Prescrizioni del Garante n. 329 del 04/06/2025

Ammonimento a Centralcar S.p.A. per gestione non conforme dei cookie sul sito e-commerce

Il Garante per la protezione dei dati personali ha adottato nei confronti di Centralcar S.p.A. un provvedimento di ammonimento in relazione al trattamento di dati personali mediante cookie e altri strumenti di tracciamento sul sito www.centralcar.it. L’intervento trae origine da verifiche online svolte nell’ambito di un’attività delegata alla Guardia di Finanza su un campione di operatori e-commerce.

Origine del procedimento e attività istruttoria

L’Autorità ha richiamato le Linee guida in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021 e il protocollo d’intesa con la Guardia di Finanza del 30 marzo 2021. Con nota del 21 ottobre 2022 ha delegato il Nucleo speciale tutela privacy e frodi tecnologiche ad accertamenti online; successivamente, con nota del 21 settembre 2023, Centralcar S.p.A. è stata individuata tra i destinatari dei controlli, effettuati il 27 novembre 2023 sul sito internet della società.

Esiti dell’accertamento sul sito

Durante il primo accesso al sito, il banner cookie riportava un’informativa breve secondo cui il sito utilizzava cookie per migliorare la navigazione e invitava l’utente a proseguire per accettare cookie del sito e di terze parti; il banner conteneva il comando "Ho compreso e accetto" e rimandava all’informativa estesa tramite link dedicato. Nel footer erano presenti i collegamenti "Tutela della privacy", "Informativa sui cookie" e "I miei consensi".

Contestazioni mosse dall’Autorità

Con nota del 26 marzo 2024, ai sensi dell’art. 166, comma 5, del Codice privacy, il Garante ha avviato il procedimento per l’eventuale adozione di misure ex art. 58, par. 2, GDPR, contestando la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento, nonché dell’art. 122 del Codice e delle Linee guida cookie. Le principali criticità individuate erano:

• assenza, nel banner, di un pulsante che consentisse di chiuderlo e proseguire la navigazione con le impostazioni di default, senza installare cookie diversi da quelli tecnici;
• impossibilità per l’utente di esprimere un consenso specifico e granulare rispetto alle diverse tipologie di cookie;
• incoerenza tra la richiesta di consenso e quanto indicato nell’informativa cookie, che affermava l’assenza di cookie di profilazione utilizzati direttamente dal sito.

Difese della società e adeguamento spontaneo

Nella memoria del 9 maggio 2024, Centralcar S.p.A. ha riconosciuto che il widget non prevedeva la "x" di chiusura del banner né un pulsante di non accettazione, né strumenti granulari per la gestione dei consensi. Ha tuttavia sostenuto che il sistema, in concreto, limitasse i trattamenti a finalità tecniche e che l’utente non fosse tracciato o profilato per impostazione predefinita. La società ha inoltre dichiarato di aver già adeguato il sito attraverso un nuovo banner fornito da terzi e opportunamente configurato.

Valutazione del Garante

L’Autorità ha effettuato un ulteriore accesso al sito e ha constatato la presenza del nuovo banner, che ora includeva i pulsanti "Scopri di più e personalizza", "Rifiuta", "Accetta" e "Continua senza accettare". Il Garante ha ritenuto non condivisibili le difese della società per la fase antecedente, affermando che le modalità di acquisizione del consenso non erano conformi alla normativa e alle Linee guida cookie. In particolare, ha rilevato che:

• l’informativa breve era inadeguata e insufficiente, con violazione degli artt. 12 e 13 GDPR e delle Linee guida cookie;
• la configurazione del banner non permetteva una scelta libera e valida, determinando la violazione degli artt. 4, punto 11, 5, 7, 24 e 25 GDPR, nonché dell’art. 122 del Codice privacy.

Misura adottata e motivazione

Pur accertando la violazione, il Garante ha valorizzato il fatto che le modifiche apportate dal titolare in corso di procedimento avevano ripristinato la conformità del sito e che la società aveva tenuto un atteggiamento proattivo. Per tali ragioni ha ritenuto di non applicare una sanzione pecuniaria e ha adottato, ai sensi dell’art. 58, par. 2, lett. b) GDPR, un ammonimento nei confronti di Centralcar S.p.A. per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento.

Effetti ulteriori e rimedi

Il provvedimento dispone l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019. È inoltre richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all’estero.