Prescrizioni del Garante n. 634 del 23/10/2025

Ammonimento a Form & Lex S.r.l. per email promozionale senza consenso

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un avvocato che aveva ricevuto un’email promozionale da Form & Lex S.r.l. senza aver prestato il consenso. Il procedimento si è concluso con la dichiarazione di illiceità del trattamento, l’ammonimento del titolare e la non applicazione di una sanzione pecuniaria.

Fatti e origine del procedimento

Il reclamo è pervenuto il 18 febbraio 2024 e riguarda l’invio, il 30 gennaio 2024, di una comunicazione promozionale all’indirizzo email dello studio legale dell’interessato. Quest’ultimo aveva chiesto alla Società di conoscere l’origine dei dati e di opporsi al trattamento.

Form & Lex ha spiegato di aver reperito l’indirizzo email tramite accreditamento presso il Consiglio Nazionale Forense e di aver ritenuto legittimo l’uso del dato per finalità promozionali sulla base del proprio legittimo interesse. La Società ha anche riferito di aver riscontrato subito l’opposizione e di aver adottato modifiche procedurali per raccogliere consensi in futuro.

Contestazione e istruttoria

Con nota del 22 agosto 2024 il Garante ha avviato il procedimento contestando la possibile violazione:

• dell’art. 6, par. 1, lett. a), GDPR;
• dell’art. 130, comma 2, del Codice privacy.

La contestazione era riferita all’invio di comunicazioni promozionali via email senza previo consenso. Il Garante ha richiamato anche un precedente prudente avviso del 30 novembre 2023, con cui aveva già ricordato che l’invio di comunicazioni promozionali per email è lecito solo con consenso o nei casi tassativi previsti dall’art. 130, comma 4, del Codice.

Difese della Società

Nelle memorie del 13 settembre 2024 Form & Lex ha sostenuto che la propria attività non sarebbe assimilabile a quella di una società commerciale ordinaria, poiché strettamente collegata alla formazione accreditata e destinata agli iscritti agli ordini professionali. Ha inoltre rappresentato:

• una diminuzione di iscrizioni ai corsi a seguito dell’adeguamento procedurale;
• l’adozione di cautele per non disturbare gli interessati;
• l’immediato riscontro alle richieste di opposizione;
• dubbi sulla qualificazione dell’indirizzo email come dato personale, essendo condiviso nello studio.

Valutazioni giuridiche del Garante

L’Autorità ha confermato che, quando la finalità è promozionale e il mezzo usato è l’email, si applica l’art. 130 del Codice come norma speciale rispetto al GDPR. Ne discendono alcuni principi centrali:

• per l’invio di email promozionali è necessario il preventivo consenso dell’interessato;
• l’unica eccezione richiamata è quella dell’art. 130, comma 4, relativa ai clienti per l’invio di comunicazioni su prodotti o servizi analoghi già acquistati;
• non è consentito utilizzare per finalità promozionali dati contenuti in registri o banche dati predisposti per finalità diverse, come quelli degli ordini professionali;
• il legittimo interesse non può essere invocato come base giuridica per questo tipo di trattamento, perché non previsto dalla disciplina speciale recepita nell’art. 130 del Codice.

Il Garante ha anche precisato che la disciplina si applica ai contraenti dei servizi di comunicazione elettronica, compresi i soggetti giuridici, sicché l’eccezione sulla non personalità del dato non è rilevante.

Violazione accertata e considerazioni attenuanti

L’Autorità ha ritenuto confermata la violazione, osservando che, nonostante le difficoltà organizzative rappresentate dalla Società e il successivo adeguamento delle procedure, l’email promozionale era stata comunque inviata in assenza di consenso e quando l’adeguamento non era ancora completato.

Sono state però considerate attenuanti:

• l’assenza di un danno concreto per l’interessato;
• il tempestivo recepimento dell’opposizione;
• la natura di piccola impresa della Società;
• l’avvenuto ripristino delle misure correttive.

Esito del provvedimento

Pur dichiarando illecito il trattamento, il Garante ha qualificato il caso come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148, e ha deciso di soprassedere dalla sanzione amministrativa pecuniaria.

Ha quindi adottato:

• un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• la pubblicazione del provvedimento sul sito web dell’Autorità, ai sensi dell’art. 154-bis del Codice e dell’art. 37 del regolamento interno n. 1/2019;
• l’annotazione nel registro interno dell’Autorità ex art. 17 del regolamento n. 1/2019 e art. 57, par. 1, lett. u), GDPR.

Rimedi impugnatori

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.