Prescrizioni del Garante n. 391 del 10/07/2025

Vremar S.r.l. – cookie e tracciamento online sul sito www.vremar.it

Il provvedimento riguarda Vremar S.r.l., titolare del sito e-commerce www.vremar.it, a seguito di controlli online svolti dalla Guardia di Finanza su delega del Garante. L’Autorità ha esaminato la conformità del banner cookie, delle informative e del meccanismo di acquisizione del consenso per i cookie diversi da quelli tecnici.

Origine del procedimento e attività istruttoria

L’istruttoria si inserisce in una verifica più ampia avviata dal Garante, anche alla luce dei numerosi reclami in materia, per controllare il rispetto delle Linee guida cookie del 10 giugno 2021. Con nota del 21 ottobre 2022 l’Autorità ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online, concentrati inizialmente su un campione di operatori e-commerce.

Vremar S.r.l. è stata individuata tra i destinatari delle verifiche con nota del 30 novembre 2022. L’accertamento sul sito è stato eseguito il 28 marzo 2023.

Esiti del primo accertamento

Al primo accesso al sito il banner cookie presentava una formulazione che equiparava la prosecuzione della navigazione al consenso all’uso dei cookie. Inoltre:

• il link alla cookie policy apriva un pop-up con messaggio di documento inesistente;
• nel footer i link a Privacy Policy e Cookie Policy rimandavano a pagine vuote;
• tramite il browser risultava che il sito faceva uso di cookie.

Questi elementi hanno evidenziato l’assenza, al momento dell’accertamento, di un’informativa effettivamente accessibile e di un meccanismo di consenso conforme.

Richiesta di informazioni e repliche della società

Con nota del 1° dicembre 2023, ai sensi dell’art. 157 del Codice, l’Ufficio ha chiesto chiarimenti sulla non consultabilità delle informative e sul meccanismo di consenso. La società ha risposto il 4 dicembre 2023 spiegando che il problema derivava da un errore di aggiornamento di un plugin e che le informative erano state ripristinate.

A seguito delle modifiche, il banner risultava dotato di pulsanti "Accetta", "Rifiuta" e "Scopri di più e personalizza", con possibilità di scegliere in modo più granulare rispetto ai cookie diversi da quelli tecnici, e con i link alle policy nuovamente presenti nel footer.

Contestazione formale delle violazioni

Con comunicazione del 4 aprile 2024 il Garante ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice, nonché delle Linee guida cookie.

Le criticità indicate riguardavano in particolare:

• un banner impostato in modo tale che la prosecuzione della navigazione valesse come consenso;
• la mancanza di una modalità per proseguire senza cookie diversi da quelli tecnici mantenendo le impostazioni di default;
• l’assenza di un’informativa corretta e trasparente;
• la contraddittorietà tra banner e cookie policy, che nel banner richiamava 834 terze parti mentre la cookie policy negava l’uso di cookie di terze parti;
• l’effetto pregiudizievole di informative poco chiare sulla validità del consenso.

Difese della società

Con memoria del 3 maggio 2024 la società ha chiesto, in ragione della lieve entità della lesione, di applicare la sola sanzione di cui all’art. 58, par. 2, lett. b), GDPR. Ha richiamato, a sostegno, la pronta correzione dei link alle policy, la buona fede, l’assenza di precedenti violazioni, il fatto che non fossero trattate categorie particolari di dati e il limitato numero di accessi al sito.

Ulteriori verifiche e residui profili di non conformità

In una successiva verifica, l’Ufficio ha constatato che il sito aveva ulteriormente modificato il banner. Ora comparivano i pulsanti "Accetta tutto", "Rifiuta tutto" e "Scopri di più", con selettore dei cookie di "esperienza" impostato di default sul diniego e con possibilità di scelta granulare nel pannello dedicato.

Nonostante ciò, il Garante ha ritenuto che la denominazione dei cookie di "esperienza" fosse ancora troppo generica e poco chiara, quindi non sufficientemente conforme agli obblighi di informazione in forma concisa, trasparente, intelligibile e facilmente accessibile. Tale formulazione è stata considerata idonea a incidere sulla correttezza e trasparenza del trattamento e sulla libertà e validità del consenso.

Valutazioni del Garante

L’Autorità ha ribadito che:

• il titolare deve fornire un’informativa chiara e completa sul trattamento effettuato tramite cookie o altri strumenti di tracciamento;
• per i cookie non tecnici è necessario acquisire un consenso valido;
• il contenuto informativo deve essere semplice, chiaro, conciso e facilmente accessibile.

Sulla base degli elementi raccolti, il Garante ha ritenuto integrata la violazione degli artt. 12 e 13 GDPR per l’assenza di informazioni adeguate sui trattamenti tramite cookie e degli artt. 4, punto 11, 5, 7, 24 e 25 GDPR, nonché dell’art. 122 del Codice, per la non idonea configurazione del banner e la mancanza di un consenso specifico e granulare.

Esito: ingiunzione e ammonimento

Pur riconoscendo che le modifiche apportate dalla società in corso di procedimento avevano parzialmente ripristinato la conformità del sito, il Garante ha ritenuto necessario adottare un’ingiunzione ex art. 58, par. 2, lett. d), GDPR. La misura impone a Vremar S.r.l. di conformare i trattamenti effettuati mediante cookie e altri strumenti di tracciamento alla normativa vigente e, in particolare, di sostituire l’attuale qualificazione dei cookie di "esperienza" con una terminologia che descriva in modo chiaro e intuitivo la finalità perseguita.

In considerazione delle specificità del caso, della collaborazione prestata e dell’atteggiamento proattivo del titolare, l’Autorità ha scelto di non applicare una sanzione pecuniaria, limitandosi a un ammonimento ex art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di cookie e tracciamento.

Annotazione nel registro interno e tutela giurisdizionale

Il provvedimento dispone l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), GDPR, secondo quanto previsto dal Regolamento del Garante n. 1/2019.

Avverso il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.