Ordinanza ingiunzione o revoca n. 654 del 23/10/2025

Zephiromedia S.r.l. - email marketing illecito e mancato riscontro alle istanze degli interessati

Il provvedimento riguarda Zephiromedia S.r.l., destinataria di numerose segnalazioni per l’invio massivo e ripetuto di email promozionali indesiderate. Il Garante interviene a seguito di un’istruttoria avviata sulla base dei reclami degli interessati e di un accertamento ispettivo svolto nell’ottobre 2024.

Origine del procedimento e attività istruttoria

Dalla fine del 2023 sono pervenute all’Autorità molte istanze in cui gli interessati lamentavano:

• ricezione di email promozionali non richieste;
• impossibilità di opporsi efficacemente tramite il tasto unsubscribe o via email;
• mancato riscontro alle richieste di esercizio dei diritti;
• in alcuni casi, irraggiungibilità dell’indirizzo privacy@zephiromedia.it.

Il Garante ha quindi svolto un accertamento ispettivo nei giorni 8 e 9 ottobre 2024, integrato dalle note e dalle riserve sciolte dalla Società il 31 ottobre 2024. Nel corso dell’attività sono stati esaminati anche esempi concreti di email ricevute, richieste di disiscrizione e richieste di esercizio dei diritti inviate dagli interessati.

Trattamenti esaminati e modalità operative

Zephiromedia ha dichiarato di operare nel settore dell’email marketing verso utenti italiani e spagnoli, senza committenti diretti, tramite contratti di affiliazione/subappalto. Per l’attività promozionale utilizzava:

• una lista di oltre 9 milioni di record di interessati italiani;
• una lista di oltre 12 milioni di contatti spagnoli;
• liste acquisite da soggetti con sede a Londra, a loro volta alimentate da ulteriori cessioni.

Le email promozionali venivano inviate da molteplici domini e denominazioni apparentemente diverse, tra cui meltemiforcar.it, meltemiforenergy.it, meltemiforhouse.it, meltemioffer.it, meltemipromo.it, meltemitariffa.com, promozionidalweb.it, clikkalo.com e clikkasulweb.it. Il Garante osserva che tale molteplicità di mittenti ha reso più complessa l’attribuzione delle doglianze alla Società, con conseguente probabile sottostima del numero complessivo delle segnalazioni riferibili a Zephiromedia.

Gestione delle richieste degli interessati

Uno dei profili centrali del provvedimento riguarda il mancato o inefficace riscontro alle richieste di cancellazione, opposizione e accesso. Le verifiche hanno evidenziato che:

• le richieste inviate via email ai recapiti indicati nell’informativa spesso finivano nella posta indesiderata;
• anche l’email inviata durante l’ispezione da un funzionario del Garante ai recapiti privacy e del DPO risultava consegnata ma classificata come spam;
• in alcuni casi la disiscrizione risultava solo successiva e comunque non accompagnata da un riscontro tempestivo alla richiesta;
• alcune richieste già presentate al Garante erano rimaste senza risposta o erano state interpretate in modo restrittivo dalla Società.

Il Garante richiama in particolare casi in cui gli interessati avevano continuato a ricevere messaggi per mesi nonostante avessero già tentato la disiscrizione, nonché un reclamo nel quale si lamentava la ricezione di circa 50 messaggi in tre settimane.

Violazioni in materia di diritti dell’interessato

L’Autorità ha ritenuto che Zephiromedia non disponesse di adeguate misure tecniche e organizzative per ricevere e trattare le richieste degli interessati. La condotta è stata valutata come violazione:

• dell’art. 12, parr. 2 e 3, GDPR, per la mancata agevole e tempestiva gestione delle istanze;
• degli artt. 15, 17 e 21 GDPR, per il mancato riscontro alle richieste di accesso, cancellazione e opposizione;
• dell’art. 24 GDPR, per l’assenza di misure organizzative adeguate.

Il Garante respinge la tesi della Società secondo cui alcune comunicazioni non avrebbero integrato vere richieste o sarebbero state pretestuose o offensive, osservando che il titolare deve comunque riscontrare una doglianza circostanziata, salvo eventualmente chiedere chiarimenti o integrazioni.

Liceità del marketing e prova del consenso

Un secondo nucleo decisivo del provvedimento riguarda la liceità del trattamento per finalità promozionali. Zephiromedia sosteneva di aver acquisito le liste da soggetti terzi e di aver verificato la documentazione dei consensi, ma l’Autorità ritiene tali verifiche inidonee.

