Prescrizioni del Garante n. 286 del 17/04/2026

Ammonimento ad Attitude S.r.l. per mancato riscontro a istanza di accesso e archiviazione sulla telefonata promozionale

Il provvedimento riguarda Attitude S.r.l., destinataria di una segnalazione per una telefonata indesiderata e per il mancato riscontro a un'istanza di esercizio dei diritti. L'istruttoria ha condotto il Garante ad archiviare la contestazione relativa alla presunta illiceità del trattamento per finalità promozionali, ma ad accertare la violazione degli artt. 12 e 15 del GDPR in relazione all'omessa risposta all'interessato.

Origine della segnalazione e attività istruttoria

L'istruttoria trae origine da una segnalazione del giugno 2024, nella quale l'interessato riferiva di aver ricevuto una chiamata indesiderata e di non aver ottenuto chiarimenti sulla provenienza dei propri dati. Dopo aver verificato la riconducibilità della numerazione al ROC, il segnalante aveva presentato un'istanza di esercizio dei diritti ai sensi dell'art. 15 GDPR tramite i riferimenti indicati sul sito della Società, senza ricevere riscontro.

L'Ufficio ha quindi avviato il procedimento ai sensi dell'art. 166, comma 5, del Codice e dell'art. 58, par. 2, GDPR, chiedendo alla Società informazioni e documenti sulla vicenda, sulla gestione delle istanze privacy e sulla numerazione telefonica segnalata.

Posizione difensiva della Società

Attitude S.r.l. ha negato di svolgere trattamenti nei confronti del segnalante e ha sostenuto che la numerazione oggetto della segnalazione non fosse più in uso, pur risultando ancora indicata per errore nelle comunicazioni al ROC. Ha inoltre precisato che le attività di contact center, telemarketing e back office sarebbero gestite internamente, che la Società opera quale responsabile del trattamento ex art. 28 GDPR per alcune commesse e che non intrattiene rapporti con clienti dei settori telecomunicazioni e utilities.

Quanto al mancato riscontro all'istanza di accesso, la Società ha attribuito l'omissione all'attivazione di filtri anti-spam sulla casella generica headoffice@attitudeltd.com, al traffico elevato della casella e a un contenuto ritenuto dal sistema potenzialmente rischioso. Nel corso del procedimento ha dichiarato di aver istituito una casella dedicata alle richieste privacy (privacy@attitudeltd.com) e di aver avviato la formalizzazione di una procedura interna per la gestione delle istanze degli interessati.

Valutazioni del Garante sulla telefonata e sulla numerazione

L'Autorità ha ritenuto superata la contestazione relativa all'art. 130 del Codice e agli artt. 5, 6 e 7 GDPR. In particolare, ha dato rilievo alle dichiarazioni e alla documentazione prodotta dalla Società, dalle quali emergeva che la numerazione segnalata non era più in uso al momento del contatto, benché non fosse stata ancora formalmente dismessa nelle comunicazioni al ROC per un errore materiale.

Il Garante ha considerato anche che la Società, nel corso del procedimento, aveva già adottato misure idonee a correggere la criticità e a prevenire il ripetersi dell'evento. Per tale profilo ha quindi disposto l'archiviazione della contestazione ai sensi dell'art. 11, comma 1, lett. b), del regolamento interno n. 1/2019.

Violazione degli artt. 12 e 15 GDPR

Diverso l'esito sul mancato riscontro all'istanza di accesso. Il Garante ha rilevato che la richiesta era completa, corredata di documento di identità e inviata all'indirizzo pubblicato nella privacy policy aziendale, ma non aveva ricevuto alcuna risposta utile. Le giustificazioni addotte dalla Società non sono state ritenute idonee a escludere la violazione.

L'Autorità ha osservato che il titolare non aveva fornito elementi documentali sufficienti a dimostrare l'effettivo passaggio dell'istanza nella posta indesiderata né la concreta configurazione dei filtri anti-spam. Anche qualora la mail fosse stata collocata nella cartella spam, ciò avrebbe semmai evidenziato un errato settaggio dei sistemi di filtraggio, non un'esimente rispetto all'obbligo di riscontro.

Il Garante ha richiamato il principio di libertà delle forme nell'esercizio dei diritti e il dovere del titolare di agevolare la richiesta dell'interessato, ricordando che i filtri automatici non possono sostituire il controllo umano e che il messaggio in spam non equivale a cancellazione. Ha inoltre richiamato il Considerando 59 GDPR e le Linee guida EDPB 1/2022 sul diritto di accesso, secondo cui il titolare deve adottare misure appropriate, con linguaggio semplice e canali facilmente accessibili, evitando di rinviare l'interessato a fonti diverse.

Provvedimento finale e misure adottate

Alla luce della natura episodica dell'episodio e delle misure correttive già adottate dalla Società, il Garante ha ritenuto sufficiente un ammonimento ex art. 58, par. 2, lett. b), GDPR per il mancato riscontro all'istanza di esercizio dei diritti. Non è stata applicata alcuna sanzione pecuniaria, anche in considerazione del contegno collaborativo del titolare e delle iniziative correttive già intraprese in corso di procedimento.

Il provvedimento dispone infine la pubblicazione sul sito del Garante e l'annotazione nel registro interno delle violazioni e delle misure adottate. Avverso il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini di legge.