Prescrizioni del Garante n. 328 del 04/06/2025

Ammonimento a Centrauto Cancellieri 2 S.r.l. per gestione non conforme dei cookie e informativa privacy obsoleta

Il Garante per la protezione dei dati personali ha esaminato il sito web della società Centrauto Cancellieri 2 S.r.l. nell’ambito di un’attività ispettiva on-line sul rispetto delle Linee guida cookie. Il procedimento si è concluso con un ammonimento, senza sanzione pecuniaria, in ragione dell’adeguamento spontaneo del titolare prima della definizione dell’istruttoria.

Origine dell’istruttoria e accertamenti tecnici

L’attività trae origine da una delega del Garante al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, conferita per svolgere verifiche su un campione di operatori, tra cui soggetti operanti nell’e-commerce e in altri settori. La società è stata individuata tra i destinatari delle verifiche e il sito www.centrautocancellieri.it è stato controllato il 30 novembre 2023.

Nel corso del primo accesso sono state rilevate le seguenti circostanze:

• presenza di un banner cookie a comparsa immediata con testo che prospettava l’uso di cookie tecnici e di profilazione, anche di terze parti, e che faceva ritenere accettata la profilazione proseguendo nella navigazione o cliccando su un elemento qualsiasi;
• presenza di un comando "OK" e di un pulsante per consultare la pagina informativa sui cookie e sul rifiuto;
• rinvio, tramite il banner e altri link del sito, a un’informativa denominata «Informativa d.L. 30 giugno 2003 n. 196 "CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI"»;
• presenza di evidenze tecniche dell’uso di cookie nel sito.

Criticità riscontrate

Secondo l’Autorità, il banner non consentiva all’utente di proseguire la navigazione mantenendo le impostazioni di default senza cookie diversi da quelli tecnici, né di esprimere un consenso valido ai cookie di profilazione. Inoltre, l’informativa richiamata appariva obsoleta e recava riferimenti normativi non più attuali.

Nella comunicazione di avvio del procedimento del 29 marzo 2024, il Garante ha contestato la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, dell’art. 122 del Codice privacy e delle Linee guida cookie.

Adeguamento successivo del titolare

In un successivo accesso al sito, effettuato dopo l’accertamento, è stato verificato che la società aveva modificato il banner cookie, introducendo la possibilità di:

• esprimere un consenso personalizzato all’uso dei cookie diversi da quelli tecnici;
• chiudere il banner e continuare la navigazione con le impostazioni di default, senza l’utilizzo di cookie diversi da quelli tecnici.

Sono risultate inoltre aggiornate le informative sul trattamento dei dati personali alla normativa più recente. Il Garante ha valorizzato tale adeguamento spontaneo, avvenuto prima della notifica della contestazione.

Valutazioni del Garante e norme richiamate

L’Autorità ha ritenuto che la condotta originaria configurasse la violazione:

• dell’art. 4, punto 11, GDPR, in tema di consenso;
• degli artt. 5, 7, 12, 13, 24 e 25 GDPR, relativi ai principi del trattamento, alle condizioni del consenso, alla trasparenza, alle informazioni da fornire all’interessato, alla responsabilizzazione del titolare e alla protezione dei dati fin dalla progettazione e per impostazione predefinita;
• dell’art. 122 del Codice privacy;
• delle prescrizioni contenute nelle Linee guida cookie del 10 giugno 2021.

Tuttavia, ha ritenuto che le misure adottate dal titolare fossero idonee a eliminare le criticità riscontrate e ha escluso la necessità di ulteriori misure correttive.

Esito del procedimento

In considerazione delle specificità del caso e dell’adeguamento spontaneo del titolare, il Garante ha deciso di prescindere dall’irrogazione di una sanzione amministrativa pecuniaria e ha applicato il solo ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, per l’inosservanza della disciplina in materia di cookie e strumenti di tracciamento.

È stata inoltre disposta, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR, l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Tutela giurisdizionale

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.