Ordinanza ingiunzione o revoca n. 592 del 09/10/2025

AD Media S.r.l. - trattamento illecito di dati per campagne promozionali tramite e-mail e portale web

Il provvedimento riguarda AD Media S.r.l., destinataria di un procedimento avviato a seguito di una segnalazione dell’interessato per la ricezione di una e-mail promozionale in materia energetica. L’istruttoria ha riguardato sia il contenuto della comunicazione, sia il trattamento dei dati raccolti attraverso il portale Lavoro.in e utilizzati per campagne promozionali.

Origine del procedimento e accertamenti preliminari

L’Ufficio ha avviato il procedimento ex art. 166, comma 5, Codice privacy, chiedendo chiarimenti ad AD Media e a XX sui ruoli soggettivi, sui rapporti tra le società e sulle misure adottate per garantire la conformità dei trattamenti svolti mediante il portale e l’invio di newsletter/promozioni.

Dalle risposte acquisite è emerso che:

• AD Media si è qualificata come titolare del trattamento per le attività promozionali relative a Lavoro.in;
• XX ha dichiarato di agire come responsabile del trattamento ex art. 28 GDPR;
• AD Media ha sostenuto di aver impartito istruzioni per inserire in ogni mail il link all’informativa, i recapiti per l’esercizio dei diritti e il link di disiscrizione.

Trattamenti esaminati

L’Autorità ha esaminato due distinti ambiti di trattamento:

1. l’invio della e-mail promozionale oggetto di segnalazione;
2. la raccolta dei dati personali tramite il form presente sulla home page del sito Lavoro.in, con successivo utilizzo dei contatti per attività promozionali.

Criticità dell’informativa e dei link nella mail promozionale

Il Garante ha ritenuto che l’informativa sintetica posta in calce alla mail fosse poco chiara, non trasparente e contenesse elementi fuorvianti. In particolare, la comunicazione lasciava intendere che i dati provenissero dall’iscrizione alla newsletter di XX, ma dalle dichiarazioni acquisite è emerso che i contatti erano stati raccolti direttamente da AD Media tramite il form di Lavoro.in.

L’Autorità ha sottolineato che la mail conteneva riferimenti contraddittori:

• richiamo alla newsletter di XX;
• rinvio, per la disiscrizione, a una pagina del portale XX;
• link alla privacy policy di Lavoro.in, portale non coerente con la natura dei servizi promossi.

Inoltre, i link non erano visibili in modo immediato, risultando accessibili solo posizionando il cursore su spazi apparentemente vuoti o copiando manualmente il testo. Ciò ha reso difficoltosa la consultazione dell’informativa estesa e ha ostacolato l’esercizio dei diritti.

Valutazione sull’obbligo di trasparenza e sull’esercizio dei diritti

Secondo il Garante, tali modalità sono in contrasto con l’art. 5, par. 1, lett. a) GDPR, che impone liceità, correttezza e trasparenza. La mancanza di chiarezza circa provenienza dei dati, identità dei soggetti coinvolti e ruoli soggettivi ha inoltre frustrato lo scopo dell’informativa, cioè rendere l’interessato consapevole dei propri diritti e degli strumenti per esercitarli.

Per questo l’Autorità ha ravvisato anche la violazione dell’art. 12 GDPR, che impone al titolare di agevolare l’esercizio dei diritti dell’interessato.

Valutazione del Garante sul ruolo del responsabile del trattamento

Il Garante ha respinto la difesa di AD Media fondata sulle istruzioni impartite a XX. Non sono stati forniti elementi documentali sufficienti né sulle istruzioni ex ante né sui controlli ex post.

In particolare, è stato ritenuto non plausibile che la verifica della correttezza e funzionalità dei messaggi fosse stata affidata al medesimo soggetto incaricato dell’invio, poiché ciò equivale a una mancata vigilanza effettiva. Le clausole o pattuizioni formali non valgono a escludere la responsabilità del titolare se non sono accompagnate da un controllo concreto sull’operato del partner esterno.

Form di raccolta dati su Lavoro.in e invalidità dei consensi

L’Autorità ha accertato che il form sul sito Lavoro.in raccoglieva dati personali e due consensi distinti, ma li formulava in modo non conforme ai requisiti del GDPR. Le finalità richiamate erano formulate in modo generico e non consentivano una scelta veramente specifica, libera e granulare.

Il Garante ha rilevato che:

• il consenso era raccolto in forma non sufficientemente specifica per singole finalità;
• le formule utilizzate non rendevano evidente che i dati sarebbero stati usati anche per comunicazioni promozionali in favore di terzi;
• l’informativa non consentiva di comprendere che i servizi promossi potessero essere estranei all’ambito del recruitment;
• la struttura del consenso non era coerente con l’attività effettivamente svolta.

Di conseguenza, i consensi sono stati considerati non validi ai sensi degli artt. 6, 7, 12, 13 GDPR e dell’art. 130 Codice privacy.

Violazioni accertate

Il Garante ha dichiarato accertate le seguenti violazioni:

• artt. 5, 12, 13, 14 e da 15 a 22 GDPR, per trattamenti non corretti e non trasparenti e per ostacolo all’esercizio dei diritti;
• artt. 5, 6, 7, 12, 13 GDPR e art. 130 Codice privacy, per trattamenti promozionali senza previa acquisizione di un consenso informato, libero e specifico.

Provvedimenti correttivi e inibitori

L’Autorità ha disposto:

• il divieto di ogni ulteriore trattamento dei dati raccolti mediante il portale Lavoro.in in assenza di idonea base giuridica e di previa adeguata informativa, ai sensi dell’art. 58, par. 2, lett. f) GDPR;
• l’ingiunzione di conformare i trattamenti svolti tramite Lavoro.in alla normativa vigente, con particolare attenzione alla chiarezza e trasparenza delle informazioni e alla validità dei consensi, ai sensi dell’art. 58, par. 2, lett. d) GDPR;
• l’obbligo di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure impartite, ai sensi dell’art. 157 Codice privacy.

Sanzione amministrativa pecuniaria

È stata irrogata ad AD Media una sanzione amministrativa pecuniaria pari a euro 5.000,00, ai sensi degli artt. 166, comma 7, Codice privacy e 83, parr. 3 e 5, GDPR. Il provvedimento richiama la cornice edittale fino a 20.000.000 euro o, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore.

Per la quantificazione il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• come aggravante, la natura del fenomeno, già oggetto di numerosi precedenti provvedimenti dell’Autorità;
• come aggravante, la gravità della violazione, anche in ragione dei mezzi utilizzati e dei destinatari delle comunicazioni;
• come attenuante, l’assenza di precedenti provvedimenti correttivi o sanzionatori nei confronti di AD Media.

È stata ritenuta proporzionata e dissuasiva una sanzione pari allo 0,25% del massimo edittale considerato nel provvedimento.

Sanzione accessoria e ulteriori disposizioni

Il Garante ha disposto anche la pubblicazione del provvedimento sul proprio sito, quale sanzione accessoria, e l’annotazione nel registro interno delle violazioni e delle misure adottate.

È stata inoltre richiamata la facoltà di definizione agevolata della controversia prevista dall’art. 166, comma 8, Codice privacy, con pagamento della metà della sanzione entro 30 giorni, e la possibilità di opposizione davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento.