Prescrizioni del Garante n. 576 del 25/09/2025

Digilab S.r.l. - email marketing con liste di terzi e gestione inadeguata delle opposizioni

Il Garante per la protezione dei dati personali ha esaminato il trattamento svolto da Digilab S.r.l. nell’ambito di campagne di email marketing, a seguito di segnalazioni e reclami relativi a messaggi promozionali indesiderati inviati nonostante l’opposizione degli interessati. Il provvedimento ricostruisce sia le criticità organizzative nella gestione delle disiscrizioni e della black list, sia l’utilizzo di liste acquisite da terzi senza prova sufficiente di un consenso idoneo per finalità promozionali.

Origine del procedimento e istruttoria

Nel 2024 sono pervenute al Garante istanze con cui gli interessati lamentavano la ricezione di email promozionali da parte di Digilab dopo essersi opposti al trattamento. I segnalanti avevano inoltre contestato l’origine dei dati, indicata dalla Società come proveniente da XX, soggetto con sede nel Regno Unito. L’Autorità aveva già in precedenza svolto due istruttorie sul medesimo operatore, con un prudente avviso volto a richiamare la necessità di procedure adeguate a recepire l’opposizione e di inserire i dati in black list per evitare reimpieghi in occasione di nuove banche dati.

A seguito delle ulteriori doglianze, il Garante ha svolto un accertamento ispettivo nei giorni 10, 11 e 12 settembre 2024. Nell’istruttoria sono state esaminate le modalità di raccolta e uso delle liste, le procedure interne di gestione delle richieste di opposizione, le verifiche preliminari sui fornitori e la documentazione prodotta dalla Società per dimostrare la liceità dei consensi raccolti dal list provider.

Trattamenti esaminati

Digilab ha dichiarato di occuparsi, per conto di committenti, di:

• email marketing;
• voice marketing, mediante chiamate automatizzate;
• affiliazione, con coinvolgimento di partner commerciali che utilizzano proprie liste di contatto.

Per il marketing si avvale di liste acquisite da terzi, in acquisto o noleggio. La Società ha affermato di effettuare controlli preliminari sui fornitori e di richiedere la documentazione dei consensi, anche con meccanismo double opt-in e produzione di file di log. Nel voice marketing, l’eventuale interesse manifestato dall’utente porta alla creazione di una lead semplice o qualificata e alla successiva trasmissione dei dati al committente.

Criticità tecniche e organizzative nella gestione delle opposizioni

L’istruttoria ha evidenziato che, fino alle modifiche dichiarate nel dicembre 2024, le opposizioni venivano registrate prima sulle piattaforme di invio e solo successivamente riportate manualmente nel CRM della Società. Questo sistema ha esposto a errori di caricamento e ha indebolito il controllo sui dati, con conseguente rischio di invii promozionali a soggetti che avevano già esercitato il diritto di opposizione.

Il Garante ha rilevato che alcuni reclamanti avevano effettivamente continuato a ricevere email nonostante la cancellazione richiesta. La Società ha spiegato che ciò era dipeso, in alcuni casi, da errori umani nella disiscrizione solo parziale da una mailing list e non da tutti i database. Dopo l’istruttoria, Digilab ha introdotto una nuova piattaforma automatizzata per la gestione della black list, ha centralizzato l’attività in capo al Privacy manager e ha previsto una formazione periodica del personale.

È emersa anche una criticità sui tempi di conservazione: Digilab non aveva determinato in modo puntuale il periodo di conservazione dei dati acquisiti per finalità promozionali, mantenendoli fino a revoca del consenso e quindi, in astratto, sine die. L’informativa risultava inizialmente generica, ma la Società ha poi prodotto una versione aggiornata in vigore dal 7 ottobre 2024.

Utilizzo di liste di terzi e prova insufficiente del consenso

La parte centrale del provvedimento riguarda l’uso di liste fornite da XX. Il Garante ha ritenuto che Digilab non fosse stata in grado di dimostrare un idoneo presupposto giuridico per le campagne realizzate con dati raccolti prima dell’adeguamento del fornitore al double opt-in, avvenuto secondo la Società dal maggio 2024.

