Prescrizioni del Garante n. 393 del 28/05/2026

Il Sole24ORE S.p.A. - invio illecito di comunicazioni commerciali via email e misure organizzative inadeguate

Il provvedimento riguarda la società Il Sole24ORE S.p.A. ed è stato adottato all'esito di un reclamo relativo all'invio di email promozionali da parte di agenti della Società, nonostante le richieste dell'interessato di cessare i contatti e di cancellare i propri dati. L'Autorità ha esaminato sia la liceità delle comunicazioni commerciali sia l'adeguatezza dell'assetto organizzativo e dei controlli interni della Società.

Origine del procedimento e contestazioni

Il procedimento è stato avviato con atto dell'Ufficio del 19 gennaio 2026, ai sensi dell'art. 166, comma 5, del Codice privacy, a seguito del reclamo presentato il 18 settembre 2025. Il reclamante aveva segnalato la ricezione di diverse comunicazioni email da parte di agenti della Società, anche dopo aver chiesto la cancellazione dei propri dati a uno di essi.

All'esito dell'istruttoria, l'Ufficio ha contestato la violazione di:

• art. 6 GDPR;
• artt. 12 e 17 GDPR;
• artt. 24, 25 e 32 GDPR;
• art. 130 Codice privacy.

La contestazione riguardava l'invio di comunicazioni commerciali senza base giuridica, il mancato corretto riscontro alla richiesta di cancellazione e l'adozione di misure tecniche e organizzative ritenute inidonee a prevenire le violazioni.

Difese della Società

La Società ha sostenuto che le condotte contestate non fossero riconducibili a una propria carenza strutturale, ma a iniziative individuali di singoli agenti, poste in essere fuori dai flussi autorizzati e contro le istruzioni impartite. Ha affermato che l'indirizzo del reclamante non era presente nel database né nel CRM aziendale e che, per tale ragione, non avrebbe potuto materialmente dare seguito alla richiesta di cancellazione.

Quanto agli artt. 24, 25 e 32 GDPR, la Società ha sostenuto che il principio di accountability non comporta una responsabilità oggettiva per qualsiasi condotta di terzi e che le misure adottate erano idonee a limitare le violazioni, pur non potendo renderle impossibili. Ha anche rappresentato di aver effettuato audit e di aver rafforzato i presidi interni durante il procedimento.

Valutazioni del Garante sulla responsabilità del titolare

Il Garante ha richiamato il proprio orientamento secondo cui gli agenti che operano per conto del titolare ingenerano nei destinatari un legittimo affidamento sulla riconducibilità dell'attività promozionale al titolare stesso. Nel caso concreto, la promozione dei servizi della Società era svolta da più agenti in nome e per conto della stessa e non poteva essere semplicemente qualificata come iniziativa autonoma e non imputabile.

L'Autorità ha ribadito che, in base al principio di accountability, il titolare non deve solo predisporre istruzioni e misure adeguate, ma deve anche verificarne la corretta applicazione da parte di chi opera per suo conto. Nel caso esaminato, non risultavano strumenti di controllo idonei a verificare ex post la liceità dei dati impiegati dagli agenti, soprattutto nei casi in cui i contatti non fossero presenti nei sistemi aziendali.

Il Garante ha inoltre osservato che la Società non aveva prodotto documentazione idonea a dimostrare che gli audit e i controlli richiamati fossero stati svolti anche nel periodo compreso tra novembre 2022 e settembre 2025.

Violazione dell'art. 6 GDPR e dell'art. 130 Codice privacy

È stata accertata la violazione dell'art. 6 GDPR e dell'art. 130 del Codice privacy, poiché le comunicazioni commerciali via email erano state inviate in assenza di un'idonea base giuridica. La Società stessa non contestava, in sostanza, l'illiceità delle comunicazioni, ma solo la possibilità di imputarne la responsabilità al titolare.

