Ordinanza ingiunzione o revoca n. 537 del 25/09/2025

La Prima S.r.l. - invio di email promozionali senza consenso, mancato riscontro alla cancellazione e inosservanza di precedente prescrizione

Il Garante per la protezione dei dati personali ha adottato nei confronti di La Prima S.r.l. un’ordinanza-ingiunzione relativa a trattamenti di dati personali connessi all’invio di comunicazioni promozionali. Il procedimento trae origine da un reclamo dell’interessato, che aveva contestato la ricezione di email indesiderate e l’assenza di riscontro alla richiesta di cancellazione dei propri dati.

Fatti e attività istruttoria

L’interessato aveva segnalato di aver ricevuto una email promozionale da un agente della società, riferita a un immobile di sua proprietà, e di aver chiesto la cancellazione dei dati senza ottenere riscontro. Nel corso dell’istruttoria, l’Ufficio del Garante ha richiesto chiarimenti alla società, ricevendo risposte tardive e non adeguatamente documentate, tramite PEC prive di sottoscrizione o comunque caratterizzate da contenuti generici. La società ha affermato che i dati non sarebbero stati oggetto di trattamento, sostenendo che la mail fosse stata solo inoltrata per errore e che i dati fossero stati reperiti nell’ambito della normale attività di ricerca in zona.

Precedente provvedimento e reiterazione della condotta

Il Garante ha richiamato un precedente provvedimento del 16 settembre 2021, con il quale la stessa società era già stata destinataria di un ammonimento e di una prescrizione per l’uso di dati personali a fini promozionali in assenza di idonea base giuridica, nonché di una sanzione per mancato riscontro a una richiesta di informazioni dell’Autorità. Nel caso odierno, l’Autorità ha ritenuto che la prescrizione non fosse stata ottemperata, poiché la società aveva nuovamente effettuato attività promozionale priva di consenso.

Violazioni accertate

Il Garante ha confermato tre profili di illecito:

• violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, Codice privacy, per l’invio di comunicazioni promozionali senza consenso;
• violazione degli artt. 12, par. 3, e 17 GDPR, per il mancato riscontro alla richiesta di cancellazione;
• violazione dell’art. 58, par. 2, lett. d), GDPR, per inosservanza della precedente prescrizione impartita nel 2021.

L’Autorità ha osservato che la società non ha fornito giustificazioni documentate sull’origine dei dati né sulla base giuridica del trattamento, limitandosi a richiamare meri errori o sviste. Ha inoltre rilevato che la condotta è stata posta in essere con grave negligenza, nonostante il precedente intervento del Garante.

Valutazioni sulla mancata cancellazione e sui diritti dell’interessato

Quanto alla richiesta di cancellazione, il Garante ha ritenuto non sufficiente la spiegazione della società circa la mancata presa visione della richiesta stessa. È stato sottolineato che i titolari devono organizzare adeguatamente la ricezione e il trattamento delle istanze degli interessati, anche tramite formazione degli incaricati che possano riceverle direttamente. L’ignoranza della richiesta ha infatti determinato il protrarsi dei contatti indesiderati e ha reso necessario l’intervento dell’Autorità.

Quantificazione della sanzione

Poiché le violazioni sono state considerate collegate, il Garante ha applicato l’art. 83, par. 3, GDPR, richiamando il regime sanzionatorio dell’art. 83, par. 5, GDPR e individuando un massimo edittale di 20 milioni di euro. Ai fini della determinazione dell’importo concreto sono stati valorizzati come aggravanti:

• il carattere gravemente colposo della violazione;
• la precedente violazione pertinente già commessa dalla società.

Sono stati considerati attenuanti:

• l’avvenuta cancellazione dei dati dopo la ricezione della richiesta di informazioni;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto;
• la natura di microimpresa del titolare.

All’esito del bilanciamento, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 10.000, pari allo 0,05% del massimo edittale ipotizzato.

Misure accessorie e ulteriori disposizioni

Oltre alla sanzione pecuniaria, il Garante ha disposto:

• la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito web istituzionale, ai sensi degli artt. 154-bis del Codice, 166, comma 7, del Codice e 37 del Regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

È stata inoltre indicata la facoltà di definizione agevolata ex art. 166, comma 8, Codice, con pagamento entro 30 giorni di un importo pari alla metà della sanzione comminata, e la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.