Prescrizioni del Garante n. 650 del 17/10/2024

Sotto il cavolo s.n.c. - ammonimento per gestione non conforme dei cookie sul sito e-commerce

Il provvedimento riguarda Sotto il cavolo s.n.c., titolare di un sito e-commerce, ed è stato adottato a seguito di verifiche online sul rispetto della disciplina in materia di cookie e altri strumenti di tracciamento. L’Autorità ha accertato iniziali criticità del banner cookie e dell’informativa, rilevando poi l’avvenuto adeguamento del sito durante il procedimento.

Origine del procedimento e attività ispettiva

Il Garante richiama una campagna di accertamenti online delegata al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, avviata per verificare il rispetto delle Linee guida cookie del 10 giugno 2021. Nell’ambito di un criterio selettivo omogeneo su scala nazionale, la società è stata individuata tra i soggetti da controllare e il sito https://www.sottoilcavolo.com/ è stato verificato il 13 aprile 2023.

Trattamento esaminato e criticità riscontrate

Nel corso dell’accesso al sito, il banner iniziale presentava un testo che subordinava la prosecuzione della navigazione all’accettazione dei cookie e non offriva un comando di chiusura autonomo che consentisse di mantenere le impostazioni di default. Inoltre, risultavano presenti sei check-box preflaggate relative a strumenti e servizi di terze parti o funzionalità collegate al tracciamento:

• AddThis
• Facebook
• Google Analytics
• Google Maps
• YouTube
• Zopim Chat

Nell’informativa estesa, il testo descriveva la chiusura del banner o la prosecuzione della navigazione come manifestazione di consenso, e indicava anche strumenti esterni per la gestione di preferenze e disabilitazione di alcune categorie di cookie. L’Autorità ha tuttavia ritenuto l’informativa non sufficientemente chiara e trasparente.

Contestazioni normative

Con la comunicazione di avvio del procedimento dell’8 settembre 2023, il Garante ha contestato la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, nonché delle Linee guida cookie. Le contestazioni si sono concentrate su due profili principali:

• mancata predisposizione di un banner idoneo a consentire il rifiuto dei cookie non tecnici con prosecuzione della navigazione nelle impostazioni di default;
• mancata acquisizione di un consenso libero, specifico e informato per l’uso di cookie diversi da quelli tecnici.

Difese del titolare e adeguamento successivo

La società ha depositato scritti difensivi, senza chiedere di essere sentita, e ha richiamato circostanze attenuanti legate alla natura dei dati trattati, all’esiguo numero di interessati e alla presunta matrice colposa della condotta, evidenziando anche le azioni rimediali intraprese. In un successivo accesso, l’Ufficio ha rilevato che il banner era stato riconsiderato in modo da consentire all’utente, previa informativa idonea, di:

• esprimere un consenso informato, libero e granulare;
• proseguire la navigazione con le impostazioni di default, senza installazione di cookie diversi da quelli tecnici.

Il Garante ha valorizzato l’apprezzabile sforzo di adeguamento e ha ritenuto le misure adottate sufficienti a rimuovere le criticità riscontrate.

Valutazioni del Garante ed esito

L’Autorità ha accertato la violazione delle disposizioni richiamate e ha dichiarato l’illiceità del trattamento effettuato nella fase iniziale di gestione del sito. Tuttavia, tenuto conto delle specificità del caso e dell’avvenuto adeguamento, ha ritenuto di poter prescindere dall’adozione di misure sanzionatorie pecuniarie e di limitarsi a un ammonimento ai sensi dell’art. 58, par. 2, lett. b) del GDPR.

Non sono state quindi disposte ulteriori prescrizioni correttive, poiché le misure già adottate dal titolare sono state giudicate idonee a superare le criticità. È stata inoltre disposta l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u) del GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Implicazioni operative

Il provvedimento ribadisce che, in materia di cookie e strumenti di tracciamento, il titolare deve garantire una informativa chiara e trasparente e predisporre un meccanismo di consenso realmente libero, granulare e revocabile, consentendo anche il rifiuto dei cookie non tecnici senza costringere l’utente ad accettarli per continuare la navigazione. Per gli operatori e-commerce, il caso conferma l’importanza di verificare la conformità del banner e dell’informativa non solo al GDPR, ma anche alle Linee guida cookie del Garante.