[doc. web n. 10094929]

Provvedimento del 12 settembre 2024

Registro dei provvedimenti
n. 555 del 12 settembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, ed il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Linee guida in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021 (in www.garanteprivacy.it, doc. web n. 9677876, di seguito “Linee Guida cookie”);

VISTO il Protocollo d’intesa del 30 marzo 2021 siglato dal Corpo della Guardia di Finanza e dal Garante per la protezione dei dati personali;

VISTA la nota n. 57504 del 21 ottobre 2022 con la quale l’Autorità, tenuto conto dell’esigenza di procedere ad una verifica sul rispetto delle citate Linee guida, anche alla luce dei numerosi reclami pervenuti in materia, ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza (di seguito, anche “Nucleo”) l’effettuazione di una serie di accertamenti on-line chiedendo di concentrare l’attività, in una prima fase, su un campione di operatori nell’ambito dell’e-commerce e più in particolare, della commercializzazione di autoveicoli e dei trattamenti svolti da operatori turistici e aziende di trasporto terrestre, marittimo ed aereo;

VISTA la nota n. 65159 del 17 novembre 2022 con la quale il Nucleo ha fornito gli elenchi dei possibili destinatari delle verifiche, indicando l’area geografica di provenienza e il volume d’affari;

VISTA la nota n. 73600 del 30 novembre 2022 con la quale, nel rispetto di canoni di omogeneità dell’intervento e in applicazione di un criterio selettivo predeterminato ed uniforme su tutti il territorio nazionale fondato anche su indicatori dimensionali e geografici, Te. Di. Tour Operator S.r.l. è stata individuata, unitamente ad altri titolari, tra i soggetti destinatari di dette verifiche, concretamente effettuate in data 30 Gennaio 2023 in relazione al sito internet www.teditour.com;

CONSIDERATO che, in tale sede, è emerso che:

- il banner presente nella home-page informava gli utenti che “questo sito utilizza i cookie per assicurarti la migliore esperienza nella navigazione sul sito di Tedi Tour Operator. Se prosegui la navigazione all'interno di questo sito, dedurremo che tu sia felice di restare con noi”;

- il banner specificava altresì che “Cliccando su “Ok” acconsenti all'utilizzo dei cookie. Clicca qui per leggere l'informativa sull'utilizzo dei cookie o se vuoi negare il consenso a tutti o ad alcuni cookie”;

- il banner presentava sulla destra, seppure con un’evidenza visiva inferiore rispetto agli altri comandi, un tasto “X”. Né l’informativa breve, né quella estesa relativa ai cookie menzionavano tale comando e il significato da attribuire alla sua eventuale selezione;

- l’informativa estesa presente nel secondo livello sull’utilizzo dei cookie prevedeva, tra l’altro:

una descrizione dei cookie terze parti, rimandando, tramite appositi link di collegamento, alle rispettive pagine web;

nella sezione dedicata ai “DIRITTI DELL’INTERESSATO/UTENTE”, la facoltà di “(i) selezionare e deselezionare in ogni momento i singoli cookies; (ii) negare il proprio consenso, in qualunque momento, all’installazione di qualunque tipo di cookie; (iii) manifestare le Sue opzioni in merito all’uso dei cookies da parte del Sito web www.teditour.com attraverso le impostazioni del browser (l’utente può fare riferimento al manuale d’istruzioni o alla schermata di aiuto del suo browser per scoprire come regolare o modificare le impostazioni del suo browser) in conformità a quanto previsto dall’art. 122, co. 2 del Codice”;

VISTA la nota del 30 maggio 2023 con la quale, ai sensi dell’art. 166, comma 5, del Codice, l’Autorità ha comunicato a Te. Di. Tour Operator S.r.l. l’avvio del procedimento per l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento e le presunte violazioni di legge, individuate, nel caso di specie, nella violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento e dell’art. 122 del Codice, nonché delle indicazioni contenute nelle Linee guida cookie, riconducibili all’assenza di una indicazione chiara circa la possibilità di proseguire la navigazione senza l’installazione di cookie diversi da quelli tecnici, alla mancata indicazione del significato da attribuire all’utilizzo della “X” e alla mancata acquisizione di un consenso specifico e granulare;

RILEVATO, dunque, che in base agli elementi acquisiti nel corso delle verifiche effettuate dal Nucleo, nel caso in esame è stato accertato che:

- il banner del sito web indicava in modo ambiguo che “Se prosegui la navigazione all'interno di questo sito, dedurremo che tu sia felice di restare con noi”, non facendo intendere se la continuazione della navigazione equivalesse o meno al consenso; inoltre non riportava alcuna indicazione circa la possibilità per l’utente di utilizzare il comando rappresentato dalla “X”, posto al suo interno, per proseguire la navigazione lasciando inalterate le impostazioni di default;

