Quando “niente cookie” non basta: come i browser continuano a tracciarti

Per molti utenti, rifiutare i cookie o eliminarli sembra una vittoria per la privacy. Ma in realtà, questa è solo una parte della storia. Che si tratti di negligenza, di ingegneria intelligente o di tecnologie emergenti, i metodi di tracciamento web odierni vanno ben oltre i banner dei cookie.

I banner dei cookie sono proliferati in base al GDPR e a normative simili. Eppure, un numero considerevole di siti web continua a tracciare gli utenti anche dopo il rifiuto del consenso. Uno studio del giugno 2025 su oltre 20.000 domini ha rivelato che circa il 50% invia i cosiddetti cookie intrattabili, ovvero cookie che persistono e vengono inviati ai tracker prima ancora che l'utente fornisca il consenso sui siti successivi.

Ancora peggio: solo il 15% dei siti web più importanti rispetta effettivamente le moderne leggi sul consenso. La maggior parte si affida ancora a meccanismi di consenso implicito e confusi. In altre parole, i banner dei cookie sono spesso superficiali: si potrebbe pensare di aver rifiutato il consenso, ma il tracciamento continua di nascosto.

I cookie sono visibili, cancellabili e, per molti, qualcosa che gli utenti gestiscono consapevolmente. Il fingerprinting, al contrario, è silenzioso e molto più insidioso.

JavaScript può leggere caratteristiche specifiche del dispositivo come le dimensioni dello schermo, il sistema operativo, i font, il fuso orario, la versione del browser, le peculiarità del rendering GPU e altro ancora. Queste caratteristiche si combinano in un'impronta digitale univoca che persiste anche dopo l'eliminazione dei cookie e l'utilizzo della navigazione privata.

Uno studio della Texas A&M di metà 2025 ha confermato che il fingerprinting del browser viene ora utilizzato attivamente per il tracciamento, correlato al comportamento degli annunci pubblicitari nelle diverse sessioni e sui siti. Un'analisi dell'agosto 2025 lo ha espresso in modo semplice: "I cookie sono facoltativi. Il fingerprinting no". E studi sulla navigazione nel mondo reale dimostrano che le scansioni automatiche sottostimano il fingerprinting: circa il 45% dei siti che utilizzano il fingerprinting viene rilevato solo durante interazioni reali con gli utenti.

I giganti della tecnologia aggravano la situazione. Il recente cambio di politica di Google consente il fingerprinting sui dispositivi connessi, persino su smart TV e console. Questa mossa è definita "irresponsabile" dalle autorità di regolamentazione del Regno Unito, inclusa l'ICO, perché indebolisce il controllo dell'utente.

L'eliminazione dei cookie non è sempre efficace: avete mai sentito parlare di Evercookie o cookie zombie? Questi script memorizzano gli identificatori in diverse aree di archiviazione del browser (Flash, HTML5, ETag, archiviazione locale...), consentendo ai tracker di resuscitare i cookie eliminati.

Allo stesso modo, il canvas fingerprinting sfrutta il modo in cui diverse macchine visualizzano immagini o testo tramite l'elemento canvas HTML5. Il risultato è un identificatore univoco basato su sottili differenze grafiche, rendendo più difficile il blocco o la cancellazione.

Il tracciamento non si limita ai siti web. Un'indagine del giugno 2025 ha mostrato come Meta e Yandex sfruttino le comunicazioni interne di Android per deanonimizzare gli utenti, anche durante la navigazione in incognito o l'utilizzo di VPN. JavaScript incorporato come Meta Pixel raccoglieva metadati del browser, cookie e comandi tramite l'interfaccia dell'app, aggirando completamente le misure di sicurezza della navigazione in incognito.

Sebbene Meta abbia sospeso la funzionalità e Yandex abbia negato ogni illecito, le autorità di regolamentazione ai sensi del GDPR e del Data Protection Act del Regno Unito stanno ora esaminando attentamente tali pratiche segrete.

Se pensate che cambiare browser risolverà i problemi di privacy, ripensateci. Chrome potrebbe essere particolarmente ostile alla privacy, ma alternative come Edge, Brave o Opera sono spesso basate sulle stesse fondamenta di Chromium. Ciò significa che Google continua a influenzare i comportamenti di tracciamento anche quando pensate di essere in fuga.

Nel frattempo, Chrome, che sincronizza la cronologia, le ricerche, gli acquisti e altro ancora sul tuo account Google, ha chiuso una causa da 1,375 miliardi di dollari nel maggio 2025 per aver tracciato illegalmente la geolocalizzazione, le ricerche in incognito e i dati biometrici degli utenti.

Le autorità di regolamentazione avvertono: la raccolta dei dati rimane prioritaria, mentre il controllo dell'utente è nascosto per impostazione predefinita.

Riassumendo, i banner dei cookie non sono sufficienti perché molti siti continuano a tracciare tramite cookie intrattabili o consenso implicito. I cookie non possono proteggerti da impronte digitali invisibili per progettazione, da evercookie impossibili da cancellare, dal tracciamento a livello di app che bypassa il browser e persino dal browser stesso.

Dire "no grazie" ai cookie può sembrare un passo avanti verso la privacy, ma il mondo digitale si è evoluto. Il tracciamento ora avviene in modi nascosti e si annida in quasi tutte le attività connesse. Anche se il consenso all'uso dei cookie non è sufficiente a proteggere la privacy individuale, è comunque la prima via per preservarla e deve essere utilizzato correttamente per raggiungere il suo scopo.

Stai gestendo correttamente il consenso all'uso dei cookie?