Prescrizioni del Garante n. 709 del 27/11/2025

Aimag S.p.A. – trattamento illecito dei dati nell’area riservata del sito e nei consensi marketing

Il provvedimento riguarda Aimag S.p.A., gestore di servizi idrici e di raccolta rifiuti, in relazione alla registrazione e gestione dell’area riservata del sito web aziendale e alla raccolta dei consensi per finalità promozionali. Il procedimento è stato avviato a seguito di una segnalazione dell’interessato e di successivi approfondimenti istruttori dell’Autorità.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, con riferimento ai poteri di cui all’art. 58, par. 2, GDPR. La segnalazione lamentava che per registrarsi all’area riservata del sito fosse sufficiente indicare codice fiscale e indirizzo e-mail, senza alcuna verifica dell’identità dell’utente o della casella di posta.

Nel corso dell’accesso al sito, l’Ufficio ha rilevato che:

• in calce al form di registrazione erano presenti tre consensi già pre-flaggati sul “SI”;
• il form non conteneva un link specifico all’informativa sul trattamento dei dati;
• sul sito erano comunque presenti privacy policy, cookie policy, informativa clienti e informativa social.

Con richiesta di informazioni ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice, il Garante ha chiesto chiarimenti su:

• misure di sicurezza per verificare l’identità dell’utente registrante;
• base giuridica e validità dei consensi per marketing;
• informative rese agli interessati;
• tempi di conservazione dei dati raccolti per finalità promozionali.

Difese di Aimag

La Società ha sostenuto che:

• per accedere all’area riservata non bastavano codice fiscale ed e-mail, essendo necessaria anche la password e, per il reset, l’accesso alla casella e-mail;
• il codice fiscale sarebbe un dato non facilmente reperibile e l’utilizzo della registrazione agevolerebbe il cliente;
• le informazioni sul trattamento erano contenute nella privacy policy, nell’informativa clienti e nell’informativa social;
• i consensi promozionali sarebbero stati specifici e revocabili;
• la conservazione di cinque anni per marketing sarebbe coerente con il principio di accountability e con esigenze difensive;
• per i social media, la Società riteneva di operare come contitolare del trattamento.

Valutazioni del Garante sulla sicurezza della registrazione

L’Autorità ha ritenuto non condivisibili le difese sul punto. Un sistema basato esclusivamente su codice fiscale e generico indirizzo e-mail è stato considerato non adeguato a garantire la sicurezza dei dati personali, in violazione degli artt. 5, 24, 25 e 32 GDPR.

Il Garante ha osservato che:

• il codice fiscale è oggi facilmente ricostruibile o reperibile tramite strumenti online e dati anagrafici disponibili;
• la verifica della sola corrispondenza tra codice fiscale e cliente Aimag non è sufficiente;
• il bacino dei clienti è facilmente individuabile, dato che la Società opera in regime di concessione su territori determinati;
• i dati consultabili nell’area riservata includono informazioni rilevanti come nome, cognome, indirizzo, contratto, fatture e storico dei consumi, idonee a ricostruire abitudini e profili di consumo;
• i rischi di accesso abusivo, sostituzione di persona, truffe, attivazioni non richieste e telemarketing sono concreti e significativi.

Valutazioni del Garante su consensi e informativa

Per quanto riguarda i consensi acquisiti in sede di registrazione, il Garante ha ribadito che il consenso deve essere libero, specifico, informato e inequivocabile. Le caselle già selezionate sul “SI” non sono idonee a raccogliere un consenso valido.

Sono stati richiamati:

• art. 4, punto 11), e art. 7 GDPR;
• considerando 32 GDPR;
• Linee guida del Garante in materia di attività promozionale e contrasto allo spam (provv. n. 330/2013);
• Linee guida EDPB 5/2020 sul consenso;
• giurisprudenza della Corte di giustizia UE sul carattere invalido delle caselle preselezionate.

Il Garante ha inoltre rilevato che le formule di consenso utilizzate risultavano simili tra loro e che le informative pubblicate non permettevano di identificare chiaramente quale informativa fosse riferita alla registrazione nell’area riservata. La privacy policy indicata dalla Società è stata ritenuta carente sotto il profilo della trasparenza, anche perché conteneva riferimenti non coerenti alle basi giuridiche e alle finalità dichiarate.

Sul piano normativo, sono stati richiamati anche l’art. 130 del Codice e gli artt. 5, 6, 13 GDPR.

Valutazioni del Garante sulla conservazione per marketing

Il Garante ha ritenuto non conforme il periodo di conservazione di cinque anni per i dati raccolti per finalità promozionali. Pur riconoscendo l’ampia discrezionalità del titolare nel quadro dell’accountability, l’Autorità ha ribadito che la durata di conservazione deve essere determinata caso per caso in base a finalità, minimizzazione, limitazione della conservazione e aspettative ragionevoli dell’interessato.

Nel caso concreto, il richiamo di Aimag alla durata media dei rapporti contrattuali e alle esigenze difensive connesse alla prescrizione decennale è stato giudicato non pertinente rispetto a trattamenti di marketing. Il Garante ha quindi ravvisato la violazione dell’art. 5, par. 1, lett. e), GDPR.

Esito: illecito del trattamento, ingiunzioni e sanzione

L’Autorità ha accertato la responsabilità di Aimag per:

• violazione degli artt. 5, 24, 25 e 32 GDPR, per mancata adozione di misure adeguate di sicurezza;
• violazione dell’art. 130 del Codice e degli artt. 5, 6, 7 e 13 GDPR, per trattamento promozionale in assenza di base giuridica valida e di adeguata informativa;
• violazione dell’art. 5, par. 1, lett. e), GDPR, per conservazione eccessiva dei dati per marketing.

Sono state quindi impartite le seguenti misure:

• adozione di misure di sicurezza adeguate ai rischi per i dati accessibili nell’area riservata;
• aggiornamento delle formule di raccolta del consenso per finalità promozionali;
• aggiornamento della relativa informativa privacy;
• comunicazione al Garante, entro 30 giorni dalla notifica, delle iniziative intraprese.

Sanzione amministrativa e criteri di quantificazione

Ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, è stata applicata una sanzione amministrativa pecuniaria pari a euro 300.000,00.

Nella quantificazione il Garante ha considerato:

• la gravità delle violazioni, anche per l’esposizione del database online e l’elevato numero di interessati coinvolti;
• il grado di responsabilità del titolare, per la mancata adozione di basilari misure tecniche e organizzative;
• la mancanza di precedenti violazioni pertinenti, quale fattore attenuante.

È stata altresì disposta la pubblicazione del provvedimento sul sito del Garante come sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019.

Impugnazione

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.