Prescrizioni del Garante n. 246 del 29/04/2025

Ammonimento a XX S.r.l. per irregolarità nell’uso di cookie e strumenti di tracciamento

Il provvedimento riguarda XX S.r.l., titolare del trattamento per il sito web oggetto di verifica, nell’ambito di un’attività ispettiva del Garante sul rispetto della disciplina in materia di cookie e altri strumenti di tracciamento. L’istruttoria trae origine da controlli on-line delegati al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, avviati per monitorare la conformità alle Linee guida cookie del 10 giugno 2021.

Origine del procedimento e attività di accertamento

Con nota del 21 ottobre 2022, il Garante aveva delegato alla Guardia di Finanza una serie di verifiche on-line, da svolgersi inizialmente su un campione di operatori attivi in diversi settori, tra cui e-commerce, vendita di autoveicoli e trasporti. Successivamente, con nota del 21 settembre 2023, XX S.r.l. è stata individuata tra i soggetti da sottoporre a controllo. L’accertamento è stato eseguito l’8 novembre 2023 sul sito internet della società.

Esiti del controllo sul sito web

Nel corso dell’accesso al sito, gli operanti hanno rilevato la presenza di un banner cookie a comparsa immediata, con pulsanti "Accetta tutti", "Accetta solo i necessari", "X" e "Opzioni". Era inoltre sempre visibile un comando a forma di lucchetto che apriva un pop-up denominato "Centro Di Controllo Privacy", articolato in cinque sezioni: "Informazioni sul sito", "I miei diritti", "Il mio profilo privacy", "Informativa privacy" e "Gestione cookie".

La sezione dedicata alla gestione dei cookie consentiva di personalizzare le preferenze per i cookie diversi da quelli tecnici e riportava alcune informazioni sulle tecnologie di tracciamento impiegate. Tuttavia, il Garante ha evidenziato che, cliccando su uno dei comandi del banner, questo scompariva e non riappariva neppure nei successivi accessi; in luogo di esso compariva un secondo banner con la dicitura "Questo sito utilizza cookie e servizi di tracciamento di terze parti" e il comando "OK".

In un successivo accesso, dopo l’attività ispettiva, il secondo banner non era più visibile, ma i link alle informative collocati nel footer del sito continuavano a non funzionare.

Violazioni contestate e norme richiamate

Con la comunicazione di avvio del procedimento del 4 marzo 2024, ai sensi dell’art. 166, comma 5, del Codice privacy, il Garante ha contestato a XX S.r.l. la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, nonché dell’art. 122 del Codice e delle Linee guida cookie.

Le contestazioni riguardavano in particolare:

• il mancato funzionamento dei link utili alla consultazione della privacy policy e della cookie policy;
• la genericità delle informazioni contenute nel banner;
• la conseguente compromissione della validità dei consensi espressi per cookie diversi da quelli tecnici.

Difese della società e valutazioni preliminari del Garante

Nelle memorie difensive del 3 aprile 2024, la società ha contestato le modalità di svolgimento dell’attività investigativa e la regolarità della comunicazione di avvio del procedimento, sostenendo inoltre che al momento del controllo il sito fosse sottoposto a interventi tecnici. La società non ha chiesto di essere sentita.

Il Garante ha ritenuto infondate le eccezioni, osservando che gli addebiti riguardavano profili documentali acquisiti in atti, relativi alla correttezza e adeguatezza dei banner e delle informative. Ha inoltre escluso che l’atto di avvio fosse carente o lesivo del diritto di difesa, poiché le violazioni erano state descritte in modo puntuale, sia sotto il profilo fattuale sia sotto quello giuridico.

Adeguamenti eseguiti in corso di procedimento

Successivamente alle difese della società, un ulteriore accesso dell’Ufficio ha evidenziato che, nel frattempo, XX S.r.l. aveva integrato le informative privacy presenti sul sito e aveva nuovamente configurato il banner in modo tale da consentire all’utente:

• di proseguire la navigazione senza l’installazione di cookie diversi da quelli tecnici; oppure
• di esprimere un consenso informato, specifico e granulare all’uso di cookie non tecnici.

Il Garante ha quindi valorizzato l’intervento correttivo del titolare, qualificandolo come apprezzabile sforzo di rimedio alle criticità contestate.

Valutazione finale del Garante e natura del provvedimento

Pur ritenendo integrata la violazione delle disposizioni del GDPR, del Codice privacy e delle Linee guida cookie, il Garante ha considerato adeguate le misure adottate dalla società per eliminare le criticità riscontrate. Per tale ragione ha deciso:

• di non prescrivere ulteriori misure correttive;
• di non irrogare una sanzione pecuniaria;
• di rivolgere a XX S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR per l’inosservanza della disciplina sul trattamento dei dati mediante cookie e altri strumenti di tracciamento.

È stata inoltre disposta l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), del GDPR e dell’art. 17 del regolamento del Garante n. 1/2019.

Impugnazione

Il provvedimento indica la possibilità di proporre opposizione davanti all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all’estero.