Ordinanza ingiunzione o revoca n. 11 del 11/01/2026

Born S.r.l. - telemarketing, form online e informative non conformi

Il Garante ha esaminato i trattamenti svolti da Born S.r.l. tramite il sito sceglionline.it e nell’ambito di attività di telemarketing/teleselling, a seguito di un reclamo e due segnalazioni relative a chiamate indesiderate. Il provvedimento conclude con l’accertamento dell’illiceità di più trattamenti, l’ordine di conformazione alla normativa e l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e oggetto dell’istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice, nei confronti di Born S.r.l., con sede in Aversa, per verificare la liceità dei trattamenti collegati a:

• chiamate promozionali effettuate verso numerazioni iscritte al Registro Pubblico delle Opposizioni (RPO);
• raccolta dei dati personali tramite i form presenti sul portale sceglionline.it;
• successivo utilizzo e comunicazione dei dati a fini promozionali e di ricontatto.

Il procedimento nasce da una istruttoria cumulativa originata da un reclamo e da due segnalazioni. In un caso, la persona interessata lamentava contatti telefonici ripetuti dopo la cessazione di un contratto di fornitura e nonostante le opposizioni verbali. In altri casi, le segnalazioni riguardavano chiamate promozionali verso numerazioni iscritte al RPO.

Trattamenti esaminati e struttura del portale

Dalle verifiche dell’Ufficio è emerso che Born utilizzava il portale sceglionline.it per raccogliere dati al fine di:

• richiamare l’utente che aveva compilato il form;
• svolgere attività di marketing diretto per conto proprio;
• cedere o comunicare i dati a soggetti terzi per autonome attività promozionali.

Il sito presentava inizialmente un form denominato “contattaci” e, in un secondo livello, diverse formule di consenso. Tra queste figuravano consensi per:

• l’esecuzione dei servizi richiesti;
• l’invio di comunicazioni promozionali da parte di Born o di società terze;
• la profilazione;
• la comunicazione dei dati a categorie molto ampie di operatori economici.

Nel corso del procedimento Born ha modificato i form e le informative, ma l’Autorità ha ritenuto che le criticità non fossero state risolte in modo completo.

Violazioni contestate

L’Ufficio ha contestato la possibile violazione degli artt. 5, 6, 7 e 13 del GDPR e dell’art. 130 del Codice privacy, rilevando che i trattamenti erano stati effettuati:

• in assenza di un’idonea base giuridica;
• con modalità non trasparenti;
• con consensi non liberi, non specifici e non granulari;
• senza adeguata verifica preventiva rispetto al RPO, per uno dei contatti oggetto di segnalazione.

È stata invece archiviata la posizione relativa a una delle due segnalazioni, poiché la Società aveva disconosciuto la chiamata e gli elementi agli atti non consentivano di ravvisare una violazione rilevante.

Valutazioni del Garante sui consensi e sulle informative

Il Garante ha ritenuto che la struttura del form fosse carente sotto il profilo della trasparenza. In particolare:

• il primo flag, riferito ai servizi richiesti, era formulato come un consenso “obbligatorio”, pur dovendo invece essere ricondotto alla base giuridica dell’art. 6, par. 1, lett. b) GDPR;
• il secondo consenso unificava in modo improprio marketing di Born e marketing di terzi, senza distinguere le diverse finalità;
• il quarto consenso era troppo generico, riferito a una platea indistinta di settori e operatori, e poteva comportare la dispersione del controllo da parte dell’interessato.

Anche le informative sono state giudicate contraddittorie e non aggiornate. Il provvedimento rileva che:

• la precedente privacy policy elencava finalità e destinatari in modo promiscuo, mescolando trattamenti fondati su basi giuridiche diverse;
• la sezione sui destinatari era formulata in termini eccessivamente ampi, con categorie merceologiche eterogenee;
• erano accessibili online più versioni dell’informativa, non sempre immediatamente riconducibili al form utilizzato dall’interessato;
• un’informativa datata 8 aprile 2022 risultava incoerente rispetto al modulo “Voglio essere contattato” e non rispettava pienamente il principio di limitazione della conservazione per i dati raccolti al solo fine di ricontatto.

Verifica dell’identità e onere della prova

Born ha dichiarato di non utilizzare sistemi di autenticazione, double opt-in o verifica automatica dell’identità, limitandosi a verifiche al primo contatto telefonico. Il Garante ha considerato tale impostazione insufficiente.

Secondo l’Autorità, l’assenza di meccanismi di controllo non consentiva di associare con certezza i consensi all’interessato e non permetteva al titolare di assolvere all’onere di dimostrare la validità del consenso, come richiesto dall’art. 7 GDPR. Inoltre, tale carenza comprometteva anche il principio di esattezza di cui all’art. 5 GDPR.

Nel provvedimento vengono richiamati precedenti orientamenti del Garante sul double opt-in e sulla necessità di misure minime di protezione, specie nel contesto del telemarketing e dei c.d. “siti vetrina”.

Iscrizione al RPO e chiamata promozionale

Con riferimento alla segnalazione relativa a una chiamata promozionale, Born ha sostenuto che il consenso fosse stato validamente raccolto in precedenza e che la consultazione del RPO avesse efficacia mensile. L’Autorità ha respinto la tesi difensiva, osservando che per le chiamate telefoniche la consultazione del RPO ha efficacia pari a quindici giorni e che, nel caso esaminato, l’iscrizione al RPO era intervenuta in un momento successivo rispetto al conferimento dei dati al sito.

Ne consegue che il contatto telefonico è stato considerato effettuato fuori dai presupposti di liceità previsti dalla normativa applicabile.

Difese della società e valutazione finale

Born ha riferito di avere avviato un audit interno, di avere aggiornato le informative e di avere rivisto i consensi in forma più granulare, sostenendo di operare in buona fede e come microimpresa con risorse limitate. Ha anche manifestato l’intenzione di aderire a un codice di condotta in materia di telemarketing e teleselling.

Il Garante ha tuttavia ritenuto che tali iniziative non fossero sufficienti a escludere la responsabilità, poiché le violazioni erano già consumate e, in parte, le criticità risultavano ancora presenti nella configurazione del sito al momento della decisione.

Provvedimenti adottati e sanzione

L’Autorità ha quindi:

• dichiarato illecito il trattamento effettuato da Born S.r.l.;
• imposto, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di conformare i trattamenti dei dati raccolti tramite il sito alla normativa vigente;
• ingiunto di comunicare entro 30 giorni le iniziative adottate per dare attuazione alla misura.

Quanto alla sanzione, il Garante ha applicato l’art. 83, parr. 3 e 5, GDPR, determinando il massimo edittale in euro 20.000.000,00 e irrogando una sanzione di euro 15.000,00, tenendo conto:

• della gravità delle violazioni, in un settore, quello del telemarketing, oggetto di numerosi interventi dell’Autorità;
• della cooperazione della Società e delle misure spontaneamente adottate nel corso del procedimento.

È stata inoltre disposta:

• la pubblicazione del provvedimento sul sito del Garante;
• la sanzione accessoria della pubblicazione dell’ordinanza-ingiunzione;
• l’annotazione nel registro interno dell’Autorità.

Profili di impugnazione

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.