[doc. web n. 10088927]

Provvedimento del 26 settembre 2024

Registro dei provvedimenti
n. 585 del 26 settembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, ed il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Linee guida in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021 (in www.garanteprivacy.it, doc. web n. 9677876, di seguito “Linee Guida cookie”);

VISTO il Protocollo d’intesa del 30 marzo 2021 siglato dal Corpo della Guardia di Finanza e dal Garante per la protezione dei dati personali;

VISTA la nota n. 57504 del 21 ottobre 2022 con la quale l’Autorità, tenuto conto dell’esigenza di procedere ad una verifica sul rispetto delle citate Linee guida, anche alla luce dei numerosi reclami pervenuti in materia, ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza (di seguito anche “Nucleo”) l’effettuazione di una serie di accertamenti on-line chiedendo di concentrare l’attività, in una prima fase, su un campione di operatori nell’ambito dell’e-commerce e più in particolare, della commercializzazione di autoveicoli e dei trattamenti svolti da operatori turistici e aziende di trasporto terrestre, marittimo ed aereo;

VISTA la nota n. 65159 del 17 novembre 2022 con la quale il Nucleo ha fornito gli elenchi dei possibili destinatari, indicando l’area geografica di provenienza e il volume d’affari;

VISTA la nota n. 73600 del 30 novembre 2022 con la quale, nel rispetto di canoni di omogeneità dell’intervento e in applicazione di un criterio selettivo predeterminato e uniforme su tutto il territorio nazionale fondato anche su indicatori dimensionali e geografici, Venice By Boat S.r.l. è stata individuata, unitamente ad altri titolari, tra i soggetti destinatari di dette verifiche, concretamente effettuate in data 27 marzo 2023 in relazione al sito internet www.venicebyboat.it;

CONSIDERATO che, in tale sede, è emerso che:

- al primo accesso al sito appariva, nella home-page, un banner a comparsa immediata che specificava “Utilizziamo cookie e tecnologie simili per abilitare servizi e funzionalità sul nostro sito e per comprendere la tua interazione con il nostro servizio. Facendo clic su Accetta, acconsenti all'utilizzo di queste tecnologie a scopi pubblicitari e statistici. Vedi informativa sulla privacy”;

- erano presenti, inoltre, il comando “Impostazioni cookie” e un tasto “X”, posto sulla destra del banner. Della presenza di tale tasto, nonché del significato da attribuire alla sua eventuale selezione, non si faceva alcuna menzione, né nell’informativa breve del banner, né in quella estesa accessibile tramite il comando “Impostazioni Cookie”;

- l’utilizzo del comando “Impostazioni cookie” comportava l’apertura del pannello “impostazioni avanzate dei cookie”, contenente informazioni aggiuntive sui cookie utilizzati (“cookie fondamentali”, “cookie di marketing”, “cookie funzionali”, “cookie analitici”);

- facendo clic sul link “Vedi informativa sulla privacy”, si apriva l’informativa ex art. 13 del sito web, la quale non forniva alcuna indicazione sul trattamento dei dati derivante dall’utilizzo dei cookie;

VISTA la nota del 24 luglio 2023 con la quale, ai sensi dell’art. 166, comma 5, del Codice, l’Autorità ha comunicato a Venice By Boat S.r.l. l’avvio del procedimento per l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento e le presunte violazioni di legge individuate, nel caso di specie, nella mancata conformità della condotta agli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento e all’art. 122 del Codice, nonché alle indicazioni contenute nelle Linee guida cookie, a causa della predisposizione di informative incomplete e non aggiornate, nonché della mancanza dell’avvertenza che la chiusura del banner mediante selezione dell’apposito comando contraddistinto dalla “X” posto al suo interno, in alto a destra, comporta il permanere delle impostazioni di default e dunque la continuazione della navigazione in assenza di cookie o altri strumenti di tracciamento diversi da quelli tecnici;

CONSIDERATO che, come illustrato nel richiamato atto di contestazione, tali violazioni possono avere ripercussioni anche sulla validità dei consensi prestati dagli utenti;

PRESO ATTO che la società, avvalendosi del diritto di cui all’art. 166, comma 6, del Codice, ha fatto pervenire le proprie deduzioni in data 22 agosto 2023, ma non ha chiesto di essere sentita dall’Autorità;

