Ordinanza ingiunzione o revoca n. 312 del 29/04/2026

Nuova Corrente S.r.l. - telemarketing illecito, base giuridica non provata e mancato riscontro ai diritti

Il provvedimento riguarda Nuova Corrente S.r.l., destinataria di un’ordinanza ingiunzione a seguito di reclamo dell’interessata e successiva istruttoria del Garante. L’Autorità ha esaminato trattamenti connessi a contatti promozionali e alla gestione delle richieste dell’interessata, rilevando criticità nella raccolta dei dati, nella filiera dei fornitori e nel riscontro all’istanza di accesso.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice, con atto notificato il 10 marzo 2026. Il reclamo lamentava la ricezione di due chiamate promozionali e, nella ricostruzione dell’interessata, anche truffaldine: un primo contatto tramite soggetto esterno che prospettava un’anomalia di fatturazione e un secondo contatto da parte di un’operatrice di Nuova Corrente per la conclusione di un nuovo contratto di fornitura.

Nel corso dell’istruttoria, Nuova Corrente ha fornito riscontri successivi e non sempre coerenti sull’origine dei dati, sulla base giuridica del trattamento e sul ruolo dei soggetti coinvolti. L’Autorità ha anche esaminato il sito offertegratis.com, riconducibile a Clean Energy Consulting, rilevando che esso non era un portale navigabile ma un form di raccolta dati e consensi.

Trattamenti esaminati

Il Garante ha ricondotto i trattamenti in esame alle attività di telemarketing e teleselling effettuate nell’interesse di Nuova Corrente, con acquisizione di dati anagrafici e di contatto, contatti telefonici promozionali e successiva fase di validazione del contratto. La Società ha dichiarato di aver operato tramite Joseph Agency S.r.l.s. come responsabile del trattamento per le attività di contatto e promozione, mentre la fase di validazione contrattuale e gestione del cliente sarebbe rimasta in capo a Nuova Corrente quale titolare.

È emerso tuttavia che, secondo le diverse versioni fornite dalla Società, i dati sarebbero provenuti prima da offertegratis.com e poi anche da campagne social; il Garante ha ritenuto non chiarita in modo affidabile l’origine dei dati e non dimostrata una valida acquisizione del consenso.

Violazioni contestate e valutazioni del Garante

L’atto di contestazione ha riguardato tre gruppi di violazioni:

• artt. 5, 6 e 7 GDPR e art. 130 del Codice, per trattamento in assenza di idonea base giuridica;
• artt. 5, 24 e 28 GDPR, per violazione dei principi di accountability e degli obblighi relativi al responsabile del trattamento;
• artt. 12 e 15-22 GDPR, per mancato riscontro all’istanza di esercizio dei diritti e per l’assenza di misure idonee a gestire tali richieste.

Sul piano sostanziale, l’Autorità ha ritenuto che:

• la documentazione prodotta non dimostrasse in modo sufficiente la lecita provenienza dei dati;
• le formule di consenso sul sito offertegratis.com fossero carenti di trasparenza e di granularità;
• la cessione dei dati a terzi risultasse eccessivamente ampia e indistinta;
• mancassero meccanismi idonei a verificare l’identità del soggetto che inseriva i dati, come il double opt-in o strumenti equivalenti;
• non risultassero adeguati controlli sulla filiera dei partner commerciali e sul responsabile del trattamento.

Consenso, trasparenza e granularità

Il Garante ha dedicato particolare rilievo alle modalità di raccolta del consenso. Le formule presenti sul sito sono state considerate sovrapponibili e non capaci di consentire una scelta realmente libera, specifica e granulare. In particolare, la struttura dei consensi relativi alla cessione a terzi non permetteva di comprendere se il secondo e il terzo consenso comportassero un trasferimento indistinto dei dati a tutti i cessionari indicati.

L’Autorità ha richiamato i principi del consenso libero e specifico di cui agli artt. 4, punto 11, e 7 GDPR, nonché le Linee guida EDPB n. 5/2020 sul consenso, evidenziando che la libertà del consenso richiede una scelta effettiva e il controllo sui propri dati personali.

Responsabilità del titolare e rapporto con il responsabile

Il Garante ha ritenuto che Nuova Corrente non abbia correttamente assolto agli obblighi di accountability. In particolare, la Società avrebbe demandato all’agenzia le scelte sull’approvvigionamento delle anagrafiche senza adeguati criteri di selezione a monte e senza controlli a valle sufficientemente documentati.

Sono stati rilevati profili di culpa in eligendo e culpa in vigilando anche nei rapporti con Joseph Agency S.r.l.s.:

• i moduli di nomina richiamavano norme ormai abrogate;
• i criteri di prequalifica del partner erano ritenuti estranei alla materia privacy;
• non risultavano provati istruzioni pertinenti né controlli efficaci sull’attività del responsabile;
• la cessazione del rapporto con l’agenzia non è stata considerata sufficiente a escludere la responsabilità per le violazioni già commesse.

L’Autorità ha richiamato anche il Codice di condotta in materia di telemarketing e teleselling come parametro di best practice, in particolare sui controlli mediante audit e verifiche a campione.

Gestione delle istanze dell’interessata

È stata accertata la violazione degli artt. 12 e da 15 a 22 GDPR per il mancato riscontro alla richiesta dell’interessata. Il titolare ha sostenuto che l’istanza fosse stata gestita solo come richiesta commerciale e che fosse stata inviata alla PEC anziché all’indirizzo dedicato; il Garante ha respinto tali argomentazioni, precisando che il titolare deve organizzarsi per rispondere alle richieste degli interessati indipendentemente dal canale utilizzato, salvo i casi espressamente previsti dall’art. 12, par. 5, GDPR.

La Società ha riferito di avere successivamente integrato la gestione delle istanze nel proprio sistema di ticketing/CRM, con ticket privacy, countdown di 30 giorni e obbligo di allegare la prova del riscontro prima della chiusura della pratica.

Sanzione, criteri di quantificazione e pubblicazione

Il Garante ha ritenuto sussistenti i presupposti per un’ordinanza ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981. Considerata la violazione di più disposizioni del GDPR e dell’art. 130 del Codice, è stato applicato l’art. 83, parr. 3 e 5, GDPR, con richiamo al massimo edittale di 20.000.000 euro.

Ai fini della quantificazione sono stati valorizzati:

• la gravità delle violazioni, in un contesto di telemarketing già ampiamente presidiato da precedenti provvedimenti dell’Autorità;
• la cooperazione con il Garante come fattore attenuante;
• la circostanza che i dati trattati fossero dati comuni.

La sanzione amministrativa pecuniaria è stata fissata in euro 15.000,00. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e la pubblicazione della sanzione accessoria, oltre all’annotazione nel registro interno dell’Autorità.

Dispositivo e tutela giurisdizionale

Il Garante ha dichiarato illecito il trattamento effettuato da Nuova Corrente S.r.l. e ha ordinato il pagamento della sanzione di euro 15.000,00 entro 30 giorni dalla notificazione, con facoltà di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice. È stata altresì richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.