Prescrizioni del Garante n. 128 del 26/02/2026

Società Editrice Esculapio s.r.l. - ammonimento per email promozionale senza base giuridica e informativa errata

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un docente universitario che aveva ricevuto sulla propria email istituzionale una comunicazione inviata dalla Società Editrice Esculapio s.r.l. Il procedimento è stato avviato ai sensi dell’art. 166 del Codice privacy e ha riguardato la liceità dell’uso dell’indirizzo email e la correttezza dell’informativa resa in calce alla comunicazione.

Origine del procedimento e sviluppo istruttorio

Il procedimento trae origine da un reclamo nel quale l’interessato lamentava l’invio di una email commerciale senza previo consenso, nonostante nella pagina personale fosse presente una nota espressa di opposizione all’uso dei dati per finalità commerciali, di marketing e di profilazione. Con il primo atto del 22 maggio 2025 l’Ufficio ha contestato la possibile violazione degli artt. 6 e 13 del GDPR; a seguito della difesa della Società, che descriveva l’attività come scouting editoriale, il 28 novembre 2025 è stato notificato un atto integrativo con contestazione anche dell’art. 130 del Codice.

Trattamento esaminato e posizione della Società

La Società ha sostenuto che la comunicazione avesse natura non commerciale, configurandosi come contatto esplorativo e conoscitivo per collaborazioni editoriali con docenti universitari. In alternativa, ha invocato il legittimo interesse, rappresentando inoltre che il trattamento era stato episodico, limitato a una sola email, e che i dati dell’interessato erano stati cancellati appena ricevuta la richiesta.

Liceità del trattamento: qualificazione commerciale della comunicazione

L’Autorità ha ritenuto che la comunicazione avesse inequivocabile finalità promozionale, sia per il contenuto dell’oggetto ('Scopri le nostre novità. Nuovi modi per pubblicare il tuo materiale con la nostra piattaforma'), sia per la funzione di promuovere la piattaforma editoriale della Società e, in prospettiva, la produzione e vendita di opere editoriali. Il Garante ha ricordato che per comunicazioni commerciali via email la base giuridica è il consenso dell’interessato, salvo la limitata deroga prevista dall’art. 130 del Codice per il rilascio dell’indirizzo nel contesto di una vendita di beni o servizi analoghi, deroga non applicabile nel caso concreto.

Opposizione dell’interessato e infondatezza del legittimo interesse

Il Garante ha escluso che il contatto professionale e la presenza dell’indirizzo email nella pagina istituzionale dell’Ateneo potessero far rientrare l’invio tra le legittime aspettative del docente. È stato inoltre valorizzato il fatto che l’interessato avesse inserito una nota espressa di opposizione all’uso commerciale del proprio indirizzo. L’Autorità ha richiamato le Linee guida EDPB 1/2024 sul legittimo interesse, precisando che un’eventuale mancanza di dettagli nella richiesta di opposizione non consente di respingerla automaticamente e che, in caso di dubbi, il titolare può chiedere chiarimenti all’interessato. Ne è derivata la conferma della violazione dell’art. 6 GDPR e dell’art. 130 del Codice.

Violazione dell’art. 13 GDPR per informativa non corretta

In calce alla comunicazione era riportata un’informazione errata circa una presunta iscrizione del reclamante al database 'novità editoriali XX'. Dalla documentazione prodotta è emerso che l’indirizzo email non era inserito in alcun database della Società, ma era stato reperito autonomamente in rete. La Società ha attribuito l’errore a un template standardizzato, ma il Garante ha comunque ritenuto integrata la violazione dell’art. 13 GDPR, trattandosi di un’informazione non veritiera resa all’interessato.

Misure adottate, sanzione e criteri di valutazione

Durante l’istruttoria la Società ha provveduto a cancellare il contatto email e a correggere l’informazione errata, motivo per cui il Garante ha escluso la necessità di imporre misure correttive. Pur accertando le violazioni, l’Autorità non ha applicato una sanzione pecuniaria, ritenendo la violazione di minore entità per l’unicità dell’episodio, l’assenza di pregiudizio per l’interessato, l’assenza di dolo, la collaborazione della Società e la mancanza di precedenti della stessa natura.

Dispositivo

Il Garante ha quindi rivolto alla Società Editrice Esculapio s.r.l. un ammonimento ai sensi dell’art. 58, par. 2, lett. b), del GDPR per avere trattato l’indirizzo email dell’interessato in assenza delle condizioni prescritte dalla normativa e per avere fornito un’informazione non corretta. È stata disposta la pubblicazione del provvedimento sul sito web del Garante e la sua annotazione nel registro interno dell’Autorità. È infine indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice e 10 del d.lgs. 150/2011 entro trenta giorni dalla comunicazione.