Prescrizioni del Garante n. 410 del 04/07/2024

Infosharing S.r.l.s. – ammonimento per email promozionale senza consenso

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato che lamentava di aver ricevuto una email promozionale da Infosharing S.r.l.s. senza aver mai prestato un consenso specifico. Il procedimento trae origine da tale reclamo e dalle successive difese del titolare, che ha ammesso l’invio di un unico messaggio e ha spiegato di aver reperito l’indirizzo nel registro NIC, ritenendo erroneamente che fosse riferito a una persona giuridica.

Origine del procedimento e riscontri della società

La società, nel riscontro iniziale e poi nella nota trasmessa al Garante il 7 febbraio 2024, ha dichiarato di aver inviato una sola email e di non aver conservato i dati dell’interessato. Nella memoria difensiva del 18 maggio 2024 ha aggiunto che si trattava di un episodio isolato, che non rientrava nelle sue ordinarie prassi, e che l’invio era avvenuto per un errore di valutazione nel contesto di una piccola realtà aziendale a conduzione familiare che svolge principalmente attività di formazione.

Violazione contestata e norme applicate

Con atto di avvio del procedimento del 23 aprile 2024, il Garante ha contestato la violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, del Codice privacy, poiché l’email promozionale era stata inviata senza il previo consenso dell’interessato. L’Autorità ha ribadito che l’invio di comunicazioni promozionali via email è consentito solo in presenza di un idoneo consenso, salvo la specifica deroga prevista dall’art. 130, comma 4, del Codice.

Valutazioni sul riuso di dati di contatto pubblicati online

Il Garante ha richiamato il proprio orientamento secondo cui i dati di contatto pubblicati online non possono essere liberamente utilizzati per finalità promozionali solo perché resi pubblici. Anche in tali casi, infatti, deve essere rispettata la finalità per la quale i dati sono stati originariamente raccolti. A supporto di questo principio è stato richiamato il provvedimento del 16 settembre 2021, doc. web n. 9705632.

Elementi attenuanti e qualificazione come violazione minore

Pur riconoscendo la sussistenza della violazione, il Garante ha valorizzato una serie di circostanze attenuanti:

• il carattere isolato dell’episodio;
• il riscontro fornito al reclamante lo stesso giorno della richiesta;
• l’assenza di pregiudizio per l’interessato;
• l’assenza di precedenti violazioni pertinenti da parte del titolare;
• l’elevato grado di cooperazione con l’Autorità;
• la natura di microimpresa del titolare e i relativi dati di bilancio.

Alla luce di tali elementi, il caso è stato qualificato come “violazione minore” ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Esito del procedimento: ammonimento e assenza di sanzione pecuniaria

Il Garante ha ritenuto che, per questo specifico episodio, non vi fossero i presupposti per l’applicazione di una sanzione amministrativa pecuniaria. Ha tuttavia adottato un ammonimento ai sensi degli artt. 57, par. 1, lett. f), e 58, par. 2, lett. b), GDPR, richiamando Infosharing S.r.l.s. alla necessità di acquisire un idoneo consenso degli interessati prima di inviare messaggi promozionali via email.

Profili processuali e impugnazione

Nel provvedimento è richiamata la possibilità di proporre opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all’estero.