Prescrizioni del Garante n. 585 del 26/09/2024

Ammonimento a Venice By Boat S.r.l. per informative cookie incomplete e consenso non valido

Il Garante per la protezione dei dati personali ha esaminato il sito internet di Venice By Boat S.r.l. nell'ambito di verifiche online sul rispetto della disciplina in materia di cookie e altri strumenti di tracciamento. Il procedimento trae origine da accertamenti delegati alla Guardia di Finanza e riguarda la conformità del banner cookie e delle informative rese agli utenti.

Origine dell'istruttoria e attività di controllo

L'Autorità aveva avviato un programma di verifiche a campione su operatori dell'e-commerce, con particolare attenzione a settori come commercializzazione di autoveicoli, turismo e trasporti. Venice By Boat S.r.l. era stata individuata tra i destinatari dei controlli e l'accertamento è stato eseguito il 27 marzo 2023 sul sito www.venicebyboat.it.

Risultanze dell'accesso al sito

Dall'ispezione è emerso che, al primo accesso, compariva un banner immediato con un testo che invitava l'utente ad accettare cookie e tecnologie simili per scopi pubblicitari e statistici. Nel banner erano presenti il comando "Impostazioni cookie" e un tasto "X" per la chiusura, ma non veniva spiegato quale fosse l'effetto della chiusura del banner mediante tale comando. Secondo il Garante, tale omissione impediva all'utente di comprendere che la chiusura manteneva le impostazioni di default e consentiva la navigazione solo con cookie tecnici.

Il link all'informativa privacy apriva un testo ex art. 13 GDPR che, però, non forniva alcuna indicazione sul trattamento dei dati derivante dall'uso dei cookie. L'impostazione complessiva è stata ritenuta non trasparente e non conforme alle indicazioni delle Linee guida cookie del 10 giugno 2021.

Contestazioni formulate dall'Autorità

Con comunicazione del 24 luglio 2023, ai sensi dell'art. 166, comma 5, del Codice, il Garante ha contestato la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell'art. 122 del Codice, nonché delle Linee guida cookie. La contestazione riguardava in particolare:

• informative incomplete e non aggiornate;
• mancanza dell'avvertenza sul significato della chiusura del banner con la "X";
• possibili riflessi sulla validità dei consensi prestati dagli utenti.

Difese della società e interventi correttivi

La società ha presentato deduzioni scritte il 22 agosto 2023, senza chiedere audizione. Nei propri scritti difensivi ha riferito di aver posto tempestivamente il sito in manutenzione, di essersi affidata a un fornitore esterno per realizzazione e gestione del sito e di avere utilizzato un tool che avrebbe dato esito positivo in termini di compliance.

Successivamente, il titolare ha riconosciuto che l'informativa era fuorviante e ha dichiarato che il sito utilizzava soltanto cookie tecnici. Ha inoltre precisato che i dati raccolti mediante cookie analitici non erano mai stati elaborati e che era stato conferito incarico a un nuovo fornitore per la revisione delle procedure privacy.

Valutazioni del Garante

L'Autorità ha ritenuto che le informative incomplete e non aggiornate, insieme all'assenza di un avviso chiaro sugli effetti della chiusura del banner, avessero determinato un trattamento di dati personali in violazione degli artt. 12 e 13 GDPR e delle Linee guida cookie. Inoltre, la carenza di trasparenza e completezza delle informative è stata considerata idonea a incidere anche sulla validità del consenso, con conseguente richiamo degli artt. 4, punto 11, 5, 7, 24 GDPR e dell'art. 122 del Codice.

Il Garante ha tuttavia valorizzato lo sforzo del titolare di porre rimedio alle criticità, modificando la cookie policy in modo da chiarire che il sito utilizza solo cookie tecnici e disabilitando il banner.

Dispositivo

Nel dispositivo finale il Garante:

• accerta la violazione degli artt. 5, 12 e 13 GDPR e dichiara l'illiceità del trattamento;
• dispone l'archiviazione con riferimento alle violazioni degli artt. 4, punto 11, 7, 24 e 25 GDPR e dell'art. 122 del Codice;
• rivolge a Venice By Boat S.r.l. un ammonimento ai sensi dell'art. 58, par. 2, lett. b) GDPR per l'inosservanza della disciplina in materia di cookie e tracciamento, con particolare riferimento alle informative incomplete e non aggiornate, alla mancata avvertenza sulla chiusura del banner e alla mancata acquisizione di un valido consenso.

Conseguenze procedurali

Il provvedimento dispone l'annotazione nel registro interno dell'Autorità, ai sensi dell'art. 57, par. 1, lett. u), GDPR e dell'art. 17 del Regolamento del Garante n. 1/2019. È infine indicata la possibilità di opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.