Ordinanza ingiunzione o revoca n. 637 del 23/10/2025

Geturhotels Srl - sms promozionali senza consenso e mancata gestione dell’opposizione

Il provvedimento riguarda Geturhotels Srl e un trattamento di dati personali effettuato per finalità promozionali tramite sms. Il procedimento trae origine dal reclamo di un interessato che, per anni, ha continuato a ricevere messaggi indesiderati nonostante le ripetute richieste di opposizione e cancellazione.

Origine del procedimento e istruttoria

L’interessato ha segnalato di aver ricevuto sms promozionali a partire dal maggio 2021 e di aver tentato più volte di ottenere la cancellazione dei propri dati, prima telefonicamente, poi con email del 22 giugno 2021. La ricezione dei messaggi è proseguita, con andamento intermittente, fino a riprendere con continuità dal 14 marzo 2024.

A seguito della richiesta di informazioni dell’Ufficio, la società ha dichiarato di aver acquisito i dati nel 2015 in occasione della vendita di servizi alberghieri e di averli utilizzati per finalità promozionali sulla base del proprio legittimo interesse, richiamando il considerando 47 GDPR. Ha inoltre rappresentato che il mancato recepimento della cancellazione dipendeva da un disguido, verosimilmente dovuto al fatto che la richiesta era stata registrata solo nella piattaforma di invio sms e non anche nel CRM.

Contestazione delle violazioni

Con atto di avvio del 7 febbraio 2025 il Garante ha contestato alla società la violazione di:

• art. 5, par. 1, lett. e), art. 17 e art. 24 GDPR, per non aver stabilito correttamente i tempi di conservazione e per non aver gestito adeguatamente le richieste di cancellazione;
• art. 6, par. 1, lett. a) GDPR e art. 130, comma 2, Codice privacy, per l’invio di sms promozionali in assenza di un valido consenso.

Nell’atto di contestazione è stato chiarito che, per le comunicazioni promozionali via sms, l’art. 130 del Codice costituisce una disciplina speciale che richiede il consenso; la deroga prevista dal comma 4 vale solo per l’e-mail e solo per prodotti o servizi analoghi.

Difese della società

La società ha sostenuto che il mancato riscontro all’opposizione fosse dovuto a un errore isolato e ha affermato di aver comunque adottato una policy formale per la gestione delle richieste degli interessati, oltre a misure correttive come:

• una pagina dedicata alle richieste di cancellazione, con indirizzo email e parole chiave utili alla reperibilità;
• un protocollo interno sulle modalità di evasione delle richieste di revoca del consenso per marketing.

Quanto alla base giuridica, Geturhotels ha insistito sulla possibilità di usare il legittimo interesse, interpretando la disciplina europea sulle comunicazioni elettroniche come non derogatoria rispetto al GDPR. Sul tema della conservazione, ha invece sostenuto che, per la natura stagionale dei servizi offerti, un periodo più ampio fosse ragionevole e ha poi indicato un termine di 5 anni come misura correttiva.

Valutazioni del Garante sul mancato riscontro all’interessato

Il Garante ha ritenuto non giustificabile l’errore organizzativo prospettato dalla società, anche perché il reclamante aveva effettuato numerosi tentativi per interrompere i messaggi prima di rivolgersi all’Autorità. La mancata sincronizzazione tra sistemi non è stata considerata sufficiente a escludere la violazione, soprattutto alla luce della persistenza dei messaggi fino al 2024.

È stata quindi confermata la violazione dell’art. 5, par. 1, lett. e), degli artt. 17 e 24 GDPR, per mancata adozione di misure adeguate a recepire correttamente la revoca/cancellazione richiesta dall’interessato. Poiché la società aveva già introdotto correttivi procedurali, il Garante ha ritenuto non necessario imporre ulteriori prescrizioni.

Base giuridica dell’attività promozionale via sms

Sul piano della liceità del trattamento, il Garante ha escluso che il pregresso rapporto contrattuale potesse legittimare l’invio di sms promozionali senza consenso. Ha precisato che l’attività promozionale veicolata tramite canali di comunicazione elettronica, e in particolare via sms, ricade nella disciplina speciale dell’art. 130 del Codice, che ammette solo il consenso dell’interessato come base giuridica, fatta salva la limitata deroga del comma 4 per la sola e-mail.

Ne consegue che i ripetuti sms inviati al reclamante sono stati considerati illeciti per violazione dell’art. 6, par. 1, lett. a) GDPR e dell’art. 130, comma 2, Codice privacy.

Conservazione dei dati

Sulla durata della conservazione dei dati, il Garante ha preso atto che il trattamento promozionale si era protratto per molti anni, utilizzando dati raccolti nel 2015. Tuttavia, ha ritenuto di accogliere le giustificazioni della società in relazione alla specificità dei servizi offerti e alla rideterminazione del termine di conservazione in 5 anni.

Per questo profilo non sono state disposte ulteriori misure correttive o sanzionatorie.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni riguardavano trattamenti collegati, il Garante ha applicato l’art. 83, par. 3, GDPR. Ai fini della quantificazione ha considerato il massimo edittale di 20 milioni di euro, riferito alla violazione più grave, e ha valutato:

• come aggravanti, la lunga durata del trattamento illecito e l’insufficienza delle misure tecniche e organizzative adottate;
• come attenuanti, il carattere isolato del caso, il limitato pregiudizio, la natura dei dati trattati e la dimensione/struttura economica del titolare.

All’esito, la sanzione è stata determinata in euro 6.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Misure accessorie e impugnazione

Il Garante ha disposto anche la pubblicazione integrale del provvedimento sul proprio sito, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, oltre all’annotazione nel registro interno dell’Autorità. È stata infine richiamata la possibilità di proporre opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.