Prescrizioni del Garante n. 739 del 27/11/2024

Rendano Auto s.r.l. - ammonimento per assenza di banner cookie e informativa privacy sul sito

Il Garante per la protezione dei dati personali ha esaminato il sito web di Rendano Auto s.r.l. nell’ambito di un’attività ispettiva on-line finalizzata a verificare il rispetto della disciplina su cookie e altri strumenti di tracciamento. L’accertamento ha riguardato il sito internet della società e si è concluso con un ammonimento, senza sanzione pecuniaria, dopo l’adeguamento spontaneo del titolare.

Origine del procedimento e attività ispettiva

Il procedimento trae origine da verifiche delegate dal Garante al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, sulla base del Protocollo d’intesa del 30 marzo 2021. L’Autorità aveva avviato una più ampia attività di controllo, focalizzata in una prima fase su operatori dell’e-commerce e, in particolare, su soggetti attivi nella commercializzazione di autoveicoli.

Rendano Auto s.r.l. è stata inclusa nel campione dei soggetti destinatari degli accertamenti, selezionati con criteri omogenei su base territoriale e dimensionale. L’accesso al sito http://www.rendanoauto.it è stato effettuato il 26 ottobre 2023.

Esiti dell’accertamento iniziale

Dall’accesso al sito sono emerse le seguenti criticità:

• al primo ingresso non era visibile alcun banner sull’utilizzo dei cookie;
• nel footer erano presenti solo i dati identificativi della società;
• il sito non conteneva alcuna informativa sul trattamento dei dati personali;
• dalle impostazioni del browser risultava che il sito utilizzava cookie.

Tali elementi hanno indotto il Garante a ritenere che il trattamento fosse effettuato in assenza delle informazioni e delle condizioni di liceità richieste dalla disciplina applicabile.

Contestazione delle violazioni e norme richiamate

Con comunicazione del 24 novembre 2023, ai sensi dell’art. 166, comma 5, del Codice privacy, l’Autorità ha avviato il procedimento e ha contestato la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, nonché dell’art. 122 del Codice e delle Linee guida cookie del 10 giugno 2021.

Le contestazioni erano incentrate, in particolare, su:

• mancata acquisizione di un consenso valido per i cookie non tecnici;
• assenza di un banner immediato con le opzioni richieste dalla normativa;
• assenza dell’informativa privacy;
• carenze nei principi di trasparenza, accountability e privacy by design/default.

Difese del titolare e successivo adeguamento

Nelle memorie difensive del 22 e 27 dicembre 2023, Rendano Auto s.r.l. ha riconosciuto l’assenza dell’informativa e del banner cookie, attribuendola a un incidente tecnico verificatosi nella migrazione del sito da un dominio all’altro, a seguito del mutamento della composizione dei partner commerciali.

In un accesso successivo, effettuato dall’Ufficio durante la pendenza del procedimento, è stato riscontrato che il titolare aveva inserito:

• l’informativa privacy;
• un banner cookie con possibilità di esprimere il consenso, anche in modo granulare, ai cookie diversi dai tecnici;
• la possibilità di rifiutare i cookie;
• un link alla cookie policy.

Il Garante ha valorizzato tale tempestivo intervento correttivo.

Valutazioni del Garante

L’Autorità ha ritenuto che la condotta inizialmente tenuta integrasse una violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice, nonché delle indicazioni contenute nelle Linee guida cookie, e ha quindi dichiarato l’illiceità del trattamento.

Tuttavia, ha considerato apprezzabile lo sforzo del titolare nel rimediare alle criticità contestate e ha ritenuto che le misure adottate fossero idonee a rimuoverle, escludendo la necessità di ulteriori misure correttive.

Misura adottata e conseguenze

In ragione delle specificità del caso, il Garante ha deciso di prescindere dall’adozione di misure sanzionatorie pecuniarie e ha rivolto a Rendano Auto s.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, per l’inosservanza della disciplina sul trattamento dei dati personali mediante cookie e altri strumenti di tracciamento.

È stata inoltre disposta l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), del GDPR e dell’art. 17 del regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 1° settembre 2011, n. 150, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.