Ordinanza ingiunzione o revoca n. 91 del 12/02/2026

Sportitalia SSD a r.l. (GetFIT): sanzione per mancato riscontro al Garante e marketing non autorizzato

Il provvedimento riguarda Sportitalia Società Sportiva Dilettantistica a r.l. (GetFIT) ed è stato adottato all’esito di un’istruttoria avviata a seguito del reclamo di un ex frequentatore delle palestre, che lamentava l’invio di comunicazioni commerciali nonostante l’opposizione e la richiesta di cancellazione dei dati.

Origine del procedimento e sviluppo istruttorio

L’Autorità ha aperto il procedimento ai sensi dell’art. 166, comma 5, del Codice, inizialmente per il mancato riscontro della Società a una richiesta di informazioni del 6 giugno 2025. Dopo il primo atto ex art. 166 del Codice e la successiva interlocuzione con la Società, l’Ufficio ha integrato la contestazione con riferimento anche alle violazioni sostanziali emerse nel merito del trattamento.

La Società ha trasmesso memorie difensive e ha partecipato all’audizione, ammettendo alcune criticità organizzative interne nella gestione delle comunicazioni in entrata e nella sincronizzazione dei dati tra CRM cloud e piattaforme di email marketing.

Contestazioni formulate dal Garante

L’Ufficio ha contestato alla Società:

• la violazione degli artt. 157 e 166, comma 2, del Codice, per il mancato riscontro alla richiesta di informazioni del 6 giugno 2025;
• la violazione dell’art. 31 GDPR, per una pretesa condotta procedimentale non collaborativa;
• la violazione degli artt. 12, par. 3, e 17 GDPR, per non aver dato correttamente seguito alla richiesta di cancellazione e per non aver comunicato all’interessato le azioni intraprese;
• la violazione dell’art. 130 del Codice, per l’invio di comunicazioni commerciali dopo l’opposizione dell’interessato.

Valutazioni sul mancato riscontro alla richiesta di informazioni

La Società ha riconosciuto di aver ricevuto la richiesta del Garante e di non avervi dato seguito per carenze interne. Il Garante ha qualificato tale omissione come violazione degli artt. 157 e 166, comma 2, del Codice, rilevando che il mancato riscontro è pacifico e non contestato nel merito.

Nel provvedimento viene anche valorizzato il fatto che si tratta di una criticità già emersa in una precedente istruttoria, definita con il provvedimento n. 369 del 10 novembre 2022, nel quale la Società aveva già mancato di fornire un primo riscontro a una richiesta dell’Autorità.

Valutazione sulla cooperazione con l’Autorità

Pur avendo inizialmente eccepito una carenza documentale, la Società ha poi ricevuto e prodotto i documenti richiesti, spiegando che una delle comunicazioni inviate dal Garante non era stata correttamente catalogata a causa dell’invio simultaneo di più email. Il Garante ha ritenuto che, nel complesso, la condotta fosse stata cooperativa e ha escluso la violazione dell’art. 31 GDPR.

Richiesta di cancellazione, opposizione e marketing diretto

Dalle risultanze istruttorie è emerso che l’interessato aveva espresso opposizione al ricevimento di comunicazioni commerciali il 12 marzo 2024 e, successivamente, aveva chiesto il 7 febbraio 2025 la cancellazione immediata di tutti i propri dati e la cessazione di ogni sollecitazione commerciale.

Nonostante ciò, la Società ha continuato a inviare comunicazioni commerciali, tra cui:

• un SMS del 25 settembre 2024;
• un’email del 4 febbraio 2025;
• ulteriori comunicazioni il 14 e il 21 maggio 2025;
• una comunicazione cartacea nel mese di maggio 2025.

Il Garante ha rilevato che non sussistevano i presupposti per negare la cancellazione ai sensi dell’art. 17 GDPR e che, una volta ricevuta l’opposizione, la Società non poteva legittimamente proseguire nell’invio di comunicazioni commerciali. È stata inoltre evidenziata la mancata comunicazione all’interessato delle azioni intraprese a seguito della richiesta di cancellazione, in violazione dell’art. 12, par. 3, GDPR.

Aspetti organizzativi e cause dell’illecito

La Società ha spiegato che il disallineamento tra CRM e piattaforme esterne di email marketing avveniva in passato tramite operazioni manuali, suscettibili di errore umano, e che il nominativo dell’interessato era rimasto erroneamente presente nelle liste contattabili per ragioni tecniche.

Per ridurre il rischio di ulteriori invii non autorizzati, la Società ha dichiarato di aver affidato la gestione delle campagne a una piattaforma che aggiorna automaticamente e simultaneamente i database, e di aver definitivamente cancellato i dati del reclamante.

Decisione finale, sanzione e criteri di quantificazione

Il Garante ha dichiarato illeciti i trattamenti limitatamente alle violazioni accertate degli artt. 157 e 166, comma 2, del Codice, degli artt. 12, par. 3, e 17 GDPR e dell’art. 130 del Codice, escludendo invece la violazione dell’art. 31 GDPR.

Ai fini della sanzione, l’Autorità ha richiamato l’art. 83, parr. 3 e 5, GDPR e ha individuato il massimo edittale in 20.000.000 euro, tenendo conto del fatturato della Società e del fatto che il 4% risultava inferiore a tale soglia.

Nel determinare l’importo concreto, il Garante ha considerato:

• come aggravante, la precedente violazione del 2022 per mancato riscontro alle richieste di informazioni;
• come attenuante, la categoria dei dati coinvolti, costituita da dati comuni di contatto.

È stata quindi applicata una sanzione amministrativa pecuniaria di 30.000 euro, pari allo 0,15% del massimo edittale.

Misure accessorie e rimedi

Il provvedimento dispone:

• la pubblicazione sul sito del Garante;
• l’annotazione nel registro interno dell’Autorità;
• la possibilità per il contravventore di definire la controversia, ai sensi dell’art. 166, comma 8, del Codice, pagando entro 30 giorni la metà della sanzione irrogata.

Il Garante non ha imposto ulteriori misure correttive, ritenendo sufficienti quelle già adottate dalla Società per il definitivo allineamento dei database e la cancellazione dei dati dell’interessato.