PRESO ATTO, altresì, che nei propri scritti difensivi – da intendersi qui integralmente richiamati e riprodotti - Venice By Boat S.r.l., evidenziando di avere prontamente posto il sito in manutenzione, ha rappresentato che per la sua realizzazione e gestione si era affidata a un fornitore esterno; che quest’ultimo aveva impiegato un tool al fine di verificare la compliance del sito alla normativa vigente e che tale verifica aveva fornito un riscontro positivo;

PRESO ATTO, inoltre, che il titolare ha riconosciuto che l’informativa utilizzata era fuorviante ed ha contestualmente dichiarato che il sito utilizzava soltanto cookie tecnici; che inoltre i dati raccolti mediante i cookie analitici non sono mai stati elaborati e che, infine, era già stato conferito mandato a un nuovo fornitore per la revisione delle procedure aziendali in materia di privacy;
RILEVATO che, in base agli elementi acquisiti al momento dell’accertamento effettuato dal Nucleo, nel caso in esame:

- dall’utilizzo di informative incomplete e non aggiornate e, più in particolare, dall’omessa avvertenza che la chiusura del banner mediante selezione dell’apposito comando contraddistinto dalla “X” posto in alto a destra comporta il permanere delle impostazioni di default e dunque la continuazione della navigazione in assenza di cookie o altri strumenti di tracciamento diversi da quelli tecnici, consegue che la Società ha effettuato un trattamento di dati personali in violazione degli artt. 12, 13 del Regolamento e di quanto indicato nelle Linee guida cookie;

- l’utilizzo di informative carenti sotto il profilo della trasparenza e completezza ha comportato effetti anche sulla validità del consenso prestato dall’utente, con conseguente violazione degli artt. 4, punto 11, 5, 7, 24 del Regolamento e dell’art. 122 del Codice, nonché delle indicazioni contenute nelle Linee guida cookie;

CONSIDERATO l’apprezzabile sforzo del titolare di porre tempestivo rimedio alle violazioni contestate modificando la cookie policy in maniera tale da rendere agevolmente comprensibile che il sito utilizza esclusivamente cookie tecnici, come pure l’avvenuta disabilitazione del banner;

RITENUTO, dunque:

a) che le misure adottate dal titolare siano idonee a rimuovere le criticità sopra segnalate e, pertanto, di non dover prescrivere ulteriori misure correttive al riguardo;

b) in ragione delle specificità dell’accertamento, di poter prescindere nel caso di specie dall’adozione di misure di carattere sanzionatorio pecuniario, limitandosi a rivolgere a Venice By Boat S.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, per l’inosservanza delle disposizioni previste in materia di trattamento dei dati personali mediante l’utilizzo di cookie e altri strumenti di tracciamento;

RITENUTO che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Venice By Boat S.r.l. in conformità all’art. 58, par. 2, del Regolamento medesimo;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO IL GARANTE

a) accerta la violazione degli artt. 5, 12 e 13 del Regolamento e dichiara l’illiceità del trattamento;

b) dispone l’archiviazione con riferimento alla violazione artt. 4, punto 11, 7, 24 e 25 del Regolamento e dell’art. 122 del Codice;

c)  ai sensi dell’art. 58, par. 2, lett. b) del Regolamento rivolge un ammonimento a Venice By Boat S.r.l., in persona del legale rappresentante pro tempore, con sede legale in Isola Nova del Tronchetto n. 25, Venezia (VE), P.IVA 03880380278, in qualità di titolare del trattamento, in merito all’inosservanza delle disposizioni vigenti in materia di trattamento dei dati personali mediante l’utilizzo di cookie e altri strumenti di tracciamento e in particolare per l’utilizzo di informative incomplete e non aggiornate, per la mancanza dell’avvertenza che la chiusura del banner mediante selezione dell’apposito comando contraddistinto dalla “X” posto al suo interno, in alto a destra, comporta il permanere delle impostazioni di default e dunque la continuazione della navigazione in assenza di cookie o altri strumenti di tracciamento diversi da quelli tecnici, nonché per la mancata acquisizione di un valido consenso all’utilizzo dei cookie da parte dei soggetti interessati;

DISPONE

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 settembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei