Provvedimenti n. 285 del 17/04/2026

Aesir s.r.l. - e-mail promozionali senza consenso e mancato riscontro a istanza di accesso

Il provvedimento riguarda Aesir s.r.l. ed è originato da un reclamo dell’interessato relativo a comunicazioni commerciali inviate via e-mail a più indirizzi a lui riconducibili, nonché alla mancata risposta a una richiesta di accesso ai dati. Il Garante ha distinto le due violazioni: per il marketing illecito ha adottato un ammonimento; per l’omesso riscontro all’istanza ex artt. 12 e 15 GDPR ha irrogato una sanzione pecuniaria.

Origine del procedimento e attività istruttoria

Il reclamante ha rappresentato di aver ricevuto svariate e-mail di carattere commerciale da Aesir s.r.l., ipotizzando un "rastrellamento" di dati personali dal web. In precedenza, con istanza del 21 gennaio 2025, aveva chiesto l’accesso ai dati personali e aveva invitato la società a non limitarsi a cancellare i dati, chiedendo anche di essere contattato da un legale.

A seguito della richiesta di informazioni dell’Ufficio, la società ha spiegato di operare nel settore consulenza ERP e IT e di utilizzare LinkedIn Sales Navigator per individuare potenziali contatti business-to-business. Ha sostenuto di aver ricavato gli indirizzi e-mail tramite funzionalità di LinkedIn e di aver considerato il trattamento legittimo in forza del legittimo interesse e, successivamente, del contratto e del consenso che riteneva già acquisito tramite la piattaforma.

Il reclamante, nella replica, ha contestato di avere reso disponibili i propri indirizzi e-mail su LinkedIn, ipotizzando che siano stati inferiti dalla società.

Violazione relativa alle e-mail promozionali

L’Ufficio, con atto di contestazione, ha ritenuto che le e-mail inviate avessero natura commerciale e non potessero essere considerate una semplice interlocuzione professionale. Il contenuto delle comunicazioni evidenziava, infatti, la promozione di un servizio di gestione finanziaria, con invito a una call e allegazione di brochure informativa.

Il Garante ha quindi ricondotto il trattamento all’art. 130, commi 1 e 2, del Codice privacy, disposizione speciale per l’invio di comunicazioni via posta elettronica. In tale ambito, l’invio è consentito solo con il consenso del contraente o utente, salvo la limitata deroga per l’uso dell’indirizzo e-mail rilasciato nel contesto di una vendita di beni o servizi analoghi.

L’Autorità ha escluso che il trattamento potesse fondarsi:

• sul legittimo interesse del titolare;
• sul contratto tra Aesir e LinkedIn o tra LinkedIn e l’interessato;
• su un consenso presunto o desumibile dall’accettazione della privacy policy di LinkedIn.

In particolare, il Garante ha richiamato le Linee guida EDPB 2/2019 sull’art. 6, par. 1, lett. b), evidenziando che il contratto idoneo ai sensi di tale norma deve vedere come parti il titolare e l’interessato, circostanza assente nel caso di specie. Ha inoltre ricordato che il consenso, ai sensi degli artt. 6, par. 1, lett. a), 7 GDPR e delle Linee guida EDPB 5/2020, richiede una manifestazione positiva, specifica e dimostrabile, non potendo essere presunto.

Quanto a LinkedIn Sales Navigator, il provvedimento chiarisce che si tratta di un servizio Premium B2B, ma che ciò non legittima l’invio di e-mail promozionali a contatti estratti dalla piattaforma in assenza di consenso. L’iscrizione a LinkedIn e la fruizione dei suoi servizi non implicano, secondo il Garante, la ragionevole aspettativa di ricevere campagne commerciali via e-mail da terzi.

È stata quindi accertata la violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, commi 1 e 2, del Codice privacy.

Mancato riscontro alla richiesta di accesso

Con riferimento alla richiesta ex art. 15 GDPR, il Garante ha ritenuto illegittimo il mancato riscontro da parte della società. La cancellazione dell’indirizzo dalla mailing list non sostituisce né sana il dovere di rispondere all’interessato entro il termine di cui all’art. 12 GDPR, né soddisfa il diritto di accesso, che serve a consentire il controllo attivo sui dati trattati.

L’Autorità ha osservato che l’interessato aveva chiesto proprio di conoscere origine, finalità e modalità del trattamento, e che solo in sede istruttoria ha potuto apprendere che i dati erano stati estratti tramite Sales Navigator. Le giustificazioni difensive della società, centrate sul fatto che l’interessato sarebbe già stato informato da LinkedIn e che la cancellazione dalla mailing list fosse sufficiente, sono state ritenute inconferenti, poiché riguardavano un diverso titolare e un diverso adempimento informativo.

È stata quindi confermata la violazione degli artt. 12 e 15 GDPR.

Valutazioni sanzionatorie e criteri di quantificazione

Per le e-mail promozionali senza consenso, il Garante ha valorizzato alcuni elementi attenuanti:

• il pregiudizio subito si è sostanziato essenzialmente in un fastidio, senza ulteriori danni;
• il comportamento è stato qualificato come colposo, dovuto a una scorretta interpretazione delle regole e delle modalità di utilizzo di LinkedIn;
• la società è una microimpresa di recente istituzione;
• l’invio è cessato subito dopo l’opposizione dell’interessato;
• non risultano precedenti violazioni pertinenti;
• il trattamento riguardava solo dati comuni.

Alla luce di tali elementi, il Garante ha ritenuto di non applicare una sanzione pecuniaria per questa condotta, ma di irrogare un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Per il mancato riscontro all’istanza di accesso, l’Autorità ha invece ritenuto necessaria l’ordinanza-ingiunzione. Nella quantificazione della sanzione ha richiamato l’art. 83, par. 3 e 5, GDPR, prendendo come massimo edittale 20 milioni di euro e considerando, tra gli elementi aggravanti, la gravità della violazione e la negligenza della società; tra gli attenuanti, le misure correttive adottate, l’assenza di precedenti, la cooperazione con l’Autorità, la natura dei dati, il carattere isolato della condotta e la natura di microimpresa.

Sulla base di tali criteri, è stata irrogata una sanzione amministrativa pecuniaria di euro 1.000, pari allo 0,005% del massimo edittale ipotizzato.

Dispositivo

Il Garante:

• dichiara illecito il trattamento effettuato da Aesir s.r.l. nei termini indicati in motivazione;
• rivolge un ammonimento alla società per l’invio di comunicazioni promozionali via e-mail senza consenso;
• ordina il pagamento della sanzione di euro 1.000 per la violazione degli artt. 12 e 15 GDPR;
• ingiunge il pagamento entro 30 giorni dalla notificazione, salva la facoltà di definizione agevolata nei termini di legge;
• dispone la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno.

È inoltre prevista l’applicazione della sanzione accessoria della pubblicazione dell’ordinanza-ingiunzione sul sito del Garante. Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria nei termini di legge.