Ordinanza ingiunzione o revoca n. 488 del 03/07/2026

Ecogenia S.r.l.: illeciti nel telemarketing, nella gestione dei partner e dei diritti degli interessati

Il provvedimento del 3 luglio 2026, registro n. 488, riguarda Ecogenia S.r.l., società operante nella vendita di impianti per il trattamento dell’acqua con il marchio “Acqualife”. Il procedimento è nato da numerose segnalazioni e reclami ricevuti tra gennaio 2024 e settembre 2025, cui si sono aggiunte ulteriori doglianze durante l’istruttoria, relative a chiamate e comunicazioni promozionali effettuate nell’interesse della società.

Origine dell’istruttoria e modalità dei contatti

Gli interessati hanno descritto uno schema ricorrente: ricezione di un messaggio preregistrato che prospettava una “promo regione” o un “bonus regionale”; possibilità di manifestare mediante tastiera telefonica la volontà di non essere ricontattati; mancato rispetto di tale opposizione; possibilità di parlare con un operatore soltanto chiedendo di essere ricontattati. In molti casi il messaggio iniziale non consentiva di identificare il committente e le numerazioni chiamanti non risultavano iscritte al Registro degli Operatori di Comunicazione e Postali (ROC).

Le chiamate erano spesso dirette verso numerazioni iscritte al Registro Pubblico delle Opposizioni (RPO). Il Garante ha inoltre rilevato che il riferimento a un “bonus regionale” poteva indurre gli interessati a ritenere di interagire con soggetti collegati alla pubblica amministrazione, aumentando l’affidamento riposto nella comunicazione.

L’istruttoria ha riguardato numerosi partner e list provider, tra cui Digilab S.r.l., Underdogs Group S.r.l., Wave Leads S.r.l., Flamel S.r.l. e i portali ilmegafono.info, nuoveofferte.com, everydaysupercars.com e low-cost-offerte.com, riconducibili principalmente a Wonderlead Global Ltd e Dynamic Web Europe Ltd.

Trattamenti e fonti dei dati

Ecogenia ha riconosciuto la provenienza di alcune anagrafiche dai portali utilizzati dai partner e ha prodotto documentazione relativa ai consensi. Tale documentazione consisteva soprattutto in stringhe Excel, dichiarazioni unilaterali dei list provider e riepiloghi privi di informazioni sufficienti sulla formazione, conservazione e integrità dei dati.

Il Garante ha ritenuto che tali elementi non dimostrassero adeguatamente il consenso ai sensi degli artt. 5, 6, 7 e 24 GDPR. In particolare, non risultavano garantiti:

• l’identificabilità dell’interessato;
• l’esattezza dei dati di contatto;
• l’effettiva e perdurante volontà di essere ricontattato;
• l’immodificabilità e l’inequivocabilità della prova del consenso;
• la tracciabilità della specifica campagna e del partner coinvolto.

I portali non erano effettivamente navigabili, ma presentavano principalmente form di raccolta dati e consensi. La cessione dei dati a terzi per finalità promozionali riguardava una platea ampia e indistinta di società, attive in settori merceologici differenti o nel marketing generale. Secondo il Garante, tale configurazione non consentiva una scelta libera, specifica e granulare, né rispetto al settore commerciale né rispetto ai canali di comunicazione.

Double opt-in e accountability

Il Garante ha richiamato i propri precedenti, tra cui i provvedimenti del 15 dicembre 2022, 26 ottobre 2017, 25 novembre 2021, il provvedimento n. 330 del 4 giugno 2025 e il provvedimento n. 170 del 12 marzo 2026. È stato ribadito che il GDPR non impone in astratto il double opt-in come unico metodo possibile, ma impone al titolare di adottare misure adeguate al rischio e di dimostrare la conformità del trattamento.

Nel contesto del telemarketing e della lead generation tramite form, il double opt-in o una misura equivalente è stato considerato una garanzia adeguata, in quanto richiede un comportamento attivo dell’interessato e riduce il rischio che form online siano utilizzati per attribuire una parvenza di liceità a liste raccolte illecitamente.

Il Garante ha inoltre richiamato il Codice di condotta in materia di telemarketing e teleselling, approvato con provvedimenti n. 70 del 9 marzo 2023 e n. 148 del 7 marzo 2024, nonché il provvedimento n. 114 del 27 febbraio 2025. Il Codice di condotta è stato valorizzato come best practice anche indipendentemente dall’adesione formale del titolare.

