Prescrizioni del Garante n. 669 del 13/11/2024

Capital Investment Corporation S.r.l. – cookie e informativa privacy sul sito www.figashop.it

Il provvedimento riguarda Capital Investment Corporation S.r.l., titolare del sito e-commerce www.figashop.it, ed è stato adottato all’esito di accertamenti online svolti dalla Guardia di Finanza su delega del Garante nell’ambito di un’attività ispettiva sul rispetto delle Linee guida cookie. L’Autorità ha rilevato una iniziale assenza totale di informativa e banner cookie e ha poi valutato gli adempimenti successivamente introdotti dal titolare come ancora non conformi.

Origine del procedimento e accertamenti svolti

L’istruttoria prende avvio dalla nota del 21 ottobre 2022 con cui il Garante ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di verifiche online, da svolgere in una prima fase su un campione di operatori dell’e-commerce. Con successiva selezione del 28 febbraio 2023, Capital Investment Corporation S.r.l. è stata individuata tra i destinatari dei controlli, effettuati il 26 aprile 2023 sul sito www.figashop.it.

All’esito dell’ispezione è stato riscontrato che:

• al primo accesso non compariva alcun banner a comparsa immediata sull’uso dei cookie;
• non era presente alcuna informativa, né sui cookie né sul trattamento dei dati personali in generale;
• tramite le impostazioni del browser risultava che il sito faceva uso di cookie.

Contestazione delle violazioni

Con nota del 22 settembre 2023 l’Autorità ha avviato il procedimento per l’eventuale adozione di misure ex art. 58, par. 2, GDPR, contestando la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento, nonché dell’art. 122 del Codice privacy e delle Linee guida cookie del 10 giugno 2021.

La contestazione ruotava attorno alla carenza assoluta di informativa generale e di informativa cookie, che impediva persino di comprendere se il sito utilizzasse soltanto cookie tecnici oppure anche cookie diversi dai tecnici. In quest’ultimo caso, infatti, sarebbe stato necessario acquisire un consenso preventivo, informato, specifico e granulare.

Condotte successive del titolare

Nel corso del procedimento il titolare ha adottato alcuni correttivi: ha pubblicato una privacy policy all’indirizzo indicato nel provvedimento e ha inserito un banner nella home page con il testo informativo sui cookie e tre opzioni, "Gestisci preferenze", "Accetta" e "Rifiuta".

Il Garante ha tuttavia evidenziato che la privacy policy risultava comunque carente sotto il profilo dei requisiti imposti dalla normativa vigente e conteneva richiami a disposizioni del previgente Codice privacy ormai abrogate. Inoltre, è stata riscontrata l’assenza nel footer del sito di un link permanente alle informative, con la conseguenza che l’utente, dopo aver interagito con il banner, non poteva agevolmente richiamare nuovamente le informazioni necessarie.

Valutazioni del Garante

L’Autorità ha ribadito che il titolare del trattamento deve fornire un’informativa sul trattamento mediante cookie o altri strumenti di tracciamento in modo accessibile e comprensibile e, quando siano impiegati strumenti diversi da quelli tecnici, deve acquisire un consenso valido ai sensi del GDPR.

Nel caso di specie, la mancanza originaria di informativa e la non conformità degli adempimenti successivi hanno portato a ritenere integrata una violazione della normativa in materia di protezione dei dati personali e delle indicazioni contenute nelle Linee guida cookie.

Provvedimenti adottati

Il Garante ha quindi:

• accertato la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice privacy, dichiarando l’illiceità del trattamento;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti di dati personali effettuati mediante cookie e altri strumenti di tracciamento alla normativa vigente;
• imposto di predisporre un’informativa privacy conforme al GDPR e alle Linee guida cookie;
• ordinato l’inserimento nel footer della home page di un link permanente alle informative in materia di trattamento dei dati personali e cookie;
• rivolto, ai sensi dell’art. 58, par. 2, lett. b), GDPR, un ammonimento alla società per l’inosservanza delle disposizioni vigenti in materia di cookie e altri strumenti di tracciamento.

Sanzione e registrazione interna

Pur in presenza di una violazione accertata, il Garante ha ritenuto, in ragione delle specificità del caso e dello sforzo parziale di adeguamento posto in essere dal titolare, di prescindere dall’irrogazione di una sanzione pecuniaria. È stata inoltre disposta l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 57, par. 1, lett. u), del GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.