Prescrizioni del Garante n. 176 del 27/03/2025

Hit Italia S.r.l. - archiviazione per presunte violazioni su cookie e informativa privacy nel sito e-commerce

Il Garante ha esaminato un procedimento avviato nei confronti di Hit Italia S.r.l. in relazione al sito internet www.hitshop.it, nell’ambito di un’attività ispettiva on-line disposta per verificare il rispetto delle Linee guida in materia di cookie e altri strumenti di tracciamento. L’esito finale è stato l’archiviazione, perché non è stata ritenuta integrata una violazione rilevante della disciplina privacy.

Origine del procedimento e attività istruttoria

L’Autorità aveva delegato alla Guardia di Finanza - Nucleo speciale tutela privacy e frodi tecnologiche - una serie di accertamenti on-line su operatori dell’e-commerce, anche a seguito di numerosi reclami e segnalazioni in materia di cookie. Hit S.r.l. è stata individuata tra i destinatari delle verifiche e l’accertamento è stato effettuato il 10 maggio 2023.

Esiti dell’accertamento sul sito www.hitshop.it

Durante l’ispezione è emerso che:

• al primo accesso non compariva alcun banner immediato relativo ai cookie;
• nel footer del sito non era presente alcun collegamento a una Cookie Policy o, più in generale, a un’informativa privacy;
• solo simulando l’acquisto di un prodotto era visibile un link alla Privacy Policy, raggiungibile tramite la pagina "TERMINI E CONDIZIONI";
• nella pagina consultata si leggeva che il sito utilizzava cookie tecnici e cookie di tracciamento per statistiche e pubblicità, con rinvio alla possibilità di rifiuto tramite le impostazioni del browser;
• la sezione del browser relativa alle autorizzazioni mostrava l’installazione di 10 cookie.

Contestazioni formulate in avvio di procedimento

Con nota del 6 ottobre 2023, il Garante ha comunicato l’avvio del procedimento per l’eventuale adozione di misure ai sensi dell’art. 58, par. 2, GDPR, contestando la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento, nonché dell’art. 122 del Codice privacy e delle Linee guida cookie. In particolare, le criticità ipotizzate riguardavano:

• l’uso di informative non chiare e non trasparenti;
• la mancata predisposizione di un banner idoneo ad acquisire un consenso libero, informato e specifico;
• l’assenza del link alla cookie policy nel footer;
• la mancata informativa agli utenti che visitavano il sito senza procedere all’acquisto.

Difese della società e chiarimenti forniti

Hit S.r.l. ha chiesto di essere sentita e ha depositato memorie difensive. Ha contestato, tra l’altro, che il verbale di accertamento non specificasse la tipologia di cookie rilevati, sostenendo comunque che il sito utilizzava esclusivamente cookie tecnici e che, pertanto, sussisteva solo l’obbligo di informativa. Nel corso dell’audizione la società ha dichiarato che il sito non era più commercialmente attivo da agosto 2022, era stato sostituito da altro sito web e risultava rimasto online per mera dimenticanza, senza trattamenti di dati personali diversi da quelli tecnici. Dopo la notifica del procedimento, ha oscurato il sito, portandolo offline.

Valutazione del Garante

Il Garante ha escluso che vi sia stata una violazione del diritto di replica, rilevando che la contestazione non dipendeva dalla tipologia di cookie in sé, ma dall’obbligo del titolare di fornire un’informativa adeguata, chiara e comprensibile per l’utente medio. Ha poi valorizzato i seguenti elementi:

• il sito era da tempo in corso di dismissione alla data dell’avvio del procedimento;
• risultava l’uso esclusivo di cookie tecnici;
• durante l’accertamento era comunque emersa un’informativa sul trattamento dei dati personali;
• la società aveva oscurato tempestivamente il sito e collaborato con l’Autorità.

Esito

Alla luce di tali elementi, il Garante ha ritenuto che non fossero ravvisabili gli estremi di una violazione della disciplina rilevante in materia di protezione dei dati personali e ha disposto l’archiviazione del procedimento ai sensi dell’art. 11, comma 1, lett. b), del regolamento interno n. 1/2019. È stata inoltre disposta la pubblicazione del provvedimento ai sensi dell’art. 154-bis del Codice e dell’art. 37 del regolamento interno n. 1/2019.

Tutela giurisdizionale

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.