Prescrizioni del Garante n. 178 del 27/03/2025

Greenfit S.r.l. – archiviazione per criticità nella gestione dei cookie del sito web

Il provvedimento riguarda Greenfit S.r.l. e trae origine da accertamenti online disposti dal Garante sul rispetto delle Linee guida cookie del 10 giugno 2021, svolti sul sito www.greenfitspa.com nell’ambito di una più ampia attività di verifica nel settore e-commerce. L’esito finale è l’archiviazione del procedimento, in quanto non sono stati ravvisati elementi sufficienti per configurare una violazione della disciplina privacy.

Origine del procedimento e attività istruttoria

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza verifiche sul rispetto delle regole in materia di cookie e altri strumenti di tracciamento, in seguito a numerosi reclami. Greenfit S.r.l. era stata individuata tra i soggetti da controllare con riferimento al sito internet www.greenfitspa.com, verificato in data 26 maggio 2023.

Nel corso dell’accertamento era emerso che il sito non presentava alcun banner relativo ai cookie. Nel footer erano invece presenti i link alla Privacy Policy e alla Cookie Policy, che rinviavano a specifiche pagine del sito. Nella Cookie Policy si faceva riferimento a cookie di profilazione, descritti come cookie necessari a creare profili utenti per inviare messaggi pubblicitari in linea con le preferenze manifestate, e si affermava che per i cookie tecnici e di analytics non era richiesto il consenso, mentre per le altre tipologie il consenso poteva essere prestato tramite configurazione del browser o di servizi terzi.

Ulteriore accesso al sito e modifiche intervenute

In un accesso successivo, effettuato dopo l’accertamento del Nucleo e prima della redazione dell’atto di contestazione, il sito risultava sostanzialmente ridotto a una sola pagina iniziale con i dati di contatto del titolare. Non erano più presenti banner né informativa, poiché il sito era privo di ulteriori contenuti e risultava impostato come mera vetrina.

Contestazione delle presunte violazioni

Con nota del 23 ottobre 2023 il Garante ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, prospettando la possibile adozione di provvedimenti ex art. 58, par. 2, GDPR. Le violazioni ipotizzate riguardavano gli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR, nonché l’art. 122 del Codice e le Linee guida cookie. In sostanza, l’Autorità contestava un’informativa ritenuta carente sotto il profilo della trasparenza e la mancata predisposizione di un banner idoneo ad acquisire un consenso informato, libero e granulare per cookie e altre tecnologie di tracciamento diverse da quelle tecniche.

Difese presentate da Greenfit S.r.l.

La società ha presentato memoria difensiva ai sensi dell’art. 166, comma 6, del Codice, senza chiedere di essere ascoltata. Ha sostenuto che il sito fosse in fase di chiusura e trasformazione in un mero sito vetrina, rimasto online per renderlo accessibile all’Autorità in un’ottica di cooperazione e trasparenza. Ha inoltre dichiarato che, al momento delle verifiche, il sito utilizzava solo tre cookie tecnici necessari e cinque cookie analitici di terze parti, in particolare Google Analytics, e che non erano mai state cedute o comunicate a terzi le informazioni raccolte tramite tali cookie. Secondo la società, la cookie policy era stata rimossa insieme alla disattivazione di tutti i cookie nell’agosto 2023.

Valutazioni del Garante e esito finale

Alla luce degli elementi istruttori e delle memorie difensive, il Garante ha ritenuto che non fossero ravvisabili gli estremi di una violazione della disciplina rilevante in materia di protezione dei dati personali. L’Autorità ha inoltre considerato idonee le misure adottate dal titolare per rimuovere le criticità inizialmente segnalate. Per tali ragioni, ai sensi dell’art. 11, comma 1, lett. b), del regolamento interno n. 1/2019, è stata disposta l’archiviazione del procedimento.

Disposizioni finali

Il provvedimento dispone anche la pubblicazione ai sensi dell’art. 154-bis del Codice e dell’art. 37 del regolamento del Garante n. 1/2019. È altresì indicata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro i termini di trenta giorni dalla comunicazione o sessanta giorni se il ricorrente risiede all’estero.