Prescrizioni del Garante n. 432 del 11/06/2026

Geox S.p.A. - reclamo su SMS promozionali inviati nonostante l’opposizione

Il provvedimento riguarda un reclamo transfrontaliero contro Geox S.p.A. per l’invio di SMS promozionali a una cittadina francese che sosteneva di aver revocato il consenso e chiesto la cancellazione del proprio numero di telefono. Il Garante italiano, investito del caso come autorità capofila, ha deciso di chiudere il procedimento senza adottare misure correttive o sanzionatorie.

Contesto procedurale e cooperazione tra autorità

Il reclamo è stato presentato alla CNIL il 18 gennaio 2019 e trasmesso al Garante il 25 settembre 2019 nell’ambito del meccanismo di cooperazione previsto dagli artt. 60 e seguenti del GDPR per i trattamenti transfrontalieri. Il Garante ha riconosciuto la propria competenza come autorità capofila, in quanto Geox dispone di uno stabilimento unico in Italia, e ha gestito il caso nel quadro della procedura IMI con coinvolgimento della CNIL.

Fatti contestati dal reclamante

L’interessata ha riferito di aver ricevuto, dall’ottobre 2018, sei messaggi promozionali via SMS relativi ai prodotti Geox. Ha affermato di aver esercitato quattro volte l’opposizione tramite il canale indicato dalla società, inviando il messaggio "STOP" al numero breve 36105, ma di aver continuato a ricevere comunicazioni. Ha quindi chiesto la cancellazione del proprio numero dai dati del titolare, richiamando il diritto di cancellazione ex art. 17 GDPR.

Riscontri forniti da Geox

Geox ha precisato che la reclamante aveva aderito al programma di fidelizzazione "Benefeet" il 5 agosto 2018 in un negozio fisico in Francia, conferendo il consenso a ricevere comunicazioni commerciali e indicando il proprio numero di cellulare. La società ha illustrato i canali messi a disposizione per l’esercizio dei diritti: indirizzo email dedicato, link nelle comunicazioni email, contatto telefonico, form online e richiesta presso i negozi fisici.

Per il mercato francese, Geox ha spiegato che la revoca del consenso poteva essere effettuata anche via SMS con parola chiave "STOP". Nel caso concreto, la richiesta del 13 ottobre 2018 era stata inserita nel sistema di gestione della black list, ma non correttamente processata per un errore tecnico della piattaforma; inoltre, il provider francese del numero breve avrebbe trasmesso alla società solo la prima richiesta, senza gestione efficace dei successivi solleciti.

La società ha poi riferito di avere aggiornato i sistemi nel marzo e nel settembre 2019, automatizzando la gestione delle richieste di cancellazione via SMS e sostituendo la precedente piattaforma con quella di Salesforce.com EMEA Limited. Ha infine comunicato che il 10 agosto 2019 l’interessata aveva modificato la propria anagrafica in negozio, confermando il consenso a ricevere comunicazioni commerciali via email. In seguito, il 20 maggio 2020, Geox ha scritto direttamente all’interessata in lingua francese, spiegando quanto accaduto, confermando la cancellazione del numero di cellulare e chiedendo conferma del consenso per l’email marketing.

Valutazioni dell’Autorità

Il Garante ha ritenuto che non vi fossero i presupposti per avviare un procedimento volto all’adozione di misure correttive ex art. 58, par. 2, GDPR, richiamando il principio di discrezionalità delle autorità di controllo affermato dalla Corte di giustizia nella causa C-768/21, TR contro Land Hessen. In base a tale orientamento, l’autorità non è tenuta a intervenire con poteri correttivi quando ciò non sia appropriato, necessario o proporzionato rispetto alla violazione riscontrata.

Nel merito, l’Autorità ha considerato che la mancata cancellazione dei dati fosse dipesa da un errore tecnico del sistema del fornitore e dalla mancata trasmissione delle richieste successive da parte del provider francese. Ha inoltre valorizzato il fatto che la cancellazione del numero fosse comunque già avvenuta prima dell’intervento del Garante, che la società avesse inviato una lettera di scuse e che il sistema di gestione delle richieste via SMS fosse stato migliorato nel 2019.

Sono stati ulteriormente evidenziati elementi che hanno deposto per la chiusura del caso senza misure:

• la criticità era isolata;
• non risultavano precedenti analoghi a carico del titolare;
• il dato coinvolto era un numero di telefono, quindi un dato comune;
• la società metteva a disposizione diversi canali per l’esercizio dei diritti;
• l’interessata aveva successivamente confermato un consenso al marketing via email.

Esito finale e richiami normativi

Ritenendo la misura non appropriata, necessaria o proporzionata, anche perché la carenza era già cessata nel corso dell’istruttoria, il Garante ha condiviso con la CNIL l’intenzione di chiudere il procedimento e, successivamente, il progetto di decisione ai sensi dell’art. 60, par. 3, GDPR. Non essendo state sollevate obiezioni motivate dalle autorità interessate, è stata adottata la chiusura del procedimento senza misure correttive e sanzionatorie.

Contestualmente, il Garante ha richiamato Geox al costante rispetto degli obblighi imposti dal Regolamento, ai sensi dell’art. 57, par. 1, lett. d), GDPR e delle corrispondenti disposizioni del regolamento interno n. 1/2019. Non è stata irrogata alcuna sanzione pecuniaria. Il provvedimento richiama anche le Linee guida EDPB 2/2022 sull’applicazione dell’art. 60 GDPR e indica la possibilità di opposizione all’autorità giudiziaria ordinaria nei termini di legge.