Prescrizioni del Garante n. 126 del 26/02/2026

S.M. Trattamento Acqua: telemarketing illecito, ruoli non formalizzati e mancato riscontro ai diritti

Il provvedimento riguarda l’impresa individuale S.M. Trattamento Acqua, destinataria di un procedimento avviato a seguito di due reclami relativi a contatti telefonici promozionali indesiderati e al mancato riscontro a un’istanza di accesso. L’istruttoria ha riguardato una campagna di lead generation e teleselling per la vendita di depuratori d’acqua, affidata a Flamel e con l’intervento di un call center esterno.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, a seguito dei reclami del 2025. Il reclamante lamentava:

• chiamate promozionali su utenza iscritta al RPO;
• acquisizione e utilizzo dei suoi dati per finalità di marketing;
• mancato riscontro a una richiesta ex art. 15 GDPR inviata al titolare il 3 dicembre 2024.

Nel corso dell’istruttoria il Garante ha richiesto informazioni sia a S.M. Trattamento Acqua sia a Flamel, acquisendo documentazione relativa alla privacy policy, all’ordine di acquisto dei lead, alla fattura e ai riscontri difensivi delle parti.

Trattamenti esaminati e catena dei soggetti coinvolti

Dagli atti è emerso che S.M. Trattamento Acqua aveva commissionato a Flamel una campagna di marketing definita come servizio "chiavi in mano", comprendente ideazione della campagna, acquisizione di lead da fornitori terzi, verifica delle liste e lavorazione tramite call center esterni. Flamel ha indicato Wonderlead Global LTD come fornitore dei contatti, sostenendo che quest’ultima avesse raccolto i dati tramite un form online sul sito ilmegafono.info.

Il Garante ha tuttavia rilevato che il titolare non aveva formalizzato:

• la nomina di Flamel quale responsabile del trattamento ex art. 28 GDPR;
• l’eventuale designazione di Z1on quale sub-responsabile;
• adeguate autorizzazioni e istruzioni documentate.

L’Autorità ha inoltre sottolineato l’assenza di verifiche ex ante sulla scelta dei partner e di controlli ex post sul loro operato, richiamando i principi di accountability e la necessità di garantire la liceità dell’intera filiera del trattamento.

Violazioni contestate e valutazioni del Garante

Il Garante ha confermato la violazione di più disposizioni del GDPR e del Codice privacy:

• artt. 5, 6, 7 e 24 GDPR, nonché art. 130 Codice, per trattamenti privi di base giuridica e in assenza di misure adeguate a dimostrare la conformità;
• artt. 4, 5, 24 e 28 GDPR, per la non corretta individuazione e formalizzazione dei ruoli nella filiera promozionale;
• artt. 12 e 15-22 GDPR, per l’omesso riscontro all’istanza di accesso e la mancata predisposizione di procedure adeguate.

Sotto il profilo della base giuridica, l’Autorità ha ritenuto che la documentazione prodotta non fosse sufficiente a dimostrare un consenso valido e verificabile. In particolare:

• i log e l’indicazione di IP, data e ora non sono stati considerati prova sufficiente della volontà dell’interessato;
• il reclamante ha contestato di non aver mai visitato il sito indicato e di non aver mai prestato consenso;
• non risultava adottato alcun meccanismo di verifica rafforzata, come il double opt-in.

Il Garante ha inoltre osservato che l’iscrizione dell’interessato al RPO, intervenuta nel luglio 2024, rendeva comunque non utilizzabili i precedenti consensi ai fini dei contatti promozionali successivi. Sono stati ritenuti illeciti anche i contatti effettuati con numerazioni non iscritte al ROC.

Mancato riscontro all’istanza dell’interessato

S.M. Trattamento Acqua ha ammesso di non aver riscontrato nei termini la richiesta di accesso del 3 dicembre 2024, ritenendo erroneamente che la gestione spettasse a Flamel. L’Autorità ha chiarito che il titolare resta sempre responsabile del riscontro alle richieste dell’interessato, a prescindere dal coinvolgimento di terzi.

L’adozione successiva di alcune misure correttive da parte del titolare è stata considerata utile, ma non idonea a escludere la responsabilità per la violazione già consumata.

Misure correttive, divieto e ingiunzioni

Accertata l’illiceità del trattamento, il Garante ha:

• dichiarato illecito il trattamento effettuato da S.M. Trattamento Acqua;
• ingiunto di completare il processo di adozione di misure idonee a garantire la conformità delle attività promozionali, incluse le verifiche sui partner commerciali e la corretta individuazione dei ruoli;
• disposto il divieto di ogni ulteriore trattamento dei dati acquisiti in assenza di un’idonea base giuridica, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• imposto, ai sensi dell’art. 157 Codice, la comunicazione all’Autorità entro 30 giorni delle iniziative intraprese.

È stata inoltre disposta la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità. Il testo precisa che, in pendenza di giudizio di opposizione, non è applicata la sanzione accessoria della pubblicazione dell’ordinanza ingiunzione.

Profili di compliance evidenziati dal provvedimento

Il provvedimento valorizza alcuni principi operativi rilevanti per titolari e consulenti:

• il titolare resta responsabile dell’intera filiera del marketing, anche quando esternalizza attività a fornitori specializzati;
• i controlli documentali e le clausole di manleva non bastano senza verifiche sostanziali;
• per il telemarketing è essenziale documentare la liceità della raccolta dei contatti, la validità dei consensi e le verifiche sul RPO;
• è necessario predisporre procedure interne per la gestione dei diritti degli interessati e per l’individuazione/formalizzazione dei rapporti con responsabili e sub-responsabili.

Nel complesso, il Garante ha ritenuto la condotta particolarmente grave perché coinvolgeva una campagna rivolta a diverse centinaia di interessati e rifletteva una carenza strutturale di accountability nella gestione del trattamento.