Buone pratiche

Banner cookie accessibile: il consenso GDPR deve poter essere rifiutato

Un banner cookie non accessibile non è solo un difetto di accessibilità: viola il GDPR rendendo impossibile il consenso a tutti. Tra l’European Accessibility Act e gli obblighi di consenso esplicito, il vostro banner deve funzionare con la tastiera, lo zoom e i contrasti minimi. Scoprite come valutarlo in pochi minuti e i sette punti chiave.

La risposta breve

Una barra dei cookie inaccessibile crea una doppia non conformità: il GDPR invalida qualsiasi consenso che l'utente non può esprimere (impossibilità di rifiutare con la tastiera, contrasto insufficiente, pulsante senza etichetta), e l'EAA impone l'accessibilità di tutti gli elementi dell'interfaccia. Le sette verifiche minime: focus visibile all'apertura, navigazione completa con la tastiera, contrasti 4,5:1, nomi accessibili sui pulsanti, rifiuto altrettanto facile dell'accettazione, assenza di trappole di focus, leggibilità allo zoom al 200 per cento.

Perché una barra cookie non accessibile viola il GDPR

Il GDPR richiede un consenso esplicito e libero. Tuttavia, il consenso è libero solo se il rifiuto è altrettanto facile dell’accettazione, e accessibile solo se tutti possono esprimerlo: tastiera, lettore di schermo, deficienza visiva, tremori motori. Se il pulsante « Rifiuta « è assente dal flusso della tastiera, nascosto sotto 50 pixel di contenuto cliccabile, etichettato in modo vuoto (aria-label vuoto o assente) o con un contrasto 2:1 su sfondo bianco, l’utente con disabilità non può tecnicamente rifiutare: il consenso che il vostro sito raccoglie non è quindi giuridicamente valido.

La CNIL, sin dalle sue linee guida del 2021 e confermate nel 2023, ritiene che qualsiasi ostacolo all’espressione della scelta (consenso o rifiuto) renda tale scelta non conforme. L’accessibilità non è più opzionale: è un prerequisito tecnico del GDPR stesso.

Il livello di conformità aggiuntiva: l'European Accessibility Act

L’EAA, in vigore dal 28 giugno 2025, impone a tutti i siti e le applicazioni web in Europa l’accessibilità secondo lo standard WCAG 2.1 livello AA. Questo include anche i banner dei cookie, che sono i primi elementi visualizzati nella pagina: rappresentano quindi la prima conformità EAA che il vostro sito mostra al visitatore. Se questo primo strato fallisce, la CNIL e le autorità per l’accessibilità riceveranno un segnale immediato di negligenza.

La combinazione è inesorabile: un banner non accessibile genera una non conformità simultanea su due fronti (GDPR e EAA). I difetti riscontrati per primi (contrasto, navigazione da tastiera, etichettatura) verranno segnalati sia come violazioni del consenso sia come violazioni dell’EAA.

I sette punti da verificare sul vostro banner cookie

1. Focus visibile all'apertura

Quando il banner viene visualizzato, il focus della tastiera deve essere presente e visibile su un elemento del banner (spesso il primo pulsante o la chiusura). Troppi siti mostrano il banner ma lasciano il focus sullo sfondo: l'utente che usa la tastiera non sa dove agire.

2. Navigazione completa da tastiera

La tabulazione (Tab) deve attraversare tutti i pulsanti del banner in un ordine logico (da sinistra a destra o dall'alto verso il basso), e Invio deve attivare il pulsante in focus. Anche i campi di input e i link interni al banner devono essere accessibili. Invio (o Spazio sui pulsanti) deve funzionare.

3. Contrasto di colore sufficiente

Testo su sfondo: minimo 4,5:1 per il normale, 3:1 per i caratteri grandi (18pt e oltre in grassetto). Bordi ed elementi grafici: 3:1. Un banner bianco con testo grigio chiaro spesso non supera questo test. Anche i pulsanti semi-trasparenti su sfondo bianco falliscono.

