Prescrizioni del Garante n. 90 del 12/02/2026

Fersovere Srl: ammonimento per email promozionali senza consenso e riscontro inadeguato alle istanze di accesso

Il provvedimento riguarda Fersovere Srl ed è stato adottato a seguito di due reclami relativi all’invio di una comunicazione commerciale via email e alla gestione delle richieste di accesso ai dati personali formulate dai reclamanti. Il Garante ha accertato sia la violazione della disciplina sul marketing elettronico, sia la violazione del diritto di accesso, ma ha ritenuto il caso meritevole di ammonimento e non di sanzione pecuniaria.

Origine del procedimento e attività istruttoria

Il procedimento trae origine da due reclami sostanzialmente analoghi, presentati il 22 febbraio 2025, con i quali i reclamanti hanno segnalato:

• la ricezione di una email promozionale indesiderata all’indirizzo dello studio legale;
• il mancato riscontro alle istanze di accesso ai dati personali ex art. 15 GDPR.

L’Ufficio del Garante ha acquisito informazioni dalla società con richieste istruttorie dell’11 giugno 2025, cui Fersovere ha risposto con note del 30 giugno 2025. Nel corso dell’istruttoria, la società ha sostenuto di aver riscontrato una delle richieste di accesso e di aver inviato una sola email commerciale, dichiarando inoltre di aver cessato ogni trattamento e cancellato gli indirizzi e-mail trattati.

Trattamenti esaminati

I trattamenti esaminati riguardano due profili distinti ma connessi:

• l’invio di una comunicazione promozionale via email a ciascun reclamante;
• la gestione delle istanze di accesso ai dati personali presentate dagli interessati.

La società ha dichiarato che i dati erano stati reperiti da fonti pubbliche online e che il trattamento si era limitato a una sola comunicazione commerciale inviata il 17 gennaio 2025. Il Garante ha però rilevato che tale circostanza non è sufficiente a legittimare il marketing elettronico in assenza di consenso.

Violazioni contestate e norme richiamate

Con atto di avvio del procedimento, la società è stata chiamata a rispondere della possibile violazione di:

• art. 6, par. 1, lett. a), GDPR e art. 130, comma 2, Codice privacy, per l’invio di email promozionali senza consenso;
• artt. 12 e 15 GDPR, per il mancato riscontro a una richiesta di accesso e per l’inadeguatezza del riscontro all’altra.

Il Garante ha richiamato il principio secondo cui, per le comunicazioni promozionali via email, l’art. 130 del Codice privacy costituisce disciplina speciale e l’unica base giuridica ordinaria è il consenso dell’utente, salvo specifiche deroghe non applicabili nel caso concreto.

Valutazioni sull’illecito marketing via email

L’Autorità ha confermato che la società aveva inviato una sola email promozionale a ciascun reclamante senza aver raccolto un consenso preventivo specifico. È stato osservato che l’origine dei dati da elenchi pubblici, siti web o social media non consente di derogare al regime del consenso per il marketing elettronico.

Il Garante ha quindi ritenuto illecito il trattamento sotto il profilo della base giuridica, rilevando la mancanza di un presupposto legittimante e l’assenza di giustificazioni idonee fornite dalla società.

Valutazioni sul diritto di accesso

Quanto alle istanze ex art. 15 GDPR, il Garante ha chiarito che il diritto di accesso ha una funzione autonoma, diretta a consentire all’interessato di conoscere quali dati siano trattati e come siano trattati, così da verificarne liceità ed esattezza.

Nel caso esaminato:

• per una delle due istanze non vi è stato alcun riscontro utile;
• per l’altra è stato fornito un riscontro ritenuto inadeguato, perché limitato a un generico riferimento a un "errore" e privo di informazioni sull’origine dei dati.

Il provvedimento sottolinea inoltre che la cancellazione dei dati non equivale al riscontro dell’istanza di accesso, poiché si tratta di diritti distinti e non intercambiabili con quello di cancellazione ex art. 17 GDPR.

Circostanze attenuanti e qualificazione come violazione minore

Pur confermando le violazioni, il Garante ha valorizzato una serie di elementi attenuanti:

• l’invio di una sola email per ciascun reclamante;
• l’assenza di ulteriori comunicazioni successive;
• la tempestiva cessazione del trattamento e la rimozione degli indirizzi dalle liste;
• l’adozione di misure organizzative e formative per rafforzare la compliance;
• l’errore nella convinzione di aver già risposto a una delle richieste;
• il carattere non centrale dell’attività di marketing rispetto all’attività principale della società;
• l’assenza di precedenti analoghi.

Alla luce di tali elementi, il caso è stato qualificato come "violazione minore" ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR.

Provvedimenti adottati

Il Garante ha disposto:

• la dichiarazione di illiceità del trattamento effettuato da Fersovere Srl;
• l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione delle violazioni nel registro interno dell’Autorità ex art. 57, par. 1, lett. u), GDPR.

Non è stata applicata una sanzione amministrativa pecuniaria. Le violazioni potranno comunque essere considerate in eventuali procedimenti successivi in caso di reiterazione della condotta.