Prescrizioni del Garante n. 762 del 18/12/2025

G&P Consulting S.r.l. – ammonimento per invio di email promozionali senza consenso

Il provvedimento riguarda G&P Consulting S.r.l. e l’invio di due comunicazioni promozionali via email a un interessato, individuato tramite ricerca su LinkedIn e contatto effettuato mediante un indirizzo costruito con la formula "nome.cognome@dominio". Il procedimento origina da un reclamo e si conclude con la dichiarazione di illiceità del trattamento e con un ammonimento, senza sanzione pecuniaria.

Fatti e svolgimento dell’istruttoria

L’interessato ha lamentato di aver ricevuto due email indesiderate e di avere chiesto chiarimenti sull’origine dei dati. La Società ha risposto tempestivamente, spiegando che il personale commerciale aveva svolto una ricerca manuale su LinkedIn per individuare soggetti potenzialmente interessati ai servizi e che, in base a una prassi interna, era stato tentato il contatto tramite un indirizzo email ricostruito dal nome e cognome. Nel riscontro al Garante del 23 maggio 2024, la Società ha confermato tali elementi e ha indicato anche misure correttive, tra cui attività formative rivolte agli addetti commerciali.

Con nota del 29 agosto 2024 il Garante ha avviato il procedimento ex art. 166, comma 5, Codice, contestando la violazione dell’art. 6, par. 1, lett. a) GDPR e dell’art. 130, comma 2, Codice privacy. Il titolare, pur regolarmente notificato via PEC, non ha presentato difese né chiesto audizione.

Violazioni accertate e quadro normativo

Il Garante ha confermato la violazione ritenendo che l’invio di email promozionali fosse avvenuto:

• in assenza del consenso dell’interessato;
• in assenza di altra idonea base giuridica;
• in violazione dell’art. 130, comma 2, Codice privacy, che richiede il consenso per le comunicazioni promozionali via email, salvo la deroga di cui al comma 4.

L’Autorità ha inoltre ribadito che i dati pubblicati online o sui social network non sono automaticamente riutilizzabili per finalità di marketing solo perché pubblici: occorre rispettare la finalità originaria del trattamento e le legittime aspettative degli interessati. A sostegno di tale principio sono stati richiamati precedenti provvedimenti del Garante in materia di utilizzo di dati reperiti online.

Valutazioni del Garante

Pur confermando l’illecito, il Garante ha dato rilievo a circostanze attenuanti che hanno inciso sulla scelta della misura finale. In particolare, ha considerato:

• l’assenza di un danno per l’interessato;
• il numero limitato dei messaggi ricevuti, pari a due sole email;
• la circostanza che le email risultassero finite nella cartella spam;
• la tempestività del riscontro fornito dal titolare;
• il carattere isolato della vicenda, senza altre analoghe segnalazioni;
• la natura di piccola impresa della Società;
• l’impegno dichiarato nel rafforzamento della formazione del personale commerciale.

Alla luce di tali elementi, il caso è stato qualificato come "violazione minore" ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR.

Dispositivo finale e conseguenze

Il Garante ha quindi:

• dichiarato illecito il trattamento effettuato da G&P Consulting S.r.l.;
• rivolto un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito web dell’Autorità, ai sensi dell’art. 154-bis Codice e dell’art. 37 del regolamento interno n. 1/2019;
• ordinato l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Non è stata applicata alcuna sanzione pecuniaria. Avverso il provvedimento è proponibile opposizione all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 Codice e 10 d.lgs. 150/2011.