Ecogenia ha dichiarato di avere introdotto nel corso del procedimento sistemi di double opt-in, con convalida tramite SMS/OTP sul sito depuratoriacqualife.it e tramite e-mail sul sito ecogeniagroup.it. Il Garante ha tenuto conto di tali interventi come misure correttive, ma li ha ritenuti non sufficienti a escludere le violazioni già consumate.

Qualificazione di Ecogenia come titolare

L’Autorità ha qualificato Ecogenia come titolare del trattamento ai sensi dell’art. 4, punto 7, GDPR, poiché la società decideva di realizzare o commissionare campagne di telemarketing e teleselling nel proprio interesse commerciale.

La responsabilità del titolare è stata ritenuta sussistente anche per le attività esternalizzate. L’art. 4 del Codice di condotta stabilisce infatti che il soggetto che esegue direttamente o commissiona campagne telefoniche agisce come titolare, indipendentemente dalla fonte dei dati e dall’accesso materiale alle anagrafiche. L’art. 14 impone inoltre il controllo pieno, puntuale e costante dell’intera filiera coinvolta nella preparazione o nell’esecuzione della campagna.

Il Garante ha escluso che ciò comporti una responsabilità oggettiva. La contestazione è stata fondata, invece, sulla mancata dimostrazione di adeguate misure di selezione, controllo e monitoraggio, nonché sulla scelta di partner e portali già interessati da accertamenti dell’Autorità.

Violazioni degli artt. 5, 6, 7 e 130 del Codice

Il Garante ha accertato trattamenti promozionali privi di adeguata base giuridica e di prova valida del consenso, in violazione degli artt. 5, 6 e 7 GDPR e dell’art. 130 del Codice privacy.

Sono stati valorizzati:

• il numero elevato e la concordanza delle segnalazioni;
• la ripetitività del medesimo modus operandi;
• la durata delle condotte, dal 2024 fino al periodo dell’istruttoria;
• la mancata prova di consensi validamente acquisiti;
• la raccolta dei dati tramite form non granulari e destinati a cessioni indiscriminate;
• l’assenza di sistemi di verifica dell’identità e della volontà degli interessati;
• l’uso di numerazioni non iscritte al ROC;
• i contatti verso numerazioni iscritte al RPO;
• l’utilizzo di dati risultati errati in diversi fascicoli.

Anche le chiamate disconosciute da Ecogenia sono state ritenute riconducibili alla società. Il Garante ha considerato decisivi l’identità dello schema operativo, l’omogeneità dei contatti riconosciuti e disconosciuti, il contesto temporale e il beneficio economico potenziale per Ecogenia. La denuncia-querela presentata nel novembre 2025 è stata ritenuta tardiva e limitata a due numerazioni, a fronte di un numero maggiore di numerazioni segnalate.

ROC, RPO e identificabilità del chiamante

Il Garante ha ritenuto che l’art. 130 del Codice imponga al titolare di assicurare l’utilizzo di numerazioni identificabili e conformi alla disciplina applicabile. Non è stata accolta la difesa secondo cui il controllo sulle singole numerazioni sarebbe spettato principalmente ai call center e non sarebbe stato praticabile per l’elevato volume di contatti.

La mancata identificabilità del chiamante ha inciso concretamente sull’esercizio dei diritti: molti interessati hanno dovuto chiedere di essere ricontattati per conoscere il committente e poter formulare un’opposizione o un’istanza. Anche il mancato rispetto dell’iscrizione al RPO non è stato adeguatamente contrastato dalla documentazione prodotta da Ecogenia, costituita principalmente da file Excel ritenuti poco intellegibili e non sufficienti a dimostrare l’efficacia delle procedure.

Violazioni degli artt. 5, 24 e 28 GDPR nella gestione dei partner

Il Garante ha rilevato carenze nella corretta individuazione dei ruoli dei partner e nella formalizzazione dei rapporti. In particolare, Ecogenia non aveva conferito a Wave Leads S.r.l. la nomina a responsabile del trattamento prevista dall’art. 28 GDPR.

