Ordinanza ingiunzione o revoca n. 494 del 11/09/2025

ISV Group S.r.l.s. e Ismax S.r.l.s.: email promozionali via PEC senza consenso, mancato riscontro ai diritti e omessa risposta al Garante

Il provvedimento trae origine da un reclamo relativo all’invio di email promozionali indesiderate a una casella PEC di un professionista. L’attività riguardava la promozione di corsi professionali e veniva svolta nell’interesse di ISV Group S.r.l.s., mediante l’operato di Ismax S.r.l.s. Il Garante ha ricostruito un trattamento protrattosi per anni, con pluralità di destinatari appartenenti a ordini professionali diversi e numerose segnalazioni analoghe.

Fatti e istruttoria

Il reclamante ha dichiarato di non aver mai prestato consenso alla ricezione dei messaggi e di aver chiesto la cancellazione dai recapiti utilizzati per il marketing, senza ottenere riscontro. Nonostante ciò, avrebbe ricevuto ulteriori email anche dopo la richiesta di cancellazione, inclusa una successiva comunicazione nel gennaio 2024. Nel corso dell’istruttoria, ISV Group ha negato un proprio ruolo nel trattamento, sostenendo di non disporre dei dati dell’interessato e di non avere effettuato l’invio. Ismax, inizialmente, ha ricondotto il mancato riscontro a un errore materiale e, solo successivamente, ha riferito di aver reperito online circa un centinaio di indirizzi email liberamente disponibili su internet, tratti da siti professionali.

Il Garante ha inoltre evidenziato che la vicenda non era isolata: erano pervenute altre istanze di contenuto analogo, alcune dirette al recapito di Ismax indicato nelle email, altre provenienti da iscritti ad ordini professionali che lamentavano l’invio di PEC promozionali insistenti.

Qualificazione dei ruoli

L’Autorità ha ritenuto che l’attività promozionale fosse posta in essere nell’interesse di ISV Group, la quale determinava la finalità di promuovere i propri corsi e beneficiava dell’iniziativa commerciale. Ismax, tuttavia, aveva deciso autonomamente modalità operative e fonti di reperimento dei contatti, senza un accordo conforme con la committente. In base a tale ricostruzione, il Garante ha distinto le responsabilità: da un lato ha escluso, per ISV Group, alcune violazioni direttamente collegate all’invio delle email e al mancato riscontro alle istanze degli interessati; dall’altro ha rilevato una responsabilità della stessa ISV Group per carenza di controllo, selezione e vigilanza sull’operato del soggetto incaricato.

Violazioni accertate

Per ISV Group, il Garante ha confermato la violazione dell’art. 5, par. 1, lett. a), e dell’art. 5, par. 2, GDPR, nonché dell’art. 24 GDPR, per mancata conformità ai principi di liceità, correttezza e trasparenza e per insufficiente accountability nella gestione del partner commerciale.

Per Ismax, il trattamento è stato qualificato come illecito per mancanza di valido consenso e per invio di comunicazioni promozionali via email in assenza della base giuridica richiesta dall’art. 130, comma 2, del Codice privacy. Sono state inoltre confermate le violazioni degli artt. 12, 15 e 17 GDPR, per il mancato riscontro alle richieste di accesso e cancellazione, e l’art. 157 del Codice privacy, per il mancato riscontro alla richiesta di informazioni formulata dal Garante.

Valutazioni giuridiche rilevanti

Il provvedimento ribadisce che l’invio di comunicazioni promozionali mediante email o PEC richiede il consenso preventivo dell’interessato e che la provenienza dei dati da fonti pubbliche, siti web o elenchi liberamente accessibili non legittima di per sé il marketing. L’Autorità richiama espressamente le Linee guida del 4 luglio 2013 e la propria più recente giurisprudenza, affermando che il link per l’opposizione eventualmente presente nel messaggio non sana l’illiceità dell’invio iniziale.

Sul piano organizzativo, il Garante sottolinea che il titolare deve selezionare con cura il partner commerciale e controllarne l’operato, adottando misure adeguate ai sensi dell’art. 24 GDPR. Nel caso di specie, l’assenza di verifiche da parte di ISV Group ha consentito che il trattamento illecito si protrasse per anni.

Misure correttive e sanzioni

Il Garante ha adottato tre misure principali:

• ammonimento nei confronti di ISV Group ai sensi dell’art. 58, par. 2, lett. b), GDPR, per l’illecito trattamento svolto per suo conto senza controlli adeguati;
• ordine a Ismax, ai sensi dell’art. 58, par. 2, lett. g), GDPR, di cancellare tutti i dati personali raccolti con le modalità descritte e riferiti a soggetti che non abbiano espresso uno specifico consenso per finalità promozionali;
• sanzione amministrativa pecuniaria pari a 15.000 euro nei confronti di ISV Group e 5.000 euro nei confronti di Ismax.

Nella quantificazione delle sanzioni il Garante ha applicato l’art. 83 GDPR, valorizzando come aggravanti la durata pluriennale della condotta, la gravità, la colpa grave e l’assenza di adeguati controlli; come attenuanti ha considerato l’assenza di precedenti pertinenti e il fatto che i dati coinvolti fossero solo dati comuni. È stata disposta anche la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Implicazioni pratiche

Il provvedimento conferma che, in materia di email marketing verso professionisti, il richiamo a fonti pubbliche non sostituisce il consenso e non esonera il promotore o il committente dalle verifiche organizzative. Per i titolari, il caso evidenzia l’importanza di formalizzare correttamente i rapporti con i partner commerciali, monitorare le campagne promozionali e gestire tempestivamente le richieste di accesso, cancellazione e opposizione degli interessati. Per i soggetti che operano materialmente le campagne, il provvedimento ribadisce il rischio di essere qualificati come autonomi titolari quando decidano in modo indipendente finalità e mezzi del trattamento.