Ordinanza ingiunzione o revoca n. 590 del 09/10/2025

Università Telematica E-Campus: telemarketing, consenso e tempi di conservazione

Il provvedimento riguarda l’Università Telematica E-Campus e trae origine da un reclamo e da più segnalazioni relative all’invio reiterato di sms e chiamate promozionali a soggetti che avevano semplicemente richiesto informazioni sull’offerta formativa. Il Garante esamina anche il ritardo e l’incompletezza del riscontro alle richieste di accesso, cancellazione e opposizione, nonché l’inosservanza di misure già impartite con un precedente provvedimento del 18 luglio 2023.

Attività istruttoria e origine delle doglianze

Il reclamante ha riferito di ricevere dal 2020 numerosi sms promozionali dall’Università e di aver presentato, il 6 aprile 2024, una richiesta di accesso e cancellazione dei dati finalizzata a conoscere l’origine dei dati, l’esistenza del consenso al marketing e l’eventuale comunicazione a terzi. Il primo riscontro dell’Università è arrivato il 15 maggio 2024 ed è stato ritenuto insufficiente; solo successivamente, con integrazione del 20 maggio 2024, E-Campus ha indicato che i dati erano stati raccolti in occasione di un contatto telefonico del 14 luglio 2020.

Nel corso dell’istruttoria sono state richiamate anche ulteriori segnalazioni: una del 8 marzo 2025 e altre acquisite tramite il sistema automatizzato del Garante. In 9 segnalazioni esaminate, le utenze contattate risultavano in larga parte iscritte al Registro Pubblico delle Opposizioni oppure comunque non presenti negli elenchi telefonici, mentre le numerazioni chiamanti erano differenti e non iscritte nel ROC.

Contestazione delle violazioni

Con nota del 31 marzo 2025 il Garante ha avviato il procedimento contestando:

• la violazione degli artt. 5, par. 1, lett. a), 12, 15, 17 e 21 GDPR per il tardivo e inadeguato riscontro alle istanze degli interessati;
• la violazione degli artt. 6, par. 1, lett. a) e 7, par. 1 GDPR e dell’art. 130, commi 2, 3 e 3-bis del Codice privacy per l’invio di comunicazioni promozionali senza consenso;
• la violazione dell’art. 13, par. 2, lett. a) GDPR per carenze di trasparenza sull’informativa;
• la violazione dell’art. 5, par. 1, lett. e) GDPR per l’assenza di una chiara definizione dei tempi di conservazione;
• l’inosservanza del provvedimento del 18 luglio 2023, rilevante ai fini della sanzione di cui all’art. 83, par. 5, lett. e) GDPR.

Difese dell’Università

L’Università ha sostenuto che il ritardo nel riscontro al reclamante fosse di soli due giorni oltre il termine di un mese previsto dall’art. 12 GDPR e quindi scusabile. Ha inoltre affermato che i dati dei segnalanti erano stati raccolti quando essi avevano chiesto informazioni tramite form online o per telefono e che i contatti successivi erano avvenuti per finalità informative/precontrattuali. Quanto ai tempi di conservazione, ha dichiarato di voler aggiornare l’informativa prevedendo 5 anni per i soggetti non iscritti a percorsi formativi e 10 anni per gli iscritti, salvo revoca.

Nel corso dell’audizione del 20 maggio 2025, E-Campus ha altresì rappresentato di aver rivisto alcune misure, tra cui la raccolta di un consenso esplicito mediante digitazione di un tasto sul telefono e modalità semplificate di disiscrizione, e ha sostenuto di non essere soggetta all’obbligo di consultazione del RPO e all’iscrizione nel ROC, non operando come call center.

Valutazioni del Garante sul riscontro agli interessati

Il Garante ha ritenuto violati gli artt. 5, par. 1, lett. a), 12, 15, 17 e 21 GDPR. La richiesta dell’interessato era stata inoltrata il 6 aprile 2024 e il riscontro utile è stato considerato tardivo, poiché solo il 20 maggio 2024 sono state fornite informazioni, peraltro incomplete. L’Autorità ha escluso che il ritardo potesse considerarsi giustificato o scusabile.

È stato anche osservato che le modalità di opposizione predisposte dall’Università non erano effettive: gli sms non indicavano chiaramente come opporsi, l’invio di una risposta poteva comportare costi per l’utente e, per le chiamate con operatore, l’opposizione avrebbe dovuto poter essere manifestata immediatamente nel corso della telefonata. Inoltre, l’uso di numerazioni sempre diverse rendeva inefficace il blocco delle chiamate.

