Ordinanza ingiunzione o revoca n. 330 del 04/06/2025

Noi Compriamo Auto S.r.l. - email marketing via terzi, consenso e diritti dell'interessato

Il Garante per la protezione dei dati personali ha accertato la liceità di un trattamento connesso a campagne promozionali via email veicolate per conto di Noi Compriamo Auto S.r.l. tramite partner terzi. Il procedimento è scaturito da un reclamo dell'interessato, che contestava l'invio di comunicazioni indesiderate e la difficoltà nell'esercizio dei diritti.

Origine del procedimento e istruttoria

Il reclamante ha riferito di aver ricevuto, dal 21 giugno 2023, numerose email promozionali relative ai servizi del sito noicompriamoauto.it, pur non avendo mai prestato il consenso. Ha inoltre rappresentato di aver presentato una richiesta di esercizio dei diritti, riscontrata tardivamente solo dopo un sollecito via PEC.

La società ha attribuito le email a partner terzi che avrebbero operato in autonomia e ha sostenuto di aver inserito il reclamante in black list appena ricevuta la segnalazione. Ha anche dichiarato di aver interrotto i rapporti contrattuali con i partner e l'uso dell'email marketing tramite terzi dopo l'avvio del procedimento.

Trattamenti esaminati e qualificazione dei ruoli

Il Garante ha ritenuto che Noi Compriamo Auto S.r.l. dovesse essere qualificata come titolare del trattamento, poiché la finalità promozionale era chiaramente riferita alla società e i link presenti nelle email rinviavano alla sua landing page. In questa prospettiva, la società non poteva limitarsi a richiamare l'operato dei partner, ma doveva selezionarli e controllarli adeguatamente.

È stato richiamato il concetto di titolare e responsabile del trattamento di cui all'art. 4 GDPR e l'orientamento delle Linee guida EDPB 7/2020, secondo cui conta la determinazione delle finalità e dei mezzi del trattamento, non la sola etichetta contrattuale.

Violazione dell'art. 28 GDPR e carente disciplina dei rapporti con i partner

Dalla documentazione prodotta è emerso che i rapporti con i partner non erano stati correttamente disciplinati sotto il profilo privacy. I contratti richiamati dalla società risultavano sottoscritti da soggetti diversi dal titolare e, comunque, non contenevano istruzioni idonee ai sensi dell'art. 28 GDPR.

Il contratto con uno dei partner disciplinava soltanto aspetti economici generali di digital advertising; quello con l'altro si limitava a una clausola di manleva e a un generico impegno al rispetto della normativa, senza una puntuale regolazione del trattamento dei dati personali.

Mancata prova del consenso e insufficienza dei log

L'Autorità ha ritenuto non dimostrata la validità del consenso alla ricezione delle comunicazioni promozionali. I partner avevano prodotto log di registrazione e l'indicazione di indirizzi IP e date, ma tali elementi non sono stati considerati idonei a provare una volontà effettiva e specifica dell'interessato.

Il Garante ha ribadito che il titolare deve essere in grado di dimostrare il consenso ai sensi dell'art. 7 GDPR e che, allo stato dell'arte, il double opt-in costituisce una forma di documentazione più garantista e una misura minima di protezione, richiamando anche precedenti provvedimenti e il codice di condotta in materia di telemarketing e teleselling.

Comunicazioni a terzi e consenso non estensibile in catena

Anche a voler ritenere lecita l'acquisizione iniziale dei dati, non risultava dimostrato il consenso alla comunicazione a terzi. Il Garante ha sottolineato che un eventuale consenso alla comunicazione non può tradursi automaticamente in una trasmissione indiscriminata dei dati a una pluralità di soggetti successivi, in una catena infinita non percepibile dall'interessato.

Violazione dell'art. 12, par. 2 GDPR

Il reclamante aveva inviato la prima richiesta di esercizio dei diritti alla casella del DPO il 21 giugno 2023, senza ottenere risposta. Una seconda richiesta, inoltrata il 24 luglio 2023 anche ad altri indirizzi della società, sarebbe stata bloccata dallo spam filter; solo l'invio via PEC aveva consentito il riscontro.

Il Garante ha ritenuto che tale modalità abbia impedito un agevole esercizio dei diritti e abbia reso il loro esercizio sostanzialmente dipendente dall'uso della PEC, integrando così la violazione dell'art. 12, par. 2 GDPR.

Valutazioni finali del Garante

L'Autorità ha confermato le violazioni contestate degli artt. 28, 5, par. 2 e 24, 6, par. 1, lett. a), e 12, par. 2 GDPR, nonché dell'art. 130, comma 2, del Codice privacy. Ha escluso l'adozione di misure correttive, poiché la condotta illecita era stata interrotta dalla società.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la disciplina dell'art. 83 GDPR, richiamando l'art. 83, par. 3 per la pluralità di violazioni connesse e l'art. 83, par. 5 per la base edittale più grave. Considerata l'ipotesi più elevata, il massimo edittale è stato individuato in 20 milioni di euro.

Nel bilanciamento dei criteri dell'art. 83, par. 2, sono state valutate come aggravanti:

• la gravità delle violazioni;
• la colpa della società, per aver delegato integralmente il marketing a terzi senza adeguate verifiche.

Sono state considerate attenuanti:

• la cessazione dei rapporti e dell'email marketing via terzi;
• l'assenza di precedenti procedimenti;
• la cooperazione con l'Autorità;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto.

All'esito, è stata irrogata a Noi Compriamo Auto S.r.l. una sanzione amministrativa pecuniaria di 45.000 euro, pari allo 0,23% del massimo edittale ipotizzato.

Pubblicazione e impugnazione

Il provvedimento dispone la pubblicazione sul sito del Garante dell'ordinanza-ingiunzione e l'annotazione nel registro interno delle violazioni. Contro il provvedimento è ammessa opposizione davanti all'autorità giudiziaria ordinaria nei termini di legge.