Prescrizioni del Garante n. 668 del 13/11/2024

Milia S.r.l. - ammonimento per banner cookie e informative non conformi sul sito e-commerce

Il Garante per la protezione dei dati personali ha esaminato il sito e-commerce di Milia S.r.l. nell’ambito di una campagna di verifiche online sul rispetto delle Linee guida cookie del 10 giugno 2021. L’accertamento ha riguardato la conformità del banner cookie e dell’informativa resa agli utenti al primo accesso al sito www.miliashop.com.

Origine dell’istruttoria e attività di controllo

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online, concentrati inizialmente sugli operatori dell’e-commerce. Milia S.r.l. è stata selezionata sulla base di criteri omogenei e predeterminati, anche in ragione di indicatori dimensionali e geografici. L’ispezione sul sito è stata eseguita il 24 aprile 2023.

Esiti dell’accertamento sul sito internet

Nel corso del controllo è emerso che, al primo accesso:

• il banner cookie era visualizzato in lingua inglese;
• era presente la dicitura "We use cookies to give the best experience. If you do nothing, we’ll assume that’s ok";
• la parola "cookies" rinviava alla pagina "Politica sui cookie", che elencava cookie necessari, funzionali, di performance e di terzi per marketing e retargeting;
• mancavano formule di consenso specifiche e granulari per i cookie non tecnici;
• mancava un comando di chiusura "X";
• mancava un tasto "Rifiuta";
• l’utente poteva solo proseguire la navigazione accettando l’utilizzo di cookie di profilazione.

Successivamente, un ulteriore accesso ha mostrato che il banner non compariva più nella forma originaria, a conferma di un intervento correttivo intervenuto nel frattempo.

Contestazione delle violazioni

Con comunicazione del 22 settembre 2023, ai sensi dell’art. 166, comma 5, Codice privacy, il Garante ha avviato il procedimento contestando la violazione:

• degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 GDPR;
• dell’art. 122 Codice privacy;
• delle Linee guida cookie.

Le criticità individuate riguardavano, in sintesi:

• l’assenza di un’informativa chiara e fruibile anche per gli utenti italiani, in violazione degli artt. 12 e 13 GDPR;
• la mancata predisposizione di un banner idoneo a consentire un consenso informato, libero e granulare ai cookie diversi da quelli tecnici o, in alternativa, la prosecuzione della navigazione con le sole impostazioni di default.

Difese della società e adeguamento del sito

Milia S.r.l. ha presentato deduzioni scritte il 1° dicembre 2023 senza chiedere audizione. Ha rappresentato di aver incaricato un nuovo fornitore già il 16 agosto 2023, dunque prima della notifica della contestazione, per la revisione della privacy policy e della cookie policy.

Nel corso del procedimento, l’Ufficio ha riscontrato che il banner era stato effettivamente riconfigurato in modo conforme: previa idonea informativa, l’utente poteva ora esprimere un consenso informato, libero e granulare oppure continuare la navigazione con le sole impostazioni di default, senza l’installazione di cookie non tecnici.

Valutazioni del Garante e decisione finale

Il Garante ha valorizzato l’intervento correttivo del titolare, ritenendolo idoneo a rimuovere le criticità riscontrate. Per tale ragione:

• non ha imposto ulteriori misure correttive;
• ha escluso l’irrogazione di una sanzione pecuniaria;
• ha adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR.

L’Autorità ha quindi accertato la violazione degli artt. 4, punto 11, 5, 7, 24 e 25 GDPR e dell’art. 122 Codice privacy, dichiarando l’illiceità del trattamento per la fase in cui il sito era stato gestito in modo non conforme.

Prescrizioni, annotazione e tutela giurisdizionale

Il provvedimento dispone l’annotazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019, con riferimento alle violazioni e alle misure adottate.

È inoltre indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.