Ordinanza ingiunzione o revoca n. 174 del 27/03/2025

Powerfit, Soleo e Zero Due Villa: sms promozionali, sito web privo di informativa e raccolta dati illecita

Il Garante ha esaminato il trattamento di dati personali posto in essere da Powerfit s.s.d.a.r.l., Soleo s.s.d.a.r.l. e Zero Due Villa s.s.d.a.r.l., operanti nel circuito "02fitness", a seguito del reclamo di un interessato che lamentava la ricezione di messaggi promozionali non richiesti via sms e Whatsapp. Il procedimento ha riguardato sia l’invio dei messaggi sia la raccolta dei dati tramite il sito 02fitness.it, utilizzato per acquisire contatti a fini promozionali e informativi.

Origine del procedimento e attività istruttoria

Il reclamo, presentato il 13 luglio 2023 e integrato il 3 ottobre 2023, contestava l’invio reiterato di sms promozionali relativi alle palestre 02fitness di Villa Verucchio e Rimini, provenienti da numeri telefonici riconducibili alle strutture. L’interessato dichiarava di non aver mai prestato consenso e di non riuscire a opporsi efficacemente, anche perché i messaggi provenivano da numerazioni diverse e includevano canali Whatsapp.

Nel corso dell’istruttoria, l’Ufficio ha verificato il sito 02fitness.it e constatato che il link alla "Privacy & Cookie Policy" non conduceva ad alcuna informativa ma alla home page. Successivamente, con un ulteriore accesso, è stato riscontrato che la home page conteneva tre sezioni - "palestre", "servizi" e "chi siamo" - che aprivano un form di registrazione con richiesta obbligatoria di nome, cognome, email, telefono e sottoscrizione della privacy policy, pur senza che tale informativa fosse realmente accessibile.

Valutazioni sul sito web e sulla raccolta dei dati

Il Garante ha rilevato che la raccolta dei dati tramite form era priva di un’informativa valida e comprensibile, in violazione degli obblighi di trasparenza. In mancanza dell’informativa non era possibile per l’interessato comprendere chi fosse il titolare, per quali finalità i dati fossero raccolti, con quali modalità fossero trattati e come esercitare i propri diritti.

L’Autorità ha inoltre osservato che la richiesta di registrazione per ottenere semplici informazioni sulle palestre e sui servizi offerti non appariva necessaria. Il trattamento è stato quindi giudicato privo di un’adeguata finalità e posto in essere in violazione del principio di limitazione delle finalità.

Riscontri delle società e incongruenze emerse

Nel corso dell’istruttoria le società hanno fornito riscontri frammentari e contraddittori. In una prima fase è stato affermato che Powerfit fosse estranea ai fatti e che i messaggi provenissero da altre strutture; successivamente è stato sostenuto che alcune società acquistassero banche dati per marketing da soggetti terzi; in un’ulteriore fase è stata prospettata una presunta registrazione dell’interessato al sito web.

Tali ricostruzioni non sono state ritenute credibili o sufficientemente documentate. Non è stato chiarito quale società avesse concretamente effettuato i trattamenti, quali controlli preventivi fossero stati svolti sulle liste acquisite da terzi, né è stato dimostrato un valido consenso dell’interessato alla ricezione di messaggi promozionali. Le difese non hanno neppure chiarito in modo coerente i ruoli dei soggetti coinvolti.

Violazioni accertate dal Garante

Il Garante ha confermato la responsabilità di Powerfit, Soleo e Zero Due Villa per le seguenti violazioni:

• art. 6, par. 1, lett. a) GDPR e art. 130, comma 2, Codice privacy, per l’invio di sms promozionali senza consenso;
• artt. 5, par. 2 e 24 GDPR, per il difetto di accountability e l’assenza di adeguate misure di garanzia documentate;
• art. 17 GDPR, per il mancato riscontro alle richieste di cancellazione dei dati e la prosecuzione degli invii anche dopo le contestazioni dell’interessato e le interlocuzioni con l’Autorità;
• artt. 5, par. 1, lett. a), 12, par. 1 e 13 GDPR, per l’assenza di informativa privacy accessibile nel sito;
• art. 5, par. 1, lett. b) GDPR, per la raccolta obbligatoria di dati personali al solo fine di ottenere informazioni generiche, senza una finalità lecita e adeguatamente espressa.

Il Garante ha osservato che, anche a voler ritenere esistente un consenso iniziale, gli invii successivi alle richieste di cancellazione sarebbero comunque stati ingiustificati.

Provvedimenti correttivi e sanzione

Accertata l’illiceità dei trattamenti, l’Autorità ha disposto, ai sensi dell’art. 58, par. 2, lett. f) GDPR, il divieto di ogni trattamento per finalità promozionale dei dati personali raccolti tramite il form presente nel sito 02fitness.it.

Ha inoltre adottato ordinanza-ingiunzione ai sensi dell’art. 58, par. 2, lett. i) GDPR e dell’art. 166, comma 7, Codice privacy, applicando la sanzione amministrativa pecuniaria di euro 6.000,00 a ciascuna delle tre società: Powerfit, Soleo e Zero Due Villa. Il Garante ha dato atto della possibilità di definire la controversia con il pagamento in misura ridotta entro 30 giorni, pari alla metà della sanzione comminata, e ha ordinato il pagamento entro 30 giorni dalla notificazione in caso di mancata definizione.

Criteri di quantificazione della sanzione

Ai fini della quantificazione, l’Autorità ha richiamato l’art. 83 GDPR, ritenendo applicabile il massimo edittale di 20 milioni di euro previsto per le violazioni più gravi, pur in presenza di un illecito collegato unitario. Nel valutare l’importo, sono state considerate aggravanti:

• la durata e gravità della violazione, per i mesi di invii indesiderati e le risposte derisorie;
• il carattere gravemente colposo delle condotte;
• l’inadeguatezza delle misure adottate;
• l’elevato grado di responsabilità dei titolari;
• la scarsa cooperazione con l’Autorità.

Sono state invece considerate attenuanti:

• il fatto che, per quanto emerso, la condotta avesse riguardato il solo reclamante;
• l’assenza di precedenti specifici;
• la natura di dati comuni;
• la qualifica di microimpresa e l’assenza di scopo di lucro delle società.

Ulteriori disposizioni

Il provvedimento dispone la pubblicazione sul sito web del Garante e l’annotazione nel registro interno dell’Autorità. Viene inoltre richiamato l’art. 170 Codice privacy per l’ipotesi di inosservanza del divieto di trattamento. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.