Sanzioni del Garante per i cookie

Chi sanziona e in base a quale norma

In Italia le regole sui cookie stanno nell’art. 122 del Codice privacy (d.lgs. 196/2003), che recepisce la direttiva ePrivacy, e nelle Linee guida cookie del Garante del 10 giugno 2021. Le trovi spiegate nella guida sulla normativa cookie in Italia.

L’autorità competente è una sola: il Garante per la protezione dei dati personali. L’art. 166, comma 3, del Codice gli attribuisce sia le misure correttive dell’art. 58, paragrafo 2, del GDPR, sia le sanzioni pecuniarie dell’art. 83 GDPR. Nei provvedimenti sui cookie il Garante contesta di solito insieme l’art. 122 del Codice e diversi articoli del GDPR, per esempio quelli sul consenso (art. 7) e sull’informativa (artt. 12 e 13).

Quanto può arrivare la sanzione

L’art. 166, comma 2, del Codice colloca le violazioni dell’art. 122 nella fascia più alta dell’art. 83, paragrafo 5, del GDPR:

• fino a 20 milioni di euro, oppure
• per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

È un massimo, non una tariffa. Il Garante decide l’importo in base ai criteri dell’art. 83, paragrafo 2, del GDPR: natura, gravità e durata della violazione, numero di persone coinvolte, misure adottate per rimediare, eventuali violazioni precedenti e grado di cooperazione.

Altri elementi da conoscere:

• Definizione agevolata. Per l’art. 166, comma 8, entro il termine per il ricorso puoi chiudere la controversia adeguandoti alle prescrizioni del Garante e pagando la metà della sanzione irrogata.
• Pubblicazione. Il Garante può disporre la pubblicazione del provvedimento sul proprio sito (art. 166, comma 7), con un danno di reputazione che spesso pesa più della multa.
• Le vecchie cifre non valgono più. Gli importi da 6.000 a 36.000 euro (informativa) e da 10.000 a 120.000 euro (cookie senza consenso) del provvedimento cookie del 2014 venivano dagli artt. 161 e 162 del vecchio Codice, abrogati dal d.lgs. 101/2018.

Come controlla il Garante

Per l’art. 166, comma 4, del Codice un procedimento può partire:

• da un reclamo di un interessato (art. 77 GDPR);
• da una segnalazione, che chiunque può inviare (art. 144 del Codice);
• da un’iniziativa d’ufficio, anche con accessi, ispezioni e verifiche.

Per i cookie il Garante si appoggia molto al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza. Nell’ottobre 2022, anche a seguito di numerosi reclami e segnalazioni, ha delegato al Nucleo una serie di accertamenti online sul rispetto delle Linee guida, partendo da un campione di operatori dell’e-commerce. Gli accertamenti consistevano nella visita del sito: venivano annotati il testo del banner, i pulsanti e quanti cookie venivano installati dopo ogni scelta.

Il Garante partecipa anche a iniziative internazionali. Nell’indagine del Global Privacy Enforcement Network (GPEN) del 2024 sui “dark pattern” ha esaminato 50 siti di comparatori: in oltre il 60% dei casi il banner dava più risalto all’opzione meno protettiva, in quasi il 40% rifiutare richiedeva più passaggi che accettare e in circa il 30% l’unica opzione era accettare tutto.

Provvedimenti recenti sui cookie

Questi provvedimenti, pubblicati sul sito del Garante, sono nati dagli accertamenti online della Guardia di Finanza:

In nessuno di questi casi il Garante ha inflitto una sanzione pecuniaria. Nelle motivazioni ha valorizzato le correzioni fatte durante il procedimento, la collaborazione e l’assenza di violazioni precedenti. Non è una garanzia per il futuro: le violazioni vengono annotate nel registro interno del Garante, e un secondo errore pesa di più.

Cosa contesta più spesso il Garante

Dai provvedimenti emergono sempre gli stessi errori:

• cookie non tecnici installati prima della scelta, o anche dopo un rifiuto;
• scroll o prosecuzione della navigazione trattati come consenso;
• nessun modo di continuare senza tracciamento, o nessun avviso che la X mantiene le impostazioni di default;
• banner riproposto a ogni visita dopo una scelta;
• pulsanti e categorie dal significato poco chiaro;
• cookie policy assente, vuota o non aggiornata, con link rotti nel footer.

Altri rischi: ordini e risarcimento

Oltre alla multa, il Garante può ordinarti di modificare il trattamento o di limitarlo (art. 58, paragrafo 2, GDPR), anche con una scadenza precisa.

C’è poi il risarcimento. L’art. 82 del GDPR dà a chiunque abbia subito un danno materiale o immateriale per una violazione il diritto di essere risarcito dal titolare. Per l’art. 152 del Codice queste cause spettano al giudice ordinario, con il rito dell’art. 10 del d.lgs. 150/2011. La Corte di giustizia dell’UE ha chiarito nella sentenza del 4 maggio 2023 (causa C-300/21, Österreichische Post) che la sola violazione non basta: serve un danno e un nesso di causalità, anche se non si può pretendere una soglia minima di gravità.

Come evitare problemi

1. Scansiona il sito e scopri quali cookie e script installa davvero, anche quelli di plugin e video incorporati.
2. Blocca tutto ciò che non è tecnico finché il visitatore non accetta.
3. Usa un banner come quello delle Linee guida: X per chiudere senza consenso, “Accetta”, scelte granulari, comandi di pari evidenza. Niente cookie wall.
4. Tieni aggiornata la cookie policy e controlla che i link nel footer funzionino. Puoi partire dal nostro esempio di cookie policy.
5. Conserva la prova dei consensi e non riproporre il banner a chi ha già scelto.
6. Se arriva una contestazione, correggi subito e collabora: nei casi visti sopra ha fatto la differenza.

Cookie Confirm ti aiuta su questi punti: lo scanner controlla il sito ogni mese (più scansioni illimitate su richiesta), il banner blocca gli script fino al consenso, la cookie policy si aggiorna a partire dalla scansione e ogni consenso viene conservato 12 mesi ed è esportabile. Con il servizio di configurazione gratuito il tuo sito è in regola entro 24 ore da quando ci dai l’accesso.

Fonti

• Codice in materia di protezione dei dati personali, testo coordinato (artt. 122, 144, 152 e 166)
• Regolamento (UE) 2016/679 (GDPR), artt. 58, 77, 82 e 83
• Garante privacy: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021 (doc. web 9677876)
• Garante privacy: provvedimento dell’8 maggio 2014 sui cookie (doc. web 3118884)
• Garante privacy: provvedimento del 14 novembre 2024, SAT GROUP S.r.l.s. (doc. web 10093549)
• Garante privacy: provvedimento del 27 febbraio 2025 (doc. web 10118222)
• Garante privacy: provvedimento del 27 marzo 2025, The Dope Factory S.r.l. (doc. web 10148493)
• Garante privacy: provvedimento del 29 aprile 2025 (doc. web 10139147)
• Garante privacy: provvedimento del 4 giugno 2025, Confalonieri S.r.l. (doc. web 10152729)
• Garante privacy: provvedimento del 10 luglio 2025, Vremar S.r.l. (doc. web 10162286)
• Garante privacy: newsletter del 13 settembre 2024 (indagine GPEN sul design ingannevole)
• Corte di giustizia dell’UE, causa C-300/21, Österreichische Post, sentenza del 4 maggio 2023