Prescrizioni del Garante n. 618 del 23/10/2025

Multicar S.p.A. Gruppo Amarù: banner cookie e informativa sito web non conformi

Il Garante per la protezione dei dati personali ha esaminato il sito internet di Multicar S.p.A. Gruppo Amarù nell’ambito di un’attività di controllo delegata alla Guardia di Finanza sul rispetto delle Linee guida cookie del 10 giugno 2021. L’esito ha riguardato il trattamento di dati personali connesso all’uso di cookie e altri strumenti di tracciamento sul sito aziendale.

Origine del procedimento e attività istruttoria

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online, concentrati inizialmente su operatori dell’e-commerce, in particolare nel settore della commercializzazione di autoveicoli. Multicar S.p.A. Gruppo Amarù è stata successivamente individuata tra i destinatari delle verifiche, svolte il 10 gennaio 2024 sul sito www.multicaramaru.com.

Esiti delle verifiche sul sito

Nel corso dell’accesso ispettivo è emerso che:

• al primo accesso non compariva alcun banner relativo ai cookie;
• nel footer era presente un link alla pagina privacy policy, nella quale la società era indicata come "responsabile del trattamento" ed era presente una sezione dedicata a cookie tecnici, di profilazione e di terze parti;
• tramite le impostazioni del browser risultava che il sito faceva uso di cookie.

Sulla base di tali elementi, il Garante ha contestato l’omessa implementazione di un banner idoneo a raccogliere il consenso per cookie diversi da quelli tecnici, l’errata qualificazione dei ruoli soggettivi e l’omesso aggiornamento dell’informativa sul trattamento dei dati personali.

Difese della società e sviluppi nel corso del procedimento

Con memorie del 7 giugno 2024 e con ulteriori osservazioni rese in audizione il 3 luglio 2024, la società ha sostenuto che i cookie utilizzati al momento dell’accertamento fossero esclusivamente tecnici e che la contestazione relativa all’informativa fosse solo formale, poiché la stessa sarebbe stata comunque idonea allo scopo.

La società ha inoltre documentato di avere modificato il sito, introducendo un nuovo banner che consentiva agli utenti di esprimere il consenso all’utilizzo di cookie diversi dai tecnici oppure di proseguire la navigazione con le impostazioni di default, affermando che il banner conteneva le informazioni necessarie per una decisione informata.

Tuttavia, un ulteriore accesso effettuato dall’Ufficio dopo la comunicazione di avvio del procedimento ha evidenziato che la configurazione del sito era stata nuovamente modificata e che le misure adottate non avevano rimosso integralmente le criticità: il banner non consentiva la prosecuzione della navigazione con le impostazioni di default e l’informativa conteneva riferimenti a norme ormai abrogate, senza chiarire se il sito utilizzasse cookie diversi da quelli tecnici.

Valutazioni del Garante

Il Garante ha respinto l’eccezione della società sulla pretesa sufficienza dell’informativa, osservando che la contestazione non riguardava soltanto il richiamo a norme superate, ma anche l’erronea individuazione dei ruoli soggettivi e dell’identità del titolare del trattamento. Tali elementi sono considerati essenziali dall’art. 13 GDPR.

All’esito dell’istruttoria, l’Autorità ha ritenuto integrata una violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR, nonché dell’art. 122 del Codice privacy e delle Linee guida cookie.

Misure adottate e conseguenze

Il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, che Multicar S.p.A. Gruppo Amarù:

• conformi il banner alle indicazioni delle Linee guida cookie;
• inserisca un comando che consenta di proseguire la navigazione con le impostazioni di default, senza installazione di cookie diversi da quelli tecnici;
• aggiorni l’informativa sul sito con le informazioni di dettaglio sui cookie utilizzati e con i pertinenti riferimenti normativi.

In ragione delle specificità del caso, l’Autorità ha ritenuto di non applicare una sanzione pecuniaria, limitandosi a rivolgere un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di cookie e altri strumenti di tracciamento.

Annotazione e opposizione

È stata disposta l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria, con ricorso da depositare entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.