Prescrizioni del Garante n. 415 del 10/07/2025

Ammonimento a GF s.r.l. per la prosecuzione di trattamenti promozionali dopo revoca del consenso

Il Garante per la protezione dei dati personali ha adottato nei confronti di GF s.r.l. un provvedimento di ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, in relazione alla pubblicazione online di video-testimonianze, testi e altri contenuti promozionali riferiti a una cliente, poi oppositasi alla permanenza dei propri dati sui canali della società.

Origine del procedimento

Il procedimento trae origine da un reclamo presentato dall’interessata, che aveva chiesto di essere rimossa da social network, sito web, webinar, video e ogni altra forma di pubblicità riconducibile all’iniziativa commerciale della società. La reclamante aveva revocato il consenso e domandato la cancellazione dei dati personali utilizzati per i contenuti promozionali, lamentando anche l’ulteriore diffusione di informazioni relative ai propri risultati e alla propria attività.

Attività istruttoria e posizioni delle parti

L’Ufficio ha richiesto informazioni al titolare ai sensi dell’art. 157 del Codice privacy. GF s.r.l. ha sostenuto che i video erano stati realizzati con il consenso dell’interessata, in forma spontanea e consapevole, e che la pubblicazione era coerente con la finalità promozionale pattuita. Ha inoltre affermato che il consenso fosse stato prestato senza limiti temporali e che la revoca, se capace di arrecare danno economico, avrebbe dovuto essere accompagnata da un indennizzo.

La reclamante ha replicato di non contestare i trattamenti passati, ma di non voler più apparire pubblicamente in alcuna forma promozionale, precisando di non aver autorizzato la condivisione di alcuni ulteriori dati, quali risultati, fatturato e altre informazioni economiche.

Valutazioni del Garante sulla revoca del consenso e sulla cancellazione

L’Autorità ha richiamato l’art. 6, par. 3, GDPR e l’art. 17, par. 1, lett. b), GDPR, ribadendo che il consenso può essere revocato in qualsiasi momento e che la revoca non può essere ostacolata dalla circostanza che il trattamento fosse stato inizialmente lecìto. Il Garante ha escluso che il titolare possa subordinare la cessazione del trattamento a valutazioni civilistiche o a pretese di indennizzo non previste dal Regolamento.

Ha inoltre osservato che il caso non riguardava soltanto l’immagine della reclamante, ma anche ulteriori dati personali relativi alla sua attività imprenditoriale e ai correlati benefici economici, anch’essi soggetti alla disciplina privacy.

Violazioni accertate

Il Garante ha ritenuto accertate le seguenti violazioni:

• artt. 5, par. 1, lett. a), 6 e 7 GDPR, per aver proseguito il trattamento dei dati personali dopo la revoca del consenso, in assenza di un’idonea base giuridica;
• artt. 5, par. 1, lett. a), 12 e 17 GDPR, per non aver fornito un riscontro idoneo alla richiesta di cancellazione dei dati.

Elementi attenuanti e qualificazione della violazione

Pur confermando la responsabilità della società, il Garante ha valorizzato alcuni elementi: l’originaria adesione spontanea della reclamante al progetto, la limitata diffusione effettiva dei contenuti, l’episodicità della vicenda e soprattutto la rimozione spontanea dei video e degli altri riferimenti prima della definizione del procedimento. Per tali ragioni, il caso è stato qualificato come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Esito finale e ulteriori disposizioni

Considerata la cessazione del trattamento e l’avvenuta cancellazione dei contenuti, il Garante non ha ritenuto necessario adottare misure prescrittive o inibitorie ulteriori. Ha tuttavia rivolto a GF s.r.l. un ammonimento per le violazioni riscontrate e ha disposto la pubblicazione del provvedimento sul sito istituzionale, oltre alla sua annotazione nel registro interno delle violazioni e delle misure adottate.