Prescrizioni del Garante n. 327 del 04/06/2025

Confalonieri S.r.l. - cookie e tracciamento online sul sito www.confalonieriauto.it

Il Garante per la protezione dei dati personali è intervenuto nei confronti di Confalonieri S.r.l., titolare del sito www.confalonieriauto.it, all’esito di accertamenti online svolti nell’ambito di una verifica di settore sul rispetto della disciplina in materia di cookie e altri strumenti di tracciamento.

Origine del procedimento e attività ispettiva

Il procedimento si inserisce in un’attività istruttoria avviata dall’Autorità con nota del 21 ottobre 2022, tramite delega al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, per verificare il rispetto delle Linee guida cookie del 10 giugno 2021. Dopo la trasmissione degli elenchi dei possibili destinatari da parte del Nucleo, Confalonieri S.r.l. è stata individuata con nota del 21 settembre 2023 tra i soggetti da sottoporre a controllo. L’accertamento è stato eseguito il 7 novembre 2023 sul sito internet dell’azienda.

Elementi riscontrati sul sito

Nel corso della verifica è stato rilevato un banner cookie a comparsa immediata, con indicazione dell’uso di cookie, pixel, tag e altri identificatori per finalità di funzionamento, miglioramento del sito e pubblicità personalizzata. Il banner presentava i pulsanti "X", "Scopri di più" e "Accetta tutti". Era inoltre disponibile nel footer il collegamento a Cookie Policy, Privacy Policy e impostazioni cookie.

L’Autorità ha però riscontrato diverse criticità:

• la cookie policy riportava riferimenti a norme abrogate e non indicava i destinatari dei dati;
• la privacy policy conteneva richiami a disposizioni non più vigenti e all’emergenza sanitaria Covid-19;
• l’informativa breve risultava carente, in quanto non forniva un quadro completo e aggiornato del trattamento effettuato tramite cookie.

Contestazioni e norme richiamate

Con comunicazione del 1 marzo 2024, ai sensi dell’art. 166, comma 5, del Codice privacy, il Garante ha avviato il procedimento contestando la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, dell’art. 122 del Codice e delle Linee guida cookie.

Le contestazioni riguardavano in particolare:

• l’incompletezza dell’informativa, priva di adeguate indicazioni sui destinatari dei dati e con richiami normativi superati;
• l’assenza di un avvertimento chiaro sul fatto che la chiusura del banner tramite "X" lascia inalterate le impostazioni di default;
• la configurazione del banner tale da farlo ricomparire a ogni accesso successivo se l’utente non aveva cliccato su "Accetta tutti" o su "Scopri di più", con possibile effetto di condizionamento della volontà dell’interessato.

Difese della società e modifiche successive

La società, con memoria del 28 marzo 2024, ha riferito che la gestione del sito era affidata a un soggetto terzo e di non disporre delle competenze tecniche per aggiornare direttamente l’informativa cookie.

Nel corso del procedimento l’Ufficio ha effettuato un nuovo accesso al sito, rilevando che il banner era stato modificato: compariva la formula secondo cui l’utente dichiarava di aver letto la privacy policy ex art. 13 GDPR e acconsentiva al trattamento dei dati per il servizio richiesto; risultavano disponibili solo i pulsanti "informativa Privacy" e "Accetto". Tuttavia, la cookie policy non era più reperibile e la privacy policy disponibile non conteneva alcun riferimento al trattamento dei dati tramite cookie o altri strumenti di tracciamento.

Valutazioni del Garante

Il Garante ha ribadito che il titolare è tenuto a fornire un’adeguata informativa sul trattamento dei dati effettuato mediante cookie o altri strumenti di tracciamento e, quando si utilizzano strumenti diversi da quelli tecnici, ad acquisire un consenso valido.

Sulla base degli elementi raccolti, ha ritenuto che:

• la mancanza di una cookie policy e l’insufficienza dell’informativa breve integrassero una violazione degli artt. 12 e 13 GDPR e delle Linee guida cookie;
• la ricomparsa del banner a ogni accesso nel caso di chiusura con "X" potesse condizionare l’utente, determinando la violazione degli artt. 4, punto 11, 5 e 7 GDPR, nonché dell’art. 122 del Codice;
• l’assenza dell’avvertenza circa il mantenimento delle impostazioni di default in caso di chiusura del banner con "X" violasse anche gli artt. 24 e 25 GDPR.

L’Autorità ha ritenuto che le modifiche apportate in pendenza del procedimento non fossero idonee a riportare il sito alla conformità e presentassero ulteriori profili di non conformità.

Provvedimenti adottati e esito finale

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Confalonieri S.r.l. di:

• conformare i trattamenti di dati personali effettuati mediante cookie e altri strumenti di tracciamento sul sito www.confalonieriauto.it alla normativa vigente;
• configurare il banner in modo da consentire un consenso specifico e informato per i cookie non tecnici;
• integrare l’informativa generale sul trattamento dei dati con uno specifico riferimento ai dati trattati tramite cookie.

Ai sensi dell’art. 58, par. 2, lett. b), GDPR, ha inoltre rivolto un ammonimento per l’inosservanza della disciplina in materia di cookie e strumenti di tracciamento.

Non è stata irrogata una sanzione pecuniaria; il Garante ha anche disposto l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.