Dagli audit prodotti emergevano alcune criticità del portale di raccolta dati, tra cui l’assenza del double opt-in almeno fino al controllo del 12 febbraio 2024. Inoltre, l’informativa del fornitore indicava tempi di conservazione poco chiari, parlando di un periodo non oltre 36 mesi ma anche della possibilità di proseguire il marketing finché l’utente rimanesse interessato ai prodotti e servizi. Il Garante ha considerato questa formulazione indeterminata e non idonea a garantire un limite effettivo e comprensibile al trattamento.

Sul piano probatorio, i file prodotti da Digilab non sono stati ritenuti sufficienti a dimostrare il consenso specifico degli interessati alla comunicazione dei dati a terzi per finalità promozionali. L’Autorità ha ritenuto non decisivi il solo indirizzo IP, il timestamp o la generica registrazione al portale, poiché tali elementi non attestano in modo certo e immodificabile la volontà dell’utente. È stato richiamato il principio secondo cui il consenso va tracciato con modalità affidabili e, in presenza di raccolte online, deve essere preferita una validazione effettiva del recapito, come il double opt-in.

Dati dei reclamanti e campagna voice

Il provvedimento richiama diversi casi concreti. Per alcuni reclamanti, Digilab aveva dichiarato di aver acquisito i dati da XX in date antecedenti all’adeguamento del fornitore. Anche un indirizzo email utilizzato dai verbalizzanti del Garante era risultato presente in una lista poi impiegata per una campagna del 10 settembre 2024; la lista richiamava dati raccolti in un periodo in cui il fornitore non applicava ancora il double opt-in.

Con riguardo a una campagna voice, Digilab ha prodotto un file che avrebbe dovuto documentare i consensi dei 45 utenti che avevano poi manifestato opposizione. Tuttavia, il file conteneva solo dati identificativi e tecnici, senza prova certa di uno specifico consenso per la trasmissione a terzi per finalità di marketing. I dati risultavano inoltre raccolti in un arco temporale risalente, tra il 21 aprile 2019 e l’8 febbraio 2022, quindi in epoca antecedente alle garanzie dichiarate come poi introdotte.

Valutazioni giuridiche del Garante

Sotto il profilo delle misure tecniche e organizzative, il Garante ha confermato la violazione degli artt. 5, par. 1, lett. d), e), f) e 5, par. 2, nonché degli artt. 17, 21, 24 e 32, par. 1, lett. b) e d), GDPR. Ha tuttavia escluso l’applicazione di una sanzione amministrativa pecuniaria, ritenendo sufficiente un ammonimento ai sensi dell’art. 52, comma 2, lett. b), in considerazione della cooperazione della Società, della tempestiva adozione di misure correttive, del basso livello di pregiudizio per gli interessati e della recente costituzione dell’impresa.

Sotto il profilo della liceità del marketing, il Garante ha invece dichiarato illecito il trattamento di dati personali effettuato senza idoneo consenso, ai sensi dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, commi 1 e 2, Codice privacy. In particolare, ha rilevato che Digilab aveva utilizzato liste non adeguatamente supportate da prove affidabili del consenso e raccolte, in alcuni casi, in epoca in cui il fornitore non offriva garanzie sufficienti. Il consenso eventualmente prestato in origine non poteva comunque ritenersi valido dopo l’opposizione espressa dagli interessati.

Misure adottate e dispositivo finale

La Società ha rappresentato di aver adottato numerose misure correttive, tra cui:

• nuova piattaforma automatizzata per la gestione della black list;
• centralizzazione delle operazioni in capo al Privacy manager;
• formazione periodica del personale;
• revisione delle procedure di qualifica dei record;
• aggiornamento dell’informativa privacy.

Il Garante ha ritenuto non necessario imporre ulteriori misure correttive, ha disposto la pubblicazione del provvedimento ai sensi dell’art. 154-bis del Codice e l’annotazione nel registro interno dell’Autorità ai sensi del regolamento interno n. 1/2019. Resta ferma la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.