Prescrizioni del Garante n. 739 del 04/12/2025

Ammonimento e divieto a carico di Accademiadr per e-mail promozionali senza consenso

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un avvocato contro Accademiadr Società Benefit s.r.l. per l’invio di e-mail promozionali indesiderate e per il mancato riscontro a una richiesta di accesso ai dati. Il procedimento si è concluso con l’accertamento dell’illiceità del trattamento e con l’adozione di un ammonimento e di un divieto di ulteriore uso promozionale dei dati di contatto di professionisti privi di valido consenso.

Origine del procedimento e attività istruttoria

Il reclamo del 13 novembre 2024 lamentava la ricezione di due e-mail inviate dalla società il 30 settembre e il 28 ottobre 2024 all’indirizzo dello studio legale del reclamante, nonché il mancato riscontro a una richiesta di accesso ai dati formulata il 12 ottobre 2024.

Nel corso dell’istruttoria la società ha chiarito di operare come organismo di mediazione civile e commerciale, ente di formazione e organismo ADR/ODR. Ha inoltre rappresentato che:

• l’indirizzo e-mail del destinatario sarebbe stato acquisito da precedenti attività di mediazione/arbitrato/conciliazione o da partecipazioni a eventi formativi;
• una precedente richiesta di accesso, identica a quella del reclamante, era già stata riscontrata il giorno successivo da un altro professionista dello stesso studio;
• in calce alle e-mail erano presenti link di disiscrizione e i dati erano stati cancellati dai sistemi aziendali, ma non dalla piattaforma di invio MailUp, utilizzata da poco.

L’Ufficio ha esteso l’istruttoria e ha richiesto che le memorie fossero trasmesse anche ai reclamanti; la società vi ha provveduto il 18 giugno 2025. I reclamanti hanno replicato contestando, tra l’altro, la ricostruzione dei contatti telefonici e ribadendo le violazioni denunciate.

Contestazione e difesa del titolare

Con nota del 2 aprile 2025 il Garante ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1 e 2, 6, par. 1, lett. a), 7 e 13 GDPR e dell’art. 130, commi 2 e 3, del Codice.

La società ha difeso la natura non commerciale delle comunicazioni, sostenendo che esse avessero finalità informative e divulgative sulla mediazione e sulle ADR, rivolte a un destinatario qualificato quale l’avvocato. Ha invocato il legittimo interesse ex art. 6, par. 1, lett. f), GDPR per le comunicazioni informative e ha sostenuto di disporre del consenso acquisito in occasione di una attività formativa organizzata tramite una piattaforma terza, senza tuttavia documentarlo in modo specifico.

Valutazioni del Garante sulla natura delle comunicazioni

L’Autorità ha ritenuto che il contenuto delle e-mail non si limitasse a una comunicazione istituzionale o neutra, ma fosse idoneo a promuovere i servizi offerti dalla società, quali attività di mediazione, corsi di formazione e consulenze, invitando il destinatario a interagire tramite link per un eventuale contratto. Per tale ragione i messaggi sono stati qualificati come materiale pubblicitario e comunicazioni commerciali.

Di conseguenza il trattamento è stato ritenuto soggetto all’art. 130, commi 1 e 2, del Codice, che disciplina l’uso di mezzi di comunicazione elettronica per finalità promozionali. Il Garante ha escluso che potesse trovare applicazione il legittimo interesse come base giuridica, ribadendo che la disciplina speciale dell’art. 130 prevale sul GDPR quando il canale è l’e-mail e la finalità è promozionale.

Assenza di consenso e limiti dell’eccezione del soft spam

Il Garante ha rilevato che non era stato documentato il rilascio di uno specifico consenso del reclamante. Ha inoltre chiarito che l’eccezione prevista dall’art. 130, comma 4, del Codice, richiamata anche dalla giurisprudenza di legittimità, si applica solo in presenza di un effettivo precedente acquisto da parte del cliente e per comunicazioni aventi ad oggetto servizi analoghi.

Nel caso di specie tale presupposto non risultava provato. L’Autorità ha inoltre sottolineato che non è consentito utilizzare dati personali estratti da banche dati o registri creati per finalità diverse da quella promozionale, inclusi gli elenchi professionali, per inviare e-mail di marketing.

Esito del procedimento e misure adottate

Pur accertando la violazione, il Garante ha valorizzato alcune circostanze attenuanti:

• assenza di un danno per l’interessato;
• attività di invio e-mail accessoria rispetto all’oggetto principale della società;
• natura di microimpresa del titolare;
• collaborazione prestata nel corso dell’istruttoria.

Alla luce di tali elementi il caso è stato qualificato come violazione minore ai sensi dell’art. 83, par. 2, GDPR e del considerando 148, con conseguente scelta di soprassedere dall’applicazione di una sanzione amministrativa pecuniaria.

Il Garante ha comunque adottato due misure:

• un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, per la condotta tenuta in assenza di specifico consenso;
• un divieto ai sensi dell’art. 58, par. 2, lett. f), GDPR di utilizzare per finalità promozionali i dati di contatto di altri professionisti già acquisiti e conservati, ove non sia dimostrabile l’ottenimento di uno specifico consenso.

Ulteriori effetti e rimedi

Il provvedimento dà atto della pubblicazione sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice, nonché dell’annotazione nel registro interno delle violazioni. Viene inoltre richiamato l’art. 170 del Codice in merito alle conseguenze penali e amministrative dell’eventuale inosservanza del divieto di trattamento.

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.