Prescrizioni del Garante n. 670 del 13/11/2024

G. Glamour - informativa e consenso cookie insufficienti sul sito e-commerce

Il provvedimento riguarda G. Glamour di Riccio Antonietta, titolare del sito e-commerce www.gglamoursarzana.it, a seguito di accertamenti online svolti dalla Guardia di Finanza su delega del Garante nell’ambito di una verifica sul rispetto delle Linee guida cookie. L’Autorità ha esaminato il banner presente sul sito e la relativa informativa privacy, rilevando carenze nella gestione dell’informazione e del consenso per l’uso dei cookie.

Origine del procedimento e accertamenti svolti

L’Autorità aveva avviato un’attività di controllo su un campione di operatori dell’e-commerce, selezionati con criteri omogenei e predeterminati anche in base a indicatori dimensionali e geografici. G. Glamour è stata individuata tra i destinatari delle verifiche, effettuate il 5 maggio 2023.

All’esito dell’accesso al sito, il Garante ha rilevato che:

• in home page compariva un banner immediato con un’informazione generica sull’uso di cookie e tecnologie analoghe;
• nel banner erano presenti i pulsanti "OK" e "No grazie";
• il link "Informativa sulla privacy" conduceva a una pagina con l’informativa sul trattamento dei dati personali, ma senza alcun riferimento ai cookie;
• non risultava presente nel sito alcuna informativa cookie specifica.

Contestazione delle violazioni

Con comunicazione del 3 ottobre 2023, ai sensi dell’art. 166, comma 5, del Codice, il Garante ha avviato il procedimento contestando la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, oltre che delle Linee guida cookie.

Le contestazioni riguardavano in particolare:

• l’incompletezza dell’informativa fornita all’utente sui cookie;
• la carenza di indicazioni sulle tipologie di cookie utilizzate;
• l’impossibilità, derivante dalle informazioni presenti, di acquisire un consenso libero, informato e specifico.

Il Garante ha inoltre osservato che, in assenza di una corretta informativa cookie, non era possibile comprendere agevolmente se il sito utilizzasse solo cookie tecnici oppure anche cookie diversi da quelli tecnici; in quest’ultimo caso sarebbe stato necessario il consenso preventivo dell’utente ai sensi dell’art. 122, comma 1, del Codice, anche alla luce degli artt. 4, punto 11, 7 e 25 GDPR.

Condotte successive del titolare

Nel corso del procedimento, a seguito di un ulteriore accesso al sito, l’Ufficio ha riscontrato che il titolare aveva integrato il banner, aggiungendo il tasto "Gestisci preferenze". Tale opzione rinviava a un secondo livello informativo nel quale venivano indicate le categorie di cookie utilizzate dal sito, con flag preimpostato solo per i cookie di funzionamento.

Il Garante ha riconosciuto l’intervento come un parziale rimedio alle violazioni contestate, ma non sufficiente a sanare integralmente la non conformità riscontrata.

Valutazioni dell’Autorità

L’Autorità ha ribadito che il titolare è tenuto a fornire un’informativa chiara sul trattamento effettuato tramite cookie o altri strumenti di tracciamento e, quando si impiegano cookie diversi da quelli tecnici, a raccogliere il consenso dell’utente.

Sulla base degli elementi acquisiti, il Garante ha ritenuto che il trattamento fosse stato effettuato in violazione:

• degli artt. 12 e 13 GDPR, per l’inadeguatezza dell’informativa;
• delle indicazioni contenute nelle Linee guida cookie;
• degli artt. 4, punto 11, 5, 7, 24 e 25 GDPR e dell’art. 122 del Codice, per l’assenza di un meccanismo conforme di acquisizione del consenso e per la carenza di progettazione del banner in ottica di privacy by design e by default.

Provvedimenti adottati

Il Garante ha quindi:

• accertato la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice, dichiarando l’illiceità del trattamento;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti effettuati mediante cookie e altri strumenti di tracciamento alla normativa vigente;
• richiesto di configurare un banner che consenta già al primo livello di acquisire un consenso specifico e informato per i cookie di natura diversa da quella tecnica;
• richiesto di integrare l’informativa generale sul trattamento dei dati personali con specifico riferimento ai cookie;
• rivolto un ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare una sanzione pecuniaria, valorizzando le specificità del caso e l’intervento correttivo già posto in essere dal titolare.

Effetti ulteriori e tutela giurisdizionale

È stata disposta l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Avverso il provvedimento è proposta opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.