Il Garante ha ritenuto che tale responsabilità fosse invece pienamente imputabile alla Società, in quanto le attività promozionali erano state svolte da soggetti che operavano per suo conto e nell'interesse commerciale del titolare.

Esclusione della violazione degli artt. 12 e 17 GDPR

Diversamente, il Garante ha escluso l'accertamento delle violazioni degli artt. 12 e 17 GDPR. Dall'istruttoria è emerso che il dato di contatto dell'interessato non risultava nei sistemi aziendali e che, pertanto, la Società non avrebbe potuto eseguire una cancellazione tecnica del dato dai propri archivi.

La successiva ricezione di ulteriori comunicazioni non è stata ritenuta conseguenza di un mancato riscontro alla richiesta di cancellazione nei sistemi della Società, bensì dell'operatività di canali o soggetti esterni ai flussi aziendali correttamente censiti. In tale quadro, la responsabilità per la violazione degli artt. 12 e 17 non è stata ritenuta imputabile alla Società.

Violazione degli artt. 24, 25 e 32 GDPR

Il Garante ha invece accertato la violazione degli artt. 24, 25 e 32 GDPR, ritenendo inadeguate le misure tecniche e organizzative adottate. Le condotte illecite sono state poste in essere da quattro agenti della Società e si sono protratte, almeno dagli atti, dal novembre 2022 al settembre 2025.

L'Autorità ha osservato che:

• la pluralità dei soggetti coinvolti escludeva che si trattasse di episodi meramente isolati;
• uno degli agenti rivestiva anche il ruolo di Area Manager, elemento che rendeva ancora più critica l'insufficienza dei presidi;
• mancavano controlli a valle capaci di intercettare contatti non censiti e quindi potenzialmente illeciti;
• la richiesta di cancellazione formulata dall'interessato non risultava registrata in alcun sistema aziendale, con conseguente ulteriore rischio di nuovi contatti da parte di altri agenti.

Le misure descritte dalla Società, pur orientate al controllo ex ante dei contatti, non erano considerate sufficienti a prevenire o rilevare ex post condotte difformi. Il Garante ha ritenuto che l'assetto adottato non garantisse un livello adeguato di verifica della liceità dei trattamenti effettuati per conto della Società.

Misure adottate dall'Autorità

Accertata l'illiceità dei trattamenti nei limiti sopra indicati, il Garante ha disposto:

• un ammonimento alla Società, ai sensi dell'art. 58, par. 2, lett. b) GDPR, per la difformità dei trattamenti effettuati;
• un'ingiunzione, ai sensi dell'art. 58, par. 2, lett. d) GDPR, a conformare i trattamenti adottando misure idonee a verificare la liceità dei trattamenti posti in essere dai propri agenti nei casi di contratti, ordini o acquisti riferiti a clienti non censiti nei sistemi aziendali;
• il divieto, ai sensi dell'art. 58, par. 2, lett. f) GDPR, di ogni ulteriore trattamento dei dati della reclamante e degli altri interessati i cui trattamenti presentino le stesse violazioni;
• l'ordine di comunicare all'Autorità, entro 60 giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure imposte, ai sensi dell'art. 157 del Codice privacy.

È stato inoltre precisato che il mancato adempimento all'ordine di comunicazione potrà comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, GDPR.

Mancata irrogazione della sanzione pecuniaria

Pur avendo accertato violazioni sostanziali, il Garante non ha applicato una sanzione pecuniaria. La scelta è stata motivata con riferimento alla proattività della Società nel rafforzare i propri presidi durante l'istruttoria, alla collaborazione prestata con l'Autorità, alla natura comune dei dati trattati, al numero degli interessati coinvolti e all'assenza di precedenti simili a carico del titolare.

Disposizioni finali

Il provvedimento dispone la pubblicazione sul sito del Garante e l'annotazione nel registro interno dell'Autorità. Avverso la decisione è ammessa opposizione davanti all'autorità giudiziaria ordinaria nei termini di legge.