Ordinanza ingiunzione o revoca n. 394 del 28/05/2026

Action Fit s.r.l. - invio di e-mail promozionali senza consenso e mancato riscontro all’opposizione

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti di Action Fit s.r.l., in relazione all’invio di comunicazioni promozionali via e-mail a un interessato che aveva negato il consenso e successivamente esercitato il diritto di opposizione. Il procedimento è stato avviato a seguito di reclamo e di una richiesta di informazioni rimasta inevasa.

Origine del reclamo e istruttoria

L’istruttoria è partita da un reclamo del 10 marzo 2026, con cui l’interessato ha segnalato di aver ricevuto, tra maggio 2023 e agosto 2024, varie e-mail promozionali dalla palestra Action Fit di Milano, sede di via Tolstoj. Dalla documentazione in atti risultano almeno sei comunicazioni commerciali.

L’interessato ha dichiarato di non aver mai prestato un consenso preventivo per tali finalità e di essersi opposto al trattamento tramite il link presente in calce alle e-mail. Le richieste di disiscrizione risultavano però riscontrate solo da un messaggio automatico che invitava a completare l’operazione tramite un ulteriore click sul link di conferma. Successivamente, il 30 settembre 2025, l’interessato ha inviato una PEC di opposizione ex art. 21, par. 2, GDPR, rimasta priva di riscontro.

L’Ufficio del Garante ha quindi inviato alla società una richiesta di informazioni ai sensi dell’art. 157 Codice privacy, in data 28 gennaio 2026, regolarmente recapitata via PEC, senza ottenere risposta.

Contestazioni formulate

Con l’atto di avvio del procedimento del 10 marzo 2026, notificato ai sensi dell’art. 166, comma 5, del Codice, sono state contestate alla società le seguenti violazioni:

• art. 6, par. 1, lett. a), GDPR e art. 130 Codice privacy, per l’invio di e-mail commerciali in assenza di un consenso valido e nonostante le opposizioni dell’interessato;
• artt. 12 e 21, par. 2, GDPR, per il mancato riscontro all’interessato e la mancata esecuzione del diritto di opposizione;
• art. 157 Codice privacy, per la mancata risposta alla richiesta di informazioni dell’Ufficio.

La società non ha presentato scritti difensivi né richiesto di essere sentita.

Valutazioni sulla liceità del marketing via e-mail

Il Garante ha ricondotto la fattispecie alla disciplina speciale dell’art. 130 Codice privacy, attuativa della direttiva 2002/58/CE, che consente l’invio di comunicazioni elettroniche per finalità commerciali tramite posta elettronica solo con il consenso del contraente o utente, salvo la limitata deroga relativa ai soli recapiti e-mail raccolti nel contesto di una vendita di beni o servizi analoghi e sempre nel rispetto del diritto di opposizione.

L’Autorità ha inoltre richiamato il fatto che il consenso, per essere valido, deve rispettare i requisiti dell’art. 7 GDPR: deve essere espresso mediante una dichiarazione o un’azione positiva, e deve essere comprovabile dal titolare. Nel caso concreto, la società non ha fornito alcuna prova dell’acquisizione del consenso e non ha neppure contestato la ricostruzione dell’interessato, che aveva espressamente negato l’uso dei propri dati per finalità commerciali e successivamente si era opposto alle comunicazioni.

È stato quindi accertato l’invio reiterato di comunicazioni promozionali in assenza di idonea base giuridica, in violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130 Codice privacy.

Mancato riscontro all’opposizione dell’interessato

In relazione al diritto di opposizione, il Garante ha rilevato che il titolare avrebbe dovuto fornire riscontro senza ingiustificato ritardo e comunque entro un mese, ai sensi dell’art. 12, par. 3, GDPR. La prosecuzione dell’invio di e-mail dopo l’opposizione ha dimostrato che la volontà dell’interessato non è stata presa in considerazione.

L’Autorità ha pertanto accertato la violazione degli artt. 12 e 21, par. 2, GDPR, sottolineando che il titolare non solo non ha risposto, ma ha posto in essere condotte incompatibili con la richiesta dell’interessato.

Mancato riscontro alla richiesta di informazioni dell’Ufficio

È stata inoltre accertata la violazione dell’art. 157 Codice privacy, poiché la società non ha fornito le informazioni richieste dall’Ufficio con la nota del 28 gennaio 2026, nonostante la regolare consegna della PEC.

Misure correttive e prescrizioni

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha disposto che la società:

• conformi i trattamenti alle disposizioni del GDPR, adottando misure tecniche e organizzative idonee ad assicurare l’effettiva applicazione dei diritti degli interessati;
• tenga conto del diniego dell’interessato alla ricezione di comunicazioni commerciali e interrompa ogni trattamento del relativo indirizzo e-mail per tale finalità;
• fornisca riscontro all’interessato, informandolo dell’avvenuta registrazione del suo diniego alle comunicazioni marketing via e-mail.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto che le violazioni di cui agli artt. 6, par. 1, lett. a), 12, 21, par. 2, GDPR e all’art. 130 Codice privacy, essendo connesse, dovessero essere considerate unitariamente ai fini dell’art. 83, par. 3, GDPR. Per tali illeciti è stata individuata una sanzione pari a 2.050 euro.

Per la violazione autonoma dell’art. 157 Codice privacy è stata invece determinata una sanzione ulteriore di 1.880 euro. La somma complessiva della sanzione amministrativa pecuniaria è quindi pari a 3.930 euro.

Nella quantificazione, il Garante ha tenuto conto, tra l’altro, di:

• basso livello di gravità delle violazioni;
• assenza di danno ulteriore per l’interessato oltre al fastidio derivante dalle e-mail indesiderate;
• trattamento riferito a un solo interessato e a un solo dato personale, l’indirizzo e-mail;
• assenza di precedenti violazioni pertinenti;
• mancata cooperazione con l’Autorità;
• emersione degli illeciti a seguito di reclamo.

È stata inoltre richiamata la natura colposa delle violazioni, non essendo emersa una condotta dolosa.

Dispositivo e rimedi

Il provvedimento dichiara l’illiceità delle condotte della società Action Fit s.r.l. e ordina il pagamento della sanzione di 3.930 euro, con facoltà di definizione agevolata ai sensi dell’art. 166, comma 8, Codice privacy, mediante pagamento della metà entro il termine previsto per l’opposizione.

È stata disposta la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito del Garante, nonché l’annotazione delle violazioni nel registro interno dell’Autorità.

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.