Prescrizioni del Garante n. 594 del 09/10/2025

Squeezemind s.r.l. - cookie, informative non aggiornate e trattamento illecito

Il provvedimento riguarda Squeezemind s.r.l. ed è originato da un’istruttoria d’ufficio seguita da accertamento ispettivo presso la sede della società e dall’esame del sito web e del servizio CookieMetrix. Il Garante ha ritenuto illecito il trattamento connesso a informative e banner cookie non aggiornati rispetto ai trattamenti effettivamente svolti, disponendo un ammonimento e l’adeguamento documentale, ma non una sanzione pecuniaria.

Origine del procedimento e accertamenti ispettivi

Con comunicazione dell’11 febbraio 2025 l’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice per verificare il rispetto della disciplina su cookie e altri strumenti di tracciamento, sul servizio di analisi cookie disponibile su www.cookiemetrix.com e sulla gestione delle richieste di opposizione degli interessati. L’attività ispettiva svolta dal 28 al 30 ottobre 2024 ha evidenziato:

• un banner cookie con opzioni "Accept All", "Reject All" e scelta granulare tramite "Cookie Preferences";
• un’informativa estesa e una sintetica in lingua inglese, prive di data certa;
• un tool che analizzava i cookie dei siti indicati dagli utenti e restituiva un report di conformità o non conformità.

Contestazioni formulate dall’Ufficio

L’Ufficio ha contestato che la documentazione legale fosse non aggiornata e non rappresentativa dei trattamenti effettivi, poiché la società dichiarava di non svolgere più tracciamento dal 2022. In particolare, il banner e l’informativa facevano riferimento a cookie di analytics e pubblicitari e a trattamenti di profilazione che, secondo quanto dichiarato nel corso dell’istruttoria, non erano più effettuati.

L’atto di contestazione ha richiamato la possibile violazione degli artt. 5, par. 1, lett. a), c) e d), 12 e 13 del GDPR e dell’art. 122 del Codice, evidenziando che la richiesta di consenso per trattamenti non più esistenti poteva risultare ingannevole e creare un falso affidamento negli utenti.

Difese della società

La società ha sostenuto che il sito e la documentazione fossero comunque disponibili anche in italiano tramite apposito selettore di lingua, che il tracciamento fosse cessato nel 2022 e che il banner cookie si limitasse a registrare, tramite cookie tecnico, la preferenza dell’utente sull’accettazione o rifiuto dei cookie di profilazione. Ha inoltre affermato che l’eventuale ritardo nell’aggiornamento delle informative fosse un mero errore materiale privo di effetti concreti sui diritti degli interessati.

Quanto al servizio CookieMetrix, Squeezemind ha dichiarato che esso non offriva alcuna certificazione legale, ma solo un’analisi tecnica dei cookie, con espresso rinvio all’assistenza di un professionista per la valutazione giuridica finale.

Valutazioni del Garante sulla disciplina dei cookie

Il Garante ha richiamato la disciplina speciale dell’art. 122 del Codice e le "Linee guida cookie e altri strumenti di tracciamento" adottate con provvedimento n. 231 del 10 giugno 2021. Ha ribadito che il ricorso a cookie diversi da quelli tecnici richiede il consenso informato dell’interessato, preceduto da un’informativa resa con modalità semplificate, e che tale informativa deve essere corretta e aggiornata.

L’Autorità ha osservato che, quando il titolare dichiara trattamenti in realtà non più effettuati, la richiesta di consenso per cookie non necessari è ultronea e può violare i principi di liceità, correttezza e trasparenza. Inoltre, anche la sola raccolta e archiviazione della preferenza dell’utente tramite cookie tecnico costituisce un trattamento di dati personali, poiché la volontà dell’interessato viene memorizzata nel dispositivo e registrata nei sistemi del titolare.

Accertamento della violazione

Il Garante ha ritenuto accertato che, almeno dal 2022, Squeezemind abbia fornito un’informativa non aggiornata e non rappresentativa dei trattamenti effettivamente svolti, predisponendo anche un banner per un consenso a cookie non tecnici in realtà non necessario. Questa impostazione ha creato un falso affidamento sull’esistenza di attività di tracciamento insussistenti e ha comportato un trattamento eccedente rispetto a quanto effettivamente necessario.

È stata quindi dichiarata l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e c), 12 e 13 GDPR e dell’art. 122 del Codice.

Contestazioni archiviate

L’Autorità ha invece archiviato le contestazioni relative agli artt. 5, par. 1, lett. a) e d) GDPR con riferimento:

• alla lingua del sito e della documentazione legale, poiché era comunque disponibile la versione italiana;
• alle modalità di presentazione del tool di analisi cookie, che pur considerate non del tutto trasparenti non sono state ritenute integranti una violazione rientrante nella competenza del Garante nel caso concreto.

Il Garante ha osservato che sarebbe preferibile privilegiare la lingua italiana per gli utenti cui il servizio si rivolge e rendere più chiaro il meccanismo di selezione della lingua, ma ha ritenuto tali profili rimessi alla valutazione imprenditoriale del titolare.

Misure adottate e conclusioni

In considerazione della durata pluriennale della violazione, ma anche della collaborazione della società, dell’assenza di precedenti e di specifiche doglianze da parte degli interessati, nonché del parziale rimedio già adottato, il Garante ha scelto di non irrogare una sanzione amministrativa pecuniaria.

Sono state invece disposte le seguenti misure:

• ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR;
• ingiunzione, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di adeguare la documentazione legale affinché sia coerente con i trattamenti realmente svolti e riporti la data di aggiornamento.

Il provvedimento dispone inoltre la pubblicazione e l’annotazione nel registro interno dell’Autorità. Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.