Come CookieHawk verifica i siti web
Versione 1.2, ultima revisione il 22 agosto 2026. I testi si basano sull’articolo 3-15 della legge norvegese sulle comunicazioni elettroniche, sul GDPR e sulle indicazioni dell’autorità norvegese per la protezione dei dati, con controllo di qualità interno; non costituiscono un parere legale. Domande: kontakt@cookiehawk.com.
1. Che cos’è il test
Il test è un controllo tecnico automatizzato a campione, non una conclusione giuridica. Un contesto Chromium isolato (Playwright), con lingua nb-NO, fuso orario Europe/Oslo e area visibile 1366 × 900, visita la pagina iniziale e fino a tre sottopagine pubbliche per stato. Il paese dell’IP del traffico dipende dal server dello scanner (SEE). Il test può quindi generare fino a 12 caricamenti. Non effettua accessi e non compila moduli.
2. Tre stati
- Prima della scelta: la pagina viene caricata senza clic. Tutti i contatti e le memorizzazioni avvengono prima che il visitatore abbia deciso.
- Dopo «Rifiuta tutto»: un browser nuovo e vuoto. Lo scanner trova il banner, seleziona il rifiuto nel primo livello ove disponibile e prosegue alle sottopagine.
- Dopo «Accetta tutto»: un browser nuovo e vuoto con accettazione. Serve da riferimento per ciò che il sito può inviare.
Ogni stato viene eseguito in un contesto del browser separato, senza trasferire cookie o dati memorizzati da uno stato all’altro. L’attività viene attribuita allo stato in base al momento effettivo di invio della richiesta rispetto al clic.
3. Quando «Rifiuta tutto» è considerato confermato
Lo scanner prova prima un pulsante di rifiuto visibile nel primo livello del banner. Se manca, apre le impostazioni e prova il rifiuto nel secondo livello. L’assenza del pulsante nel primo livello è segnalata come osservazione distinta, ma non impedisce la conferma tecnica del rifiuto.
La conferma tecnica viene registrata quando l’API della CMP (ad esempio Cookiebot, OneTrust, TCF, Usercentrics o Google Consent Mode) segnala il rifiuto, quando un clic su un pulsante CMP noto o del secondo livello chiude il banner visibile oppure, se il banner non era visibile, quando cambia un cookie o un valore memorizzato relativo al consenso. Un clic basato solo su euristica testuale richiede sia la chiusura del banner sia un cambiamento di stato. Se l’API CMP segnala uno stato diverso (ad esempio «granted»), la scelta non è confermata. La forza probatoria varia e non dimostra da sola che tutti gli scopi e i fornitori siano stati rifiutati. I clic non confermati non sono usati come base per osservazioni «dopo il rifiuto confermato».
4. Cosa registriamo
- Richieste di rete con nome host, metodo, tipo di risorsa e data e ora. Gli URL sono conservati fino a 300 caratteri; nomi di parametri sensibili noti, indirizzi e-mail, numeri telefonici, valori lunghi e determinati schemi di token vengono mascherati. Altre parti del percorso e della query possono rimanere e contenere dati personali. Si registrano fino a 900 richieste per stato.
- Set-Cookie e nomi dei cookie, dominio, percorso e durata dichiarata, ma non i valori dei cookie.
- Fino a 100 nomi di chiavi da
localStorage/sessionStoragesull’ultima pagina visitata. - Segnali di consenso osservati (stato di Consent Mode, presenza/assenza della stringa TCF, API CMP).
- Probabile iniziatore tecnico: se la chiamata proviene da un contenitore Tag Manager, un plugin, un elemento incorporato o dallo script stesso, in base alla catena degli iniziatori del browser.
- Quando le schermate sono abilitate: un’immagine finale compressa per stato, per fornire contesto.
5. Classificazione e priorità
I servizi sono classificati tramite un database versionato di strumenti noti di tracciamento, analisi e pubblicità, con categoria e fonte. La «priorità tecnica» è molto alta, alta, media, bassa o informazione e indica l’approfondimento necessario. Ogni osservazione ha anche un livello di confidenza: alto, medio, basso o non conclusivo. La priorità è un ordinamento tecnico e non determina la valutazione giuridica. Il contatto con una terza parte non dimostra da solo che siano stati memorizzati o letti dati sul dispositivo o trattati dati personali.
