Cookie, ID pubblicità e account: come i siti ti riconoscono

Risorsa aggiuntiva per la lezione “Cookie e identificatori: come ti riconoscono” — corso Anonimato Online

Come i siti ti riconoscono? Raramente è un mistero tecnologico. Di solito dipende da pochi collegamenti ordinari: cookie e ID pubblicità, che riconoscono il browser e il telefono, e, più di tutto, gli account in cui hai fatto l’accesso. Questa risorsa ti aiuta a vedere quei collegamenti in una sessione di navigazione normale e ad allentare quelli che non ti servono.

A. Perché conta

In questo corso la privacy è decidere che cosa gli altri sanno di te; l’anonimato è poter agire senza che ciò che fai venga ricondotto a chi sei. Il riconoscimento sta esattamente a metà. Un sito che ti riconosce alla seconda visita può collegarla alla prima, e a tutto ciò che sa già di te.

Non sempre è un collegamento indesiderato. È quello che tiene pieno il carrello e ti evita di rifare l’accesso ogni mattina. La domanda di questa risorsa è più precisa: dov’è il collegamento, chi lo tiene, e arriva più lontano di quanto pensavi?

Cosa dicono le fonti

Il Garante per la protezione dei dati personali, l’autorità italiana in materia, spiega nelle sue FAQ che i cookie sono stringhe di testo che i siti salvano sul tuo dispositivo «perché siano poi ritrasmessi agli stessi siti alla visita successiva». Servono per l’accesso e per ricordare le tue preferenze, «ma possono essere impiegati anche per profilare l’utente», per esempio per mostrargli pubblicità mirata.

Nelle Linee guida sui cookie del 10/06/2021 il Garante richiama il considerando 30 del GDPR, il regolamento europeo sulla protezione dei dati: le persone possono essere associate a «identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati». Gli esempi citati sono gli indirizzi IP, i cookie e altri identificativi. Un codice che ti riconosce, in altre parole, è un dato che ti riguarda.

Già nel 2015, nelle linee guida sulla profilazione online, il Garante distingueva tra chi usa un servizio con un account, gli «utenti autenticati», e chi lo usa senza aver fatto l’accesso. Tra gli strumenti per ricondurre comportamenti a una persona elencava, oltre ai cookie, «altri identificatori (credenziali di autenticazione, fingerprinting etc.)».

Sul piano tecnico, un rapporto del 2019 della Electronic Frontier Foundation (EFF), un’organizzazione statunitense per i diritti digitali, descrive i server pubblicitari che inseriscono cookie di terze parti nei browser e seguono l’attività delle persone su tutta la loro rete. Lo stesso rapporto osserva che i servizi di accesso sono tracciatori più affidabili dei pixel o di altri semplici elementi delle pagine.

B. Concetti chiave: come i siti ti riconoscono

Sei idee, dal collegamento più leggero al più forte, e un modo per tenerli separati.

Cookie di prima parte: la memoria del sito

Un cookie è un piccolo frammento di testo che un sito chiede al browser di conservare e di rimandargli alla visita successiva. Il Garante parla di «prime parti» per i siti che visiti direttamente: i loro cookie ricordano la lingua, il carrello o il fatto che hai già fatto l’accesso. La voce del glossario Cyber Welfare sui cookie spiega le basi e come gestirli.

Perché ti riguarda: I cookie di prima parte collegano le tue visite a un solo sito. Sono utili e di solito restano lì, ma cancellarli è ciò che di solito fa «dimenticare» un sito di te.

Cookie di terze parti e tracciamento tra siti

Un cookie di terze parti viene impostato da un’azienda diversa dal sito che stai visitando, attraverso un annuncio, un pulsante social o un pezzo di codice invisibile nella pagina. Se la stessa azienda è presente su molti siti, il suo cookie può riconoscere il tuo browser su ciascuno. È il tracciamento tra siti: visite a siti senza legami tra loro riunite in una sola scia.

Google lo descrive nella sua pagina sulla pubblicità: quando visiti una pagina o vedi un annuncio che usa i suoi prodotti, il browser può ricevere un cookie e, alle visite successive, «il browser invia a Google lo stesso cookie o altri identificatori».

Perché ti riguarda: È il collegamento che vedi meno, perché chi lo tiene non è il sito che hai scelto di visitare. La scelta del browser può allentarlo, come spiega la risorsa di Sicurezza Online più sotto.

L’ID pubblicità del telefono

I telefoni hanno un identificatore separato per la pubblicità, che le app possono chiedere. Google spiega che gli annunci sul tuo dispositivo «potrebbero essere personalizzati in base all’ID pubblicità del dispositivo». Aggiunge che a volte collega l’identificatore usato nelle app a un cookie pubblicitario sullo stesso dispositivo, per coordinare gli annunci tra le app e il browser.

