Prescrizioni del Garante n. 436 del 17/07/2025

Ammonimento alla D.I. Dall'Auto Gianpiero per informative cookie e tracciamento non conformi

Il Garante per la protezione dei dati personali ha adottato un ammonimento nei confronti della D.I. Dall'Auto Gianpiero, a seguito di controlli online svolti sul sito internet dell'operatore. Il procedimento è scaturito da verifiche delegate alla Guardia di Finanza nell'ambito di un'attività ispettiva sul rispetto delle Linee guida cookie del 10 giugno 2021.

Origine del procedimento e accertamenti svolti

Con nota del 21 ottobre 2022 l'Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza l'effettuazione di accertamenti online su un campione di possibili operatori e-commerce. Dopo la trasmissione degli elenchi dei potenziali destinatari e la selezione predeterminata su base territoriale e dimensionale, la D.I. Dall'Auto Gianpiero è stata individuata tra i soggetti da verificare. L'accertamento sul sito www.dallautogianpiero.it è stato eseguito il 27 novembre 2023.

Esito del controllo sul sito

Dalla verifica è emerso che, al primo accesso, nella home page compariva un banner cookie con la dicitura secondo cui i cookie sarebbero stati utilizzati per offrire la migliore esperienza sul sito. Il banner presentava i pulsanti "OK" e "X"; posizionando il cursore su "X" compariva la scritta "NO". Dopo il click su "OK" o sulla "X", il banner scompariva e rendeva visibile il menù del sito, con il link ai "Contatti".

All'interno della sezione contatti era presente un form per richieste di informazioni e assistenza, nonché un link denominato "Informativa sulla Privacy". Tuttavia, il link rinviava a una pagina di errore. Il Garante ha quindi rilevato che nel sito non erano presenti né la privacy policy né la cookie policy.

Contestazione delle violazioni

Con comunicazione del 26 marzo 2024, adottata ai sensi dell'art. 166, comma 5, del Codice privacy, il Garante ha avviato il procedimento contestando le violazioni degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, dell'art. 122 del Codice e delle indicazioni delle Linee guida cookie. La contestazione si fondava sul fatto che la società non aveva reso un'informativa chiara e trasparente sul trattamento dei dati effettuato mediante cookie e che la carenza informativa incideva anche sulla validità di eventuali consensi espressi attraverso il pulsante "OK" nel banner.

Difese del titolare

Con memoria del 23 aprile 2024 la Ditta ha sostenuto che il sito, sviluppato nel 2015, era stato sempre utilizzato come mero sito vetrina per fornire informazioni essenziali su azienda, servizi e prodotti. Ha inoltre dichiarato che il sito non conteneva codici di Google Analytics né link o contatti verso social network. La Ditta ha riferito di avere disposto l'oscuramento del sito per procedere agli adeguamenti necessari e che privacy policy e cookie policy erano in fase di aggiornamento.

Ulteriori verifiche e valutazione del Garante

In un successivo accesso, effettuato dopo l'accertamento del Nucleo, la comunicazione ex art. 166, comma 5, e la memoria difensiva, l'Ufficio ha constatato che il sito risultava interamente oscurato e mostrava soltanto la dicitura "Sito in manutenzione".

Nel merito, il Garante ha ribadito che il titolare deve fornire un'informativa sul trattamento dei dati personali effettuato mediante cookie o altri strumenti di tracciamento e che, in caso di utilizzo di cookie o tecnologie non tecniche, deve acquisire il consenso dell'utente. L'informativa deve essere resa in modo conciso, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro, illustrando anche le finalità del trattamento. Nel caso concreto, l'Autorità ha osservato non solo l'assenza di una informativa estesa e completa, ma anche l'inadeguatezza dell'informativa sintetica del banner, che non consentiva di comprendere se il sito facesse uso di cookie diversi da quelli tecnici.

Ha inoltre ritenuto che, ai sensi degli artt. 4.11, 7, 12 e 13 GDPR, la carenza informativa incidesse sulla validità di eventuali consensi prestati mediante il pulsante "OK". È stata altresì richiamata la responsabilità del titolare ai sensi degli artt. 24 e 25 GDPR e dell'art. 5, par. 2, GDPR, in ordine alla scelta delle misure adeguate e alla dimostrazione del rispetto della normativa.

Esito finale: ammonimento senza sanzione pecuniaria

Pur ritenendo integrata la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell'art. 122 del Codice, l'Autorità ha considerato che, allo stato, l'oscuramento del sito non consentiva di ritenere rimosse le criticità né deponeva per la prosecuzione degli illeciti. Tuttavia, tenuto conto delle specificità dell'accertamento, delle dichiarazioni difensive e dell'atteggiamento collaborativo del titolare, il Garante ha ritenuto di poter prescindere da una sanzione pecuniaria, limitandosi a rivolgere un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR per l'inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento.

Adempimenti successivi e impugnazione

Il provvedimento dispone l'annotazione nel registro interno dell'Autorità, ai sensi dell'art. 57, par. 1, lett. u), GDPR e dell'art. 17 del Regolamento del Garante n. 1/2019. È infine richiamata la possibilità di proporre opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all'estero.