Ordinanza ingiunzione o revoca n. 708 del 27/11/2025

Verisure Italy s.r.l. – marketing illecito, gestione tardiva dei diritti e informative non conformi

Il provvedimento riguarda Verisure Italy s.r.l. ed è scaturito da un reclamo e da una segnalazione relativi all’invio di comunicazioni promozionali nonostante l’esercizio dei diritti di opposizione e cancellazione. L’Autorità ha esaminato i trattamenti svolti nei confronti di potenziali clienti, clienti ed ex clienti, con particolare attenzione alle basi giuridiche invocate, alle modalità di raccolta del contatto sul sito web e ai tempi di conservazione dei dati.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento con comunicazione del 26 marzo 2025, a seguito di:

• un reclamo per la ricezione di sms promozionali dopo una richiesta di cancellazione e opposizione al marketing;
• una successiva segnalazione per ulteriori comunicazioni promozionali ricevute dopo analoga richiesta di stop.

Nel corso dell’istruttoria, il Garante ha acquisito i riscontri della Società, ha formulato ulteriori richieste di informazioni e ha riunito i fascicoli in ragione della sostanziale identità di titolare, circostanze e questioni giuridiche trattate.

Fatti contestati e posizioni della Società

La Società ha sostenuto, in sintesi, che:

• per i clienti ed ex clienti il marketing fosse fondato sul consenso prestato al momento della sottoscrizione contrattuale;
• per i potenziali clienti il trattamento si articolasse in telebooking, teleselling e marketing diretto;
• i dati dei potenziali clienti fossero conservati per 12 mesi;
• per gli ex clienti i dati fossero conservati internamente per 24 mesi, pur senza indicazione esplicita in informativa.

Nella fase difensiva e in audizione la Società ha poi prospettato alcune correzioni organizzative e informative, chiarendo di voler distinguere meglio telebooking e direct marketing, aggiornare le informative e rivedere i tempi di conservazione.

Tardiva esecuzione delle richieste di cancellazione e opposizione

Il Garante ha accertato la violazione degli artt. 12, par. 3, 17 e 21 GDPR in relazione alla ritardata esecuzione delle richieste dell’interessato.

In particolare, ha ritenuto che:

• la richiesta del reclamante del 19 settembre 2024 fosse stata soddisfatta solo il 5 novembre 2024, con blocco delle campagne promozionali;
• il riscontro formale fosse stato comunicato soltanto il 22 novembre 2024;
• il tempo complessivo trascorso eccedesse il termine di un mese previsto dall’art. 12, par. 3, GDPR;
• l’eventuale incertezza sulla qualifica dell’interessato non potesse essere scaricata sul medesimo, essendo onere del titolare organizzare adeguatamente archivi e flussi interni.

Quanto alla segnalazione successiva, il Garante ha ritenuto che anche in quel caso la Società non avesse dato tempestiva attuazione all’opposizione, confermando una carenza organizzativa nella gestione delle richieste degli interessati.

Potenziali clienti: telebooking, marketing e teleselling

Per i potenziali clienti il Garante ha distinto tra:

• telebooking, cioè il contatto per fissare un appuntamento con un esperto e predisporre un preventivo personalizzato;
• marketing diretto/teleselling, ossia il ricontatto per finalità promozionali o per sollecitare la conclusione del contratto.

Sul telebooking il Garante ha ritenuto corretto, nel caso concreto, il fondamento giuridico precontrattuale ex art. 6, par. 1, lett. b), GDPR, disponendo l’archiviazione della contestazione in punto di liceità. Diversamente, per marketing e teleselling ha rilevato che il meccanismo di raccolta del contatto sul sito non consentiva un consenso valido.

In particolare, ha osservato che:

• l’utente poteva solo inserire il numero di telefono nel box online;
• non erano previste caselle realmente selezionabili per esprimere consensi distinti e granulari;
• il consenso al marketing era accorpato alla richiesta di preventivo e quindi non era libero, specifico, informato e inequivocabile;
• l’informativa breve non era immediatamente visibile e non bastava a rendere chiara la portata dei trattamenti.

