Prescrizioni del Garante n. 211 del 26/03/2026

Ammonimento a Fix It s.r.l.s. per comunicazione commerciale illecita

Il Garante per la protezione dei dati personali ha esaminato un reclamo presentato nei confronti di Fix It s.r.l.s., titolare della piattaforma www.megamta.com, relativo a una email commerciale ritenuta non autorizzata e al mancato riscontro a una richiesta di accesso ai dati personali. Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice privacy, con contestazione delle presunte violazioni degli artt. 5, 6, 12 e 15 GDPR e dell’art. 130 Codice privacy.

Origine del procedimento e contestazioni

L’istruttoria ha preso avvio da un reclamo del 27 settembre 2025, nel quale l’interessato lamentava:

• la ricezione di una comunicazione commerciale al proprio indirizzo email;
• il mancato riscontro alla richiesta di esercizio dei diritti inviata il 30 luglio 2025.

All’esito degli scambi con la società, l’Ufficio ha contestato a Fix It s.r.l.s. la violazione:

• dell’art. 5, comma 1, lett. a) e comma 2, GDPR, per trattamento non lecito e mancata dimostrazione della liceità;
• dell’art. 6 GDPR, per assenza di idonea base giuridica;
• dell’art. 130 Codice privacy, per invio di comunicazioni promozionali in assenza dei presupposti;
• degli artt. 12 e 15 GDPR, per il dedotto mancato riscontro alla richiesta di accesso.

Difese del titolare

Nelle memorie difensive la società ha sostenuto di non aver ricevuto l’email del 30 luglio 2025 e ha quindi giustificato l’assenza di risposta. Ha inoltre affermato che l’accesso ai dati personali era comunque possibile in qualsiasi momento tramite l’area personale del portale MegaMta.com. Quanto alla comunicazione promozionale, la società ha dichiarato che l’interessato si era disiscritto il 21 settembre 2025 e che, da quel momento, non erano state inviate ulteriori comunicazioni.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha ritenuto non idonee le difese della società a escludere la responsabilità per la parte relativa al marketing. È stato ribadito che il titolare deve trattare i dati personali in modo lecito e corretto e deve inoltre essere in grado di comprovare tale liceità. Nel caso concreto, la società non ha fornito un riscontro specifico sulla base giuridica del trattamento contestato; l’affermazione secondo cui la piattaforma sarebbe destinata a inviare comunicazioni solo a destinatari che hanno accettato di riceverle è stata considerata troppo generica per dimostrare il consenso o altra valida base di legittimazione.

In assenza di evidenze specifiche, il trattamento è stato qualificato come illecito. Il Garante ha comunque preso atto che l’invio contestato era cessato e che non erano necessarie ulteriori misure ripristinatorie sul punto.

Archiviazione della contestazione relativa al diritto di accesso

Diversamente, con riferimento agli artt. 12 e 15 GDPR, l’Autorità ha ritenuto che non vi fossero elementi sufficienti per accertare la violazione. La società ha negato di aver ricevuto la richiesta del 30 luglio 2025; l’Ufficio ha verificato i propri sistemi senza rinvenire la comunicazione, che non risultava né protocollata né inserita nel fascicolo istruttorio. È stato inoltre osservato che la documentazione allegata dal reclamante consisteva in una email ordinaria, non assistita da meccanismi di prova della ricezione equivalenti a quelli propri della PEC. Per tali ragioni la contestazione è stata archiviata.

Esito finale e misure adottate

Il Garante ha quindi:

• accertato la violazione degli artt. 5, comma 1, lett. a), e comma 2, 6 GDPR e 130 Codice privacy;
• dichiarato l’illiceità del trattamento nei limiti indicati;
• rivolto alla società un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, relativo all’illiceità dell’invio della comunicazione commerciale;
• escluso l’applicazione di una sanzione pecuniaria.

La mancata irrogazione della multa è stata motivata valorizzando la natura dei dati trattati, il numero limitato di interessati coinvolti, il carattere isolato dell’episodio, cessato sin dal settembre 2025, e l’assenza di precedenti simili a carico del titolare.

Pubblicazione e rimedi

Il provvedimento dispone la pubblicazione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e l’annotazione nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), GDPR. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.