- l’assenza di una indicazione chiara circa la possibilità di proseguire la navigazione senza accettare l’impiego di cookie diversi dai tecnici non assicurava la piena consapevolezza dell’utente sulle scelte nella sua disponibilità;

- all’interno dell’informativa il titolare affermava che il consenso poteva essere espresso anche mediante specifiche configurazioni del browser e cioè in modo aggregato;

VISTE le memorie difensive inviate da Te. Di. Tour Operator S.r.l., da intendersi qui integralmente richiamate e riprodotte, con le quali sono stati, fra l’altro, forniti chiarimenti sul contenuto del banner e, in particolare, è stato affermato che “detta omessa informazione circa il significato da attribuire alla chiusura del banner a ogni buon conto viene sopperita dalle indicazioni di rimando nel detto banner così non invalidando l’acquisizione del consenso. Per cui le linee guida cookie e altri strumenti di tracciamento, seppur in modo approssimativo, sono state seguite”. Il titolare ha contestualmente richiesto la fissazione dell’audizione tenutasi il 27 novembre 2023 (verbale prot. 158985/23);

RILEVATO che all’esito di un ulteriore accesso al sito da parte dell’Ufficio, effettuato in data successiva rispetto all’accertamento condotto dal Nucleo Speciale della Guardia di Finanza e alla conseguente notifica della comunicazione ex art. 166, comma 5 del Codice, è emerso che in pendenza del procedimento il titolare ha integrato l’informativa breve contenuta nel banner precisando che “Se non vuoi accettare i cookie non necessari, tocca o fai click su "continua senza accettare" o premi la "x" in alto a destra all'interno del banner”; risultano inoltre implementati e resi disponibili i comandi “Personalizza”, “Continua senza accettare” e “Accetta tutti”;

RITENUTO che la condotta posta in essere dal titolare del trattamento configuri una violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento e dell’art. 122 del Codice, nonché delle indicazioni contenute nelle Linee guida cookie;

CONSIDERATO tuttavia l’apprezzabile sforzo del titolare di porre rimedio alle violazioni contestate mediante integrazione del testo dell’informativa breve riportata nel banner, con contestuale inserimento anche dei comandi “Personalizza”, “Continua senza accettare” e “Accetta tutti”;

RITENUTO, dunque, che:

a) le misure adottate dal titolare siano parzialmente idonee a rimuovere le criticità sopra segnalate;

b) di dover tuttavia comunque ingiungere al titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di conformare i trattamenti di dati personali effettuati mediante i cookie e gli altri strumenti di tracciamento utilizzati dal sito internet www.teditour.com alla normativa vigente in materia di protezione dei dati personali, in particolare per la parte residua, relativa alla necessaria integrazione del paragrafo “DIRITTI DELL’INTERESSATO/UTENTE” della cookie policy con l’indicazione della possibilità di personalizzare le “opzioni in merito all’uso dei cookie” anche mediante l’interazione dell’apposito tasto posto nel banner;

c) in ragione delle specificità dell’accertamento, di poter prescindere nel caso di specie dall’adozione di misure di carattere sanzionatorio pecuniario, limitandosi a rivolgere a Te. Di. Tour Operator S.r.l. un ammonimento ai sensi di cui all’art. 58, par. 2, lett. b) del Regolamento, per l’inosservanza delle disposizioni previste in materia di trattamento dei dati personali mediante l’utilizzo di cookie e altri strumenti di tracciamento rilevate nell’ambito dell’istruttoria;

RITENUTO che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Te. Di. Tour Operator S.r.l. in conformità all’art. 58, par. 2, del Regolamento medesimo;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO IL GARANTE

a) accerta la violazione degli artt. 4, punto 11, 5, 7, 12, 13, 24 e 25 del Regolamento e dell’art. 122 del Codice e dichiara l’illiceità del trattamento;

b) ai sensi dell’art. 58, par. 2 lett. d) del Regolamento, ingiunge a Te. Di. Tour Operator S.r.l., in persona del legale rappresentante pro tempore, con sede legale in Via della Conciliazione, 56, Putignano (BA), P.IVA 07987700726, in qualità di titolare del trattamento, di conformare i trattamenti di dati personali effettuati mediante i cookie e gli altri strumenti di tracciamento utilizzati dal sito internet www.teditour.com alla normativa vigente in materia di protezione dei dati personali e in particolare di integrare il paragrafo “DIRITTI DELL’INTERESSATO/UTENTE” della cookie policy con l’indicazione della possibilità di personalizzare le “opzioni in merito all’uso dei cookie” anche mediante l’interazione dell’apposito tasto posto nel banner;

c) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento rivolge un ammonimento a Te. Di. Tour Operator S.r.l. per l’inosservanza delle disposizioni vigenti in materia di trattamento dei dati personali mediante l’utilizzo di cookie e altri strumenti di tracciamento come meglio indicato nella parte motiva;

DISPONE

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 settembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei