Ordinanza ingiunzione o revoca n. 104 del 12/02/2026

Unleadmited S.r.l. - trattamento illecito di dati tramite sito web per finalità promozionali e mancato riscontro al Garante

Il provvedimento riguarda Unleadmited S.r.l., titolare del sito https://mediaonline.vinciadesso.com, utilizzato per la raccolta di dati personali nell’ambito di attività di lead generation e successiva comunicazione a terzi per finalità di marketing. Il procedimento è stato avviato a seguito di un reclamo relativo a una chiamata promozionale indesiderata e alla gestione di una richiesta di esercizio dei diritti.

Origine del procedimento e svolgimento dell’istruttoria

L’Autorità ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, dapprima con richiesta di informazioni e poi con atti di avvio formale, dopo aver ricevuto un reclamo dell’interessato. Il reclamante lamentava di aver ricevuto una telefonata promozionale, nonostante l’utenza fosse iscritta al Registro Pubblico delle Opposizioni, e contestava di non aver mai visitato il sito indicato né prestato consenso al trattamento per marketing. Nel corso dell’istruttoria sono stati richiesti chiarimenti a Unleadmited, a Depurazione Acqua S.r.l. e a Conversion Media S.r.l., al fine di ricostruire la filiera del trattamento e verificare la liceità della raccolta e della successiva comunicazione dei dati.

Trattamenti esaminati e ruoli privacy

Dalla documentazione acquisita è emerso un processo articolato in più fasi: raccolta dei dati tramite form sul sito, invio di una email di conferma della registrazione, telefonata di qualifica per verificare la correttezza dei dati e il consenso, e successiva trasmissione dei dati a un cliente terzo per finalità commerciali. Il Garante ricostruisce i ruoli nel seguente modo:

• Unleadmited come titolare originario del trattamento, responsabile della raccolta dei dati e della definizione delle finalità e dei mezzi;
• Conversion Media come responsabile del trattamento per alcune attività strumentali e di supporto tecnico/contrattuale;
• Depurazione Acqua come autonomo titolare del trattamento per le successive attività promozionali basate sul consenso alla comunicazione a terzi.

Contestazioni normative e valutazioni del Garante

L’Autorità ha ritenuto accertate tre serie di violazioni:

• mancato riscontro alla richiesta di informazioni dell’Autorità, in violazione degli artt. 157 e 166, comma 2, del Codice;
• trattamenti effettuati in assenza di un’idonea base giuridica e senza adeguata dimostrazione della validità del consenso, in contrasto con gli artt. 5, 6, 7 e 24 GDPR e con l’art. 130 del Codice;
• carenze di trasparenza dovute all’uso di form e informative non aggiornate e non coerenti con il trattamento effettivamente svolto, in violazione degli artt. 5 e 13 GDPR.

Sul primo profilo, il Garante ha rilevato che Unleadmited non aveva risposto tempestivamente alla richiesta di informazioni, determinando un indebito rallentamento dell’attività istruttoria e violando l’obbligo di cooperazione con l’Autorità ex art. 31 GDPR. L’eccezione di un asserito problema tecnico non è stata accolta, anche perché non documentata.

Sul merito del trattamento, il Garante ha osservato che le attività di contatto e promozione, anche se articolate in più passaggi e con strumenti diversi, mantengono natura promozionale quando sono preordinate alla pubblicizzazione di prodotti e servizi. Pertanto, la segmentazione operativa delle chiamate non è idonea a sottrarre il trattamento alle regole del marketing.

Consenso, form e informativa: criticità rilevate

Il nucleo centrale del provvedimento riguarda la validità del consenso raccolto tramite il sito. Secondo il Garante, il form e l’informativa non garantivano un consenso libero, specifico, informato e inequivocabile, perché:

• era previsto un unico flag per finalità diverse, tra cui marketing del titolare e comunicazione a terzi per marketing;
• l’informativa conteneva elenchi molto ampi e generici di categorie di terzi, con una platea indistinta di possibili destinatari;
• l’informativa non risultava aggiornata, essendo riferita anche a soggetti con cui la collaborazione era cessata da tempo;
• la struttura complessiva non consentiva una scelta granulare e realmente controllabile da parte dell’interessato.

Il Garante richiama anche un precedente provvedimento del 27 febbraio 2025, n. 114, sul tema dei consensi “unitari” per cessione di dati a terzi in ambito marketing, evidenziando che formule troppo ampie e generiche impediscono una valida manifestazione di volontà.

Inidoneità delle prove prodotte dal titolare

Unleadmited aveva prodotto log di iscrizione, indicazioni di IP e timestamp, oltre a documentazione relativa all’invio della email di conferma. Tuttavia, il Garante ha ritenuto tali elementi insufficienti a dimostrare in modo certo e verificabile l’effettiva prestazione del consenso, anche perché la documentazione non presentava adeguati requisiti di immodificabilità.

In particolare, l’Autorità osserva che:

• i file di log, da soli, non provano la reale volontà dell’interessato;
• l’indirizzo IP può essere variabile o dinamico e non consente da solo una prova certa;
• la email di conferma non è stata prodotta integralmente;
• una semplice email di “welcome” non equivale a un meccanismo di double opt-in e non garantisce un sufficiente livello di verifica della volontà dell’interessato.

Rilievo dell’inesattezza dei dati e della chiamata di qualifica

Il provvedimento valorizza anche le dichiarazioni dell’interessato, che negava di aver visitato il sito e contestava la correttezza dell’indirizzo inserito nella scheda anagrafica, rilevando che corrispondeva a un altro soggetto. Questa circostanza, secondo il Garante, conferma che le misure adottate non erano idonee a garantire l’esattezza dei dati né a verificare l’identità del conferente.

Nemmeno la chiamata di qualifica è stata considerata sufficiente a sanare le criticità, poiché il consenso doveva essere valido già a monte e non poteva essere rimesso a una successiva selezione discrezionale del cessionario da parte dell’operatore. Inoltre, la telefonata risultava, nella sostanza, funzionale alla promozione del prodotto/servizio, e non una mera verifica tecnica.

Sanzione, criteri di quantificazione e misure ordinate

Per le violazioni accertate il Garante ha applicato a Unleadmited una sanzione amministrativa pecuniaria di 5.000 euro, richiamando l’art. 83, parr. 3 e 5, GDPR. Nella quantificazione sono stati considerati:

• la gravità delle violazioni e il contesto di telemarketing;
• l’uso di internet e siti web, idonei a raggiungere un numero indeterminato di interessati;
• l’assenza di precedenti provvedimenti correttivi o sanzionatori a carico della società;
• la natura dei dati trattati, limitati a dati comuni.

Sono state inoltre disposte le seguenti misure:

• divieto di ogni ulteriore trattamento dei dati raccolti tramite il sito, in assenza di idonea base giuridica e previa adeguata informativa, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• ordine di conformare i trattamenti attraverso il portale alle disposizioni vigenti, ai sensi dell’art. 58, par. 2, lett. d), GDPR;
• obbligo di comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure imposte;
• pubblicazione del provvedimento sul sito dell’Autorità, come sanzione accessoria.

Considerazioni finali

Il provvedimento ribadisce che, nei trattamenti di lead generation e marketing, il titolare deve garantire sin dall’origine una base giuridica valida, un’informativa aggiornata e trasparente, e strumenti probatori robusti e non facilmente alterabili. La mera segmentazione operativa del contatto commerciale, o l’inserimento di passaggi successivi di conferma, non sono sufficienti a sanare una raccolta iniziale strutturata in modo non conforme ai principi di liceità, correttezza, trasparenza e accountability.