Prescrizioni del Garante n. 554 del 12/09/2024

Logistica Nieddu S.r.l. - cookie e informativa sul sito www.nieddu.it

Il Garante per la protezione dei dati personali ha esaminato il sito internet www.nieddu.it di Logistica Nieddu S.r.l. a seguito di accertamenti online svolti dalla Guardia di Finanza nell’ambito di una più ampia attività di verifica sul rispetto delle Linee guida cookie del 10 giugno 2021. Il procedimento ha riguardato la mancata trasparenza sull’uso dei cookie e l’assenza di un valido meccanismo di raccolta del consenso per i cookie diversi da quelli tecnici.

Origine del procedimento e accertamenti

L’Autorità aveva delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza una serie di accertamenti su un campione di operatori, tra cui soggetti dell’e-commerce e, più in generale, servizi online. Logistica Nieddu S.r.l. era stata individuata come destinataria delle verifiche con nota del 30 novembre 2022. L’accesso effettuato il 31 gennaio 2023 sul sito www.nieddu.it ha evidenziato che:

• al primo ingresso non compariva alcun banner cookie;
• non era presente alcuna informativa sui cookie né, in generale, sul trattamento dei dati personali;
• dal browser risultava l’uso di cookie da parte del sito.

Contestazione delle violazioni

Con comunicazione del 30 maggio 2023, ai sensi dell’art. 166, comma 5, del Codice privacy, il Garante ha avviato il procedimento contestando la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, oltre alle prescrizioni delle Linee guida cookie. Le contestazioni riguardavano, in sostanza, l’omessa informativa e la mancata acquisizione di un consenso informato per l’eventuale utilizzo di cookie o strumenti di tracciamento diversi da quelli tecnici.

Condotte successive della società

La società non ha presentato scritti difensivi né ha chiesto di essere sentita. In una verifica successiva, l’Ufficio ha riscontrato che il titolare aveva pubblicato la privacy policy e la cookie policy e inserito nel footer del sito i collegamenti alle stesse, dichiarando l’uso di cookie tecnici di prima parte e cookie di terze parti non tecnici. Tuttavia, permaneva la criticità sostanziale: non era stato configurato un banner idoneo a raccogliere il consenso e il pulsante Cookie Settings risultava disattivato.

Valutazioni giuridiche del Garante

Il Garante ha ribadito che il titolare del trattamento deve fornire un’informativa completa sui trattamenti effettuati mediante cookie o altri strumenti di tracciamento. Quando vengono utilizzati cookie diversi da quelli tecnici, il titolare deve acquisire il consenso preventivo dell’utente, nel rispetto dei requisiti di libertà, specificità, informazione e inequivocabilità richiamati dagli artt. 4, punto 11, e 7 GDPR, nonché del principio di privacy by design e by default di cui all’art. 25 GDPR.

La mancanza dell’informativa è stata ritenuta sufficiente a integrare una violazione degli artt. 12 e 13 GDPR e delle Linee guida cookie; inoltre, tale omissione impediva di verificare con precisione se il sito utilizzasse solo cookie tecnici oppure anche cookie soggetti a consenso.

Esito del procedimento

All’esito, il Garante ha:

• accertato la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del GDPR e dell’art. 122 del Codice, dichiarando l’illiceità del trattamento;
• ingiunto alla società, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti svolti tramite cookie e altri strumenti di tracciamento sul sito www.nieddu.it alla normativa vigente;
• richiesto in particolare la configurazione di un banner che consenta all’utente di esprimere un consenso specifico e informato per i cookie non tecnici e di chiudere il banner continuando la navigazione senza installare cookie diversi da quelli tecnici;
• rivolto un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR per l’inosservanza delle disposizioni in materia di cookie e tracciamento;
• disposto l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

Sanzione e rimedi

Pur avendo ravvisato una violazione, il Garante ha escluso l’applicazione di una sanzione pecuniaria, ritenendo che, per le specificità del caso, fosse sufficiente l’ammonimento. La decisione valorizza parzialmente le iniziative correttive adottate dalla società, ma sottolinea che l’adeguamento deve includere un vero banner di consenso, non soltanto la pubblicazione delle informative.

Impugnazione

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all’estero.