Prescrizioni del Garante n. 738 del 27/11/2024

Ammonimento a Guiness Travel S.r.l. per cookie banner e cookie policy non conformi

Il Garante ha esaminato il trattamento svolto da Guiness Travel S.r.l. tramite il sito www.guinesstravel.it, a seguito di accertamenti online delegati alla Guardia di Finanza nell’ambito di una verifica sul rispetto delle Linee guida cookie. Il procedimento riguarda la configurazione del cookie banner e dell’informativa sul sito aziendale, con particolare riferimento al consenso dell’utente e ai trasferimenti dei dati verso Paesi terzi.

Origine del procedimento e attività ispettiva

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online su un campione di operatori, tra cui soggetti dell’e-commerce e del settore turistico. Guiness Travel S.r.l. era stata selezionata con criterio predeterminato e uniforme, anche in base a indicatori dimensionali e geografici. Le verifiche sul sito www.guinesstravel.it sono state effettuate il 26 gennaio 2023.

Esiti della verifica sul sito

Dalla verifica iniziale è emerso che, al primo accesso:

• compariva un banner con la dicitura relativa a cookie tecnici e di terze parti;
• erano presenti solo i pulsanti "Presto il consenso" e "Scopri di più";
• non era previsto alcun comando per chiudere il banner;
• non era possibile effettuare scelte granulari sulle diverse tipologie di cookie;
• in caso di inattività per circa 15/20 secondi il banner scompariva;
• l’informativa richiamata conteneva riferimenti all’uso di cookie diversi da quelli tecnici e al trasferimento dei dati verso Stati Uniti e Gran Bretagna.

Il Garante ha inoltre rilevato che, alla consultazione del browser, il sito risultava utilizzare cookie e che, ai successivi accessi, il banner non ricompariva.

Contestazione delle violazioni

Con comunicazione di avvio del procedimento del 19 gennaio 2024, l’Autorità ha contestato la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice privacy, oltre alle indicazioni delle Linee guida cookie del 10 giugno 2021. Le criticità riscontrate riguardavano in particolare:

• l’impossibilità di esprimere un consenso specifico e realmente libero al primo accesso;
• la mancanza di opzioni granulari per accettare o rifiutare le diverse categorie di cookie;
• la presenza di informazioni datate, inesatte o incomplete sul trasferimento dei dati verso Stati Uniti e Gran Bretagna.

Difese della società e interventi di adeguamento

Guiness Travel S.r.l. ha depositato memorie difensive, sostenendo che le carenze del sito erano state sanate prima della notifica dell’avvio del procedimento e, comunque, senza conoscenza degli accertamenti svolti nel gennaio 2023. La società ha dichiarato di aver avviato nel marzo 2023 una revisione del dominio, conclusa nel luglio 2023, con aggiornamento del cookie banner e della cookie policy.

Ulteriori accessi effettuati dall’Ufficio hanno confermato che, in pendenza del procedimento, il sito era stato modificato in modo da renderlo conforme alla normativa in materia di protezione dei dati personali e alle Linee guida cookie.

Valutazioni del Garante

Il Garante ha ritenuto che, al momento della verifica della Guardia di Finanza, il trattamento fosse illecito per la mancata predisposizione di un banner idoneo a consentire un consenso informato, libero e granulare e per le carenze dell’informativa. Tuttavia ha valorizzato lo sforzo del titolare di porre rimedio alle violazioni prima della notifica dell’avvio del procedimento e senza ancora avere contezza degli accertamenti in corso.

Per tale ragione ha concluso che le modifiche apportate fossero sufficienti a rimuovere le criticità e ha escluso l’adozione di ulteriori misure correttive.

Esito: ammonimento e annotazione interna

In considerazione delle specificità del caso, il Garante ha deciso di prescindere dalla sanzione pecuniaria e ha rivolto a Guiness Travel S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento.

È stata inoltre disposta l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u) GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.