Ordinanza ingiunzione o revoca n. 430 del 11/06/2026

One Network S.r.l. – attivazione illecita di sei SIM e trattamento non lecito dei dati

Il Garante per la protezione dei dati personali ha concluso un procedimento nei confronti di One Network S.r.l., agente di vendita per servizi Kena Mobile, relativo all’attivazione di sei schede SIM prepagate intestate a un interessato che le ha disconosciute. Il procedimento è stato avviato a seguito di una segnalazione e di una denuncia/querela presentata dall’interessato, che ha negato di aver richiesto o sottoscritto i contratti.

Origine della vicenda e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, e ha svolto accertamenti richiedendo informazioni a TIM S.p.A., titolare del trattamento per Kena Mobile, e a One Network S.r.l. TIM ha riferito che le sei SIM erano state attivate il 21 giugno 2023 presso il corner del centro commerciale "Maremà" di Grosseto gestito da One Network, e che successivamente le utenze erano state cessate e le credenziali del corner disattivate.

One Network ha descritto una procedura di attivazione digitale tramite tablet, con firma grafometrica e senza contratti cartacei, sostenendo di non poter identificare il singolo operatore che aveva effettuato le attivazioni perché il sistema assegnava un codice collettivo allo stand. Nel corso dell’istruttoria, l’interessato ha ribadito di non essersi mai recato a Grosseto e di non comprendere come i propri dati e documenti di identità fossero arrivati nella disponibilità di terzi.

Violazioni contestate e qualificazione del trattamento

Con l’atto di contestazione, l’Ufficio ha ipotizzato la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, per il trattamento dei dati personali in assenza di liceità e di idonea base giuridica, nonché dell’art. 13 GDPR per omessa informativa. La società ha difeso la correttezza della procedura standard, ma non ha fornito elementi specifici sul caso concreto, né la documentazione contrattuale o i dati di identità acquisiti in formato digitale.

Il Garante ha ritenuto non credibile la tesi difensiva, osservando che l’interessato abitava a Roma, dove era stata attivata la propria utenza principale, e che era implausibile la sua presenza presso un corner in un’altra città. In mancanza di una corretta verifica dell’identità del soggetto richiedente, la società ha operato in violazione della normativa di settore, in particolare dell’art. 98-undetricies del d.lgs. 259/2003, e delle istruzioni impartite dal titolare del trattamento.

Valutazioni del Garante sulla responsabilità della società

L’Autorità ha sottolineato che, nel caso di attivazioni effettuate senza l’intestatario e senza acquisizione di un valido documento in originale, One Network ha svolto trattamenti assumendo un potere decisionale autonomo, con conseguente qualificazione come titolare autonomo del trattamento. Il richiamo alla procedura standard non è stato ritenuto sufficiente, anche perché la società non ha dimostrato nel concreto il rispetto delle regole di identificazione né ha saputo ricostruire in modo attendibile chi avesse eseguito le operazioni.

Il Garante ha inoltre evidenziato la lacunosità organizzativa della società, anche in contrasto con quanto riferito da TIM/Kena Mobile circa la possibile identificazione dell’addetto vendita responsabile. Tale incoerenza è stata valorizzata come indice di una gestione carente delle informazioni interne e dei presidi di controllo.

Misure adottate e sanzione

Accertata l’illiceità del trattamento, il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di ogni ulteriore trattamento dei dati personali dell’interessato. Ha inoltre adottato un’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria.

La sanzione è stata quantificata in 28.000 euro. Ai fini della determinazione, l’Autorità ha considerato:

• la gravità della violazione, inserita nel fenomeno delle attivazioni fraudolente di SIM e idonea a esporre gli interessati a furto di identità e uso indebito dei dati;
• il numero di soggetti interessati, limitato al solo segnalante;
• la carenza di presidi organizzativi e di tracciabilità, ritenuta aggravante;
• le misure correttive successive, quali l’introduzione di una check list e il controllo del direttore dello stand, nonché la risoluzione del rapporto con Noverca S.r.l.;
• l’assenza di precedenti provvedimenti sanzionatori a carico della società.

Dispositivo e adempimenti

One Network S.r.l. è stata ingiunta a pagare la somma di 28.000 euro, con la possibilità di definire la controversia entro trenta giorni versando la metà dell’importo ai sensi dell’art. 166, comma 8, del Codice. È stato inoltre imposto l’obbligo di comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative intraprese per dare attuazione alla misura del divieto di trattamento.

Il provvedimento dispone infine la pubblicazione sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Avverso la decisione è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.