Ordinanza ingiunzione o revoca n. 706 del 27/11/2025

Ordinanza-ingiunzione nei confronti di Logika Group s.r.l. per trattamento illecito, spam e mancato riscontro all’accesso

Il Garante per la protezione dei dati personali ha definito un procedimento avviato a seguito di reclamo nei confronti di Logika Group s.r.l., relativo all’invio di una comunicazione commerciale non sollecitata e al mancato riscontro a una richiesta di accesso ai dati personali. L’Autorità ha ritenuto illecito il trattamento dell’indirizzo email del reclamante, non essendo stata ricostruita l’origine del dato né individuata una base giuridica idonea.

Attività istruttoria

A seguito del reclamo, l’Ufficio ha trasmesso alla società una richiesta di informazioni ai sensi dell’art. 157 del Codice privacy. Logika ha risposto dichiarando di non essere in grado di ricostruire l’origine del dato, di aver cancellato l’indirizzo email dalla propria banca dati e di aver adottato alcune misure interne correttive, tra cui la revisione delle procedure di registrazione dei contatti, il rafforzamento dei controlli sulle liste promozionali e la formazione del personale sul GDPR.

Nella medesima risposta, però, la società non ha fornito alcuna spiegazione sul mancato riscontro alla richiesta di esercizio dei diritti formulata dall’interessato.

Contestazione delle violazioni

Sulla base degli atti, l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166 del Codice, contestando tre profili di illecito:

• violazione degli artt. 5, par. 1, lett. a), 5, par. 2, 6 e 24 GDPR, per l’assenza di una base giuridica dimostrata e per l’incapacità di ricostruire l’origine del dato;
• violazione degli artt. 12 e 15 GDPR, per il mancato riscontro alla richiesta dell’interessato;
• violazione dell’art. 130, comma 4, del Codice, per l’invio di una email promozionale non sollecitata senza le informazioni minime richieste dalla norma.

Difese della società e valutazioni del Garante

In risposta alla contestazione, è pervenuta una nota sottoscritta da un dipendente della società, non munito di formale potere rappresentativo nel procedimento. In tale nota il dipendente ha affermato che l’invio della comunicazione commerciale era avvenuto per iniziativa personale e che il mancato riscontro all’interessato era dipeso da una sua errata gestione della richiesta.

Il Garante ha rilevato che tale nota non era imputabile alla società in difetto di delega, ma ha comunque confermato le criticità già emerse: la società non ha saputo indicare l’origine dell’indirizzo email né dimostrare una valida base giuridica, con conseguente trattamento non lecito e non conforme ai principi di liceità, correttezza, trasparenza e accountability. L’Autorità ha inoltre valorizzato il fatto che un soggetto operante nell’area commerciale abbia potuto compiere trattamenti contrari al Regolamento senza che la società ne fosse a conoscenza e senza adeguate istruzioni organizzative.

Quanto ai diritti dell’interessato, il Garante ha verificato che la richiesta era stata inviata correttamente all’indirizzo indicato nella privacy policy della società, ma non aveva ricevuto risposta. È stata pertanto confermata la violazione degli artt. 12 e 15 GDPR.

Sul piano del marketing, l’email conteneva soltanto un link di disiscrizione, ma non indicava neppure in forma minima il titolare del trattamento e la base giuridica, in contrasto con l’art. 130, comma 4, del Codice e con il principio di trasparenza.

Misure correttive e circostanze attenuanti

Il Garante ha preso atto delle misure dichiarate da Logika Group s.r.l., ossia:

• eliminazione dell’indirizzo email del reclamante da ogni banca dati;
• revisione delle procedure di registrazione dei contatti;
• miglioramento della tracciabilità della provenienza dei dati;
• rafforzamento del controllo preventivo sulle liste promozionali;
• nuova formazione del personale sull’acquisizione del consenso.

Nella determinazione della risposta sanzionatoria, l’Autorità ha considerato l’assenza di precedenti violazioni analoghe e il carattere isolato dell’episodio.

Sanzione amministrativa e ordini impartiti

Accertata la responsabilità di Logika Group s.r.l., il Garante ha disposto un’ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981. Il massimo edittale è stato individuato in 20.000.000 euro, non risultando applicabile il parametro alternativo del 4% del fatturato mondiale annuo, e la sanzione concreta è stata quantificata in 5.000 euro, anche in ragione delle dimensioni contenute della società e dei principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Il Garante ha inoltre ingiunto alla società di:

• adottare procedure che consentano il corretto tracciamento dell’acquisizione dei dati personali;
• fornire riscontro alla comunicazione del 3 marzo 2025 con cui il reclamante aveva esercitato i diritti ex art. 15 GDPR;
• integrare l’informativa delle comunicazioni commerciali ai sensi dell’art. 130, comma 4, del Codice;
• comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione a tali misure.

Ulteriori effetti del provvedimento

È stata disposta la pubblicazione del provvedimento sul sito del Garante, quale sanzione accessoria, e l’annotazione nel registro interno dell’Autorità. È stata infine richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria nei termini di legge.