In particolare, la Società ha prodotto:

• un documento pdf con dati quali nome, cognome, email, IP, timestamp e indicazioni di opt_in_privacy, opt_in_marketing, opt_in_profiling e opt_in_third_party;
• ulteriori print screen relativi a pochi record;
• dichiarazioni su un campione di soli 10 interessati verificati prima dell’acquisto di milioni di contatti.

Il Garante considera insufficiente la prova basata sul solo IP o su estratti informatici non idonei a garantire l’immodificabilità della data e dell’origine del consenso. Viene richiamato l’orientamento già espresso in altri provvedimenti secondo cui la corretta acquisizione del consenso richiede modalità informatiche affidabili, con tracciatura certa e, ove opportuno, meccanismi di double opt-in. Inoltre, la verifica del consenso deve avvenire su un campione significativamente rappresentativo della banca dati acquistata.

Alla luce di tali elementi, il Garante ritiene non comprovata la sussistenza di un consenso valido ai sensi degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), e 7 GDPR, oltre che dell’art. 130, comma 2, Codice privacy.

Criticità delle informative e dei fornitori terzi

Nel corso dell’ispezione il Garante ha esaminato l’informativa presente sul sito scontofelice.com, dal quale i dati erano stati raccolti. Sono emerse diverse criticità:

• l’indicazione del titolare del trattamento risultava inizialmente non coerente con la reale struttura dei soggetti coinvolti;
• mancavano informazioni complete sul rappresentante nell’Unione per il soggetto con sede extra-UE, in violazione dell’art. 13, par. 1, lett. a), e dell’art. 27 GDPR;
• il periodo di conservazione dei dati per finalità promozionali era formulato in modo indeterminato e potenzialmente eludibile;
• le informazioni sulla catena di acquisizione dei dati erano contraddittorie, anche rispetto a chi avesse materialmente raccolto i dati e a chi li avesse successivamente ceduti.

L’Autorità osserva che, anche ammettendo una raccolta iniziale lecita, il consenso non può essere "trasmesso" indefinitamente da un titolare all’altro tramite successive cessioni contrattuali. Gli accordi commerciali, le clausole di garanzia e le manleve hanno rilievo solo nei rapporti tra le parti, ma non possono sostituire le garanzie richieste dal quadro normativo a tutela degli interessati.

Valutazioni del Garante e misure correttive

Il Garante ha confermato integralmente le violazioni contestate e, ai sensi dell’art. 58, par. 2, GDPR, ha adottato due misure principali:

• ingiunzione a valutare gli strumenti utilizzati per il recepimento delle richieste degli interessati e ad adeguare le procedure organizzative per fornire risposte efficaci e tempestive;
• divieto di trattare per finalità promozionali i dati raccolti con quelle modalità, in assenza di documentazione idonea dell’acquisizione del consenso.

La Società è stata inoltre tenuta a comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

In ragione della pluralità di violazioni connesse a trattamenti collegati, il Garante richiama l’art. 83, par. 3, GDPR e determina la sanzione nel perimetro della violazione più grave, individuata nell’art. 83, par. 5, GDPR. Il massimo edittale è stato considerato pari a 20 milioni di euro.

Ai fini della quantificazione sono state valorizzate come circostanze aggravanti:

• la gravità della violazione e l’enorme numero di interessati coinvolti, con database di 9 milioni di utenze italiane e 12 milioni di utenti spagnoli;
• l’invio di messaggi promozionali indesiderati anche dopo l’opposizione;
• l’assenza di misure idonee a mitigare il pregiudizio e a recepire le richieste di cancellazione.

Sono state considerate attenuanti:

• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto;
• la condizione economica del contravventore e la qualifica di microimpresa.

All’esito del bilanciamento, la sanzione è stata determinata in euro 30.000, pari allo 0,16% del massimo edittale. Il provvedimento prevede anche la pubblicazione integrale sul sito del Garante.

Dispositivo e rimedi

Il Garante:

• dichiara illecito il trattamento nei termini descritti in motivazione;
• ingiunge l’adeguamento delle procedure per il riscontro alle istanze degli interessati;
• impone il divieto di trattamento per finalità promozionali dei dati acquisiti senza idonea prova del consenso;
• ordina il pagamento della sanzione di euro 30.000, con facoltà di definizione agevolata nei termini previsti dall’art. 166, comma 8, Codice privacy;
• dispone la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità.

Contro il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria nei termini di legge.