Ordinanza ingiunzione o revoca n. 351 del 14/05/2026

Ditta individuale Francesco Gagliardi - marketing via e-mail e telefono con dati acquistati da terzi senza consenso

Il provvedimento riguarda una ditta individuale operante in attività di �lead generation B2B� con campagne di direct e-mail marketing, che ha utilizzato contatti acquistati tramite la piattaforma Apollo.io. Il Garante è intervenuto a seguito di una segnalazione di un interessato e ha accertato violazioni in materia di liceità del marketing e di informativa agli interessati.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato con comunicazione del 22 dicembre 2025 ai sensi dell’art. 166, comma 5, del Codice. La segnalazione del 5 maggio 2025 riferiva che l’interessato aveva ricevuto una comunicazione promozionale e aveva appreso che il proprio indirizzo e-mail, pur non avendo mai prestato consenso alla raccolta o al trattamento da parte di Apollo.io, risultava disponibile sulla piattaforma.

L’Ufficio ha chiesto al titolare informazioni su:

• origine dei dati personali;
• presupposti di liceità della raccolta e dei successivi trattamenti;
• modalità di resa dell’informativa;
• acquisizione del consenso per finalità promozionali.

La ditta ha risposto il 23 ottobre 2025, dichiarando di svolgere attività di lead generation B2B tramite DEM e di aver acquistato, il 24 gennaio 2025, 2.500 contatti al prezzo di 224 dollari, comprensivi di e-mail, numeri di telefono e mansione/funzione del referente aziendale.

Trattamenti esaminati

Il trattamento esaminato riguardava l’acquisto di liste di contatti da un fornitore terzo e il successivo invio di comunicazioni commerciali via e-mail e telefono. La ditta sosteneva di aver indicato nei footer delle e-mail:

• identificativi e recapiti del titolare;
• base giuridica invocata;
• origine dei dati;
• possibilità di disiscrizione/opposizione.

Nella memoria difensiva la ditta ha rappresentato di aver sospeso l’attività dopo il primo riscontro dell’Autorità e di aver limitato gli invii a un massimo di tre e-mail per ciascun contatto, oltre ad aver avviato misure correttive interne.

Violazione della disciplina sul marketing e sul consenso

Il Garante ha ritenuto che i dati trattati, pur relativi a un contesto professionale, fossero comunque dati personali ai sensi dell’art. 4, n. 1, GDPR. La circostanza che il dato sia utilizzato in ambito B2B non lo sottrae alla disciplina privacy.

Per le comunicazioni promozionali tramite e-mail e telefono, l’Autorità ha richiamato la disciplina speciale del Titolo X del Codice privacy e, in particolare:

• art. 130, commi 2 e 3, per l’invio di comunicazioni con modalità automatizzate e per il telemarketing;
• art. 130, comma 3-bis, per l’uso del canale telefonico;
• la regola generale del previo consenso del contraente o utente.

Il Garante ha escluso la possibilità di fondare il trattamento sul legittimo interesse ex art. 6, par. 1, lett. f), GDPR, osservando che:

• il marketing via e-mail e telefono è soggetto alla disciplina speciale italiana;
• l’eventuale deroga per e-mail raccolte nel contesto di una vendita di beni o servizi analoghi non risultava applicabile;
• per il telemarketing sarebbe stata comunque necessaria la verifica del Registro Pubblico delle Opposizioni, in assenza della quale l’attività non poteva essere avviata.

Controllo sulla filiera dei dati e responsabilità del titolare

Un passaggio centrale del provvedimento riguarda l’obbligo del titolare di verificare la liceità della filiera dei dati acquistati. Il Garante ha chiarito che il semplice affidamento su dichiarazioni di conformità, standard di sicurezza, certificazioni o richiamo a framework internazionali non è sufficiente a dimostrare la liceità del riuso dei dati per finalità di marketing.

In applicazione del principio di accountability ex art. 5, par. 2, GDPR, il titolare avrebbe dovuto verificare:

• la fonte originaria dei dati;
• l’esistenza di un valido consenso per il riutilizzo a fini promozionali;
• la correttezza dell’informazione resa agli interessati;
• per il canale telefonico, l’eventuale iscrizione al RPO.

L’Autorità ha quindi ritenuto la condotta almeno colposa e non scusabile per buona fede, richiamando la giurisprudenza in tema di errore inevitabile e sottolineando che la disciplina in materia di marketing era chiara e consolidata.

Violazione dell’obbligo di informativa

Con riguardo all’art. 14 GDPR, il Garante ha rilevato che la sintetica informazione inserita nel footer delle e-mail non era sufficiente, poiché non conteneva tutti gli elementi previsti per i dati non raccolti presso l’interessato, né rinviava a un’informativa estesa.

In particolare, mancavano elementi quali, a titolo esemplificativo:

• periodo di conservazione;
• diritti esercitabili;
• diritto di proporre reclamo all’autorità di controllo;
• ulteriori informazioni richieste dai paragrafi 1 e 2 dell’art. 14 GDPR.

È stata pertanto accertata la violazione del principio di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e dell’art. 14 GDPR.

Misure correttive e sanzionatorie

Il provvedimento ha distinto le conseguenze per le due diverse violazioni accertate.

Per l’illecito relativo al marketing senza consenso, il Garante ha disposto:

• il divieto di trattamento dei dati personali trattati in assenza di valido consenso e informazione, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• la cancellazione di tali dati, salvi quelli necessari per altri trattamenti leciti, ai sensi dell’art. 58, par. 2, lett. g), GDPR;
• una sanzione amministrativa pecuniaria di euro 1.500.

Per la violazione dell’obbligo informativo, l’Autorità ha ritenuto non necessaria una sanzione pecuniaria autonoma, ma ha applicato:

• l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• l’ingiunzione a conformare i trattamenti alle disposizioni sulla corretta informazione agli interessati, ai sensi dell’art. 58, par. 2, lett. d), GDPR.

Criteri di quantificazione della sanzione

Nel determinare l’importo della sanzione, il Garante ha applicato l’art. 83 GDPR, richiamando il principio di effettività, proporzionalità e dissuasività. Sono stati considerati:

• la gravità delle violazioni, per trattamenti di marketing reiterati verso numerosi interessati;
• il carattere gravemente colposo della condotta;
• l’assenza di precedenti provvedimenti sanzionatori a carico della ditta;
• la cooperazione con l’Autorità e le misure correttive adottate;
• il fatto che non fossero trattati dati particolari o dati relativi a reati;
• la modesta dimensione economica del titolare.

Sulla base di tali elementi, la sanzione è stata fissata in euro 1.500, pari allo 0,01% del massimo edittale considerato nel provvedimento.

Ulteriori disposizioni e rimedi

Il Garante ha disposto anche:

• la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante come sanzione accessoria;
• l’annotazione nel registro interno dell’Autorità.

È stato infine ricordato il diritto di opposizione davanti all’autorità giudiziaria ordinaria entro i termini di legge.