Ne è derivata la violazione dell’art. 7, parr. 2 e 4, GDPR e, per effetto dell’assenza di una valida base giuridica, l’illiceità dei trattamenti di marketing fondati su tale consenso.

Teleselling e principio di limitazione della conservazione

L’Autorità ha contestato la conservazione per 12 mesi dei dati dei potenziali clienti anche in relazione al teleselling, ritenendo il termine sproporzionato rispetto alla finalità dichiarata.

Il Garante ha valorizzato il fatto che:

• il trattamento non era stato adeguatamente spiegato agli interessati;
• il termine di 12 mesi coincideva con quello del marketing, suggerendo una confusione tra finalità diverse;
• la finalità di ricontatto dopo mesi era suscettibile di trasformarsi in una forma surrettizia di marketing;
• l’ulteriore giustificazione fornita dalla Società, legata alla copertura territoriale del servizio, non rendeva proporzionato un termine indistinto per tutti i potenziali clienti.

È stata quindi accertata la violazione dell’art. 5, par. 1, lett. e), GDPR con riferimento al teleselling.

Clienti ed ex clienti: informativa e tempi di conservazione

Per i trattamenti promozionali rivolti a clienti ed ex clienti, il Garante ha ritenuto insufficiente l’informativa resa dalla Società in punto di conservazione dei dati.

La formula usata, secondo cui i dati sarebbero conservati per il periodo strettamente necessario al perseguimento delle finalità, è stata considerata troppo generica e non idonea a soddisfare l’art. 13, par. 2, lett. a), GDPR, che impone di indicare il periodo di conservazione oppure i criteri per determinarlo.

L’Autorità ha quindi accertato la violazione:

• dell’art. 5, par. 1, lett. e), GDPR, per il mancato rispetto del principio di limitazione della conservazione;
• dell’art. 13, par. 2, lett. a), GDPR, per l’insufficienza informativa.

Per tale profilo ha invece archiviato la contestazione relativa alla liceità del trattamento oltre la durata del rapporto negoziale, osservando che il consenso promozionale, se validamente acquisito, resta efficace fino a revoca.

Prescrizioni, divieti e cancellazione dei dati

In ragione delle violazioni accertate, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento di marketing dei dati dei potenziali clienti raccolti senza adeguata base giuridica;
• la cancellazione dei dati trattati sulla base di un consenso non valido, fatti salvi quelli necessari per altri trattamenti leciti;
• l’adeguamento delle informative, sia breve sia estesa, con particolare riguardo all’uso del numero di telefono nel box online e alla chiara distinzione delle finalità di telebooking, ricontatto e teleselling;
• la comunicazione all’Autorità, entro 60 giorni dalla notifica, delle iniziative intraprese per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria ex art. 83, par. 5, GDPR, determinando il massimo edittale in 20.000.000 euro e irrogando in concreto una sanzione di 400.000 euro.

Nel quantificarla ha considerato, tra gli altri elementi:

• la gravità delle violazioni, connessa a pratiche di marketing diretto invasive e potenzialmente diffuse su vasta scala;
• la negligenza nell’implementazione dei principi di privacy by design e nella gestione dei flussi di dati;
• l’atteggiamento collaborativo e gli interventi correttivi avviati dopo l’apertura del procedimento;
• l’assenza di precedenti provvedimenti sanzionatori;
• il fatto che i trattamenti non riguardassero categorie particolari di dati o dati penali;
• la cooperazione con l’Autorità.

La sanzione è stata ritenuta necessaria in base ai principi di effettività, proporzionalità e dissuasività.

Pubblicazione del provvedimento

È stata disposta la pubblicazione del provvedimento sul sito del Garante, anche come sanzione accessoria, in ragione della gravità delle violazioni e della possibile platea molto ampia di interessati coinvolti. È stata inoltre respinta la richiesta della Società di oscurare nome e riferimenti societari, ritenendo prevalente il principio di trasparenza e la regola generale di pubblicazione dei provvedimenti dell’Autorità.