Comunicazioni promozionali senza consenso e natura delle basi giuridiche invocate

Il Garante ha qualificato le comunicazioni come promozionali, non come mere attività precontrattuali. Ha ritenuto insostenibile l’argomento secondo cui i contatti successivi alla richiesta di informazioni sarebbero stati giustificati dall’art. 6, par. 1, lett. b) GDPR, perché il trattamento necessario a misure precontrattuali deve essere limitato a contatti immediati o comunque ragionevolmente prossimi alla richiesta dell’interessato e non può estendersi per anni.

Poiché l’Università non ha documentato un consenso specifico e valido per il marketing, il Garante ha accertato la violazione degli artt. 6, par. 1, lett. a) e 7, par. 1 GDPR. Per le chiamate telefoniche con operatore ha inoltre affermato l’applicabilità della disciplina sul Registro Pubblico delle Opposizioni, con obbligo di consultazione mensile e prima di ogni campagna promozionale, ai sensi della legge n. 5/2018 e dell’art. 130 del Codice privacy.

Trasparenza e conservazione dei dati

In materia di conservazione, il Garante ha rilevato che l’informativa inizialmente pubblicata non indicava con sufficiente chiarezza i tempi di retention per finalità promozionali, limitandosi a formule vaghe. Tale carenza integra la violazione dell’art. 13, par. 2, lett. a) GDPR, poiché gli interessati non erano messi in grado di comprendere pienamente le modalità del trattamento.

Sul piano sostanziale, l’Autorità ha ritenuto che la conservazione prolungata per anni, in alcuni casi oltre dieci anni, fosse eccessiva e non giustificata ai sensi dell’art. 5, par. 1, lett. e) GDPR. Ha osservato che, specialmente in assenza di un consenso documentato e di una preventiva valutazione del titolare, la conservazione rischia di diventare sine die. Anche la successiva previsione di un termine massimo di 5 anni è stata considerata non ancora adeguatamente giustificata sotto il profilo della necessità e proporzionalità.

Inosservanza del precedente provvedimento del 18 luglio 2023

Il Garante ha richiamato il precedente provvedimento adottato nei confronti di E-Campus il 18 luglio 2023, che aveva già imposto di:

• rivedere misure tecniche e organizzative per rispondere tempestivamente agli interessati;
• verificare le misure per il marketing e la documentazione del consenso;
• vietare l’uso di liste prive di consenso documentato;
• stabilire appropriati tempi di conservazione da indicare in informativa.

Nonostante la nota dell’Università del 14 novembre 2023, l’istruttoria ha mostrato che le procedure erano ancora inadeguate e che i contatti promozionali senza consenso erano proseguiti anche dopo il termine di adeguamento del 29 febbraio 2024. Il Garante ha quindi confermato l’inosservanza del precedente provvedimento.

Sanzione, misure correttive e pubblicazione

Tenuto conto della pluralità delle violazioni e del rapporto di collegamento tra i trattamenti, il Garante ha applicato i criteri dell’art. 83 GDPR e ha determinato la sanzione in euro 60.000,00. Ai fini della quantificazione ha valorizzato, tra gli elementi aggravanti, la durata pluriennale dei trattamenti, la gravità delle violazioni e la recidiva rispetto al provvedimento del 18 luglio 2023; tra gli attenuanti, il numero degli interessati, il basso danno individuale, la natura comune dei dati e la natura non commerciale dell’Università.

Il Garante ha quindi:

• dichiarato illecito il trattamento;
• ingiunto di verificare le misure tecniche e organizzative per il marketing e di garantire la documentazione del consenso;
• imposto il divieto di trattamento per finalità promozionali dei dati di cui non sia dimostrabile il consenso;
• ingiunto di effettuare una valutazione approfondita sui tempi di conservazione per marketing, nel rispetto dei principi di necessità e proporzionalità;
• ordinato il pagamento della sanzione pecuniaria di 60.000 euro, con facoltà di definizione agevolata nei termini di legge;
• disposto la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno.

Profili ulteriori

Il provvedimento ricorda inoltre che la mancata osservanza del divieto di trattamento può integrare il reato previsto dall’art. 170 del Codice privacy e comporta anche l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e) GDPR. È ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini indicati dal GDPR e dal Codice.