Prescrizioni del Garante n. 80 del 08/02/2024

Maggioli S.p.A. - ammonimento per criticità nei banner cookie e nelle informative online

Il Garante per la protezione dei dati personali ha esaminato una serie di reclami presentati da interessati rappresentati da NOYB contro alcuni siti web riconducibili a Maggioli S.p.A., relativi alla gestione dei cookie e degli strumenti di tracciamento. L'istruttoria ha portato all'accertamento di alcune non conformità, poi in gran parte sanate nel corso del procedimento.

Origine del procedimento e oggetto dei reclami

I reclami, presentati nell'agosto 2021 ai sensi dell'art. 77 GDPR, riguardavano dieci siti della società e denunciavano irregolarità nella struttura e nel contenuto dei banner cookie e delle informative. In particolare, i reclamanti lamentavano:

• l'assenza di un pulsante di rifiuto sul primo livello del banner;
• l'uso di un link anziché di un pulsante per rifiutare i cookie;
• colori e contrasti ritenuti ingannevoli;
• la presenza di caselle preselezionate nel secondo livello;
• una procedura di revoca del consenso non agevole;
• il richiamo al legittimo interesse per trattamenti basati su cookie di profilazione, con conseguente mancata o non chiara indicazione del diritto di opposizione.

Attività istruttoria e accertamento ispettivo

Il Garante ha svolto un accertamento ispettivo nei giorni 1 e 2 agosto 2022, finalizzato a verificare la conformità dei siti e delle modalità di gestione dei cookie alle Linee guida cookie del 10 giugno 2021. Dall'istruttoria è emerso che:

• la società gestiva diversi domini Internet e si avvaleva della piattaforma OneTrust per la gestione dei consensi;
• i cookie di profilazione prima parte non risultavano utilizzati dalla società, mentre su 8 dei 10 siti erano presenti cookie di terze parti;
• l'infrastruttura OneTrust classificava automaticamente i cookie sulla base di Cookiepedia, con possibili errori di imputazione alla società per cookie di terzi non censiti;
• alcune criticità segnalate dai reclamanti erano state già corrette prima della presentazione dei reclami o comunque prima dell'intervento del Garante;
• la società aveva introdotto modifiche di usabilità, tra cui il comando di chiusura con la "X", l'icona per lo stato dei consensi e l'adeguamento cromatico dei pulsanti.

Violazioni contestate dal Garante

Con la comunicazione di avvio del procedimento del 30 maggio 2023, il Garante ha contestato a Maggioli S.p.A. di aver mantenuto, per otto siti web, un banner privo di indicazioni chiare sul significato della selezione della "X". Secondo l'Autorità, tale omissione violava:

• l'art. 5, par. 1, lett. a), GDPR, per il profilo di liceità, correttezza e trasparenza;
• gli artt. 12 e 13 GDPR, in materia di informazioni da fornire all'interessato.

È stata inoltre contestata la formula dell'informativa breve, che richiamava il legittimo interesse e il diritto di opposizione per trattamenti realizzati tramite cookie diversi da quelli tecnici. Il Garante ha ritenuto tale impostazione erronea e fuorviante, perché per i cookie non tecnici la disciplina speciale dell'art. 122 del Codice privacy richiede il consenso preventivo dell'utente e non consente di fondare il trattamento sul legittimo interesse. Da qui la contestazione anche degli artt. 4, punto 11, 5, 7, 12 e 13 GDPR e dell'art. 122 del Codice.

Infine, è stata ravvisata una violazione degli artt. 24, 25 e 28 GDPR, poiché la società aveva affidato la gestione del banner a OneTrust, partner tecnologico che non aveva garantito la conformità della soluzione adottata. Il Garante ha richiamato in particolare il dovere del titolare di scegliere un responsabile idoneo e di adottare misure tecniche e organizzative adeguate.

Difese della società e interventi successivi

Nelle memorie difensive del 29 giugno 2023, Maggioli S.p.A. ha sostenuto di aver sostituito il fornitore CMP, passando a Iubenda S.r.l. con contratto dell'11 maggio 2023, e di aver implementato una soluzione conforme per i siti interessati. Ha anche affermato di aver già rimosso, prima dell'avvio del procedimento, il riferimento al legittimo interesse nel banner breve.

La società ha inoltre sostenuto che il significato della "X" fosse noto agli utenti del web e che il trattamento fosse in concreto sempre basato sul consenso per i cookie di profilazione. Nel corso dell'istruttoria ha altresì dichiarato di aver:

• aggiornato le cookie policy;
• ridotto le categorie di cookie da quattro a due;
• corretto classificazioni errate di cookie di terze parti;
• aggiunto una sezione dedicata ai cookie nelle privacy policy;
• sostituito il testo del banner per alcuni siti;
• reso più agevole la revoca del consenso mediante un'icona accessibile da tutte le pagine.

Valutazioni del Garante

L'Autorità ha ritenuto sussistenti le violazioni, ma ha tenuto conto di alcuni elementi attenuanti. In particolare, ha valorizzato:

• la tempestiva attivazione della società dopo i reclami;
• l'assenza di danni per gli interessati, poiché il richiamo al legittimo interesse aveva riguardato solo cookie tecnici;
• l'assenza di dolo;
• la cooperazione nel corso del procedimento;
• il fatto che, a seguito del cambio di fornitore, i consensi fossero stati azzerati e i banner ripresentati ex novo;
• la mancanza di ulteriori reclami o segnalazioni.

Alla luce di tali circostanze, il Garante ha ritenuto di poter soprassedere dalla sanzione amministrativa pecuniaria e di adottare, in alternativa, un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR.

Dispositivo

Il Garante ha quindi:

• accertato l'illiceità dei trattamenti nei termini indicati in motivazione;
• rivolto a Maggioli S.p.A. un ammonimento per:
  • la mancata indicazione del significato della "X" nel banner;
  • l'errata menzione del legittimo interesse per i cookie;
  • l'individuazione di un responsabile del trattamento non adeguato;
• disposto l'annotazione nel registro interno dell'Autorità ai sensi dell'art. 17 del Regolamento n. 1/2019.

Rimedi e tutela giurisdizionale

Il provvedimento indica la possibilità di proporre opposizione dinanzi all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni per il ricorrente residente all'estero.