Prescrizioni del Garante n. 702 del 14/11/2024

SAT GROUP S.r.l.s. e gestione dei cookie sul sito sg1shop.it

Il Garante per la protezione dei dati personali ha esaminato il sito e-commerce www.sg1shop.it della società SAT GROUP S.r.l.s., nell’ambito di una più ampia attività di verifica sul rispetto delle Linee guida cookie del 10 giugno 2021. L’intervento trae origine da accertamenti online delegati alla Guardia di Finanza e mira a valutare la conformità del banner cookie, delle informative e delle modalità di raccolta del consenso.

Origine del procedimento e accertamenti

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di controlli on-line, focalizzati in una prima fase su operatori dell’e-commerce. SAT GROUP S.r.l.s. è stata individuata come destinataria delle verifiche, effettuate il 19 maggio 2023 sul sito www.sg1shop.it.

Nel corso dell’accesso sono stati riscontrati:

• un banner iniziale con i pulsanti "OK", "CHIUDI" e "Cookie Policy";
• una cookie policy che descriveva il sito come utilizzatore di soli cookie tecnici;
• una informativa privacy con sezioni dedicate a "Tipologie di dati raccolti" e "Cookie Policy", con formulazioni che lasciavano intendere anche l’uso di cookie o altri strumenti di tracciamento;
• l’installazione di 6 cookie con il pulsante "OK" e di 1 cookie con il pulsante "CHIUDI";
• la riproposizione del banner a ogni accesso successivo, anche dopo l’accettazione dei cookie.

Contestazioni del Garante

Con comunicazione del 17 ottobre 2023, ai sensi dell’art. 166, comma 5, del Codice, il Garante ha avviato il procedimento contestando le violazioni degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, nonché delle Linee guida cookie.

Le criticità individuate riguardavano, in sintesi:

• la mancanza di chiarezza del banner, che non spiegava in modo comprensibile il significato dei pulsanti né gli effetti della chiusura con "CHIUDI";
• l’insufficienza e l’incoerenza delle informazioni rese agli utenti, poiché non era possibile comprendere con precisione quali tecnologie di tracciamento fossero effettivamente utilizzate;
• la mancata adozione di misure idonee a evitare la riproposizione ridondante e invasiva del banner ad ogni nuovo accesso;
• la conseguente lesione dei principi di correttezza, trasparenza e privacy by design.

Valutazioni e condotta in corso di procedimento

SAT GROUP S.r.l.s. non ha presentato scritti difensivi né ha chiesto di essere sentita. In un successivo accesso dell’Ufficio, avvenuto dopo l’avvio del procedimento, è stato verificato che il titolare aveva rimosso solo parzialmente le criticità, introducendo un meccanismo di consenso granulare per i cookie diversi da quelli tecnici.

Il Garante ha comunque ritenuto che, sulla base degli elementi acquisiti al momento degli accertamenti, la condotta fosse in violazione delle norme richiamate e avesse determinato l’illiceità del trattamento.

Provvedimenti adottati

L’Autorità ha adottato due misure principali:

• ai sensi dell’art. 58, par. 2, lett. d) GDPR, ha ingiunto a SAT GROUP S.r.l.s. di conformare il trattamento effettuato tramite cookie e altri strumenti di tracciamento sul sito www.sg1shop.it alla normativa vigente, imponendo in particolare che il banner indichi chiaramente che la chiusura tramite la "X" o il tasto "Chiudi" comporta il permanere delle impostazioni di default e la prosecuzione della navigazione in assenza di cookie o strumenti di tracciamento diversi da quelli tecnici;
• ai sensi dell’art. 58, par. 2, lett. b) GDPR, ha rivolto un ammonimento per l’inosservanza delle disposizioni applicabili al trattamento mediante cookie e altri strumenti di tracciamento.

Il Garante ha inoltre disposto l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u) GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Sanzione e rimedi

Non è stata irrogata una sanzione amministrativa pecuniaria. L’Autorità ha espressamente ritenuto, in ragione delle specificità dell’accertamento, di poter prescindere da misure sanzionatorie pecuniarie, limitandosi all’ammonimento e all’ingiunzione di adeguamento.

Impugnazione

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.