Prescrizioni del Garante n. 555 del 12/09/2024

Te. Di. Tour Operator S.r.l. - cookie banner e cookie policy del sito www.teditour.com

Il Garante ha esaminato il trattamento di dati personali effettuato mediante cookie e altri strumenti di tracciamento sul sito della società, a seguito di verifiche online delegate alla Guardia di Finanza nell’ambito di un controllo sul rispetto delle Linee guida cookie del 10 giugno 2021.

Origine del procedimento e attività istruttoria

Con nota del 21 ottobre 2022 l’Autorità ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online, concentrati in una prima fase su operatori dell’e-commerce, tra cui i titolari che operano nel settore turistico. Te. Di. Tour Operator S.r.l. è stata individuata tra i destinatari delle verifiche con nota del 30 novembre 2022, e l’accertamento è stato svolto il 30 gennaio 2023 sul sito www.teditour.com.

Esiti delle verifiche sul banner e sull’informativa cookie

Nel corso dell’accesso è emerso che il banner della home page riportava un messaggio secondo cui il sito utilizza cookie per assicurare la migliore esperienza di navigazione e che, proseguendo la navigazione, l’utente sarebbe stato considerato consenziente. Il banner indicava inoltre la possibilità di cliccare su "Ok" per consentire l’utilizzo dei cookie e di accedere all’informativa, ma presentava anche un tasto "X" sulla destra senza però chiarirne il significato.

L’informativa estesa di secondo livello conteneva una descrizione dei cookie di terze parti con rinvio ai rispettivi siti web e, nella sezione dedicata ai diritti dell’interessato/utente, indicava la possibilità di selezionare e deselezionare i singoli cookie, negare il consenso in qualunque momento e agire sulle impostazioni del browser ai sensi dell’art. 122, comma 2, del Codice.

Contestazioni del Garante

Con comunicazione del 30 maggio 2023, ai sensi dell’art. 166, comma 5, del Codice, l’Autorità ha contestato la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, nonché delle Linee guida cookie. Le criticità riguardavano in particolare:

• l’assenza di un’indicazione chiara sulla possibilità di proseguire la navigazione senza installare cookie diversi da quelli tecnici;
• la mancata spiegazione del significato del tasto "X";
• la mancata acquisizione di un consenso specifico e granulare.

Il Garante ha ritenuto che il banner formulasse in modo ambiguo la relazione tra prosecuzione della navigazione e consenso, senza rendere evidente che l’utente potesse continuare la visita del sito lasciando inalterate le impostazioni di default.

Difese del titolare e correzioni apportate in corso di procedimento

La società ha presentato memorie difensive e ha chiesto audizione, tenutasi il 27 novembre 2023. Ha sostenuto che le indicazioni presenti nel banner e i rimandi in esso contenuti fossero sufficienti a non invalidare l’acquisizione del consenso.

In un successivo controllo dell’Ufficio, effettuato dopo l’avvio del procedimento, è risultato che il titolare aveva modificato il banner, integrando l’informativa breve con un testo più esplicito: se l’utente non intende accettare i cookie non necessari, può selezionare "continua senza accettare" o premere la "x" in alto a destra. Sono stati inoltre introdotti i comandi "Personalizza", "Continua senza accettare" e "Accetta tutti".

Valutazioni del Garante

Il Garante ha ritenuto che la condotta complessiva integrasse una violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, nonché delle Linee guida cookie. Ha tuttavia valorizzato l’apprezzabile sforzo del titolare di porre rimedio alle criticità, ritenendo le misure adottate solo parzialmente idonee a rimuoverle.

Provvedimenti adottati

L’Autorità ha quindi:

• accertato la violazione e dichiarato l’illiceità del trattamento;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti di dati personali effettuati tramite cookie e altri strumenti di tracciamento del sito www.teditour.com alla normativa vigente;
• richiesto in particolare di integrare il paragrafo "DIRITTI DELL’INTERESSATO/UTENTE" della cookie policy, indicando che le opzioni sull’uso dei cookie possono essere personalizzate anche mediante l’interazione con l’apposito tasto nel banner;
• rivolto un ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento.

Sanzione e profili finali

Pur avendo riscontrato la violazione, il Garante ha ritenuto, per le specificità del caso, di poter prescindere dall’adozione di una sanzione pecuniaria. È stata disposta l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), del GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 del GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.