non passano mai dal banner.
Non decide al posto tuo. Quali cookie sono necessari, quale base giuridica si applica al trattamento che segue e cosa dice la tua informativa sulla privacy restano decisioni tue.

Come sceglierne una

Domanda	Perché conta
Blocca prima del consenso?	Mettila alla prova: apri una finestra privata, apri DevTools e guarda i cookie prima di toccare il banner. Il nostro cookie checker fa lo stesso per un singolo URL.
Rifiuta è al primo livello, facile quanto Accetta?	La maggior parte delle autorità europee considera una violazione l’assenza di un’opzione per rifiutare, come visto sopra.
Trova i tuoi cookie al posto tuo?	Un elenco di cookie tenuto a mano diventa obsoleto la prossima volta che qualcuno aggiunge un tag.
Quali leggi gestisce?	L’UE e il Regno Unito si aspettano un opt-in. Le leggi statali USA come il CCPA si aspettano un opt-out e il rispetto di GPC.
Di quali segnali hai bisogno?	Consent Mode v2 se usi Google Ads o Analytics; il TCF se vendi annunci personalizzati tramite i prodotti per publisher di Google.
Dove vengono conservati i registri del consenso?	Contengono indirizzi IP e scelte, cioè dati personali.
Quanto pesa sulle tue pagine?	Ogni visitatore carica lo script prima di qualsiasi altra cosa.

Sulle nostre pagine di confronto mettiamo Katla e altre CMP una accanto all’altra, con i dati di ogni concorrente presi dalle sue stesse pagine pubbliche.

Consiglio

Prima di confrontare le funzionalità, verifica l’unica cosa che ogni CMP dichiara: carica il tuo sito in una finestra privata e guarda se c’è già qualche cookie di analytics o pubblicitario prima di cliccare qualsiasi cosa.

Dove si inserisce Katla

Katla è una CMP, ed ecco senza giri di parole cosa fa oggi. Ha due modalità di consenso, GDPR (opt-in) e US State Laws (CCPA, opt-out), e la modalità Auto sceglie tra le due in base al fuso orario del visitatore. Accetta, Rifiuta e Personalizza stanno insieme sul primo livello, e nulla è preselezionato. In modalità GDPR, il blocco dei cookie ferma i cookie non funzionali prima del consenso ed elimina quelli impostati prima che entrasse in funzione, e gli script contrassegnati con data-katla-category attendono che la loro categoria venga accettata.

Invia i segnali di Google Consent Mode v2 e rispetta GPC (non Do Not Track). I registri del consenso conservano l’ultima decisione di ogni visitatore, con le sue categorie, data e ora e un indirizzo IP troncato, e tutto è ospitato nell’UE, a Francoforte. Katla inoltre scansiona il tuo sito, classifica ogni cookie con l’AI e genera la cookie policy da ciò che ha trovato, in 13 lingue.

Non supporta il TCF di IAB. Se ti servono annunci personalizzati tramite AdSense o Ad Manager per i visitatori europei, ti serve una CMP certificata TCF, e Katla non lo è.

Questo articolo spiega cosa fanno le piattaforme di gestione del consenso. Non costituisce consulenza legale.