[doc. web n. 10095143]

Provvedimento del 12 settembre 2024

Registro dei provvedimenti
n. 556 del 12 settembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, ed il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Linee guida in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021 (in www.garanteprivacy.it, doc. web n. 9677876, di seguito “Linee Guida cookie”);

VISTO il Protocollo d’intesa del 30 marzo 2021 siglato dal Corpo della Guardia di Finanza e dal Garante per la protezione dei dati personali;

VISTA la nota n. 57504 del 21 ottobre 2022 con la quale l’Autorità, tenuto conto dell’esigenza di procedere ad una verifica sul rispetto delle citate Linee guida, anche alla luce dei numerosi reclami pervenuti in materia, ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza (di seguito, anche “Nucleo”) l’effettuazione di una serie di accertamenti on-line chiedendo di concentrare l’attività, in una prima fase, su un campione di operatori nell’ambito dell’e-commerce e, più in particolare, della commercializzazione di autoveicoli e dei trattamenti svolti da operatori turistici e aziende di trasporto terrestre, marittimo ed aereo;

VISTA la nota n. 65159 del 17 novembre 2022 con la quale il Nucleo ha fornito gli elenchi dei possibili destinatari degli accertamenti, indicando l’area geografica di provenienza e il volume d’affari;

VISTA la nota n. 73600 del 30 novembre 2022 con la quale, nel rispetto di canoni di omogeneità dell’intervento e in applicazione di un criterio selettivo predeterminato e uniforme su tutto il territorio nazionale, fondato anche su indicatori dimensionali e geografici, Elifriulia S.p.A. è stata individuata, unitamente ad altri titolari, tra i soggetti destinatari di dette verifiche, concretamente effettuate in data 31 Gennaio 2023 in relazione al sito internet www.elifriulia.it;

CONSIDERATO che, in tale sede, è emerso che:

- al primo accesso al sito appariva sulla home page il banner a comparsa immediata sull’utilizzo dei cookie che riportava quanto segue: “Utilizziamo i cookie per essere sicuri che tu possa avere la migliore esperienza sul nostro sito. Selezionando il tasto "Accetto i cookie" accetti l'utilizzo dei cookies, alla pagina Privacy Policy troverai tutte le specifiche e le limitazioni”;

- non era possibile chiudere il banner tramite un apposito comando se non cliccando sul checkbox “Accetto i cookie”;

-  non era presente un’informativa completa e specifica sull’utilizzo dei cookie; la sola informativa disponibile era quella relativa alla privacy policy, che tuttavia non conteneva alcun riferimento ai trattamenti di dati personali effettuati per il tramite di cookie;

- non era consentita l’effettuazione di scelte granulari riguardo ai trattamenti di dati personali effettuati per il tramite di cookie;

VISTA la nota del 30 maggio 2023 con la quale, ai sensi dell’art. 166, comma 5, del Codice, l’Autorità ha comunicato a Elifriulia S.p.A. l’avvio del procedimento per l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2 del Regolamento e le presunte violazioni di legge, individuate, nel caso di specie, nella violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento e dell’art. 122 del Codice, nonché delle indicazioni contenute nelle Linee guida cookie, riconducibili all’omissione dell’informativa sull’utilizzo dei cookie e alla mancata configurazione del banner in maniera tale da consentire all’utente di esprimere un consenso informato, libero e granulare oppure di continuare la navigazione con le impostazioni di default, senza l’impiego di cookie diversi da quelli tecnici;

PRESO ATTO che la società, avvalendosi del diritto di cui all’art. 166, comma 6, del Codice, ha fatto pervenire le deduzioni del 30 giugno 2023, ma non ha chiesto di essere sentita dall’Autorità;

PRESO ATTO, altresì, che con i richiamati scritti difensivi il titolare ha rappresentato che, a seguito della ricezione della comunicazione di avvio del procedimento da parte dell’Autorità, è stato prontamente attivato «un servizio terzo “Cookiebot” dedicato specificatamente alla gestione della Cookie Consent e della Cookie Policy con attivazione del relativo banner informativo»;