Su Android, la stessa pagina indica il percorso Impostazioni › Privacy › Annunci, con le opzioni «Reimposta ID pubblicità» ed «Elimina ID pubblicità». Sugli iPhone si usa l’identificatore pubblicitario di Apple: Apple spiega, in una pagina disponibile in inglese, che se chiedi a un’app di non tracciarti lo sviluppatore non può accedere a quell’identificatore. La scelta si trova nelle impostazioni della privacy dell’iPhone, in una voce dedicata al tracciamento, e puoi farla app per app.

Perché ti riguarda: Con il reset, secondo Google, «l’ID attuale viene sostituito con uno nuovo». L’EFF avverte però che i tracciatori riescono a volte a collegare il vecchio e il nuovo attraverso altri identificatori, come l’indirizzo IP. Eliminare l’ID, o chiedere alle app di non tracciarti, toglie proprio questo collegamento.

Aver fatto l’accesso: il collegamento più forte

Cookie e ID pubblicità riconoscono un browser o un dispositivo. Un account riconosce una persona, o almeno un profilo con un nome. Quando hai fatto l’accesso, ogni pagina che visiti su quel servizio può essere collegata al tuo account, qualunque browser, rete o dispositivo tu stia usando.

Perché ti riguarda: Lo mostra un dettaglio delle linee guida del Garante del 2015: le scelte sulla profilazione di chi non ha fatto l’accesso valgono solo sul dispositivo che sta usando, mentre quelle di chi ha un account restano valide anche su più dispositivi. Uscire dai servizi che in quel momento non usi è uno dei modi più semplici per allentare il collegamento.

«Accedi con…»: un account, molte porte

L’accesso con i social ti permette di aprire un account su un sito nuovo usando un account Google, Apple o di un social network che hai già. Ti risparmia un modulo, ma unisce due servizi.

Secondo la guida di Google, la prima volta che usi Accedi con Google acconsenti a condividere con l’app collegata il nome, l’indirizzo email e l’immagine del profilo del tuo account.

Perché ti riguarda: Ogni «Accedi con…» aggiunge una porta alla stessa identità. Un’email e una password proprie per un servizio che usi di rado lo tengono separato dal resto.

Separare i contesti: finestre private, profili e contenitori

Alcuni strumenti impediscono che una parte della tua navigazione venga collegata a un’altra. Una finestra privata, spiega Mozilla, quando la chiudi elimina cronologia, cookie e dati dei siti di quella sessione, ma non nasconde il tuo indirizzo IP né la tua posizione. Un profilo del browser va oltre: Firefox descrive una separazione completa di tutti i dati tra un profilo e l’altro, utile per tenere distinte la navigazione di lavoro e quella personale. L’estensione Multi-Account Containers di Mozilla lavora invece dentro un solo profilo e separa solo cookie, accessi e dati dei siti.

Perché ti riguarda: Nessuno di questi strumenti ti rende anonimo. Ognuno, però, impedisce a due parti della tua vita di condividere gli stessi cookie e gli stessi accessi, e spesso è tutto ciò che ti serve.

C. Un esempio concreto: il giovedì online di Elena

Elena ha 35 anni e lavora nel marketing, quindi conosce dall’altra parte il linguaggio dei segmenti di pubblico e del retargeting. Un giovedì qualunque, la mattina controlla gli strumenti di lavoro nel suo browser abituale, dove ha fatto l’accesso anche alla posta personale e a un social network. A pranzo, nello stesso browser, confronta qualche appartamento per le vacanze in Puglia. La sera scarica sul telefono un’app di ricette e apre un account con un tocco, usando l’accesso del suo social.

Il venerdì, annunci di case al mare la seguono su un sito di notizie e dentro un gioco gratuito sul telefono. Elena non si allarma; è curiosa, perché non sa dire quale collegamento sia stato. Poteva essere un cookie di terze parti dei siti di appartamenti, il suo account social, oppure l’ID pubblicità del telefono. Proprio questa incertezza è il punto: diversi collegamenti erano attivi insieme, e tutti portavano a lei.

Che cosa è cambiato quando Elena ha contato i collegamenti

Nel fine settimana ha fatto l’esercizio della sezione D, con calma:

• Ha contato undici momenti, in una sola serata, in cui è stata riconosciuta, e ha notato che quasi tutti venivano da un unico browser in cui lavoro, posta e social convivevano.
• Ha creato un secondo profilo del browser per la navigazione personale e ha lasciato il lavoro nel primo.
• Sul telefono ha reimpostato l’ID pubblicità e, nell’app di ricette, ha sostituito l’accesso con il social con un’email e una password proprie.