4. Pulsanti denominati chiaramente

Ogni pulsante deve avere un'etichetta visibile E un nome accessibile (attributo aria-label se l'etichetta è un'icona, o il testo visibile del pulsante). Un pulsante con solo un'icona «X» per chiudere deve avere aria-label="Chiudi" o un'alternativa equivalente. Gli screen reader devono leggere «Accetta tutti i cookie», non «Pulsante».

5. Rifiuto accessibile quanto l'accettazione

Il GDPR lo richiede. Il pulsante «Rifiuta» non deve essere in un carattere più piccolo, sotto un link indiretto o nascosto dietro un clic di precisione. Se «Accetta» è accessibile da tastiera, anche «Rifiuta» deve esserlo e chiaramente visibile. Nessun peso o colore diverso deve creare una gerarchia fuorviante.

6. Nessuna trappola di focus

Focus trap: quando si preme Tab alla fine del banner, il focus non deve riportare all'inizio all'infinito, né bloccare fuori dal banner mentre questo è ancora visibile. Il focus deve poter uscire dopo aver compiuto un'azione (accettare, rifiutare, chiudere).

7. Leggibilità allo zoom al 200 per cento

Con lo zoom al 200 per cento nel browser, il testo del banner deve restare leggibile e i pulsanti accessibili al puntatore. Nessun overflow invisibile, nessuna sovrapposizione di testo. Un utente ipovedente che ingrandisce non deve perdere la possibilità di rifiutare.

Come testare il vostro banner in un minuto

Da tastiera: aprite il vostro sito, chiudete il mouse. Premete Tab: il focus deve apparire sul banner. Continuate a tabulare, attraversate i pulsanti, premete Invio. Provate a rifiutare, poi ad accettare. Se non potete raggiungere «Rifiuta» con la tastiera, il vostro banner non supera il test.

Contrasto: scattate una foto del banner, incollatela in uno strumento di verifica del contrasto online (WebAIM Contrast Checker, Accessible Colors), controllate che il testo e i pulsanti abbiano un rapporto minimo di 4,5:1. Se il risultato è rosso, correggere.

Zoom: premete Ctrl++ tre volte (zoom al 200%). Il banner deve rimanere completo, leggibile e tutti i pulsanti devono essere cliccabili senza scorrimento orizzontale.

Con lo screen reader: se utilizzate un browser con NVDA (Windows, gratuito) o VoiceOver (Mac), attivatelo e ascoltate cosa legge. I pulsanti devono essere denominati in modo esplicito («Accetta tutti i cookie» e non «Pulsante»). Le sezioni devono avere una struttura logica.

Conformità oltre l'automatizzato: test manuali e governance

Questi sette punti coprono i difetti automatizzabili (contrasto, etichettatura, navigazione da tastiera, focus). Tuttavia, l'accessibilità completa della barra richiede anche test manuali: uno sviluppatore o un auditore deve verificare che la logica del focus risponda alle aspettative (nessuna trappola nascosta), che i campi di personalizzazione (se presenti) siano navigabili tramite tastiera e che la barra non nasconda altri elementi critici quando viene visualizzata.

Pensate anche alla governance: la maggior parte dei CMP (gestori del consenso sul mercato) presenta di default difetti di accessibilità. Prima di sceglierne uno, verificate la sua documentazione su EAA e GDPR, testate la sua barra in pre-produzione con i sette punti sopra elencati e, se possibile, richiedete correzioni prima della messa online. Inclaria consente di scansionare il vostro sito in pochi secondi; la barra dei cookie è spesso il primo elemento dell'audit di accessibilità, classificato come bloccante perché condiziona l'accesso a tutto il resto.

Aggiornamento: testare la barra ogni tre-sei mesi. Ogni cambiamento di CMP, ogni aggiornamento del browser o ogni modifica del design può creare una nuova non conformità.

Punti chiave da ricordare

• Una cookie banner non accessibile invalida il consenso GDPR e viola l’EAA.
• Le sette verifiche minime coprono focus, tastiera, contrasto, nomi, parità accettazione/rifiuto, trappole, zoom.
• Il test manuale integra quello automatico: navigabilità reale da tastiera, logica del focus, coerenza della governance del CMP.
• Una cookie banner conforme è il primo segnale di conformità globale del vostro sito.