Prescrizioni del Garante n. 583 del 26/09/2024

Nizzi S.r.l. – ammonimento per informativa cookie non chiara e banner fuorviante

Il Garante per la protezione dei dati personali ha esaminato il sito web www.nizzi.it di Nizzi S.r.l. Spedizioni e Trasporti Nazionali e Internazionali, nell’ambito di un’attività di verifica sul rispetto della disciplina in materia di cookie e altri strumenti di tracciamento. Il procedimento trae origine da controlli delegati alla Guardia di Finanza e riguarda, in particolare, la conformità del banner cookie e dell’informativa resa agli utenti.

Origine dell’accertamento e contesto istruttorio

L’Autorità aveva avviato una verifica sul rispetto delle Linee guida cookie del 10 giugno 2021, anche alla luce dei numerosi reclami ricevuti. Con nota del 21 ottobre 2022 aveva delegato il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza ad effettuare accertamenti online su un campione di operatori, tra cui imprese dell’e-commerce e soggetti attivi nei trasporti e nel turismo. In base a successive note istruttorie, Nizzi S.r.l. è stata individuata tra i destinatari delle verifiche, poi eseguite sul sito internet della società il 23 febbraio 2023.

Esiti dell’accesso al sito e criticità riscontrate

Nel corso dell’accesso è emerso che, al primo ingresso nella home page, appariva un banner cookie a comparsa immediata. Il messaggio informava che l’utente poteva utilizzare cookie tecnici e, con il consenso, anche altri cookie, ma formulava in modo ambiguo la scelta dell’utente. In particolare:

• per proseguire la navigazione mantenendo le impostazioni di default e senza accettare cookie, l’utente era costretto ad accedere al secondo livello informativo;
• il banner presentava informazioni contraddittorie e carenti in termini di chiarezza e trasparenza;
• il comando di chiusura del banner era descritto in modo tale da far intendere che la semplice chiusura dell’informativa equivalga a un consenso all’uso dei cookie.

L’Autorità ha ritenuto che tale assetto non consentisse all’utente di compiere una scelta pienamente consapevole e libera in ordine all’uso di cookie diversi da quelli tecnici.

Contestazioni formalizzate e norme richiamate

Con comunicazione del 21 giugno 2023, ai sensi dell’art. 166, comma 5, del Codice privacy, il Garante ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR, contestando, nel caso concreto, la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice privacy, nonché delle indicazioni delle Linee guida cookie.

Le presunte violazioni erano ricondotte, in sintesi, al mancato rilascio di un’informativa chiara e trasparente e alla mancata configurazione del banner in modo da consentire all’utente di:

• esprimere un consenso informato, libero e granulare per i cookie non tecnici;
• oppure proseguire la navigazione con le impostazioni di default, senza installazione di cookie diversi da quelli tecnici.

Difese della società e misure correttive

La società, con memoria del 21 luglio 2023 e in sede di audizione del 7 novembre 2023, ha dichiarato di avere:

• prontamente posto il sito offline;
• utilizzato esclusivamente cookie tecnici o comunque assimilabili a quelli tecnici;
• considerato il banner come una misura aggiuntiva di tutela, non necessaria per l’adempimento di un obbligo di legge;
• impiegato un tool non pienamente personalizzabile, progettato per siti più complessi.

In un successivo controllo, l’Ufficio ha accertato che, nelle more del procedimento, il sito era stato posto offline e poi riattivato con una privacy policy che indicava l’uso di "unicamente cookies di tipo tecnico".

Valutazioni del Garante

Sulla base dell’istruttoria, il Garante ha ritenuto che, al momento dell’accertamento, il titolare avesse violato l’obbligo di fornire un’informativa chiara e trasparente, compromettendo la piena consapevolezza dell’utente sulle scelte disponibili. Da ciò è stata desunta la violazione degli artt. 5, 12 e 13 GDPR, oltre che delle indicazioni contenute nelle Linee guida cookie.

Al contempo, l’Autorità ha ritenuto che non fossero provate le violazioni relative alla necessità e alle modalità di acquisizione del consenso con riguardo ai cookie diversi da quelli tecnici. Sono state quindi archiviate le contestazioni riferite agli artt. 4, punto 11, 7, 24 e 25 GDPR e all’art. 122 del Codice privacy.

Esito finale: ammonimento e archiviazione delle restanti contestazioni

Il Garante ha valorizzato:

• l’apprezzabile sforzo della società nel rimuovere tempestivamente le criticità;
• la collaborazione prestata nel corso dell’istruttoria;
• la circostanza che, nelle specificità del caso, fosse possibile prescindere da una sanzione pecuniaria.

Pertanto, nei confronti di Nizzi S.r.l. ha disposto:

• l’accertamento della violazione degli artt. 5, 12 e 13 GDPR e la dichiarazione di illiceità del trattamento;
• l’archiviazione delle ulteriori contestazioni;
• un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento, con particolare riferimento all’omessa informativa chiara e trasparente e all’uso di un banner ritenuto fuorviante e non adeguato ai trattamenti svolti dal sito.

È stata inoltre disposta l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Rimedi esperibili

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.