Prescrizioni del Garante n. 633 del 23/10/2025

Iemmino Assicurazioni S.a.s.: marketing via e-mail senza consenso e ritardo nel riscontro ai diritti

Il Garante ha esaminato un reclamo relativo all'invio di comunicazioni promozionali via e-mail da parte di Iemmino Assicurazioni S.a.s. senza un valido consenso dell'interessato e al mancato riscontro tempestivo a una richiesta di esercizio dei diritti. Il provvedimento conclude il procedimento con un ammonimento e un divieto mirato di ulteriori trattamenti per finalità promozionali in assenza di prova di un consenso valido.

Attività istruttoria e origine del reclamo

Il procedimento trae origine da un reclamo presentato il 23 maggio 2024, con cui un interessato lamentava di aver ricevuto il 16 aprile 2024 una e-mail indesiderata avente contenuto promozionale nel settore assicurativo. La comunicazione era stata inviata al suo indirizzo di posta elettronica e, nello stesso giorno, un messaggio analogo era stato recapitato anche a un indirizzo in uso al padre del reclamante, appartenente al medesimo studio legale.

L'interessato aveva poi inoltrato il 22 aprile 2024 una richiesta di esercizio dei diritti agli indirizzi indicati, senza ricevere un riscontro nei termini. L'Ufficio ha quindi chiesto chiarimenti alla società, che ha dichiarato di essere titolare del portale Polixa.it e del trattamento descritto nell'informativa privacy disponibile sul sito.

Posizione della società e acquisizione dei dati

La società ha ammesso, nel corso dell'istruttoria, di aver effettuato un trattamento non lecito per mancata osservanza delle proprie policy interne. Ha affermato che gli indirizzi e-mail utilizzati per l'invio delle comunicazioni promozionali erano stati reperiti sul web e non risultavano inseriti dal reclamante nel portale.

Su richiesta del Garante, la società ha precisato di non poter produrre file di log o altre evidenze che dimostrassero la raccolta dei dati presso l'interessato. Ha inoltre dichiarato di aver cancellato i dati dai propri terminali e di voler rafforzare la formazione del personale per evitare il ripetersi di condotte analoghe.

Violazioni accertate

L'Autorità ha confermato la violazione di:

• art. 6, par. 1, lett. a), GDPR, per assenza di consenso quale base giuridica del trattamento;
• art. 130, comma 2, Codice privacy, per l'invio di comunicazioni promozionali via e-mail in mancanza del consenso dell'interessato;
• artt. 12 e 15 GDPR, per non aver fornito riscontro alla richiesta dell'interessato entro il termine di 30 giorni.

Il Garante ha chiarito che il riscontro era pervenuto solo dopo l'avvio dell'istruttoria e quindi oltre il termine previsto dall'art. 12, par. 3, GDPR.

Valutazione della gravità e circostanze attenuanti

Nel valutare le misure da adottare, il Garante ha richiamato il proprio consolidato orientamento in tema di marketing indesiderato, secondo cui l'invio di e-mail promozionali è legittimo solo se il titolare è in grado di documentare un idoneo consenso dell'interessato.

Nel caso concreto, il Garante ha considerato attenuanti rilevanti:

• il carattere isolato dell'episodio;
• la circoscrizione della violazione a una sola e-mail al reclamante e a due messaggi identici inviati nella stessa data a una casella dello stesso studio legale;
• l'assenza di precedenti violazioni a carico del titolare;
• la cooperazione con l'Autorità;
• la natura di microimpresa della società e i relativi dati finanziari;
• l'assenza di un pregiudizio concreto dimostrato dall'interessato.

L'Autorità ha inoltre dato rilievo al fatto che le policy aziendali e l'informativa privacy erano impostate in modo da rispettare l'art. 130 Codice, prevedendo l'invio di comunicazioni promozionali solo previo consenso o in presenza della specifica deroga di cui all'art. 130, comma 4, ma che la condotta contestata si era svolta in violazione di tali regole interne.

Provvedimenti adottati

Pur dichiarando illecito il trattamento, il Garante ha ritenuto non necessario applicare una sanzione pecuniaria, reputando sufficiente una risposta correttiva e dissuasiva proporzionata alla vicenda.

Sono stati quindi adottati i seguenti provvedimenti:

• ammonimento, ai sensi dell'art. 58, par. 2, lett. b), GDPR, per l'invio di comunicazioni promozionali senza consenso e per il ritardo nel riscontro ai diritti dell'interessato;
• divieto, ai sensi dell'art. 58, par. 2, lett. f), GDPR, di ulteriori trattamenti di dati personali per finalità di cui all'art. 130 Codice in tutti i casi in cui la società non sia in grado di dimostrare l'acquisizione di un consenso libero, specifico e informato, qualora abbia reperito altri dati di contatto con le medesime modalità descritte nel caso.

Il Garante ha richiamato anche l'art. 170 Codice, ricordando le conseguenze penali e amministrative dell'inosservanza del divieto.

Misure accessorie e impugnazione

Il provvedimento dispone la pubblicazione sul sito web del Garante ai sensi degli artt. 154-bis del Codice e 37 del regolamento interno n. 1/2019, nonché l'annotazione nel registro interno dell'Autorità ai sensi dell'art. 17 del medesimo regolamento, in relazione all'art. 57, par. 1, lett. u), GDPR.

È inoltre richiamata la possibilità di proporre opposizione davanti all'autorità giudiziaria ordinaria, ai sensi dell'art. 78 GDPR e degli artt. 152 Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.