Ordinanza ingiunzione o revoca n. 522 del 11/09/2025

G.Villa S.r.l. - marketing via email senza valido consenso e mancato riscontro ai diritti dell'interessato

Il Garante ha esaminato il trattamento di dati personali posto in essere da G.Villa S.r.l. nell’ambito di attività promozionali via email e nella gestione delle richieste di accesso e cancellazione dell’interessato. Il procedimento trae origine da un reclamo e si conclude con un’ordinanza ingiunzione e una sanzione amministrativa pecuniaria, nonostante la Società abbia nel frattempo adottato misure correttive.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata a seguito di un reclamo del 14 settembre 2023, regolarizzato il 16 novembre 2023. L’interessato lamentava di aver ricevuto una email promozionale a un indirizzo di posta elettronica mai comunicato al titolare, creato solo di recente per attivare un telefono Android, e di aver inviato in data 28 luglio 2023 una richiesta di esercizio dei diritti di accesso e cancellazione senza ricevere risposta.

L’Ufficio ha inviato una richiesta di informazioni a G.Villa S.r.l. il 26 gennaio 2024, ma non ha ricevuto riscontro. Per tale ragione è stato avviato il procedimento anche per il mancato riscontro alla richiesta del Garante. Successivamente, l’interessato ha segnalato ulteriori criticità relative agli indirizzi indicati nella privacy policy del sito del titolare, che avrebbero generato messaggi di errore nella ricezione delle email.

Difese della Società

La Società ha sostenuto che la mancata risposta alla richiesta del Garante era dovuta a una riorganizzazione aziendale: la raccomandata sarebbe pervenuta a un’unità locale non presidiata, in un periodo in cui il personale era dimissionario, e il plico sarebbe stato rinvenuto solo successivamente ancora chiuso. Quanto al merito, G.Villa ha affermato che l’indirizzo email destinatario del messaggio promozionale era stato associato a un consigliere di amministrazione della precedente proprietà e poi chiuso il 28 agosto 2023, precisando di aver comunque rimosso quell’indirizzo dalla privacy policy.

La Società ha inoltre dichiarato di aver rinvenuto i dati dell’interessato nel gestionale della precedente proprietà, di averli cancellati dalle liste di contatto per impedire ulteriori invii promozionali e di aver successivamente cancellato tutti i dati dell’interessato dai propri sistemi. In sede di audizione del 18 febbraio 2025 ha anche rappresentato di aver rivisto l’intera struttura dei trattamenti, di aver nominato un responsabile della protezione dei dati e di aver introdotto una procedura automatica di anonimizzazione dei dati promozionali dopo 24 mesi dalla raccolta, salvo diversa necessità di conservazione per altre finalità.

Valutazioni del Garante sulle violazioni contestate

Il Garante ha archiviato il profilo relativo all’art. 157 del Codice, ritenendo plausibile e contingente la giustificazione fornita dalla Società circa il mancato presidio della sede a seguito della riorganizzazione aziendale.

Diversamente, ha confermato le violazioni contestate nel merito. In particolare, ha ritenuto non dimostrato che l’indirizzo email destinatario della promozione fosse stato effettivamente fornito dall’interessato. Il documento prodotto dalla Società a sostegno dell’asserito consenso del 2013 era incompleto e privo dei dati personali del sottoscrittore; inoltre l’interessato aveva chiarito che l’indirizzo email utilizzato per la promozione era stato creato solo nel 2023 e non esisteva all’epoca dell’operazione di acquisto del veicolo del 2013.

Il Garante ha poi osservato che, anche a voler considerare valido il consenso originario, esso non poteva ritenersi tuttora efficace a distanza di oltre dieci anni, in assenza di una corretta indicazione dei tempi di conservazione nell’informativa. In tal senso ha richiamato il principio, già espresso in precedenti provvedimenti, secondo cui il consenso al marketing resta valido solo se correttamente acquisito all’origine, ancora conforme alla normativa applicabile al momento del trattamento e coerente con i tempi di conservazione stabiliti dal titolare e indicati nell’informativa, nel rispetto dell’art. 5, par. 1, lett. e), GDPR.

Da ciò discende la conferma della violazione dell’art. 5, par. 1, lett. e), GDPR per conservazione dei dati per finalità promozionali per un periodo eccessivo e indeterminato. Poiché l’email promozionale è risultata inviata in assenza di idonea base giuridica, è stata altresì confermata la violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, del Codice.

Quanto alle richieste di accesso e cancellazione, il Garante ha ritenuto integrata anche la violazione dell’art. 12, par. 3, e degli artt. 15 e 17 GDPR. L’interessato aveva esercitato i propri diritti il 28 luglio 2023 utilizzando un indirizzo email che, secondo quanto dichiarato dalla Società, sarebbe stato disattivato solo il 28 agosto 2023; pertanto, al momento della richiesta, il canale era ancora abilitato alla ricezione e il titolare avrebbe potuto fornire riscontro.

Misure correttive e assenza di ulteriori interventi inibitori

Il Garante ha dato atto che la Società, nel corso del procedimento, ha revisionato le procedure tecniche e organizzative, ha preso atto dell’opposizione dell’interessato e ha dichiarato di aver cancellato i dati dell’interessato nonché di aver cancellato o anonimizzato i dati di altri interessati per i quali non risultava più documentato un consenso valido.

Per tale ragione non sono stati ritenuti necessari ulteriori interventi correttivi o inibitori oltre all’ordinanza ingiunzione e alla sanzione pecuniaria.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha applicato l’art. 83, par. 3, GDPR, considerando che le violazioni erano riferite a trattamenti collegati e che, in caso di pluralità di violazioni, l’importo totale non può superare quello previsto per la violazione più grave. È stato quindi ritenuto applicabile il massimo edittale di 20 milioni di euro ex art. 83, par. 5, GDPR.

Nel determinare l’importo concretamente irrogato, il Garante ha valorizzato come aggravanti:

• la gravità della violazione, per la conservazione dei dati a fini promozionali senza consenso idoneo e per un tempo indeterminato;
• la negligenza nella conservazione e nell’uso di dati raccolti in un contesto antecedente alla modifica del quadro normativo senza un tempestivo adeguamento.

Sono state considerate attenuanti:

• le misure correttive adottate per rendere conformi i trattamenti;
• il basso livello di danno subito dall’interessato;
• l’assenza di precedenti procedimenti a carico della Società;
• la cooperazione con l’Autorità;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto.

Sulla base di tali elementi, è stata irrogata la sanzione amministrativa pecuniaria di euro 22.500, pari allo 0,11% del massimo edittale considerato.

Dispositivo e adempimenti conseguenti

Il Garante ha dichiarato illecito il trattamento descritto in motivazione effettuato da G.Villa S.r.l. e ha ordinato alla Società il pagamento della sanzione di euro 22.500 entro 30 giorni dalla notificazione del provvedimento, con facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine di 30 giorni previsto dall’art. 166, comma 8, del Codice.

È stata inoltre disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante, nonché l’annotazione delle violazioni nel registro interno dell’Autorità. Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.