Prescrizioni del Garante n. 667 del 13/11/2024

AOSOM ITALY S.r.l. - ammonimento per trattamento non conforme dei dati tramite cookie

Il provvedimento riguarda AOSOM ITALY S.r.l. e il trattamento di dati personali effettuato attraverso cookie e altri strumenti di tracciamento sul sito www.aosom.it. L’Autorità interviene nell’ambito di una verifica avviata per controllare il rispetto delle Linee guida cookie del 10 giugno 2021, a seguito di un’attività delegata al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza.

Origine del procedimento e attività istruttoria

Il Garante richiama la delega conferita alla Guardia di Finanza per svolgere accertamenti online su un campione di operatori dell’e-commerce. AOSOM ITALY S.r.l. è stata individuata tra i destinatari delle verifiche, eseguite il 20 aprile 2023 sul sito internet della società.

Nel corso dell’accertamento, il banner presente nella home page informava gli utenti dell’uso di cookie propri e di terze parti per migliorare l’esperienza di navigazione, adattare la pubblicità e misurare l’uso del sito. Nel banner erano presenti i pulsanti "Accetta" e "Rifiuta" e un link alla "Politica sui cookies".

Criticità riscontrate sul banner e sull’informativa

L’istruttoria ha evidenziato che l’informativa collegata al banner:

• richiamava ancora l’abrogato art. 13 del Codice privacy;
• faceva riferimento al previgente Provvedimento generale sui cookie del 2014;
• conteneva una sezione finale di disabilitazione dei cookie tramite impostazioni del browser.

L’Autorità ha contestato che, al momento dell’accertamento, il titolare non avesse adottato un meccanismo idoneo a consentire un consenso libero, specifico e granulare, né un’informativa pienamente trasparente sui trattamenti effettuati mediante cookie. Per tale ragione, sono state inizialmente prospettate violazioni degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento (UE) 2016/679 e dell’art. 122 del Codice, oltre che delle indicazioni delle Linee guida cookie.

Difese e misure correttive del titolare

Nella memoria del 12 ottobre 2023 e nella successiva integrazione del 12 dicembre 2023, AOSOM ITALY S.r.l. ha riconosciuto un possibile disallineamento rispetto alla normativa vigente e ha dichiarato di aver:

• aggiornato la cookie policy alle Linee guida cookie;
• integrato il banner con un pulsante "Modifica", aggiuntivo rispetto ai pulsanti "Accetta" e "Rifiuta", per consentire di selezionare quali cookie accettare e quali rifiutare;
• eliminato dai propri archivi i dati già acquisiti mediante il precedente flag "Accetta".

Successivamente, un ulteriore accesso al sito da parte dell’Ufficio ha rilevato che il banner mostrava il tasto "Impostazioni", sostanzialmente equivalente alla funzione indicata dalla difesa come "Modifica", oltre alla X per la chiusura del banner.

Valutazioni del Garante

Sulla base degli elementi acquisiti, il Garante ha ritenuto che al momento dell’accertamento il titolare:

• non avesse predisposto un meccanismo conforme per la raccolta del consenso ai cookie;
• avesse fornito un’informativa non idonea;
• avesse quindi violato gli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e l’art. 122 del Codice.

L’Autorità ha però valorizzato:

• l’apprezzabile sforzo del titolare per rimediare alle criticità;
• la cancellazione dei dati precedentemente raccolti;
• la collaborazione mostrata nel corso del procedimento.

Esito: ammonimento e assenza di sanzione pecuniaria

Il Garante ha concluso che le misure adottate risultano, allo stato, idonee a rimuovere le criticità riscontrate e ha quindi escluso l’adozione di ulteriori misure correttive.

In ragione delle specificità del caso, ha anche deciso di prescindere da una sanzione pecuniaria, limitandosi a rivolgere ad AOSOM ITALY S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento.

Ulteriori disposizioni

Il provvedimento dispone inoltre l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u) GDPR.

È infine ricordata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all’estero.