Ha tenuto ciò a cui teneva: l’accesso già fatto agli strumenti di lavoro e alla posta. Non ha cercato di tagliare ogni collegamento; ha solo reso meno probabile che una ricerca fatta a pranzo per le vacanze viaggiasse insieme al resto della sua identità online.

D. Provaci tu: conta le volte in cui ti riconoscono (15 minuti)

Quattro passi brevi, durante o subito dopo una normale sessione di navigazione. Non c’è un punteggio da raggiungere, né un numero giusto.

Passo 1 — Prendi una sessione normale (4 minuti)

• Usa il tuo browser abituale, o il telefono, come fai di solito per dieci minuti: notizie, posta, acquisti, social.
• Poi annota ogni sito o app che hai aperto, in ordine.
• Per ora non cambiare niente. Lo scopo è vedere le tue abitudini, non una versione più ordinata.

Passo 2 — Segna ogni modo in cui sei stato riconosciuto (4 minuti)

Accanto a ogni sito o app scrivi una o più lettere:

• A se lì avevi fatto l’accesso a un account.
• S se hai fatto l’accesso con un altro account («Accedi con…»).
• C se il sito ricordava qualcosa senza accesso: la lingua, un carrello, un banner dei cookie che non ti ha richiesto.
• P se era un’app che mostra pubblicità, dove può entrare in gioco l’ID pubblicità.

Passo 3 — Trova i collegamenti che attraversano i contesti (3 minuti)

• Cerchia i momenti in cui un collegamento attraversa due parti della tua vita: lo stesso account nella navigazione di lavoro e in quella personale, o un accesso social usato per un’app di acquisti.
• Conta quante lettere sono A o S. Di solito sono i collegamenti più forti della pagina.
• Nota quale browser o account compare più spesso. È lì che separare aiuta di più.

Passo 4 — Taglia due collegamenti (4 minuti)

Scegline due, e solo due:

• Esci da un servizio che non stai usando nel tuo browser principale.
• Apri un secondo profilo del browser, o un secondo browser, per una parte della tua vita, come gli acquisti o i social.
• Sostituisci un «Accedi con…» con un’email e una password proprie.
• Reimposta o elimina l’ID pubblicità del telefono (su Android di solito in Impostazioni › Privacy › Annunci) oppure, su iPhone, controlla nelle impostazioni della privacy quali app possono chiederti di tracciarti.

Due collegamenti che hai scelto di tagliare valgono più di un lungo elenco di impostazioni che forse cambierai un giorno.

Già trattato nel corso Sicurezza Online

Browser per la privacy: lo strumento che usi tutto il giorno
Spiega come scegliere e configurare con attenzione alla privacy il browser che usi ogni giorno, compreso il blocco dei cookie di terze parti; questa risorsa guarda ai cookie, agli identificatori e agli accessi che collegano le tue visite, qualunque browser tu scelga.

Già trattato nel corso Privacy Online

Dashboard della privacy: cosa sanno di te i servizi gratuiti
Mostra come leggere ciò che i servizi conservano su di te attraverso le loro dashboard; questa risorsa guarda ai collegamenti che permettono loro di riconoscerti in primo luogo.

E. Video, articoli e altre risorse

Prima le fonti istituzionali italiane, poi una guida sui diritti digitali e le pagine delle piattaforme. Il rapporto EFF e le pagine di Apple e Mozilla sono in inglese.

Fonti istituzionali

Garante per la protezione dei dati personali — FAQ – Cookie
Che cosa sono i cookie, a che cosa servono, quando si parla di profilazione e come cambiare le tue scelte.
https://www.garanteprivacy.it/faq/cookie

Garante per la protezione dei dati personali — Linee guida cookie e altri strumenti di tracciamento – 10 giugno 2021
Prime parti e terze parti, identificativi online secondo il GDPR, cookie di profilazione e regole sul consenso.
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876

Garante per la protezione dei dati personali — Linee guida in materia di trattamento di dati personali per profilazione on line – 19 marzo 2015
La distinzione tra utenti con account e senza account e gli identificatori usati per la profilazione, comprese le credenziali di accesso.
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/3881513

Guide sui diritti digitali

Electronic Frontier Foundation — Behind the One-Way Mirror: A Deep Dive Into the Technology of Corporate Surveillance
Rapporto del 2019 su cookie di terze parti, ID pubblicitari (e perché reimpostarli non è un taglio netto) e servizi di accesso, con il testo completo (in inglese).
https://www.eff.org/document/behind-one-way-mirror-deep-dive-technology-corporate-surveillance

