Prescrizioni del Garante n. 584 del 26/09/2024

Maddalena Lines S.r.l. - banner cookie e informative del sito web

Il provvedimento riguarda Maddalena Lines S.r.l. e il trattamento dei dati personali effettuato tramite il sito internet www.maddalenalines.it, in particolare con riferimento al banner cookie e alle informative rese agli utenti. Il procedimento è stato avviato nell’ambito di controlli online delegati alla Guardia di Finanza sul rispetto delle Linee guida cookie del Garante.

Origine dell’istruttoria e accertamento

L’Autorità ha richiamato il protocollo d’intesa con la Guardia di Finanza e la delega conferita al Nucleo speciale tutela privacy e frodi tecnologiche per verifiche online su operatori e-commerce, tra cui i titolari attivi nel settore dei trasporti e dei servizi turistici. Nell’ambito di tali controlli, il 27 marzo 2023 è stato esaminato il sito della società.

Durante l’accertamento è stato rilevato che:

• il banner in home page informava gli utenti che, continuando la navigazione, acconsentivano all’utilizzo dei cookie;
• erano presenti i comandi "Continua" e "Cookie policy";
• mancava un comando di chiusura "X" che consentisse di proseguire con le impostazioni di default senza installazione di cookie diversi da quelli tecnici;
• l’informativa estesa elencava varie categorie di cookie, ma conteneva un paragrafo sull’informativa privacy che richiamava il previgente d.lgs. 196/2003 e non spiegava il trattamento connesso ai cookie installati;
• non era possibile effettuare scelte granulari sui trattamenti tramite cookie.

Contestazioni iniziali

Con comunicazione del 24 luglio 2023, ai sensi dell’art. 166, comma 5, del Codice, il Garante ha avviato il procedimento ipotizzando la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice, oltre al contrasto con le Linee guida cookie. Le criticità contestate riguardavano in particolare:

• l’assenza di una chiara indicazione sull’uso di cookie diversi da quelli tecnici;
• l’impossibilità di continuare la navigazione senza installare cookie non tecnici;
• la scarsa chiarezza della privacy policy e della cookie policy;
• la mancata acquisizione di un consenso specifico e granulare.

Difese della società e aggiornamenti del sito

La società ha sostenuto che il sito, al momento dell’ispezione, fosse in fase di testing e che la versione definitiva fosse stata pubblicata il 28 luglio 2023. Ha affermato che il nuovo sito prevede:

• un banner a scomparsa con informativa sulla tipologia di cookie;
• un’informativa breve sulla finalità dei cookie;
• un comando di chiusura "X";
• la possibilità di accettare, rifiutare o selezionare le diverse tipologie di cookie;
• la navigazione anche in caso di rifiuto dei cookie non tecnici;
• il rinvio alla cookie policy estesa e all’informativa privacy aggiornata.

La società ha inoltre dichiarato che il sito, sia nella precedente versione sia in quella attuale, impiega solo cookie tecnici.

Valutazioni del Garante

A seguito di un successivo accesso, l’Ufficio ha verificato l’implementazione del nuovo sito e delle modifiche comunicate dalla società. Tuttavia, il Garante ha osservato che, se davvero il sito utilizza esclusivamente cookie tecnici, il banner risulta inutile e potenzialmente fuorviante, poiché per tali cookie non è richiesto il consenso ma solo un’informativa specifica, eventualmente inserita in quella generale, ai sensi del par. 5 delle Linee guida cookie.

L’Autorità ha rilevato inoltre che il nuovo banner riportava una formula generica sul personalizzare contenuti e annunci, analizzare il traffico e condividere informazioni con partner di analisi, pubblicità e social media, senza un link diretto alla cookie policy, neppure nella sezione "mostra dettagli". Se il sito impiegasse anche cookie diversi da quelli tecnici, sarebbe stata necessaria una cookie policy accessibile dal banner medesimo.

Alla luce di ciò, il Garante ha ritenuto che la condotta tenuta al tempo dell’accertamento integrasse una violazione degli artt. 5, 12 e 13 GDPR e delle Linee guida cookie.

Esito sulle singole contestazioni

Il Garante ha preso atto del parziale rimedio adottato dal titolare, consistente nell’integrazione del banner con una informativa breve più completa e con l’inserimento di campi per gestire le preferenze, compreso il tasto "Rifiuta". Per questa ragione ha ritenuto di non dover prescrivere ulteriori misure correttive.

Ha inoltre stabilito che non risultavano provate le violazioni relative:

• alla necessità di acquisire il consenso per cookie diversi da quelli tecnici;
• alle modalità di acquisizione di tale consenso;
• agli artt. 4, punto 11, 7, 24 e 25 GDPR;
• all’art. 122 del Codice, disponendo per tali profili l’archiviazione.

Provvedimento finale

Pur avendo accertato la violazione degli artt. 5, 12 e 13 GDPR e dichiarato l’illiceità del trattamento, il Garante ha ritenuto, in ragione delle specificità del caso, di non applicare una sanzione pecuniaria. Ha invece rivolto a Maddalena Lines S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di trattamento dei dati personali mediante cookie e altri strumenti di tracciamento.

È stata inoltre disposta l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), del GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Tutela giurisdizionale

Contro il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.