Ordinanza ingiunzione o revoca n. 87 del 12/02/2026

Lex Iuris S.r.l.: email promozionale senza consenso e mancato riscontro a richieste di accesso

Il provvedimento riguarda Lex Iuris S.r.l. ed è stato adottato a seguito di due reclami presentati da un interessato in relazione a un’email promozionale indesiderata e alla mancata risposta a una richiesta di accesso ai dati personali. L’Autorità distingue nettamente i due profili: per il marketing irregolare applica un ammonimento, mentre per la violazione del diritto di accesso irroga una sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

I reclami sono stati presentati il 7 gennaio 2025 e riferiscono la ricezione, il 25 novembre 2024, di una email promozionale inviata da Lex Iuris S.r.l. e il mancato riscontro a una richiesta di accesso ai dati personali. La società ha sostenuto che l’invio fosse dipeso da un errore umano nella selezione e trascrizione del contatto: l’indirizzo email era stato reperito online per valutare una possibile collaborazione professionale, ma sarebbe stato poi inserito per errore nella lista marketing. Per il mancato riscontro, Lex Iuris ha invocato un errore organizzativo dovuto all’assenza, all’epoca, di un sistema strutturato di tracciabilità delle istanze.

La società ha poi dichiarato di avere adottato alcune misure correttive:

• procedura interna per la gestione delle richieste di esercizio dei diritti;
• nomina di un referente privacy interno responsabile del protocollo e della gestione delle istanze;
• formazione del personale addetto alla comunicazione e alle attività promozionali;
• aggiornamento del modulo email con informativa completa e link diretto alla privacy policy.

Contestazione delle violazioni

Con nota del 10 luglio 2025 il Garante ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, contestando alla società:

• la violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, del Codice, per l’invio di comunicazioni promozionali senza consenso;
• la violazione degli artt. 12 e 15 GDPR, per non avere fornito riscontro alle richieste di accesso.

Valutazioni sul marketing senza consenso

L’Autorità ha ritenuto non scusabile l’errore addotto dalla società. Pur considerando la possibile confusione derivante dal fatto che i destinatari avessero lo stesso cognome, il Garante ha osservato che i dati raccolti per ipotizzare collaborazioni professionali avrebbero dovuto rimanere distinti dalle liste create per finalità promozionali, le quali richiedono una base giuridica autonoma e, nel caso di email marketing, un idoneo consenso.

Il provvedimento ribadisce che i dati pubblicati online o sui social network non sono liberamente utilizzabili per marketing solo perché pubblici: occorre rispettare la finalità originaria della raccolta e le legittime aspettative degli interessati. Nel caso concreto, l’invio è avvenuto in assenza di consenso e di altra idonea base giuridica, con conseguente violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, del Codice.

Esito sul marketing: ammonimento e non sanzione pecuniaria

Nonostante l’illiceità del trattamento, il Garante ha considerato alcune circostanze attenuanti:

• assenza di un danno concreto per gli interessati;
• invio di una sola email e assenza di ulteriori contatti;
• carattere isolato dell’episodio;
• natura di piccola impresa della società;
• dichiarazioni relative al rafforzamento della formazione del personale.

Sulla base di tali elementi, il caso è stato qualificato come “violazione minore” ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR. L’Autorità ha quindi deciso di soprassedere dall’applicazione della sanzione pecuniaria e di ammonire il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Mancato riscontro alle richieste di accesso

Diversamente, per il mancato riscontro alle richieste di accesso l’Autorità ha ritenuto che le giustificazioni fornite dalla società non fossero sufficienti. Le istanze erano state inviate sia all’indirizzo email sia alla pec della società, e il titolare avrebbe dovuto rispondere entro un termine ragionevole, comunque non superiore a 30 giorni. La prolungata mancata gestione della corrispondenza, in particolare della pec, è stata qualificata come condotta gravemente negligente.

Secondo il Garante, la condotta ha leso il diritto dell’interessato di conoscere l’origine dei dati e la natura del trattamento, in violazione degli artt. 12 e 15 GDPR.

Sanzione amministrativa e criteri di quantificazione

Per questa seconda violazione il Garante ha adottato un’ordinanza ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, applicando una sanzione amministrativa pecuniaria di 15.000 euro.

Nella determinazione dell’importo è stato richiamato l’art. 83 GDPR, in particolare:

• art. 83, par. 3, per la violazione di più disposizioni in relazione a trattamenti collegati;
• art. 83, par. 5, per il massimo edittale pari a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale annuo;
• art. 83, par. 2, per i criteri di aggravamento e mitigazione.

Tra le circostanze aggravanti il provvedimento indica:

• la gravità della violazione, perché il mancato riscontro ha impedito agli interessati di conoscere origine, finalità e modalità del trattamento;
• la negligenza nella gestione delle richieste, intervenuta solo dopo l’avvio dell’istruttoria del Garante.

Tra le attenuanti valorizza invece:

• le misure adottate per rendere i trattamenti conformi e revisionare le procedure interne;
• l’assenza di precedenti procedimenti;
• il grado di cooperazione con l’Autorità;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto;
• il carattere non sistematico della condotta, riferita ai soli casi dei due reclamanti e inserita in un contesto di cambiamenti organizzativi contingenti.

Il provvedimento precisa che la sanzione è pari allo 0,075% del massimo edittale ipotizzato e dispone anche la pubblicazione dell’atto sul sito del Garante, quale sanzione accessoria.

Dispositivo finale e rimedi

Il Garante:

• dichiara illecito il trattamento descritto in motivazione;
• rivolge ammonimento a Lex Iuris S.r.l. per l’invio di email promozionali senza consenso;
• ingiunge il pagamento di 15.000 euro per la violazione degli artt. 12 e 15 GDPR;
• dispone la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità.

È inoltre indicata la facoltà di definizione agevolata della controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione comminata, nonché la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.