Guide ufficiali delle piattaforme

Google — Pubblicità – Privacy e termini
Come Google usa cookie e ID pubblicità, come li collega tra app e browser e come reimpostare o eliminare l’ID su Android.
https://policies.google.com/technologies/ads?hl=it

Apple Support — If an app asks to track your activity
Che cosa significa «tracciamento» su iPhone e che cosa cambia quando chiedi a un’app di non tracciarti (pagina in inglese).
https://support.apple.com/en-kz/102420

Firefox Help (Mozilla) — How Private Windows protect you
Che cosa elimina una finestra privata quando la chiudi e che cosa non nasconde (pagina in inglese).
https://support.mozilla.org/en-US/kb/common-myths-about-private-browsing

Firefox Help (Mozilla) — Manage Firefox profiles
Come i profili, e i contenitori dentro un profilo, tengono separati cookie e accessi (pagina in inglese).
https://support.mozilla.org/en-US/kb/profile-management

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa si colloca nel Framework Cyber Welfare sul pilastro Consapevolezza, livello FL2 – Iniziato: notare i collegamenti che uniscono le tue visite prima di decidere quali tenere.

Competenze

• Distinguere un cookie di prima parte, un cookie di terze parti, un ID pubblicità e un accesso a un account.
• Trovare sul tuo telefono le impostazioni dell’ID pubblicità o del tracciamento.
• Creare un secondo profilo del browser, o un contenitore, per una parte della tua vita.

Consapevolezza

• Capire che aver fatto l’accesso è di solito un collegamento più forte di cookie e ID pubblicità.
• Sapere che una finestra privata elimina i cookie quando la chiudi, ma non ti rende anonimo.
• Riconoscere che ogni «Accedi con…» unisce due servizi alla stessa identità.

Comportamento Sicuro

• Uscire dai servizi che non stai usando, soprattutto nel browser che usi per tutto il resto.
• Tenere in profili separati, dove aiuta, la navigazione di lavoro, quella personale e gli acquisti.
• Reimpostare ogni tanto l’ID pubblicità e chiedere alle app di non tracciarti quando ti offrono la scelta.

G. Domande su cui fermarti

• Quale singolo account, se fosse l’unico collegamento rimasto, direbbe comunque di più a un’azienda sulla tua settimana?
• Dove essere riconosciuto ti semplifica davvero la vita, e dove ci sei solo abituato?
• Se domani la tua navigazione fosse divisa in due profili separati, dove tracceresti la linea?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Account e accessi

• R31 — Limitare l’accesso con i social: usa «Accedi con…» solo quando serve: ogni «Accedi con…» collega un nuovo servizio a un account che hai già. Nel tuo Account Google puoi rivedere le app collegate in questo modo e rimuovere quelle che non usi più.
• Esci dagli account che non stai usando nel browser in cui leggi, cerchi e fai acquisti.

Impegno minimo: oggi, sostituisci o rimuovi un «Accedi con…» per un servizio che usi di rado.

2. Browser e telefono

• MS5 — Usa un browser attento alla privacy come Firefox o Brave, così nascono meno collegamenti di terze parti (vedi la risorsa di Sicurezza Online sopra).
• MS11 — Usa il sito mobile del servizio invece dell’app, dove ti va bene: l’ID pubblicità è qualcosa che chiedono le app, e un’app che non installi non può chiederti permessi.
• Reimposta o elimina l’ID pubblicità del telefono quando il sistema lo permette, così la nuova attività è più difficile da collegare alla vecchia; eliminarlo toglie del tutto l’identificatore.

Impegno minimo: questa settimana, reimposta o elimina una volta l’ID pubblicità del telefono, oppure controlla quali app possono chiederti di tracciarti.

In breve

• Come i siti ti riconoscono? Di solito con pochi collegamenti: cookie e ID pubblicità, accessi agli account e «Accedi con…».
• Aver fatto l’accesso è di solito il collegamento più forte; i cookie di terze parti sono i meno visibili.
• Finestre private, profili separati e contenitori tengono distinte parti della tua vita, ma nessuno di loro ti rende anonimo.
• Non devi tagliare ogni collegamento. Taglia quelli che arrivano più lontano di quanto vuoi.

Risorse correlate in questo corso

• Cosa rivela l’indirizzo IP: posizione, provider e metadati
• Dati anonimi? Perché pochi dettagli bastano a identificarti
• Test di fingerprinting: quanto è riconoscibile il tuo browser

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.