Ordinanza ingiunzione o revoca n. 88 del 12/02/2026

Klab s.r.l. - trattamento dati degli iscritti a palestra, consenso marketing e basi giuridiche

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti di Klab s.r.l., titolare del trattamento nell’ambito dell’attività di palestra e abbonamenti ai servizi sportivi. Il procedimento è nato da una segnalazione relativa alla modulistica di iscrizione e alle modalità con cui erano richiesti i consensi privacy.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice privacy a seguito di una segnalazione in cui si lamentava che, al momento della stipula dell’abbonamento, il contratto contenesse già in prima pagina il consenso al trattamento dei dati personali e che, successivamente, venisse richiesto un ulteriore documento nel quale non era agevole distinguere il consenso per il servizio da quello per marketing e altre finalità.

L’Autorità ha chiesto informazioni alla società ai sensi dell’art. 157 del Codice. Nel riscontro, Klab s.r.l. ha indicato di utilizzare diverse basi giuridiche, di aver adottato una nuova informativa e di ricorrere al consenso per una pluralità di trattamenti, distinguendo tra trattamenti per i quali il consenso era considerato “obbligatorio” e trattamenti per i quali poteva essere negato.

Trattamenti esaminati e basi giuridiche dichiarate

La società ha ricondotto senza possibilità di diniego del consenso, tra gli altri, i seguenti trattamenti:

• inserimento nelle anagrafiche e nei database informatici;
• gestione amministrativa, fiscale e contabile;
• adempimenti di obblighi legali;
• misure precontrattuali;
• perfezionamento, conclusione ed esecuzione del contratto;
• controllo degli accessi;
• accertamento dell’idoneità fisica alla partecipazione alle attività sportive;
• gestione di assistenza, recesso, risoluzione, qualità, reclami, allenamenti, contenziosi e recupero crediti;
• comunicazioni a soggetti o autorità obbligate per legge.

Per altre finalità la società indicava come facoltativo il consenso, in particolare per:

• finalità di promozione commerciale, messaggi pubblicitari, indagini e ricerche di mercato;
• raccolta e diffusione di immagini fotografiche o riprese audio-video a fini informativi, divulgativi e promozionali.

Violazione sui fondamenti di liceità

Il Garante ha ritenuto che il ricorso al consenso non fosse idoneo per i trattamenti che erano già necessari all’esecuzione del contratto o all’adempimento di obblighi legali. In tali ipotesi, la base giuridica corretta doveva essere rinvenuta nell’art. 6, par. 1, lett. b) o lett. c), GDPR, e non nel consenso ex art. 6, par. 1, lett. a).

L’Autorità ha quindi accertato la violazione del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), e dell’art. 6 GDPR, evidenziando che non è ammissibile un “consenso obbligatorio” per trattamenti necessari alla prestazione del servizio.

Invalidità del consenso per marketing

Quanto alle finalità di marketing, il Garante ha rilevato che la richiesta di consenso era collocata in calce al modulo negoziale, in una posizione ordinariamente riservata alla sottoscrizione per l’esecuzione del contratto, che peraltro non appariva neppure prevista in modo chiaro come firma separata per il contratto.

Secondo l’Autorità, tale collocazione rendeva la richiesta di consenso difficilmente distinguibile dalle clausole contrattuali necessarie e non rispondeva ai requisiti dell’art. 7, par. 2, GDPR, che impone una richiesta chiaramente distinguibile, comprensibile e facilmente accessibile. Ne è derivata la non libertà del consenso e, conseguentemente, l’illiceità dei trattamenti di marketing fondati su di esso.

Mancata informazione sulla revoca del consenso

Il Garante ha poi rilevato che l’informativa vigente e quella successivamente aggiornata non indicavano agli interessati la possibilità di revocare il consenso in qualsiasi momento, come richiesto dall’art. 7, par. 3, GDPR e dall’art. 13, par. 2, lett. c), GDPR.

Tale omissione è stata considerata rilevante soprattutto per i trattamenti fondati sul consenso, quali l’invio di comunicazioni commerciali e la diffusione di immagini o video a fini promozionali o divulgativi.

Osservazioni sull’informativa e sul meccanismo di opt-out

Pur non essendo stata formalmente contestata come autonoma violazione, l’informativa aggiornata è stata stigmatizzata perché l’articolazione delle basi giuridiche non consentiva all’interessato di collegare il fondamento di liceità alla specifica finalità e ai dati trattati. Il Garante ha inoltre criticato la previsione di caselle per la “negazione del consenso” per marketing e per immagini/video, ritenendo che ciò imponesse un modello di opt-out non coerente con la disciplina del consenso e potenzialmente elusivo della libera manifestazione di volontà.

Valutazioni conclusive del Garante

Il Garante ha accertato la responsabilità di Klab s.r.l. per:

• violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, per uso di un fondamento di liceità errato;
• violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), e 7, par. 2, GDPR, per richiesta di consenso marketing non chiaramente distinguibile dalla sottoscrizione del contratto;
• violazione degli artt. 7, par. 3, e 13, par. 2, lett. c), GDPR, per mancata informazione sulla revoca del consenso.

Misure correttive e prescrizioni

In ragione delle violazioni accertate, l’Autorità ha disposto:

• il divieto di ogni ulteriore trattamento dei dati del segnalante e degli altri interessati eventualmente acquisiti sulla base di consenso non idoneo per finalità di marketing, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• la cancellazione dei dati trattati per le finalità di marketing fondati su consenso non valido, salvo quelli necessari per altri trattamenti leciti, ai sensi dell’art. 58, par. 2, lett. g), GDPR;
• l’ingiunzione a individuare adeguate basi giuridiche per i trattamenti e a indicarle correttamente nell’informativa, ai sensi degli artt. 12 e 13 GDPR;
• l’ingiunzione a richiedere un consenso valido per le finalità ulteriori, chiaramente distinguibile dalle condizioni negoziali;
• l’ingiunzione a rimuovere le richieste illecite di “negazione” del consenso e a sostituirle con un valido meccanismo di opt-in;
• l’obbligo di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate.

Sanzione amministrativa pecuniaria e criteri di quantificazione

È stata irrogata la sanzione amministrativa pecuniaria di euro 1.000,00, ai sensi dell’art. 83, par. 5, GDPR e degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981. Il Garante ha considerato il massimo edittale di euro 20.000.000,00, ma ha quantificato la sanzione tenendo conto dei criteri di cui all’art. 83, par. 2, GDPR:

• gravità delle violazioni, perché incidono su principi cardine della normativa;
• gravità della negligenza e scarsa collaborazione con l’Autorità;
• assenza di precedenti provvedimenti correttivi o sanzionatori;
• assenza di dati particolari o relativi a condanne penali e reati.

La sanzione è stata determinata in euro 1.000,00, pari allo 0,24% del fatturato considerato.

Pubblicazione del provvedimento e rimedi

È stata disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e degli artt. 16 e 37 del Regolamento del Garante n. 1/2019, nonché l’annotazione nel registro interno dell’Autorità.

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.