Ordinanza ingiunzione o revoca n. 127 del 26/02/2026

Flamel S.r.l. - trattamento illecito in attività di telemarketing e lead generation

Il Garante ha accertato nei confronti di Flamel S.r.l. una serie di violazioni collegate a campagne promozionali e di lead generation svolte per conto di S.M. Trattamento Acqua. Il procedimento è stato originato da due reclami dell’interessato, relativi a chiamate indesiderate effettuate su un’utenza iscritta al Registro Pubblico delle Opposizioni e al mancato riscontro a un’istanza di esercizio dei diritti.

Origine del procedimento e svolgimento dell’istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, notificando a Flamel una richiesta di informazioni. I due reclami sono stati poi riuniti, in ragione della sostanziale identità delle doglianze e della connessione tra i trattamenti. Nel corso dell’istruttoria sono stati acquisiti chiarimenti sia dal titolare del trattamento sia da Flamel, nonché le osservazioni del reclamante.

Ruoli soggettivi e trattamenti esaminati

Dalla documentazione è emerso che S.M. Trattamento Acqua operava come titolare del trattamento, mentre Flamel svolgeva attività tipiche del responsabile: ideazione della campagna, acquisizione di lead da un fornitore terzo e trasmissione delle liste al call center incaricato dei contatti telefonici. Flamel ha indicato come fornitore esterno Wonderlead Global LTD e come call center Z1on S.r.l.s.

Violazioni contestate e valutazioni del Garante

L’Autorità ha ritenuto che Flamel abbia trattato dati personali senza una valida investitura formale ex art. 28 GDPR: la nomina a responsabile non è mai stata validamente sottoscritta dal titolare, sebbene la società abbia prodotto una designazione che, per sua stessa ammissione, non è mai pervenuta nella sfera di conoscibilità di S.M. Trattamento Acqua a causa di un errore nell’indirizzo e-mail utilizzato per l’invio.

Il Garante ha inoltre ritenuto illegittimo il ricorso a Z1on S.r.l.s. come sub-responsabile, poiché mancava la previa autorizzazione scritta del titolare richiesta dall’art. 28 GDPR. La designazione di Z1on prodotta da Flamel è stata giudicata non sufficiente, in quanto riferita a trattamenti svolti da Flamel in altra qualità e comunque priva di un valido collegamento con l’autorizzazione del titolare.

Liceità dei contatti promozionali e base giuridica

Sul piano sostanziale, le attività promozionali realizzate nei confronti dell’interessato sono state considerate effettuate in assenza di un’idonea base giuridica, con violazione degli artt. 5, 6 e 7 GDPR e dell’art. 130 del Codice privacy. Il Garante ha valorizzato il fatto che l’interessato risultava iscritto al RPO sin dal luglio 2024 e che, dunque, anche un eventuale consenso prestato in precedenza non avrebbe potuto legittimare i contatti successivi.

È stata inoltre sottolineata la mancata iscrizione al ROC di tutte le numerazioni utilizzate per le chiamate, elemento che ha contribuito a fondare il giudizio di illiceità dei contatti promozionali.

Provenienza dei dati, consenso e prova della volontà dell’interessato

Flamel ha sostenuto che i dati provenissero da Wonderlead Global LTD, la quale avrebbe raccolto i contatti tramite un form online sul sito ilmegafono.info. L’Autorità ha però osservato che la documentazione acquisita non era sufficiente a dimostrare in modo certo, verificabile e non equivoco la prestazione di un consenso valido alla cessione a terzi per finalità di marketing.

In particolare, il Garante ha rilevato che:

• il form e l’informativa del sito non consentivano di esprimere una volontà libera, specifica e granulare;
• il link ai destinatari dei dati non risultava funzionante, con conseguente carenza di trasparenza;
• la documentazione prodotta si limitava a un’attestazione del list provider con IP, data e ora, priva di garanzie di immodificabilità;
• non era presente un meccanismo di conferma della volontà, come il double opt-in.

L’Autorità ha richiamato la propria giurisprudenza e le Linee guida sul consenso, affermando che il double opt-in costituisce una misura minima idonea a rafforzare la dimostrabilità della prestazione del consenso.

Responsabilità del responsabile e doveri di diligenza

Il Garante ha affermato che, pur essendo Flamel un responsabile del trattamento, essa avrebbe dovuto verificare con maggiore diligenza la completezza e regolarità della documentazione contrattuale e della filiera di raccolta dei dati. In particolare, avrebbe dovuto segnalare al titolare le irregolarità relative alla mancata formalizzazione delle nomine e alla gestione dei dati per finalità promozionali, nonché accertare la liceità dell’origine dei contatti prima di utilizzarli.

Sanzione amministrativa e criteri di quantificazione

Accertata la violazione degli artt. 4 e 28 GDPR, il Garante ha applicato l’art. 83, parr. 3 e 4, GDPR, prendendo a riferimento il massimo edittale di 10.000.000 euro. Nella quantificazione della sanzione ha considerato:

• la natura delle violazioni, inerenti a obblighi fondamentali del GDPR;
• la gravità della violazione e il numero degli interessati coinvolti;
• l’assenza di precedenti provvedimenti correttivi o sanzionatori;
• la circostanza che i dati trattati fossero dati comuni.

La sanzione è stata determinata in 15.000 euro.

Misure accessorie, pagamento e impugnazione

È stata disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. È stata inoltre richiamata la facoltà, per il contravventore, di definire la controversia ai sensi dell’art. 166, comma 8, del Codice privacy, con il pagamento entro 30 giorni di una somma pari alla metà della sanzione irrogata. Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.