Ordinanza ingiunzione o revoca n. 593 del 09/10/2025

FT Solutions S.r.l.: trattamento illecito di liste anagrafiche e marketing tramite CercanumeriPro

Il provvedimento riguarda FT Solutions S.r.l., cessionaria del ramo d’azienda relativo alla piattaforma telematica "CercanumeriPro" e al dominio www.cercanumeripro.it. L’istruttoria prende avvio da segnalazioni e reclami relativi a telefonate e comunicazioni promozionali indesiderate, nonché da un accertamento ispettivo svolto il 5 e 6 novembre 2024.

Origine del procedimento e quadro fattuale

L’Autorità ricostruisce una filiera di trattamento che coinvolge il fornitore MishLux Business LP, la società FT Solutions e i clienti/agenzie che acquistavano liste di numeri telefonici associati ad anagrafiche per attività promozionali, prevalentemente nel settore immobiliare e del recupero crediti. Al momento dell’ispezione risultavano presenti oltre 2.052.933 anagrafiche. Le utenze selezionate in base ai parametri indicati dai clienti erano rese visibili per 30 giorni, con verifica del Registro Pubblico delle Opposizioni e possibilità per i clienti di segnalare numeri inesistenti o non ricontattabili mediante una black list.

Correttezza del ruolo soggettivo: FT Solutions come titolare del trattamento

La società sosteneva di operare quale responsabile del trattamento ex art. 28 GDPR, in forza delle condizioni generali di servizio e dei contratti con i clienti. Il Garante respinge tale impostazione e afferma che FT Solutions ha determinato autonomamente finalità e mezzi del trattamento, qualificandosi quindi come titolare ai sensi dell’art. 4, punti 7 e 8, GDPR.

L’Autorità valorizza, tra gli altri elementi:

• la scelta autonoma del list provider MishLux;
• la selezione del fornitore già in fase di predisposizione tecnica della piattaforma, prima degli incarichi dei clienti;
• la previsione di regole operative per i clienti, come la frequenza dei contatti promozionali e il divieto di occultare il numero chiamante;
• la gestione autonoma delle operazioni di verifica nel RPO e di deduplica;
• l’esclusività del rapporto commerciale della società con clienti e fornitore.

Ne consegue la violazione degli artt. 5, par. 1, lett. a), e 24 GDPR.

Liceità del trattamento, consenso e comunicazione dei dati a terzi

Il Garante qualifica il passaggio dei dati da MishLux a FT Solutions e da FT Solutions ai clienti come una cessione/comunicazione tra autonomi titolari, effettuata senza i necessari presupposti di liceità. La società non ha dimostrato:

• l’effettiva informativa resa agli interessati dal precedente titolare;
• l’effettiva informativa resa da FT Solutions;
• un consenso specifico per la comunicazione a terzi per finalità di marketing;
• un controllo adeguato sulla libertà, specificità e documentazione del consenso.

Viene richiamato il principio, già affermato dal Garante, secondo cui il consenso prestato al primo titolare non può produrre effetti a catena nei successivi passaggi dei dati. È inoltre evidenziato che la documentazione esibita dalla società non era idonea a provare in modo oggettivo e immodificabile la volontà degli interessati.

Trasparenza, form online e base giuridica dei trattamenti

L’Autorità accerta l’omessa trasparenza e l’errata strutturazione dei form di raccolta dati sui siti www.cercanumeripro.it e www.ownersitalia.it. Nei moduli venivano accorpate finalità eterogenee, quali:

• direct email marketing;
• attività promozionali;
• condivisione dei contatti con partner commerciali.

Il consenso risultava quindi non specifico e non libero, in contrasto con gli artt. 6 e 7 GDPR e con il principio di trasparenza di cui all’art. 12 GDPR. Il Garante osserva anche che l’informativa del sito cercanumeripro.it, fino all’ispezione, riportava ancora il precedente titolare e non FT Solutions, aggiornamento avvenuto solo il 5 novembre 2024.

Esattezza dei dati e gestione delle istanze degli interessati

La possibilità per i clienti di segnalare numeri inesistenti o non ricontattabili evidenzia, secondo il Garante, la presenza di dati inesatti o non aggiornati, in violazione dell’art. 5, par. 1, lett. d), GDPR.

Inoltre, FT Solutions non ha fornito un riscontro diretto alle istanze di esercizio dei diritti degli interessati, limitandosi a inoltrarle al fornitore. L’Autorità ritiene quindi integrata la violazione degli artt. 5, par. 2, 12, parr. 1 e 2, 21, par. 2, 24 e 25 GDPR.

Misure tecniche e organizzative: accessi non adeguatamente limitati

Il Garante contesta anche l’inadeguatezza delle misure di sicurezza. Gli amministratori di sistema della società potevano accedere alle aree riservate dei clienti mediante sessioni concorrenti e impersonificazione, con i medesimi privilegi del cliente, senza notifica all’utente.

Secondo l’Autorità, tale assetto non garantiva una segregazione sufficiente degli accessi, né consentiva di ricondurli a finalità specifiche e limitate. La violazione è qualificata in relazione agli artt. 5, par. 1, lett. b) e f), 25 e 32 GDPR.

Provvedimenti adottati: divieti, ingiunzioni e termini

Il Garante dichiara illeciti i trattamenti e dispone:

• il divieto di ogni ulteriore trattamento dei dati acquisiti da MishLux in assenza di consenso libero, specifico e informato, anche mediante cancellazione dai database;
• il divieto di trattare i dati raccolti direttamente tramite i siti della società senza preventivo consenso informato, libero e specifico, anche mediante cancellazione dai database;
• l’ordine di adottare, per il futuro, procedure di verifica costante e a campione sulle liste di terzi, informative ex art. 14 GDPR, consensi specifici per ciascuna finalità, form di raccolta distinti per finalità, documentazione aggiornata sul corretto ruolo di titolare, misure per facilitare l’esercizio dei diritti e misure tecniche per limitare gli accessi.

La società deve comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate sulle misure di cui alle lett. a) e b), ad eccezione della misura relativa agli accessi; per quest’ultima, il termine è di 60 giorni.

Sanzione amministrativa e criteri di quantificazione

Il Garante applica la sanzione amministrativa pecuniaria di euro 5.000,00 ai sensi degli artt. 166, comma 7, del Codice privacy, 18 della legge n. 689/1981 e 83, parr. 3 e 5, GDPR.

Nel quantificare la sanzione, l’Autorità richiama:

• la gravità delle violazioni, anche per l’elevato numero di dati trattati e per il collegamento al fenomeno del telemarketing selvaggio;
• la condotta colposa della società;
• l’assenza di precedenti provvedimenti;
• la natura dei dati, consistenti in dati comuni di contatto;
• le limitate capacità economiche della società.

Viene disposta anche la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Tutela giurisdizionale

Contro il provvedimento è ammessa opposizione avanti all’autorità giudiziaria ordinaria, nei termini previsti dagli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.