La società ha dichiarato di avere rafforzato le proprie prassi soltanto durante il procedimento, estendendo le nomine ai soggetti coinvolti nella filiera. Tale intervento è stato considerato tardivo rispetto agli obblighi derivanti dal GDPR.

Sono state inoltre rilevate carenze sia nella selezione dei fornitori — culpa in eligendo — sia nella vigilanza sul loro operato — culpa in vigilando. La checklist di prequalifica prodotta da Ecogenia non indicava la data di approvazione, l’effettivo utilizzo, i criteri applicati o gli esiti delle verifiche. Analogamente, i file relativi ai controlli a campione non permettevano di ricostruire la definizione del campione, la periodicità dei controlli e le risultanze effettive.

Il Garante ha richiamato le Linee guida EDPB 07/2020 sui concetti di titolare e responsabile, secondo cui il titolare deve valutare le garanzie del responsabile considerando, tra l’altro, competenze specialistiche, affidabilità, risorse e reputazione sul mercato.

Sono stati richiamati anche gli artt. 5 e 14 del Codice di condotta, che richiedono una procedura di prequalifica dei partner e un controllo costante dell’intera filiera, anche mediante audit, numerazioni civetta, controlli sui contratti e verifica della corretta resa dell’informativa.

Violazioni nella gestione dei diritti degli interessati

Il Garante ha accertato la violazione dell’art. 12 e degli artt. da 15 a 22 GDPR. Numerosi interessati hanno dichiarato che le opposizioni espresse mediante tastiera telefonica non erano state rispettate. Per conoscere l’identità del committente e poter esercitare i diritti, gli interessati erano costretti a richiedere un ulteriore contatto con un operatore.

Tale meccanismo è stato ritenuto contrario all’obbligo del titolare di agevolare l’esercizio dei diritti. Le spiegazioni dei fornitori, basate su generici e non documentati errori tecnici delle blacklist, non sono state ritenute sufficienti.

Ecogenia ha sostenuto che la gestione delle opposizioni fosse stata affidata ai partner sulla base di apposite istruzioni. Il Garante ha tuttavia ritenuto che l’esternalizzazione non esonerasse la società dall’obbligo di assicurare il funzionamento effettivo delle procedure e la corretta gestione delle richieste.

Misure correttive prescritte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha prescritto a Ecogenia:

• qualora intenda riattivare il canale voce, di adottare misure adeguate affinché le attività promozionali siano svolte nel rispetto della normativa privacy;
• qualora intenda riattivare il canale voce, di garantire la corretta gestione delle istanze di esercizio dei diritti, comprese quelle formulate durante i contatti promozionali;
• di adottare misure adeguate per adempiere agli obblighi dell’art. 28 GDPR, con particolare riferimento alla selezione dei partner e al controllo sul loro operato.

La società deve comunicare al Garante, ai sensi dell’art. 58, par. 1, lett. a), GDPR e dell’art. 157 del Codice, le iniziative intraprese entro trenta giorni dalla notificazione del provvedimento. Il mancato adempimento può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, GDPR.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 3, GDPR, ritenendo che le violazioni derivassero da un’unica condotta e che l’importo complessivo non dovesse superare quello previsto per la violazione più grave. Il massimo edittale considerato è stato quindi quello dell’art. 83, par. 5, GDPR, pari a 20.000.000 euro, richiamato anche dall’art. 166, comma 2, del Codice.

La sanzione è stata quantificata in 125.000 euro considerando i criteri dell’art. 83, par. 2, GDPR, tra cui:

• la gravità elevata della condotta, valutata in relazione al numero degli interessati e alla diffusione del fenomeno del telemarketing indesiderato;
• il carattere colposo delle violazioni;
• la natura comune dei dati trattati;
• le misure correttive adottate durante il procedimento;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’Autorità;
• le condizioni economiche della società, determinate sulla base del bilancio 2024;
• i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Pubblicazione, pagamento e impugnazione

Il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul proprio sito, ai sensi dell’art. 154-bis, comma 3, e dell’art. 166, comma 7, del Codice, nonché dell’art. 37 del regolamento del Garante n. 1/2019.

Ecogenia deve pagare 125.000 euro entro trenta giorni dalla notificazione, salvo definizione della controversia ai sensi dell’art. 166, comma 8, del Codice mediante pagamento della metà della sanzione entro il termine previsto per il ricorso.

Il provvedimento può essere impugnato davanti all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.