Ordinanza ingiunzione o revoca n. 350 del 14/05/2026

FeGi M&A Services s.r.l.: marketing telefonico illecito e trattamento di dati di contatto acquisiti da terzi

Il Garante ha esaminato l'attività promozionale svolta da FeGi M&A Services s.r.l., società operante nella consulenza per operazioni di fusione e acquisizione, a partire da una segnalazione relativa a una telefonata commerciale. Il procedimento ha riguardato l'acquisizione e l'uso di numeri di telefono ed e-mail ottenuti tramite una piattaforma terza e impiegati per contatti promozionali senza adeguata verifica della liceità e senza corretta informazione agli interessati.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato ai sensi dell'art. 166, comma 5, del Codice, a seguito di segnalazione del 2 aprile 2025 relativa a una chiamata promozionale ricevuta dal segnalante. La società ha risposto alla richiesta di informazioni dell'Autorità dichiarando di essersi affidata al portale Lusha.com per acquisire i contatti delle aziende target e di aver raccolto circa 700 numeri di telefono e 400 indirizzi e-mail, usandone solo una parte per contatti diretti.

Il Garante ha chiesto chiarimenti su:

• origine dei dati personali;
• presupposti di liceità della raccolta e dei successivi trattamenti;
• modalità di rilascio dell'informativa;
• acquisizione del consenso per finalità promozionali.

La società non ha poi presentato memorie difensive dopo la contestazione formale delle violazioni.

Trattamenti esaminati

L'istruttoria ha riguardato il trattamento di dati di contatto di potenziali clienti o interlocutori commerciali, in particolare:

• numeri di telefono;
• indirizzi e-mail.

Secondo quanto emerso, tali dati erano stati acquisiti da un soggetto terzo e impiegati per attività di marketing e comunicazioni commerciali, incluso un contatto telefonico nei confronti del segnalante.

Violazioni contestate e valutazione del Garante

Il Garante ha contestato, e poi ritenuto accertate, due principali violazioni.

1) Marketing in assenza di valido consenso e di base giuridica

La società non aveva verificato:

• se disponesse di un previo consenso valido ai sensi dell'art. 130 del Codice;
• se il terzo fornitore avesse raccolto un consenso idoneo al trattamento per marketing di terzi;
• se le utenze fossero presenti negli elenchi telefonici e non iscritte nel Registro Pubblico delle Opposizioni.

L'Autorità ha ricordato che il telemarketing è soggetto alla disciplina speciale del Titolo X del Codice e della direttiva 2002/58/CE e che, fuori dai casi espressamente consentiti, non è possibile effettuare comunicazioni promozionali. È stato inoltre sottolineato che non è sufficiente affidarsi alle garanzie contrattuali o formali del fornitore della lista, dovendo il titolare esercitare un controllo effettivo sulla filiera e sulla liceità dei dati acquisiti.

Il Garante ha richiamato anche le Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013 e il Codice di condotta per le attività di telemarketing e teleselling approvato con provvedimento n. 148 del 7 marzo 2024, evidenziando gli obblighi del titolare in tema di:

• controllo della fonte dei dati;
• verifica preventiva rispetto al Registro Pubblico delle Opposizioni;
• adozione di misure tecniche e organizzative adeguate;
• corretta scelta dei partner commerciali;
• valutazione della catena di acquisizione del consenso.

È stata quindi accertata la violazione dell'art. 5, par. 1, lett. a), GDPR e dell'art. 130, commi 2, 3 e 3-bis, del Codice.

2) Trattamento senza adeguata informativa

Poiché i dati non erano stati raccolti presso l'interessato, la società avrebbe dovuto fornire le informazioni richieste dall'art. 14 GDPR entro un termine ragionevole e, comunque, al più tardi al momento della prima comunicazione.

In mancanza di qualsiasi informativa al segnalante, il Garante ha ritenuto integrata anche la violazione degli artt. 5, par. 1, lett. a), e 14 GDPR.

Provvedimenti adottati

In conclusione, l'Autorità ha:

• dichiarato illecito il trattamento effettuato dalla società;
• imposto, ai sensi dell'art. 58, par. 2, lett. f), GDPR, il divieto di trattamento dei dati personali trattati in assenza di valido consenso e informazione;
• imposto, ai sensi dell'art. 58, par. 2, lett. g), GDPR, la cancellazione di tali dati, salvi quelli necessari per altri trattamenti leciti.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l'art. 83, par. 3, GDPR, ritenendo che, trattandosi di violazioni relative allo stesso trattamento o a trattamenti collegati, la sanzione dovesse essere determinata tenendo conto della violazione più grave.

Nella quantificazione sono stati considerati:

• la gravità delle violazioni, in ragione delle finalità di marketing e della reiterazione verso centinaia di interessati;
• la colpa grave, per non aver adottato gli accorgimenti necessari nonostante la disciplina fosse stabile e chiarita da tempo;
• l'assenza di precedenti provvedimenti correttivi o sanzionatori;
• il fatto che non fossero trattati dati particolari o dati relativi a condanne penali e reati;
• le ridotte dimensioni e la limitata capacità economica della società.

All'esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 1.000,00.

Misure accessorie e rimedi

È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale del Garante e la pubblicazione della presente ordinanza ingiunzione ai sensi delle norme richiamate nel provvedimento.

La società può definire la controversia entro 30 giorni dalla notifica, adempiendo alle prescrizioni impartite e pagando la metà della sanzione; in difetto, dovrà versare l'intero importo entro 30 giorni dalla notificazione del provvedimento.

È infine prevista la possibilità di opposizione davanti all'autorità giudiziaria ordinaria nei termini di legge.