Prescrizioni del Garante n. 738 del 04/12/2025

Ditta Individuale XX - cookie e informativa privacy del sito internet

Il Garante per la protezione dei dati personali è intervenuto nei confronti di una ditta individuale titolare di un sito internet, nell’ambito di un’attività di verifica avviata sui trattamenti online realizzati da operatori e-commerce. Il procedimento riguarda la conformità alla disciplina sui cookie e sugli altri strumenti di tracciamento, con particolare riferimento agli obblighi di informativa e, ove necessario, di acquisizione del consenso.

Origine dell’accertamento e rilievi iniziali

L’Autorità ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza l’esecuzione di accertamenti online, anche in considerazione dei numerosi reclami in materia di cookie. Dopo una selezione dei possibili destinatari, la ditta individuale è stata individuata tra i soggetti da verificare e il controllo è stato effettuato il 6 febbraio 2024 sul sito internet del titolare.

In tale occasione sono emersi i seguenti elementi:

• al primo accesso non compariva alcun banner relativo ai cookie;
• il sito non conteneva alcuna informativa sul trattamento dei dati personali;
• dalle impostazioni del browser risultava che il sito utilizzava cookie.

Avvio del procedimento e contestazioni normative

Con comunicazione del 3 giugno 2024, ai sensi dell’art. 166, comma 5, del Codice privacy, l’Autorità ha avviato il procedimento indicando le presunte violazioni degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, dell’art. 122 del Codice privacy e delle Linee guida cookie del 10 giugno 2021.

Le contestazioni riguardavano, in sostanza:

• la mancata pubblicazione dell’informativa privacy;
• la mancata predisposizione di un banner idoneo a raccogliere il consenso per cookie diversi da quelli tecnici;
• l’assenza di un adeguato assetto di trasparenza e di compliance rispetto ai trattamenti effettuati tramite strumenti di tracciamento.

Difese del titolare e documentazione prodotta

Il titolare non ha chiesto di essere sentito, ma ha presentato scritti difensivi e documenti. Ha dichiarato che, alla data dell’accertamento, il sito sarebbe stato dotato di un banner inattivo per criticità tecniche legate alla versione PHP e ad aggiornamenti di moduli e plugin, sostenendo di non poter intervenire perché privo di accesso al pannello di controllo del sito e dell’hosting.

Nelle difese è stato inoltre affermato che:

• il sito utilizzava un solo cookie di natura tecnica, propedeutico al funzionamento del sito;
• il giorno successivo alla ricezione della segnalazione il titolare avrebbe ripristinato la conformità, inserendo la privacy policy e un nuovo banner;
• la non conformità avrebbe potuto avere inizio solo dal 13 dicembre 2023, a seguito di una comunicazione del fornitore dello spazio web.

Ulteriore riscontro dell’Ufficio

Dopo le memorie difensive, l’Ufficio ha effettuato un ulteriore accesso al sito, riscontrando che:

• al primo accesso compariva di nuovo il banner già presente in precedenza, con l’indicazione che il sito utilizza cookie essenziali e cookie di tracciamento e con i comandi “Maggiori informazioni”, “Ok” e “Rifiuta”;
• cliccando su “Maggiori informazioni” era consultabile la privacy policy;
• cliccando su “Ok” compariva un secondo banner, che richiedeva nuovamente una scelta e faceva riferimento all’utilizzo di cookie diversi da quelli tecnici;
• la privacy policy rinviava a una cookie policy di dettaglio non raggiungibile ed era costruita su un formulario generico fornito da terzi, non personalizzato in base al trattamento effettivamente svolto.

Valutazioni del Garante

Il Garante ha ribadito che il titolare è tenuto a fornire l’informativa sul trattamento dei dati effettuato mediante cookie o altri strumenti di tracciamento e, quando si usano cookie non tecnici, ad acquisire un consenso valido ai sensi dell’art. 122, comma 1, del Codice privacy, in relazione anche agli artt. 4, punto 11, e 7 GDPR.

Nel merito, l’Autorità ha ritenuto che:

• non fosse accoglibile la tesi delle criticità tecniche, perché il titolare avrebbe dovuto verificare il funzionamento del sito con ordinaria diligenza e nel rispetto del principio di accountability;
• le informazioni rese tramite banner e informativa fossero insufficienti e contraddittorie;
• risultasse violato l’obbligo di trasparenza di cui agli artt. 12 e 13 GDPR e le prescrizioni delle Linee guida cookie;
• le criticità impedissero persino di comprendere con chiarezza se il sito utilizzasse solo cookie tecnici oppure anche cookie di profilazione o comunque diversi da quelli tecnici.

L’Autorità ha anche chiarito che, se fossero usati solo cookie tecnici, sarebbe necessaria la sola informativa; se invece fossero utilizzati cookie diversi da quelli tecnici, sarebbe necessario anche un consenso libero, specifico e informato, coerente con l’art. 25 GDPR.

Misure disposte e esito finale

Pur riconoscendo l’apprezzabile sforzo del titolare di aver parzialmente rimediato alle violazioni con l’implementazione del banner, il Garante ha ritenuto che tale intervento fosse solo in parte idoneo a ripristinare la conformità.

Ha quindi:

• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti di dati personali effettuati tramite cookie e altri strumenti di tracciamento alla normativa vigente;
• imposto l’integrazione dell’informativa privacy con specifico riferimento ai cookie;
• richiesto che, in caso di uso di cookie diversi da quelli tecnici, il banner consenta all’utente di esprimere un consenso informato, specifico e granulare già al primo livello;
• rivolto un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di cookie e strumenti di tracciamento.

L’Autorità ha deciso di non applicare sanzioni pecuniarie, in ragione delle specificità dell’accertamento, e ha disposto l’annotazione della violazione e delle misure adottate nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR.