Prescrizioni del Garante n. 349 del 14/05/2026

Ventive S.r.l. - invio di e-mail commerciali senza consenso e senza informativa

Il provvedimento riguarda Ventive S.r.l., destinataria di un’ordinanza-ingiunzione a seguito di un reclamo relativo a un’e-mail promozionale inviata a un professionista dopo un contatto avviato su LinkedIn. L’Autorità ha esaminato l’uso, da parte della società, di contatti acquisiti tramite la piattaforma Lusha per finalità di marketing.

Origine del procedimento

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice a seguito di un reclamo presentato da un interessato che aveva ricevuto, il 27 febbraio 2025, una comunicazione commerciale sulla propria e-mail professionale. L’interessato, non avendo trovato il proprio indirizzo su LinkedIn, aveva chiesto alla società chiarimenti sull’origine dei dati e, successivamente, la documentazione attestante il consenso. La richiesta era rimasta senza riscontro.

Attività istruttoria e riscontri della società

L’Ufficio ha chiesto informazioni alla società ai sensi dell’art. 157 del Codice. Ventive S.r.l. ha riferito di svolgere attività di marketing in ambito B2B e di aver utilizzato, tra febbraio e maggio 2025, la piattaforma Lusha per acquisire contatti commerciali. Ha dichiarato di aver fatto affidamento sulle dichiarazioni del fornitore circa la liceità della provenienza dei dati e di aver acquistato circa 300 contatti, poi impiegati per inviare e-mail promozionali.

La società ha inoltre affermato che, ricevuta la richiesta dell’interessato, aveva contattato Lusha per verificarne la legittimità e, avendo maturato dubbi sulla provenienza dei dati, aveva cessato l’abbonamento e interrotto l’utilizzo della piattaforma. Nelle memorie difensive e in audizione ha sostenuto di aver agito in buona fede, di essersi affidata a prassi di mercato e di aver avviato un processo di adeguamento organizzativo, con revisione delle procedure, aggiornamento delle informative e formazione del personale.

Violazione relativa al marketing via e-mail

Il Garante ha accertato che la comunicazione inviata all’interessato aveva contenuto chiaramente promozionale, anche se presentata come presentazione dei servizi istituzionali della società. Ha ritenuto che l’obiettivo fosse comunque la promozione commerciale dei servizi offerti.

Sul piano della liceità, l’Autorità ha escluso che potesse operare il legittimo interesse del titolare ex art. 6, par. 1, lett. f), GDPR, poiché l’invio di comunicazioni promozionali tramite posta elettronica è disciplinato da una normativa speciale: l’art. 130 del Codice privacy, che richiede il consenso del contraente o utente, salvo la limitata deroga relativa all’indirizzo e-mail rilasciato nel contesto di una vendita di beni o servizi analoghi. Nel caso concreto, tale deroga non era applicabile.

Il Garante ha anche chiarito che l’accettazione di una richiesta di collegamento su LinkedIn non può essere interpretata come consenso all’invio di e-mail commerciali né come espressione di una "aspettativa qualificata di interlocuzione professionale". È stato inoltre ritenuto irrilevante che la comunicazione riguardasse temi attinenti alla sfera professionale dell’interessato.

Violazione dell’obbligo di informativa

L’Autorità ha accertato anche la violazione dell’art. 14 GDPR. La società aveva raccolto da terzi e trattato per finalità commerciali dati di circa 500 contatti senza fornire agli interessati alcuna informazione sul trattamento. Il provvedimento richiama il principio di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), e precisa che, quando i dati non sono ottenuti presso l’interessato, l’informativa va resa entro un termine ragionevole, e comunque, se i dati sono destinati alla comunicazione con l’interessato, al più tardi al momento della prima comunicazione.

Valutazione della responsabilità

Il Garante ha ritenuto che le difese della società non fossero idonee a escludere la responsabilità. In particolare, ha osservato che l’errore sulla liceità della condotta non era inevitabile e che la buona fede può escludere la responsabilità amministrativa solo se l’errore sia incolpevole e l’autore abbia fatto tutto il possibile per conformarsi alla legge.

L’Autorità ha inoltre evidenziato un profilo di maggiore gravità legato alla fonte dei dati: piattaforme digitali che, dietro corrispettivo, mettono a disposizione contatti personali senza adeguate garanzie sulla liceità della raccolta e della successiva cessione. Gli acquirenti, affidandosi acriticamente a tali garanzie formali, possono rendersi direttamente responsabili di violazioni del GDPR.

Sanzione, criteri di quantificazione e misure accessorie

Per la quantificazione della sanzione il Garante ha applicato l’art. 83, par. 3 e 5, GDPR, tenendo conto dei criteri dell’art. 83, par. 2. In particolare ha valutato:

• la gravità delle violazioni, riferite ad attività di marketing verso una pluralità di interessati;
• il carattere gravemente colposo della condotta;
• le misure adottate per limitare gli effetti del trattamento illecito e il successivo percorso di adeguamento;
• l’assenza di precedenti provvedimenti sanzionatori a carico della società;
• la cooperazione con l’Autorità;
• l’assenza di dati particolari o relativi a condanne penali e reati;
• le ridotte dimensioni economiche del titolare.

Alla luce di tali elementi, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 4.000. Ha inoltre disposto la pubblicazione del provvedimento sul proprio sito istituzionale e la sanzione accessoria della pubblicazione dell’ordinanza ingiunzione sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e del regolamento interno n. 1/2019.

Esito finale

Il provvedimento dichiara illecito il trattamento effettuato da Ventive S.r.l. e ingiunge il pagamento della sanzione entro 30 giorni dalla notificazione, con possibilità di definizione agevolata entro 30 giorni pagando la metà dell’importo. È altresì previsto il ricorso all’autorità giudiziaria ordinaria nei termini di legge.