Che cosa carica il browser prima che qualcuno clicchi «Accetta»

Per ogni sito si apre un secondo contesto di browser, pulito: nessun cookie, nessuna memoria, nessuna cronologia. Il contesto della scansione di accessibilità non va bene, perché dopo la prima pagina ha già raccolto cookie. In quel contesto pulito la pagina iniziale viene caricata esattamente una volta. Vengono registrate tutte le chiamate in uscita e tutti i cookie impostati in seguito. Si misura dunque lo stato precedente a ogni consenso.

Non si clicca nulla. Né «Accetta» né «Rifiuta» — entrambi sarebbero una dichiarazione di volontà in nome altrui, e non ci arroghiamo di renderla per qualcuno. Ciò costa informazione: non sappiamo che cosa accade dopo un clic. Ma rende pulita la misurazione, perché lo stato precedente al consenso è proprio quello che il § 25 disciplina.

L’esecuzione dura tra 3,5 e 5,2 secondi per sito e corre in parallelo alla scansione di accessibilità; la durata complessiva di una scansione non cambia praticamente.

Invece di «violazione» ci sono cinque livelli. Rilievo significa: documentato. Indizio significa: ambiguo. Osservazione non contesta nulla. Nulla da segnalare significa che non è stato trovato nulla. Non verificabile significa che mancava la base. Ogni caso dubbio viene declassato, mai promosso. E da nessuna parte c’è scritto «conforme»: un attestato sarebbe un verdetto giuridico sull’azienda altrui tanto quanto un’accusa.

Durante la fase di prova abbiamo trovato e corretto tre falsi positivi nostri: il cookie di rilevamento bot di Cloudflare __cf_bm veniva contato come cookie pubblicitario; le nostre stesse note legali venivano segnalate come rinvio alla piattaforma di risoluzione delle controversie soppressa, mentre in realtà ne spiegano la soppressione; e un carrello vuoto con «0,00 €» su una pagina informativa veniva segnalato come offerta senza indicazione dell’IVA. Lo diciamo perché una misurazione senza fonti di errore note non è una misurazione ma un’affermazione.

Sul sito di un rivenditore outdoor la misurazione ha registrato al primo caricamento della pagina iniziale, in un browser pulito e senza alcuna interazione: 17 chiamate a servizi con finalità riconoscibile di misurazione o pubblicità e 5 cookie impostati con finalità nota di misurazione o pubblicità. Era visibile un banner di consenso.

I servizi contattati, con il numero di chiamate: Google Ads (16), Google DoubleClick (16), Criteo (14), una rete pubblicitaria di aste in tempo reale (7), un endpoint di sincronizzazione DoubleClick (6, espressamente un endpoint di trasferimento dati), una seconda rete RTB (6), Microsoft Advertising (6) e una rete di raccomandazione di contenuti (6). Vi si aggiungevano chiamate classificate come ambigue, verso un gestore di tag e verso un sigillo di fiducia.

Tra i cookie impostati figuravano test_cookie (doubleclick.net), _fbp (pixel Meta), MUID (bing.com) e due cookie Criteo. In tutto, dopo quell’unico caricamento, nel browser c’erano 36 cookie — 4 con funzione tecnica nota, 27 senza finalità per noi determinabile.

Che cosa non ne deduciamo. Non diciamo che questo sito violi il § 25 TDDDG. Se una singola archiviazione sia «strettamente necessaria» ai sensi del comma 2 dipende da una finalità che conosce solo il gestore. Diciamo invece: questo è lo stato che un visitatore trova prima di aver deciso alcunché. Tale constatazione è verificabile — chiunque può rifarla in due minuti.

Il gestore di tag scatta a prescindere dal banner. Il caso più frequente: lo strumento di consenso è installato e funziona, ma un singolo tag del contenitore è attivato su «tutte le pagine» anziché sull’evento di consenso. Il banner compare, il tag parte comunque. Da fuori i due casi sono indistinguibili.

I componenti di terzi portano reti proprie. Un sigillo di fiducia, una finestra di chat, una mappa incorporata, un lettore video: ciascuno carica spesso altri host che non compaiono nemmeno nel proprio strumento di consenso, perché si aggiungono solo a runtime.

Le integrazioni lato server aggirano lo strato di consenso. Ciò che passa dal proprio server non è visto dal browser come terzo — ma l’archiviazione nell’apparecchiatura terminale avviene ugualmente, ed è questo che il § 25 disciplina.

E le preconnessioni contano. Le indicazioni preconnect e dns-prefetch verso reti pubblicitarie stabiliscono la connessione prima che la chiamata vera e propria sia decisa. L’intenzione è la velocità; ciò che si misura è una chiamata.

Perché un negozio online deve ben più dell’accessibilità — e perché in questo campo tutta la concorrenza verifica solo l’accessibilità. Note legali (§ 5 della legge tedesca sui servizi digitali), informativa privacy (articolo 13 del GDPR), consenso (§ 25 TDDDG), indicazione dei prezzi (§§ 3, 4 e 6 del regolamento tedesco sui prezzi), informazione sul recesso (§ 312d del Codice civile tedesco in combinato con l’articolo 246a EGBGB): cinque corpi di norme che valgono per la stessa pagina della norma EN 301 549.

Da noi quella parte gira in aggiunta nella stessa passata. Il risultato di accessibilità non ne è toccato — stessi insiemi di regole, stesse cifre — e se la verifica degli obblighi fallisce, la scansione si conclude comunque.

Deliberatamente non verificati, invece: il processo d’ordine e l’etichettatura del pulsante ai sensi del § 312j del Codice civile tedesco (bisognerebbe riempire il carrello), la correttezza sostanziale dei testi legali, l’indicazione sulla mediazione dei §§ 36 e 37 VSBG (liberamente formulabile e non distinguibile con affidabilità da una menzione incidentale), gli obblighi di etichettatura propri dei prodotti e la progettazione del banner di consenso nel dettaglio. Un «Rifiuta» più difficile da trovare di un «Accetta» non lo misuriamo — sarebbe una valutazione, non una misurazione.