Prescrizioni del Garante n. 651 del 17/10/2024

Toscana Regionale Marittima S.p.A. – cookie banner e informativa sul sito toremar.it

Il Garante per la protezione dei dati personali è intervenuto nei confronti di Toscana Regionale Marittima S.p.A. in relazione al trattamento di dati personali effettuato tramite cookie e altri strumenti di tracciamento sul sito web www.toremar.it. Il provvedimento deriva da verifiche on-line svolte nell’ambito di un’attività ispettiva delegata alla Guardia di Finanza per il controllo del rispetto delle Linee guida cookie del 10 giugno 2021.

Origine del procedimento e attività istruttoria

L’Autorità, tenuto conto dei numerosi reclami in materia, aveva delegato con nota del 21 ottobre 2022 il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza a svolgere una serie di accertamenti on-line. Successivamente, con nota del 30 novembre 2022, Toscana Regionale Marittima S.p.A. è stata inclusa tra i destinatari delle verifiche, svolte concretamente il 3 aprile 2023 sul sito toremar.it.

La Società non ha presentato scritti difensivi né ha chiesto di essere sentita nel procedimento.

Esiti delle verifiche sul banner cookie

Nel corso dell’accertamento è emerso che il banner presente nella home page:

• informava che il sito utilizzava cookie di profilazione e di terze parti;
• conteneva il comando "Accetta" e il link "Informativa sulla privacy e trattamento cookies";
• non prevedeva un apposito comando di chiusura "X" per chiudere il banner lasciando ferme le impostazioni di default;
• non consentiva scelte granulari sui trattamenti effettuati tramite cookie.

L’informativa estesa associata al banner indicava, inoltre, che il proseguimento della navigazione tramite scroll, click su un link o chiusura del messaggio avrebbe comportato l’autorizzazione all’uso dei cookie. Poiché il banner non offriva un vero comando di chiusura, tale indicazione è stata ritenuta errata e fuorviante anche sotto il profilo delle modalità di manifestazione del consenso. L’informativa rinviava poi alla lista dei cookie e alle istruzioni dei browser per la gestione o disabilitazione dei cookie in modo aggregato.

Violazioni contestate

Con la comunicazione di avvio del procedimento del 1° settembre 2023, il Garante ha contestato alla Società la violazione:

• dell’art. 4, punto 11, GDPR, per la mancata acquisizione di un consenso valido;
• degli artt. 5, 7, 12, 13, 24 e 25 GDPR;
• dell’art. 122 del Codice privacy;
• delle Linee guida cookie del 10 giugno 2021.

La criticità principale è stata individuata nell’impossibilità per l’utente di compiere una scelta realmente libera e consapevole: la presenza di un solo comando, "Accetta", di fatto obbligava alla selezione dell’unica opzione disponibile, impedendo sia il rifiuto sia una scelta granulare. Il consenso così raccolto è stato quindi ritenuto non specifico, non libero e non manifestato con atto positivo e inequivoco.

Valutazioni del Garante

L’Autorità ha ritenuto che la condotta del titolare integrasse una violazione delle disposizioni richiamate e che il trattamento fosse illecito. In particolare, è stata censurata la mancanza di chiarezza espositiva dell’informativa e la struttura del banner, che non consentiva all’utente di mantenere le impostazioni di default continuando la navigazione senza cookie diversi da quelli tecnici.

Il Garante ha quindi rilevato un contrasto sostanziale con i requisiti di validità del consenso e con il principio di accountability, nonché con il principio di data protection by default e by design.

Provvedimenti adottati

Ai sensi dell’art. 58, par. 2, lett. d) GDPR, il Garante ha ingiunto a Toscana Regionale Marittima S.p.A. di:

• conformare i trattamenti di dati personali effettuati mediante cookie e altri strumenti di tracciamento alla normativa vigente;
• predisporre opzioni di scelta idonee a consentire una manifestazione di volontà conforme all’art. 4, punto 11, GDPR;
• consentire il permanere delle impostazioni di default e quindi la prosecuzione della navigazione in assenza di cookie o strumenti di tracciamento diversi da quelli tecnici;
• modificare di conseguenza anche l’"Informativa sulla privacy e trattamento cookies".

In ragione delle specificità del caso, l’Autorità ha scelto di non irrogare una sanzione pecuniaria e ha invece rivolto un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR per l’inosservanza delle disposizioni in materia di cookie e strumenti di tracciamento.

Annotazione nel registro interno e rimedi

Il Garante ha disposto l’annotazione del caso nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.