Prescrizioni del Garante n. 582 del 26/09/2024

Ammonimento a Eav per banner cookie non conforme sul sito istituzionale

Il provvedimento riguarda Eav – Ente Autonomo Volturno S.r.l., quale titolare del trattamento del sito https://www.eavsrl.it/web/, e trae origine da accertamenti online svolti dal Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza nell’ambito delle verifiche sul rispetto delle Linee guida cookie del 10 giugno 2021.

Origine del procedimento e attività istruttoria

Con nota del 21 ottobre 2022 il Garante aveva delegato alla Guardia di Finanza una serie di accertamenti online, concentrati in una prima fase su operatori dell’e-commerce e su soggetti operanti nei servizi di trasporto e turistici. In tale contesto, con nota del 30 novembre 2022, Eav è stata individuata tra i destinatari delle verifiche, poi concretamente eseguite il 6 febbraio 2023.

L’attività di controllo ha riguardato il banner cookie presente in homepage. Al primo accesso il banner riportava un testo informativo esteso e offriva i comandi "Più opzioni" e "Accetto", ma non un comando di chiusura immediata e riconoscibile, idoneo a consentire la prosecuzione della navigazione mantenendo le impostazioni predefinite di rifiuto dei cookie non tecnici.

Criticità rilevate sul banner cookie

Dagli accertamenti è emerso che:

• il banner non prevedeva un tasto "X" o altro comando equivalente per chiuderlo rapidamente;
• l’utente che intendesse proseguire senza prestare consenso era costretto ad accedere al secondo livello del banner, cioè all’area dedicata alle scelte di dettaglio;
• la scelta di rifiuto risultava quindi meno agevole rispetto a quella di accettazione.

Il Garante ha ritenuto che, pur essendo correttamente pre-impostato il diniego alla ricezione di cookie di profilazione, la configurazione del banner non rispettasse le indicazioni delle Linee guida cookie e non garantisse una modalità realmente semplice per mantenere il rifiuto dei cookie non tecnici.

Violazioni contestate e norme richiamate

Con la comunicazione di avvio del procedimento del 5 giugno 2023, ai sensi dell’art. 166, comma 5, del Codice privacy, sono state contestate:

• la violazione dell’art. 5, par. 1, lett. a), GDPR, in relazione al principio di correttezza;
• la violazione dell’art. 25, par. 2, GDPR, in materia di protezione dei dati fin dalla progettazione e per impostazione predefinita;
• l’inosservanza delle Linee guida cookie del 10 giugno 2021.

L’Autorità ha richiamato il principio per cui il titolare deve adottare una condotta rigorosamente conforme alla normativa e orientata alla massima tutela dei diritti e delle libertà degli interessati.

Difese del titolare e adeguamento spontaneo

Eav ha presentato deduzioni il 29 giugno 2023, riferendo di aver provveduto, tramite la società incaricata della realizzazione e manutenzione del sito, a rimuovere tempestivamente la criticità. In particolare, ha comunicato di aver adeguato il banner cookie inserendo un pulsante "X" in alto a destra, così da consentire in un solo passaggio la fruizione del sito senza accettare i cookie, lasciando inalterate le condizioni di rifiuto. Ha inoltre affermato che la chiusura era sempre possibile anche mediante tasto ESC.

Il Garante ha preso atto del successivo adeguamento del banner, che ora presenta un comando ben visibile con "X" e, al passaggio del cursore, la dicitura "Non accetto".

Valutazioni del Garante

L’Autorità ha ritenuto che la condotta accertata integrasse una violazione degli artt. 5, par. 1, lett. a), e 25, par. 2, GDPR, oltre che delle Linee guida cookie, perché l’utente non disponeva di un comando immediato per chiudere il banner mantenendo il rifiuto delle installazioni non tecniche.

Tuttavia, ha valorizzato:

• l’intervento tempestivo del titolare per adeguare il banner;
• l’idoneità delle misure adottate a rimuovere le criticità segnalate;
• le specificità del caso, che hanno consentito di prescindere da una sanzione pecuniaria.

Dispositivo

Nel provvedimento finale il Garante:

• accerta la violazione degli artt. 5, par. 1, lett. a), e 25, par. 2, GDPR;
• dichiara l’illiceità del trattamento;
• rivolge a Eav – Ente Autonomo Volturno S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, per l’inosservanza della disciplina in materia di cookie e altri strumenti di tracciamento;
• dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Non è stata applicata alcuna sanzione pecuniaria.

Impugnazione

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.