Cosa ha rilevato il Garante nel caso Capital Investment?
Fino a poco tempo fa molte aziende si sentivano al sicuro, convinte che un’ispezione del Garante scattasse solo dopo una segnalazione degli utenti. Oggi il Garante agisce anche d’ufficio, con controlli autonomi sui siti web: non serve più un reclamo per finire sotto esame. Questa strategia ha già coinvolto Maddalena Lines, e ora tocca a Capital Investment, con una serie di violazioni che riguardano gestione dei cookie, trasparenza delle informazioni e rispetto delle scelte degli utenti.
Quali errori ha commesso Capital Investment?
1. Nessun banner cookie al primo accesso
Una regola fondamentale del GDPR è che, se un sito utilizza cookie diversi da quelli tecnici, deve mostrare un banner di consenso al primo accesso. Capital Investment ha ignorato completamente questa disposizione: nessun banner, nessuna richiesta di consenso, nessun avviso. Gli utenti venivano tracciati immediatamente, senza saperlo, anche se il GDPR richiede il consenso esplicito per qualsiasi trattamento che non rientri nelle eccezioni previste (come i cookie tecnici). Non sai come configurare il cookie banner per il tuo sito? Leggi la guida.
2. Zero informazioni su cookie e trattamento dati
Anche quando un sito mostra un banner, deve fornire un’informativa chiara su quali cookie vengono installati e con quale finalità, come vengono usati i dati, se vengono condivisi con terze parti e come modificare il consenso in qualsiasi momento. Nel caso di Capital Investment, il Garante ha scoperto che nessuna di queste informazioni era disponibile: gli utenti non avevano idea di cosa accadesse ai loro dati, e chi voleva modificare le proprie preferenze non aveva modo di farlo. Per saperne di più: Differenza tra cookie policy e privacy policy: guida completa.
3. Cookie attivi senza consenso
Uno degli aspetti più gravi: il sito attivava i cookie prima ancora che l’utente potesse esprimere il consenso. Lo si è scoperto con un semplice controllo dal browser Chrome, che ha rivelato cookie già installati prima che l’utente avesse la possibilità di accettarli o rifiutarli. Il consenso deve essere preventivo, non raccolto dopo che il tracciamento è già iniziato: installare cookie prima del consenso è una violazione diretta del GDPR. Per approfondire: Come scoprire quali cookie vengono utilizzati dal tuo sito web.
4. Nessun link all’informativa nel footer
Anche se il sito avesse avuto un banner, mancava comunque il link all’informativa sulla privacy nel footer. Gli utenti devono poter rivedere le proprie scelte e modificare il consenso in qualsiasi momento: senza un link ben visibile, questa possibilità diventa impossibile, e il sito risulta meno trasparente e meno conforme alle linee guida del GDPR.
Questa tabella riassume i quattro errori e la relativa azione correttiva.
| Errore riscontrato | Azione correttiva |
|---|---|
| Nessun banner al primo accesso | Mostrare il banner prima di installare cookie non tecnici |
| Nessuna informativa su cookie e dati | Pubblicare un’informativa chiara e sempre accessibile |
| Cookie attivi prima del consenso | Bloccare i cookie non tecnici fino all’accettazione esplicita |
| Nessun link all’informativa nel footer | Inserire un link visibile in ogni pagina del sito |
Cosa cambia per chi ha un sito web?
Il caso Capital Investment è un avvertimento chiaro: il Garante sta intensificando i controlli e non serve più una segnalazione per finire sotto esame. Se gestisci un sito, assicurarti che sia conforme non è più rimandabile: il rischio è incorrere in sanzioni, perdita di fiducia e problemi legali. Per approfondire: GDPR in 3 step: come rendere il tuo sito web a norma con Avacy.
Come evitare questi errori?
Essere conformi al GDPR non è solo un obbligo legale, ma anche un vantaggio competitivo: un sito che rispetta la normativa offre trasparenza, migliora l’esperienza utente e riduce il rischio di sanzioni. Ecco le azioni fondamentali.
- Implementare un banner cookie conforme, che compaia al primo accesso, informi chiaramente su quali cookie vengono usati, offra un’opzione di accettazione e rifiuto ugualmente facili e permetta una scelta granulare per categoria. Se il sito usa solo cookie tecnici il banner non serve, ma va comunque indicato nell’informativa.
- Fornire un’informativa dettagliata, chiara e facilmente accessibile, che spieghi quali dati vengono raccolti, chi vi ha accesso, come modificare le preferenze e quali sono i diritti dell’utente, scritta senza tecnicismi e raggiungibile sia dal banner che dal footer.
- Non installare cookie non tecnici prima del consenso esplicito: vanno bloccati fino all’accettazione, il consenso deve essere libero e non forzato (niente dark pattern con pulsanti di accettazione più visibili del rifiuto), e revocabile in qualsiasi momento.
- Inserire un link alla privacy policy nel footer di ogni pagina, con una pagina sempre accessibile e aggiornata e un’area dedicata dove rivedere il proprio consenso.
- Utilizzare una piattaforma di gestione del consenso (CMP) per automatizzare la conformità, generare log e report utili in caso di controlli, e restare aggiornati automaticamente sui cambiamenti normativi.
Rischi una sanzione? Scoprilo in 5 minuti con una scorecard
Una scorecard compilabile e stampabile per autovalutare la conformità del tuo sito, basata sugli errori più ricorrenti nei provvedimenti recenti del Garante.
Come una CMP come Avacy previene questi errori?
Gestire manualmente tutti e cinque questi punti, verificando che restino conformi nel tempo, è impegnativo: una piattaforma come Avacy li copre in modo automatico.
Sul fronte del banner, Avacy genera banner personalizzabili che bloccano automaticamente i cookie non tecnici fino all’accettazione esplicita, risolvendo esattamente l’errore 1 e 3 del caso Capital Investment. Sul fronte dell’informativa, aiuta a generare e mantenere aggiornate le informative, complete e sempre raggiungibili da banner e footer, coprendo gli errori 2 e 4. Sul fronte del consenso, registra le scelte di ogni utente in modo sicuro e consultabile in caso di controllo, permette di modificarle in ogni momento e genera report dettagliati. Infine, si aggiorna automaticamente in base alle linee guida più recenti del Garante e dell’EDPB, e si integra in pochi minuti con WordPress, Shopify, Magento o siti custom, senza competenze tecniche avanzate.
