Provvedimenti n. 214 del 26/03/2026

Compass Banca S.p.A. – ammonimento per invio di email promozionale dopo revoca del consenso

Il provvedimento riguarda Compass Banca S.p.A. ed è stato adottato a seguito del reclamo di un interessato che aveva revocato il consenso alle comunicazioni promozionali ma aveva comunque ricevuto una email indesiderata. L’Autorità ha esaminato l’assetto organizzativo della campagna di email marketing e la gestione delle liste di contatto presso un provider esterno responsabile del trattamento.

Origine del procedimento e fatti accertati

Il procedimento trae origine da un reclamo presentato il 10 febbraio 2025. Il reclamante ha riferito di aver ricevuto il 3 febbraio 2025 una email promozionale nonostante la revoca del consenso fosse stata già esercitata e recepita da Compass, che aveva dato riscontro il 23 novembre 2024.

Nel corso dell’istruttoria la società ha chiarito che:

• il reclamante era cliente dal 2017 e aveva in origine prestato il consenso alle comunicazioni promozionali;
• la revoca del consenso era stata ricevuta il 20 novembre 2024 e gestita con tempestività;
• l’invio successivo è dipeso da un errore umano nella gestione manuale di una lista di contatti, resosi necessario per un problema tecnico che aveva impedito il caricamento automatico della lista aggiornata;
• la lista errata era ancora presente nella piattaforma di invio del provider esterno e conteneva nominativi non più contattabili.

Trattamenti esaminati

Il Garante ha esaminato il trattamento di dati personali connesso all’invio di comunicazioni promozionali via email, basato su liste di contatti aggiornate giornalmente e caricate in modo automatizzato nella piattaforma del provider esterno nominato responsabile del trattamento.

L’Autorità ha ritenuto che la conservazione nel repository del provider di liste già utilizzate e non adeguatamente segregate abbia creato un rischio prevedibile di riutilizzo di dati non aggiornati, vanificando la misura aziendale di aggiornamento quotidiano.

Violazioni contestate e valutazioni del Garante

Con la comunicazione di avvio del procedimento del 24 ottobre 2025 sono state contestate le seguenti violazioni:

• artt. 5, par. 1, lett. c), e 24, par. 1, GDPR, per inadeguatezza delle misure adottate rispetto al contesto, ai rischi e alle misure disponibili allo stato dell’arte, nonché per mancata limitazione della conservazione dei dati a quanto strettamente necessario;
• art. 130, comma 2, Codice privacy, in quanto il rischio derivante dalle misure inadeguate si è concretizzato nell’invio di una email promozionale in assenza di consenso.

Nel merito, il Garante ha osservato che l’errore umano non esauriva la spiegazione dell’evento, poiché il problema era reso possibile dalla conservazione di liste non aggiornate nel repository del provider. Se fosse stata già attiva la funzione di cancellazione automatica delle liste utilizzate, l’episodio non si sarebbe verificato. Tale misura è stata ritenuta semplice e coerente con il principio di minimizzazione.

Elementi difensivi valorizzati

Compass ha sostenuto che:

• il sistema di mailing aveva una procedura di aggiornamento giornaliero delle liste;
• l’episodio era isolato e non ripetibile;
• l’email inviata non sarebbe stata propriamente promozionale, ma avrebbe riguardato informazioni sugli orari di apertura delle filiali e, secondo la società, avrebbe potuto rientrare nelle comunicazioni contrattuali.

Il Garante ha tuttavia rilevato che la comunicazione conteneva anche un invito generico a recarsi presso gli uffici Compass e che in calce era qualificata dal mittente come comunicazione con finalità promozionale. Inoltre, la percezione dell’interessato era stata quella di una comunicazione promozionale indesiderata dopo la revoca del consenso.

Valutazione conclusiva sulla gravità

Pur confermando le violazioni, l’Autorità ha considerato rilevanti diversi elementi attenuanti:

• la tempestiva presa in carico della revoca del consenso, con riscontro in tre giorni;
• l’adozione di misure correttive prima dell’avvio del procedimento;
• l’assenza di analoghe segnalazioni o reclami;
• il carattere isolato dell’evento;
• il fatto che il trattamento abbia riguardato solo dati comuni, senza particolare pregiudizio per l’interessato;
• la cooperazione della società con l’Autorità e l’assenza di precedenti pertinenti.

Per tali ragioni il caso è stato qualificato come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Provvedimenti adottati e conseguenze operative

Il Garante ha dichiarato illecito il trattamento nei termini indicati in motivazione e ha adottato i seguenti provvedimenti:

• ammonimento a Compass Banca S.p.A. ai sensi dell’art. 58, par. 2, lett. b), GDPR, in relazione alle violazioni degli artt. 5, par. 1, lett. c), e 24, par. 1, GDPR e dell’art. 130, comma 2, Codice privacy;
• pubblicazione del provvedimento sul sito web dell’Autorità ai sensi dell’art. 154-bis del Codice e dell’art. 37 del regolamento interno n. 1/2019;
• annotazione delle violazioni nel registro interno dell’Autorità ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Non è stata applicata una sanzione amministrativa pecuniaria.

Indicazioni pratiche che emergono dal provvedimento

Il provvedimento evidenzia che, nei trattamenti di marketing via email, non basta una procedura di aggiornamento frequente delle liste: è necessario evitare che liste obsolete rimangano comunque accessibili o riutilizzabili presso il fornitore, soprattutto quando la gestione prevede anche passaggi manuali. La cancellazione automatica delle liste già utilizzate e la segregazione dei dati non più necessari sono state valorizzate come misure coerenti con i principi di minimizzazione, correttezza e accountability.