Ordinanza ingiunzione o revoca n. 643 del 23/09/2026

Cocontest: informativa privacy carente e mancato riscontro a una richiesta di accesso

Il provvedimento del 23 settembre 2026 riguarda Cocontest Italy S.r.l., titolare della piattaforma GoPillar, ed è stato adottato a seguito del reclamo di un utente che lamentava comunicazioni indesiderate e l’assenza di riscontro a una richiesta di accesso ai dati. Il Garante ha accertato violazioni relative alla trasparenza dell’informativa e alla gestione della richiesta di accesso; ha irrogato una sanzione di 1.000 euro e adottato un ammonimento.

Origine del procedimento e contestazioni

Con reclamo del 17 aprile 2025, l’interessato ha riferito di aver ricevuto comunicazioni promozionali via e-mail e WhatsApp senza aver prestato consenso e di non aver ottenuto risposta alle proprie richieste di accesso. L’Ufficio ha avviato l’istruttoria preliminare il 7 luglio 2025, chiedendo alla società osservazioni e informazioni; dopo l’esame degli elementi acquisiti, il 26 gennaio 2026 ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice.

Nel corso dell’istruttoria la società ha sostenuto che i recapiti fossero stati inseriti dall’interessato durante una registrazione nel 2021, senza tuttavia documentare inizialmente tale registrazione. Ha qualificato il messaggio WhatsApp come informazione tecnica sul servizio e l’e-mail del novembre 2024 come comunicazione relativa a un servizio già acquistato, potenzialmente riconducibile al cosiddetto soft spam. Ha inoltre dichiarato di aver rimosso l’interessato dalle liste di invio e di non aver cancellato l’account perché non era stata formulata una richiesta esplicita di eliminazione del profilo.

Profili archiviati

Il Garante ha archiviato le contestazioni relative alle comunicazioni promozionali. L’e-mail isolata, concernente uno sconto su un servizio già acquistato, poteva rientrare nella deroga prevista dall’art. 130, comma 4, del Codice; l’opposizione dell’interessato era stata inoltre rispettata, non essendo seguiti altri invii. Il messaggio WhatsApp, considerati il contenuto e l’unicità, è stato ritenuto riconducibile a un’informazione tecnica sul servizio già utilizzato.

È stata archiviata anche la contestazione relativa alla mancata cancellazione dell’account: la richiesta risultava riferita alla rimozione dalle liste di comunicazione e non all’eliminazione del profilo. La società aveva rimosso i dati dalle liste di invio e aveva indicato la possibilità di cancellare autonomamente l’account tramite le impostazioni.

Informativa privacy: violazione degli obblighi di trasparenza

La verifica effettuata dall’Ufficio il 5 novembre 2025 ha accertato che l’informativa raggiungibile dal footer del sito era in lingua inglese e consisteva in un template generico fornito da terzi, non personalizzato né compilato. Erano assenti le finalità specifiche del trattamento, le relative basi giuridiche, le modalità per esercitare i diritti, le informazioni sui destinatari, i tempi di conservazione e l’eventuale trasferimento dei dati verso Paesi terzi.

Il documento non era quindi idoneo a soddisfare gli obblighi di trasparenza e informazione e il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 12, par. 1 e 13 GDPR. La società ha riferito di aver aggiornato integralmente la Privacy Policy durante il procedimento, rendendola disponibile in italiano e integrandola con informazioni sulle finalità, sulle basi giuridiche, sulle categorie di dati e sui servizi di terze parti. Il Garante ha dato atto che la versione successiva risultava sufficientemente dettagliata e ha ritenuto esauriti gli effetti della condotta, senza adottare una misura correttiva per questo profilo.

Richiesta di accesso: violazione e ammonimento

Il 28 gennaio 2025 l’interessato aveva presentato via PEC una richiesta ai sensi degli artt. 12 e 15 GDPR, chiedendo informazioni sui dati trattati, sulle finalità, sulle categorie e sull’origine dei dati, sui tempi di conservazione e sulle eventuali comunicazioni a terzi. Aveva chiesto inoltre di conoscere l’origine del numero telefonico, che dichiarava di non aver fornito e che non compariva nel proprio profilo.

La società non ha fornito un riscontro formale alla richiesta né al successivo sollecito. In sede difensiva ha spiegato di aver ritenuto sufficienti le interlocuzioni telefoniche precedenti, relative a questioni inerenti al servizio e a richieste di rimborso. Ha anche prodotto una dimostrazione secondo cui il numero di telefono era necessario per completare la procedura di creazione e lancio di un concorso sulla piattaforma e ha sostenuto che il dato fosse trattato per l’esecuzione del servizio ai sensi dell’art. 6, par. 1, lett. b), GDPR. Il Garante ha precisato che la presenza del numero nel database aziendale non doveva necessariamente comportarne la visualizzazione nell’area personale, ma ha ritenuto comunque inadempiuto l’obbligo di rispondere alla richiesta di accesso.

La condotta ha violato gli artt. 5, par. 2, 12, par. 3 e 15 GDPR. Considerate le interlocuzioni telefoniche, pur non sufficienti a dimostrare un riscontro adeguato, il Garante ha adottato l’ammonimento previsto dall’art. 58, par. 2, lett. b), GDPR.

Sanzione amministrativa e criteri di quantificazione

La sanzione pecuniaria riguarda esclusivamente l’informativa non conforme. Poiché le violazioni degli artt. 5, par. 1, lett. a), 12, par. 1 e 13 GDPR derivavano da un’unica condotta, il Garante ha applicato il criterio dell’art. 83, par. 3, GDPR, facendo riferimento al livello sanzionatorio previsto dal par. 5.

Nel determinare l’importo ai sensi dell’art. 83, par. 2, il Garante ha rilevato che l’informativa è stata corretta solo dopo l’avvio dell’istruttoria, nonostante la società fosse operativa dal 2015; la condotta è stata qualificata come colposa e ha riguardato dati personali comuni, anagrafici e di contatto. La violazione è stata giudicata di bassa intensità. Sono state considerate attenuanti la revisione dell’informativa, l’assenza di precedenti violazioni pertinenti, la cooperazione con l’Autorità e la natura di microimpresa, con riferimento ai risultati economici e al volume d’affari risultante dall’ultimo bilancio disponibile, relativo al 2024. In applicazione dei principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR, è stata irrogata una sanzione di 1.000 euro.

Dispositivo, pagamento e impugnazione

Il Garante ha dichiarato illecito il trattamento per la violazione degli artt. 5, parr. 1, lett. a), e 2, 12, parr. 1 e 3, 13 e 15 GDPR; ha rivolto un ammonimento per il mancato riscontro adeguato e documentato alla richiesta dell’interessato e ha ordinato il pagamento di 1.000 euro per le carenze dell’informativa.

In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, il pagamento deve avvenire entro 30 giorni dalla notificazione, a pena dell’adozione degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Il provvedimento indica inoltre la facoltà di definire la controversia mediante il pagamento della metà della sanzione entro il termine previsto per la proposizione del ricorso. È stata disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante, nonché l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità. L’opposizione può essere proposta davanti al tribunale ordinario entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.