Prescrizioni del Garante n. 701 del 14/11/2024

Ammonimento a DC Casa S.r.l. per banner cookie non conforme

Il Garante per la protezione dei dati personali ha esaminato la conformità del sito e-commerce di DC Casa S.r.l. alle regole in materia di cookie e altri strumenti di tracciamento, a seguito di accertamenti online delegati alla Guardia di Finanza. Il procedimento è stato avviato per presunte violazioni delle norme sul consenso e sull’informativa, poi in larga parte sanate dal titolare nel corso dell’istruttoria.

Accertamento e contesto istruttorio

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di verifiche online sul rispetto delle Linee guida cookie del 10 giugno 2021, nell’ambito di un controllo su operatori e-commerce. DC Casa S.r.l. è stata individuata come destinataria delle verifiche e l’accesso al sito http://www.dccasa.it, effettuato l’8 giugno 2023, ha evidenziato un banner cookie a comparsa immediata non conforme.

Criticità rilevate sul banner e sulla gestione del consenso

Dal controllo è emerso che:

• al primo accesso compariva un banner con la dicitura generica secondo cui la navigazione implicava l’accettazione dei cookie;
• il banner non prevedeva formule specifiche di consenso, né modalità granulari per i cookie diversi da quelli tecnici;
• erano presenti solo i pulsanti "ACCETTO" e "PIU' INFORMAZIONI";
• mancava un comando di chiusura del banner, o equivalente, che consentisse di proseguire la navigazione mantenendo le impostazioni di default;
• mancava il tasto per rifiutare i cookie non tecnici.

La privacy policy richiamata dal link "PIU' INFORMAZIONI" menzionava anche cookie pubblicitari e indicava possibilità di disabilitazione tramite browser, ma tale impostazione non compensava le carenze del banner iniziale rispetto alle regole sul consenso preventivo e libero.

Violazioni contestate e avvio del procedimento

Con comunicazione del 6 ottobre 2023, il Garante ha avviato il procedimento ex art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, oltre al contrasto con le Linee guida cookie. Le contestazioni riguardavano l’adozione di un banner che consentiva unicamente l’accettazione in blocco, senza possibilità di personalizzazione o rifiuto e senza opzione di chiusura con mantenimento delle impostazioni iniziali.

Difese e misure correttive del titolare

Nelle memorie del 3 novembre 2023, DC Casa S.r.l. ha riconosciuto gli addebiti e ha dichiarato di essersi attivata tempestivamente per porvi rimedio. La società ha riferito di aver messo il sito offline per manutenzione e di aver introdotto un nuovo banner conforme, dotato di:

• possibilità di personalizzare i consensi;
• possibilità di rifiutare i cookie anche in blocco;
• possibilità di chiudere il banner e continuare la navigazione senza esprimere alcuna preferenza.

Valutazione del Garante e provvedimento finale

Un successivo accesso dell’Ufficio ha confermato la conformità del nuovo banner, compresa la presenza del collegamento alla cookie policy e delle opzioni di accettazione, rifiuto, chiusura e prosecuzione della navigazione con impostazioni di default. Il Garante ha quindi ritenuto che le misure adottate fossero idonee a rimuovere le criticità segnalate e, tenuto conto dell’adeguamento spontaneo e tempestivo, ha scelto di non applicare una sanzione pecuniaria.

L’Autorità ha comunque:

• accertato la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice;
• dichiarato l’illiceità del trattamento nella fase originariamente contestata;
• rivolto a DC Casa S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR.

Annotazione nel registro interno e tutela giurisdizionale

Il Garante ha disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019. È stato inoltre ricordato che avverso il provvedimento è proponibile opposizione dinanzi all’autorità giudiziaria ordinaria, entro i termini di legge previsti dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.