RILEVATO che all’esito di un ulteriore accesso al sito da parte dell’Ufficio, effettuato in data successiva rispetto all’accertamento condotto dal Nucleo e alla conseguente notifica della comunicazione ex art. 166, comma 5, del Codice, è emerso che in pendenza del procedimento il titolare ha configurato il banner presente sul sito in maniera tale da consentire, ora, all’utente - previa idonea informativa - di esprimere un consenso informato, libero e granulare oppure di continuare la navigazione con le impostazioni di default, senza l’impiego di cookie diversi da quelli tecnici;

CONSIDERATO che, ai sensi della normativa vigente, grava sul titolare l’obbligo di fornire l’informativa sul trattamento dei dati personali effettuato mediante l’impiego di cookie o altri strumenti di tracciamento e che in caso di utilizzo di cookie o di altre tecnologie di tracciamento di natura diversa da quella tecnica il titolare è tenuto altresì ad acquisire il consenso informato, libero e granulare dell’utente;

RILEVATO, inoltre, che in base agli elementi acquisiti al momento dell’accertamento effettuato dal Nucleo, nel caso in esame:

- data la mancanza dell’informativa, la Società ha effettuato un trattamento di dati personali in violazione degli artt. 12 e 13 del Regolamento e di quanto indicato nelle Linee guida cookie;

- la mancata configurazione del banner in maniera tale da consentire all’utente di esprimere un consenso informato, libero e granulare all’utilizzo dei cookie diversi da quelli tecnici oppure di continuare la navigazione con le impostazioni di default, senza l’installazione dei cookie diversi da quelli tecnici, ha comportato la violazione degli artt. artt. 4, punto 11, 5, 7, 24 e 25 del Regolamento e dell’art. 122 del Codice, nonché delle indicazioni contenute nelle Linee guida cookie;

CONSIDERATO l’apprezzabile sforzo del titolare di porre rimedio alle violazioni contestate mediante la configurazione del banner in maniera tale che, previa idonea e completa informativa, l’utente possa esprimere, ora, un consenso informato, libero e granulare all’utilizzo dei cookie diversi da quelli tecnici oppure proseguire la navigazione con le impostazioni di default e dunque senza l’impiego di cookie diversi da quelli tecnici;

RITENUTO, dunque:

a) che le misure adottate dal titolare siano idonee a rimuovere le criticità sopra segnalate e, pertanto, di non dover prescrivere ulteriori misure correttive al riguardo;

b) in ragione delle specificità dell’accertamento, di poter prescindere nel caso di specie dall’adozione di misure di carattere sanzionatorio pecuniario, limitandosi a rivolgere a Elifriulia S.p.A. un ammonimento ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, per l’inosservanza delle disposizioni previste in materia di trattamento dei dati personali mediante l’utilizzo di cookie e altri strumenti di tracciamento;

RITENUTO che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Elifriulia S.p.A. in conformità all’art. 58, par. 2, del Regolamento medesimo;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

a) accerta la violazione degli artt. 4, punto 11, 5, 7, 24 e 25 del Regolamento e dell’art. 122 del Codice e dichiara l’illiceità del trattamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, rivolge un ammonimento a Elifriulia S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Ronchi dei Legionari (GO), Piazzetta Luigi Coloatto n. 1, P.IVA 00068620319, in qualità di titolare del trattamento, per l’inosservanza delle disposizioni vigenti in materia di trattamento dei dati personali mediante l’utilizzo di cookie e altri strumenti di tracciamento e, in particolare, per aver omesso di fornire l’informativa sul trattamento dei dati personali e di configurare il banner in maniera tale da consentire all’utente di esprimere un consenso informato, libero e granulare all’utilizzo dei cookie diversi da quelli tecnici oppure di proseguire la navigazione con le impostazioni di default e dunque senza l’impiego di cookie diversi da quelli tecnici;

DISPONE

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 settembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei