Prescrizioni del Garante n. 556 del 12/09/2024

Ammonimento a Elifriulia S.p.A. per gestione non conforme dei cookie sul sito www.elifriulia.it

Il provvedimento riguarda Elifriulia S.p.A., in qualità di titolare del trattamento, ed è stato adottato all’esito di accertamenti online svolti dal Garante sul rispetto della disciplina in materia di cookie e altri strumenti di tracciamento. L’intervento trae origine da verifiche delegate alla Guardia di Finanza nell’ambito di un monitoraggio più ampio sui siti web di operatori economici.

Origine del procedimento e attività istruttoria

L’Autorità ha richiamato il quadro normativo del Regolamento (UE) 2016/679, del Codice privacy e delle Linee guida cookie del 10 giugno 2021. Con nota del 21 ottobre 2022 ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti online; con successive note sono stati individuati i possibili destinatari e, tra questi, Elifriulia S.p.A., sottoposta a verifica il 31 gennaio 2023 sul sito internet www.elifriulia.it.

Esiti dell’accertamento sul sito

In sede di accesso al sito, il Garante ha rilevato che:

• il banner cookie appariva immediatamente sulla home page con un testo che sostanzialmente invitava ad accettare i cookie;
• non era possibile chiudere il banner tramite un comando autonomo, se non selezionando l’opzione di accettazione;
• non era disponibile una informativa completa e specifica sull’utilizzo dei cookie, poiché la sola privacy policy non conteneva indicazioni sui trattamenti effettuati tramite cookie;
• non era prevista alcuna scelta granulare tra diverse categorie di cookie o strumenti di tracciamento.

Violazioni contestate e norme richiamate

Con la comunicazione di avvio del procedimento del 30 maggio 2023, l’Autorità ha contestato la possibile violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice privacy, oltre alle indicazioni contenute nelle Linee guida cookie. In particolare, il Garante ha ritenuto che:

• l’omessa informativa sui cookie integrasse una violazione degli artt. 12 e 13 GDPR;
• la mancata configurazione del banner in modo da consentire un consenso informato, libero e granulare, oppure la prosecuzione della navigazione con le impostazioni di default e senza cookie diversi da quelli tecnici, comportasse la violazione delle altre disposizioni sopra richiamate.

Difese e interventi del titolare

La società ha trasmesso deduzioni scritte il 30 giugno 2023, senza chiedere di essere sentita. Nei propri scritti ha rappresentato di aver tempestivamente attivato un servizio terzo, denominato "Cookiebot", per la gestione della Cookie Consent e della Cookie Policy, con attivazione del relativo banner informativo.

L’Ufficio ha poi effettuato un ulteriore accesso al sito, rilevando che in pendenza del procedimento il titolare aveva effettivamente riconfigurato il banner in modo da consentire all’utente, previa idonea informativa, di esprimere un consenso informato, libero e granulare all’uso di cookie diversi da quelli tecnici, oppure di continuare la navigazione con le impostazioni di default senza l’impiego di cookie diversi da quelli tecnici.

Valutazione del Garante

L’Autorità ha ribadito che grava sul titolare l’obbligo di fornire una informativa sul trattamento dei dati personali effettuato mediante cookie o altri strumenti di tracciamento e, quando siano impiegati cookie diversi da quelli tecnici, di raccogliere un consenso che sia informato, libero e granulare.

Nel caso concreto, sulla base degli elementi acquisiti al momento dell’accertamento, il Garante ha accertato l’illiceità del trattamento per la mancata informativa e per la configurazione non conforme del banner. Tuttavia, ha valorizzato l’apprezzabile sforzo del titolare nel porre rimedio alle criticità contestate nel corso del procedimento.

Esito finale: ammonimento e archiviazione delle misure ulteriori

Il Garante ha ritenuto che le misure adottate da Elifriulia S.p.A. fossero idonee a rimuovere le criticità rilevate e ha pertanto escluso la necessità di prescrivere ulteriori misure correttive. In considerazione delle specificità del caso, ha anche deciso di prescindere dall’irrogazione di una sanzione pecuniaria, limitandosi a rivolgere un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR per l’inosservanza della disciplina sul trattamento mediante cookie e altri strumenti di tracciamento.

Dispositivo e conseguenze

Nel dispositivo, il Garante:

• accerta la violazione degli artt. 4, punto 11, 5, 7, 24 e 25 GDPR e dell’art. 122 del Codice privacy, dichiarando l’illiceità del trattamento;
• rivolge a Elifriulia S.p.A. un ammonimento per l’omessa informativa e per la mancata configurazione originaria del banner in modo conforme ai requisiti del consenso;
• dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.