Ordinanza ingiunzione o revoca n. 169 del 12/03/2026

Bakeca s.r.l. - pubblicazione illecita di numero telefonico in annunci sensibili

Il provvedimento riguarda Bakeca s.r.l., gestore di una piattaforma di annunci online, e trae origine dal reclamo di un’interessata che ha segnalato la pubblicazione non autorizzata del proprio numero telefonico in due annunci inseriti da terzi, uno dei quali riferito anche al luogo di lavoro. L’Autorità ha ritenuto che la Società, quale titolare del trattamento, non avesse adottato misure tecniche e organizzative sufficienti a impedire trattamenti illeciti di dati di terzi, soprattutto in relazione ad annunci collocati in sezioni a contenuto sensibile.

Origine dell’istruttoria e difese della Società

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, contestando profili di violazione connessi alla pubblicazione di annunci contenenti dati personali di una terza persona non coincidenti con l’autore dell’inserzione. La Società ha dichiarato di aver rimosso tempestivamente i contenuti segnalati e di aver bloccato il numero della reclamante. Ha inoltre illustrato il proprio sistema di controlli, basato su filtri automatici, controllo manuale per alcune categorie e procedure di blocco di account e numeri di telefono.

Qualificazione di Bakeca come titolare del trattamento

Il Garante ha richiamato l’informativa privacy e i termini d’uso del servizio, dai quali emerge che la Società è titolare del trattamento dei dati conferiti dagli utenti, anche quando essi agiscano per conto di terzi. Da ciò deriva, secondo l’Autorità, l’obbligo della Società di verificare non solo la correttezza formale dei dati pubblicati, ma anche la liceità del trattamento quando l’annuncio contenga dati riferiti a soggetti diversi dall’inserzionista.

Misure di sicurezza ritenute insufficienti

L’Autorità ha ritenuto che i controlli automatici e manuali descritti dalla Società non fossero idonei a prevenire la pubblicazione del numero telefonico della reclamante da parte di soggetti non autorizzati. In particolare:

• il filtro su parole vietate, numeri o e-mail già segnalati non verificava la titolarità del numero inserito;
• il controllo manuale era limitato ad aspetti di conformità generale e non alla legittimazione all’uso del dato di terzi;
• la verifica OTP dell’e-mail garantiva solo la disponibilità della casella e-mail, non quella del numero telefonico;
• l’oscuramento del numero e il blocco successivo erano misure postume, non preventive.

Liceità del trattamento e applicazione dell’art. 9 GDPR

Il Garante ha ritenuto che, nel contesto concreto, il numero telefonico della reclamante assumesse una valenza particolarmente sensibile, perché associato ad annunci nelle sezioni "massaggi – benessere" e "amore – incontri", con contenuti esplicitamente connotati in senso sessuale/intimo. In tale quadro, il trattamento è stato considerato privo di valida base giuridica, poiché la reclamante non aveva fornito il proprio numero né autorizzato terzi a pubblicarlo e la Società non aveva verificato la sussistenza del consenso esplicito o di altra condizione di liceità prevista dagli artt. 6 e 9 GDPR.

Richiamo alla giurisprudenza europea

Nella motivazione è richiamata la sentenza della Corte di giustizia del 2 dicembre 2025, causa C-492/23, secondo cui il gestore di un marketplace online, prima della pubblicazione di annunci contenenti dati sensibili, deve individuare tali annunci, verificare se l’inserzionista sia la persona cui i dati si riferiscono e, in caso contrario, rifiutare la pubblicazione salvo dimostrazione del consenso esplicito o di altra eccezione dell’art. 9, par. 2, GDPR. Il Garante ha ritenuto tali principi coerenti con il quadro già desumibile dal Regolamento.

Violazioni accertate

L’Autorità ha concluso per la responsabilità di Bakeca s.r.l. per le seguenti violazioni:

• artt. 5, par. 1, lett. d) e f), par. 2, 24, 25 e 32 GDPR, per non aver previsto misure tecniche e organizzative adeguate a verificare che il numero telefonico inserito in annunci sensibili fosse effettivamente nella disponibilità dell’utente o legittimamente utilizzabile da terzi;
• artt. 5, par. 1, lett. a), 6 e 9 GDPR, per aver trattato i dati della reclamante in assenza di condizioni di liceità.

Prescrizioni e adempimenti imposti

Il Garante ha ingiunto a Bakeca s.r.l. di adottare misure tecniche e organizzative idonee a verificare se l’utente che inserisce un contatto telefonico in relazione ad annunci sensibili sia l’effettivo titolare della numerazione o sia legittimato dal terzo proprietario. La Società deve inoltre comunicare all’Autorità, entro 60 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure prescritte.

Sanzione amministrativa e criteri di quantificazione

È stata irrogata una sanzione amministrativa pecuniaria di 5.000 euro. Ai fini della quantificazione, il Garante ha applicato l’art. 83, par. 3 e 5, GDPR, richiamando il massimo edittale di 20 milioni di euro e tenendo conto del fatturato 2024 della Società, inferiore alla soglia del 4% del fatturato mondiale annuo. Come elemento aggravante è stato valorizzato il fatto che i dati coinvolti rientrano nella sfera dell’art. 9 GDPR. La sanzione è stata determinata in misura contenuta anche in ragione dei principi di effettività, proporzionalità e dissuasività.

Ulteriori statuizioni

È stata disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019, nonché l’annotazione nel registro interno dell’Autorità. Resta ferma la facoltà di opposizione innanzi all’autorità giudiziaria ordinaria nei termini di legge.