Prescrizioni del Garante n. 617 del 23/10/2025

Bluepillow S.p.A. - ammonimento per riscontro inadeguato, informativa carente e mancata tempestiva tenuta del registro trattamenti

Il provvedimento riguarda Bluepillow S.p.A. e trae origine da un reclamo presentato da un interessato all’autorità di protezione dati del Lussemburgo, poi trasmesso al Garante italiano nell’ambito della cooperazione prevista dagli artt. 56 e 60 GDPR per i trattamenti transfrontalieri. Oggetto del procedimento è il trattamento di dati personali connesso a una ricerca di sistemazione alberghiera sul sito della società e all’invio di un’e-mail automatica di recall/carrello abbandonato.

Origine del reclamo e svolgimento dell’istruttoria

L’interessato lamentava di non aver ricevuto informazioni adeguate sul trattamento dei propri dati, di non aver ottenuto riscontro alla richiesta di accesso e di temere che i dati fossero stati trasferiti a terzi. L’attività istruttoria ha incluso una visita ispettiva presso la sede della società il 25 settembre 2023 e successive richieste di informazioni, con acquisizione di documentazione integrativa.

Dagli atti è emerso che l’interessato aveva scambiato varie e-mail con Bluepillow tra il 2 e il 14 giugno 2022, chiedendo in particolare chi avesse avuto accesso ai propri dati, quale fosse il DPO e perché avesse ricevuto un’e-mail di recall dopo un tentativo di prenotazione non andato a buon fine. La società ha poi chiarito che, nel caso concreto, i dati erano stati raccolti direttamente da Bluepillow e utilizzati per l’invio dell’e-mail automatica di recall, senza coinvolgimento di agenzie terze.

Trattamenti esaminati

Il Garante ha esaminato in particolare:

• il trattamento dei dati inseriti dall’interessato nel corso della procedura di prenotazione sul sito Bluepillow;
• l’invio dell’e-mail automatica di recall o di carrello abbandonato;
• la gestione delle richieste di accesso ai dati personali;
• il contenuto dell’informativa privacy pubblicata sul sito;
• la mancata predisposizione del registro delle attività di trattamento.

Riscontro alla richiesta di accesso: violazione degli artt. 12 e 15 GDPR

La società aveva inizialmente risposto all’interessato affermando che Bluepillow non conservava dati degli utenti nella fase di prenotazione e che eventuali questioni andavano rivolte all’agenzia di viaggio prescelta. Questa risposta è stata ritenuta inadeguata perché non coerente con quanto poi emerso in istruttoria: Bluepillow trattava effettivamente i dati inseriti dall’interessato e li conservava almeno fino all’invio dell’e-mail di recall.

Il Garante ha osservato che, pur a fronte di richieste formulate in modo non del tutto chiaro, la società non aveva fornito un riscontro effettivo e corretto alla domanda specifica di accesso ai dati ex art. 15 GDPR, violando l’obbligo di agevolare l’esercizio dei diritti dell’interessato e di fornire riscontro entro il termine previsto dall’art. 12 GDPR.

Informativa privacy: criticità ai sensi degli artt. 5 e 13 GDPR

In sede di verifica, l’informativa risultava lacunosa e non del tutto coerente con i trattamenti effettivamente svolti. In particolare, il Garante ha rilevato criticità:

• sulle tipologie di trattamenti effettuati;
• sulle basi giuridiche, indicate in modo non sufficientemente specifico e non differenziato per finalità;
• sulle modalità per l’esercizio dei diritti, inizialmente limitate a un indirizzo fisico;
• sui tempi di conservazione dei dati, inizialmente ritenuti eccessivi.

La società ha successivamente aggiornato l’informativa, precisando tra l’altro che, se il percorso di prenotazione non viene completato, può essere inviata un’e-mail automatica di recall con proposte alternative, e ha introdotto un contatto e-mail per l’esercizio dei diritti. Tuttavia, l’Autorità ha ritenuto che le criticità originarie integrassero una violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a), con particolare rilievo anche per l’inadeguatezza dei tempi di conservazione inizialmente previsti.

E-mail di recall e corretta base giuridica

Nel corso del procedimento Bluepillow ha sostenuto che l’e-mail di recall fosse riconducibile all’art. 130, comma 4, del Codice privacy. Il Garante ha però precisato che tale comunicazione non può essere qualificata come marketing diretto in senso proprio, perché non presuppone una vendita perfezionata e serve piuttosto a recuperare un tentativo di prenotazione non concluso. Ha quindi richiamato l’orientamento già espresso nel provvedimento n. 576 del 17 luglio 2024, secondo cui la base giuridica corretta è l’art. 6, par. 1, lett. f) GDPR, cioè il legittimo interesse.

Registro delle attività di trattamento: violazione dell’art. 30 GDPR

In sede ispettiva è stata rilevata l’assenza del registro dei trattamenti. Bluepillow ha sostenuto inizialmente di non esservi tenuta, ma il Garante ha richiamato l’interpretazione dell’EDPB secondo cui la deroga per le imprese con meno di 250 dipendenti non opera quando il trattamento non è occasionale o presenta un rischio per i diritti e le libertà degli interessati, come nel caso di specie.

Il registro è stato predisposto solo successivamente all’avvio dell’istruttoria e poi trasmesso all’Autorità. Ciò non ha però escluso la contestazione della violazione, riferita al periodo antecedente alla sua redazione.

Difese della società e elementi valutati a favore

Nelle memorie difensive e in audizione, Bluepillow ha sostenuto di aver agito in buona fede, che il reclamante aveva formulato richieste poco chiare e che non vi era stato alcun coinvolgimento di terzi nel trattamento. Ha inoltre rappresentato di aver progressivamente aggiornato l’informativa, riducendo anche il tempo di conservazione previsto per l’e-mail di recall da due anni a un anno, e di aver avviato la compilazione del registro subito dopo l’ispezione.

Il Garante ha valorizzato, a favore della società:

• il tentativo iniziale di comprendere e chiarire le richieste dell’interessato;
• il fatto che Bluepillow abbia poi fornito un riscontro completo in corso di procedimento;
• l’aggiornamento dell’informativa per renderla più trasparente e aderente al GDPR;
• la successiva istituzione del registro trattamenti;
• la collaborazione con l’Autorità.

Esito e misura adottata

All’esito del procedimento, il Garante ha ritenuto accertata l’illiceità del trattamento per violazione degli artt. 5, 12, 13 e 30 GDPR. Tuttavia, tenuto conto della natura, della gravità e della durata limitata della violazione, del carattere meramente colposo della condotta e del fatto che la società aveva già posto rimedio agli aspetti contestati, ha ritenuto sufficiente l’ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR.

Non sono state disposte ulteriori misure correttive, ritenendo che la condotta avesse già esaurito i suoi effetti. Il provvedimento dispone inoltre la pubblicazione sul sito dell’Autorità e l’annotazione nel registro interno delle violazioni.