Esempi di valutazioni per evitare esagerazioni: i segnali Consent Mode senza cookie con stato negato (gcs=G100) sono classificati come informazione, non come osservazione prioritaria. Gli elementi funzionali incorporati (mappe, video, chat) visibili al visitatore sono valutati in base a ciò che memorizzano effettivamente, non solo alla categoria. Se lo scanner non trova un banner ma osserva servizi spesso usati per finalità basate sul consenso, crea un’osservazione separata («nessun banner trovato»). Il risultato va verificato manualmente perché il banner può dipendere dalla posizione o dall’orario, oppure il rilevamento può aver fallito.
6. Limiti noti
- Il risultato riguarda un momento, l’IP in uscita/geolocalizzazione indicato nel rapporto (server dello scanner nel SEE; lingua e fuso orario non rendono da soli il test geograficamente norvegese) e le pagine visitate. Test A/B, accesso, lingua, errori di rete, chiamate ritardate e limiti di risorse dello scanner possono influenzarlo.
- L’euristica del banner riconosce testi in norvegese bokmål, nynorsk, svedese e inglese; altre lingue possono produrre «nessun banner trovato» anche se un banner esiste.
- Possiamo osservare alcune chiamate del client a endpoint server noti (ad esempio Tag Manager lato server), ma non il trattamento successivo dietro un endpoint.
- Il nostro banner trattiene gli strumenti di tracciamento noti caricati dinamicamente; gli script presenti direttamente nell’HTML devono essere contrassegnati dal proprietario del sito. Un banner non può eliminare cookie di terze parti. Verifichiamo quindi ogni sito separatamente.
- I rapporti sono generati automaticamente e possono contenere errori. Un rapporto è indicato come verificato manualmente solo se la verifica è documentata; altrimenti deve risultare che non è stato verificato manualmente. Correggiamo gli errori verificati.
7. Dati, cancellazione e diritto di replica
Profili temporanei del browser e artefatti grezzi vengono eliminati dopo l’analisi. I rapporti finali sono conservati secondo il piano di conservazione (in norvegese) e condivisi in modo riservato con chi ha richiesto il test. I proprietari interessati e i fornitori nominati possono chiedere correzioni o replicare tramite kontakt@cookiehawk.com; rispondiamo entro 5 giorni lavorativi.
8. Le cifre della pagina iniziale
Le cifre di mercato sono pubblicate solo con dataset congelato, versione dello scanner, data, definizioni e calcolo documentato. Le cifre iniziali provengono dalla calibrazione v7 (scanner cmp-scan 0.1.0, eseguita il 21 agosto 2026 dalle 07:51 alle 08:14, ora norvegese; dagbladet.no nuovamente scansionato quel giorno), congelata il 21 agosto 2026 in 60 file JSON con checksum sha256 e tabella per sito (data/KALIBRERING-V7-FRYST.md). Sono calcolate automaticamente dai file con queste definizioni:
- 59 testati: sono stati tentati 60 siti norvegesi (banche, media, e-commerce, associazioni, immobili, cliniche); uno (dominio IDN con errore di certificato) non ha completato «prima della scelta» ed è escluso da tutti i conteggi.
- 50 con attività prima della scelta: almeno un’osservazione nello stato «prima della scelta» con priorità tecnica molto alta, alta o media (tipi
pre_consent_tracker/pre_consent_cookies; non contano cookie ambigui e ping Consent Mode senza cookie). - 31 con attività dopo il rifiuto confermato: il rifiuto è stato confermato tecnicamente e almeno un’osservazione in quello stato aveva priorità molto alta, alta o media. Il rifiuto è stato cliccato su 47 siti e confermato su 44.
- 10 banner su 52 senza rifiuto nel primo livello: 52 siti avevano un banner di consenso riconosciuto; su 10 lo scanner non ha trovato un’opzione di rifiuto nel primo livello.
- 8 senza osservazioni prioritarie: nessuna osservazione con priorità molto alta, alta o media (possono esserci bassa/informazione).
Il campione non è rappresentativo di tutti i siti norvegesi. Il dataset con URL mascherati e lo script di calcolo possono essere esaminati su richiesta.