Prescrizioni del Garante n. 760 del 18/12/2025

Jaguar Land Rover Italia S.p.a. e Dream Land S.r.l. - cookie banner e cookie policy sul sito www.dreamland.landrover.it

Il provvedimento riguarda il trattamento di dati personali effettuato mediante cookie e altri strumenti di tracciamento sul sito internet www.dreamland.landrover.it. L’Autorità è intervenuta a seguito di accertamenti online delegati alla Guardia di Finanza nell’ambito di una verifica sul rispetto delle Linee guida cookie del 10 giugno 2021.

Origine del procedimento e accertamenti svolti

L’istruttoria trae origine dalla delega conferita dal Garante al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza per svolgere controlli online su un campione di operatori e-commerce. Per il sito in esame, l’accertamento del 14 febbraio 2024 ha rilevato che:

• al primo accesso compariva un banner cookie a comparsa immediata con i pulsanti "CONSENTI TUTTI", "PREFERENZE COOKIE" e "RIFIUTA TUTTI";
• aprendo la cookie policy, il banner rimaneva visibile e impediva o comunque rendeva difficoltosa la piena lettura dell’informativa;
• la cookie policy conteneva indicazioni contraddittorie sul titolare del trattamento, richiamando una società indicata solo tramite una sede geografica e, al contempo, più soggetti qualificati come titolari autonomi;
• nel footer del sito compariva un riferimento a una società e a una partita IVA risultata inesistente;
• dai controlli del browser risultava l’effettivo uso di cookie.

Contestazione delle violazioni e contraddittorio

Con nota del 12 giugno 2024 l’Autorità ha avviato il procedimento ex art. 166, comma 5, Codice privacy, contestando la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e dell’art. 122 del Codice, nonché delle Linee guida cookie.

Le contestazioni si fondavano, in sintesi, su tre profili:

• la persistenza del banner che ostacolava la consultazione dell’informativa, in contrasto con i principi di correttezza e trasparenza;
• la confusione sull’identità del titolare del trattamento, con informazioni incoerenti e non affidabili per l’utente;
• l’incidenza di tali carenze sulla validità dei consensi eventualmente prestati.

JLRI ha sostenuto di non essere proprietaria né gestore del sito e di non avere titolo a rispondere delle modalità di visualizzazione del banner e della gestione dei cookie, attribuendo la titolarità a Dream Land. Quest’ultima ha replicato che il sito era uno strumento di supporto messo a disposizione nel rapporto di concessione, che le criticità erano dovute a problemi tecnici e che i ruoli di titolare autonomo erano definiti dal contratto e dal successivo allegato privacy. JLRI ha poi insistito sulla natura autonoma del concessionario, ma ha anche precisato che il sito era di proprietà di Jaguar Land Rover Limited e che Dream Land poteva operare solo tramite accessi dedicati o fornitore esterno, seguendo le linee guida di JLRI.

Qualificazione dei ruoli: contitolarità del trattamento

L’Autorità ha chiarito che l’istruttoria era circoscritta al trattamento effettuato sul sito mediante cookie e altri strumenti di tracciamento, non ai diversi trattamenti derivanti dai rapporti commerciali tra le parti.

Dal materiale acquisito è emerso che:

• il contratto di concessione non disciplinava specificamente il sito internet oggetto di verifica, salvo il divieto di usare determinati segni distintivi nei domini;
• la documentazione allegata non conteneva riferimenti ai trattamenti tramite cookie e strumenti di tracciamento online;
• i processi indicati nell’appendice privacy come "Generazione di Lead" e "Sistema di gestione dei Lead" non coincidevano con l’oggetto dell’istruttoria;
• il dominio era utilizzabile da Dream Land solo previo consenso di JLRI e alle condizioni da questa stabilite;
• JLRI disponeva degli strumenti per configurare correttamente il banner e per indirizzare le modifiche al sito.

Richiamando il criterio sostanziale e funzionale per l’individuazione dei ruoli, nonché la giurisprudenza della Corte di giustizia e le linee guida EDPB sui concetti di titolare e responsabile, il Garante ha ritenuto che JLRI e Dream Land avessero scelto congiuntamente di utilizzare quel sito per finalità di comune interesse e per ricavarne vantaggi commerciali. Di conseguenza, per il trattamento in questione, sono stati qualificati come contitolari ai sensi dell’art. 26 GDPR.

L’Autorità ha poi precisato che la corresponsabilità non equivale necessariamente a responsabilità identica: nel caso concreto la responsabilità per la corretta configurazione del banner è stata ritenuta prevalentemente in capo a JLRI, poiché solo essa disponeva degli strumenti tecnici necessari.

Violazioni riscontrate

Il Garante ha ritenuto che le condotte dei contitolari integrassero una violazione delle disposizioni richiamate in avvio del procedimento, in particolare perché:

• il banner impediva o rendeva difficoltosa la piena visualizzazione della cookie policy prima della scelta dell’utente;
• le informazioni sull’identità del titolare erano contraddittorie e non trasparenti;
• la carenza di chiarezza incideva sulla validità dei consensi eventualmente raccolti;
• i contitolari non avevano adeguatamente dimostrato di aver adottato misure idonee a garantire il rispetto dei principi di protezione dati e la tutela dei diritti degli interessati.

Il provvedimento richiama espressamente gli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR e l’art. 122 Codice privacy, oltre alle Linee guida cookie del 10 giugno 2021.

Misure correttive e ammonimento

Pur rilevando che alcune modifiche apportate nel corso del procedimento avevano parzialmente ripristinato la conformità, il Garante ha scelto di non applicare una sanzione pecuniaria. Ha invece ritenuto di adottare un ammonimento e due ingiunzioni correttive.

In particolare:

• ha rivolto a JLRI e Dream Land un ammonimento ex art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento;
• ha ingiunto a JLRI, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di adeguare il banner alle Linee guida cookie, evitando che ostacoli la corretta lettura dell’informativa;
• ha ingiunto a entrambi i contitolari, previa definizione di un accordo interno ex art. 26 GDPR, di fornire informazioni corrette sulla contitolarità e sul soggetto o sui soggetti cui rivolgersi per l’esercizio dei diritti.

Effetti ulteriori e tutela giurisdizionale

Il Garante ha disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

È stata inoltre richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria, entro trenta giorni dalla comunicazione del provvedimento, o sessanta giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 Codice privacy e dell’art. 10 del d.lgs. 150/2011.