Prescrizioni del Garante n. 538 del 25/09/2025

Egosistema S.p.A. (già Palestre Italiane S.r.l.) – email promozionali e tempi di conservazione dei dati

Il provvedimento riguarda un reclamo per l’invio di comunicazioni promozionali indesiderate e per l’inadeguata indicazione dei tempi di conservazione dei dati personali trattati per finalità di marketing. Il Garante conclude per l’illiceità del trattamento nei termini descritti in motivazione, adottando un ammonimento e un’ingiunzione informativa, senza irrogare una sanzione pecuniaria.

Origine del procedimento e attività istruttoria

L’istruttoria prende avvio dal reclamo del 18 gennaio 2024 presentato dall’interessato, che lamenta di avere continuato a ricevere email promozionali da Palestre Italiane S.r.l. nonostante avesse chiesto nel luglio 2019 la cancellazione dei dati e di non ricevere ulteriori comunicazioni. La società, nel riscontro all’Ufficio, afferma che i dati erano stati acquisiti nel 2017 nell’ambito di un contratto di servizio e che l’interessato aveva prestato consenso al marketing, aggiungendo che la richiesta di revoca non sarebbe stata correttamente processata anche per un errore nell’indicazione dell’indirizzo email cui inviare la richiesta.

L’Ufficio verifica inoltre che nell’informativa pubblicata sul sito il canale indicato per l’esercizio dei diritti era proprio l’indirizzo usato dall’interessato e che, quanto ai tempi di conservazione, l’informativa si limitava a indicare che i dati per finalità di marketing sarebbero stati conservati fino all’eventuale disiscrizione/opposizione, senza un termine certo.

Contestazione delle violazioni

Con nota del 22 agosto 2024 viene avviato il procedimento per la presunta violazione di:

• art. 5, par. 1, lett. e), e art. 13, par. 2, lett. a), GDPR, per la mancata determinazione e indicazione dei tempi di conservazione;
• art. 6, par. 1, lett. a), e art. 7 GDPR, nonché art. 130, comma 2, Codice privacy, per l’invio di comunicazioni promozionali senza consenso valido;
• art. 17 GDPR, per la mancata cancellazione dei dati a seguito della richiesta dell’interessato.

Difesa della società

Nelle memorie difensive del 20 settembre 2024 la società evidenzia il mutamento societario intervenuto nel tempo e produce il modulo contrattuale del 31 marzo 2017, dal quale risulterebbe il consenso alla ricezione di comunicazioni promozionali. Sottolinea inoltre che nelle email era sempre presente un link di disiscrizione e che il ritardo nella gestione della richiesta sarebbe dipeso da un errore umano, da cambiamenti organizzativi e da un percorso di adeguamento al GDPR ancora in corso nel 2019.

La società afferma anche di avere avviato una revisione delle proprie procedure di compliance, compresa l’ipotesi di un aggiornamento dei consensi ogni due anni, e produce un nuovo modello contrattuale nel quale è prevista la conservazione dei dati promozionali fino a opposizione o revoca del consenso.

Valutazioni del Garante sull’invio delle email promozionali

Il Garante ritiene confermata la violazione degli artt. 6, par. 1, lett. a), 7 e 17 GDPR e dell’art. 130, comma 2, Codice privacy: il consenso originario del 2017 non può giustificare le comunicazioni inviate dopo l’opposizione espressa nel 2019, opposizione che la stessa società aveva confermato di avere ricevuto. L’argomento relativo all’indirizzo email presuntamente errato viene respinto, poiché il canale utilizzato risultava quello corretto e la società aveva comunque riscontrato la richiesta assicurandone il buon esito.

Pur confermando l’illecito, l’Autorità qualifica la vicenda come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR, tenendo conto del consenso iniziale, dell’errore organizzativo e del fatto che l’interessato non aveva utilizzato il link di disiscrizione presente nelle email. Per tale ragione non applica una sanzione amministrativa pecuniaria, ma ammonisce il titolare sulla necessità di verificare l’efficacia delle misure adottate per agevolare l’esercizio dei diritti e assicurarne il tempestivo recepimento.

Valutazioni sui tempi di conservazione e sull’informativa

Sul diverso profilo dei tempi di conservazione, il Garante osserva che l’informativa allora in uso era del tutto generica e non indicava un termine temporale certo per il trattamento dei dati a fini di marketing. Richiamando l’esigenza di conformità all’art. 5, par. 1, lett. e), e all’art. 13, par. 2, lett. a), GDPR, l’Autorità afferma che, in assenza di un termine chiaro, il trattamento avrebbe potuto proseguire sine die in mancanza di revoca.

Il fatto che la società abbia avviato un percorso di revisione non è ritenuto sufficiente, perché anche il nuovo modello contrattuale non quantifica in modo preciso il periodo di conservazione, limitandosi a riferirlo alla opposizione o revoca del consenso. Per questo il Garante ravvisa una violazione del Regolamento anche su questo profilo.

Provvedimenti finali

Il Garante:

• dichiara illecito il trattamento effettuato da Egosistema S.p.A. (già Palestre Italiane S.r.l.);
• rivolge un ammonimento sulla necessità di verificare l’efficacia delle misure adottate per agevolare l’esercizio dei diritti;
• rivolge un ulteriore ammonimento sulla non corretta definizione dei tempi di conservazione dei dati per finalità promozionali e sulla mancata indicazione di tale termine nell’informativa;
• ingiunge, ai sensi dell’art. 157 Codice privacy, di comunicare entro 30 giorni dalla notifica le iniziative intraprese per rendere conformi i trattamenti e fornire adeguate informazioni agli interessati;
• dispone la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno delle violazioni.

Impugnazione

È richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.