Ordinanza ingiunzione o revoca n. 611 del 03/09/2026

Marketing via PEC senza consenso e mancato riscontro ai diritti

Il provvedimento del 3 settembre 2026 riguarda Imieiprofessionisti.it S.r.l. e l’invio di comunicazioni promozionali agli indirizzi PEC di professionisti, nonché l’omessa risposta a una richiesta di accesso. L’istruttoria è stata avviata dopo quattro reclami e due segnalazioni relativi a messaggi ricevuti tra il 17 e il 24 gennaio 2025.

Fatti e svolgimento dell’istruttoria

Gli interessati hanno riferito di aver ricevuto messaggi promozionali non richiesti e, in diversi casi, di aver esercitato i diritti previsti dal GDPR. Un reclamante non aveva ottenuto risposta alla propria richiesta; gli altri avevano ricevuto riscontri ritenuti inadeguati.

Nel rispondere alla richiesta istruttoria del Garante, la Società ha dichiarato di aver reperito manualmente gli indirizzi PEC negli albi del Consiglio Nazionale Forense e nei siti degli ordini professionali. Ha sostenuto di non aver inserito gli indirizzi in una mailing list, di averli cancellati dopo gli invii e di aver inteso le comunicazioni come informative. Ha inoltre affermato di aver agito nell’erronea convinzione che gli indirizzi pubblicati potessero essere utilizzati per presentare servizi destinati alla categoria professionale interessata.

Con atto del 3 luglio 2025, notificato ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento contestando le violazioni degli artt. 6, par. 1, lett. a), 7, 12 e 15 GDPR e dell’art. 130 del Codice. La Società ha presentato memorie difensive il 29 luglio 2025, chiedendo l’archiviazione o, in subordine, l’esclusione di una sanzione pecuniaria.

Illiceità delle comunicazioni promozionali

Il Garante ha ritenuto che i messaggi avessero una chiara finalità commerciale: promuovevano una piattaforma per favorire l’incontro tra clienti e professionisti e invitavano alla registrazione. Il messaggio offriva inoltre un buono pre-lancio di 50 euro e una promozione per i primi 100 iscritti. Tali elementi hanno escluso la tesi della mera comunicazione informativa.

L’invio di comunicazioni commerciali comporta l’utilizzo di dati personali e costituisce trattamento ai sensi dell’art. 4, par. 1, n. 2, GDPR. Nel caso esaminato, il trattamento è avvenuto senza una valida base giuridica e senza il consenso preventivo richiesto dagli artt. 6 e 7 GDPR e dall’art. 130, commi 1 e 2, del Codice, non ricorrendo le eccezioni previste dalla legge.

Il Garante ha respinto anche l’argomento secondo cui la pubblicazione degli indirizzi negli albi professionali ne avrebbe consentito il riutilizzo promozionale. La disponibilità pubblica di un dato non ne permette l’uso per finalità ulteriori rispetto a quelle per cui è stato reso pubblico. In particolare, gli indirizzi PEC degli albi servono alle comunicazioni istituzionali e professionali previste dalla normativa di settore. Le Linee guida del Garante del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam, al punto 2.5, precisano che gli indirizzi PEC contenuti nell’Indice nazionale degli indirizzi PEC non possono essere utilizzati per inviare e-mail promozionali senza il consenso preventivo degli interessati.

La cancellazione degli indirizzi dopo l’invio non ha sanato il trattamento già compiuto. Il Garante ha inoltre rilevato che le sei doglianze erano riconducibili a comunicazioni inviate in almeno tre date — 17, 20 e 24 gennaio 2025 — e ha quindi respinto la tesi secondo cui si sarebbe trattato di un unico episodio isolato. Ha tuttavia considerato, ai fini delle misure, che la Società aveva dichiarato di aver eliminato i dati e che non risultavano ulteriori invii successivi.

Mancato riscontro alla richiesta di accesso

È stata confermata la violazione degli artt. 12 e 15 e seguenti GDPR per l’omesso riscontro a una richiesta di accesso ai dati personali. La Società non ha fornito giustificazioni su questo specifico profilo neppure nelle memorie difensive. L’omissione ha impedito all’interessato di conoscere l’origine dei dati e la natura del trattamento e lo ha indotto a rivolgersi al Garante.

Valutazione e sanzione per il marketing

Per l’invio promozionale senza consenso, il Garante ha considerato l’assenza di elementi che dimostrassero un concreto pregiudizio, la mancanza di precedenti analoghi, la cancellazione dei dati prima dell’avvio dell’istruttoria, la collaborazione della Società, la sua natura di microimpresa e le condizioni economiche risultanti dal bilancio 2025. Ha inoltre rilevato che la Società non svolge professionalmente attività di marketing via e-mail o spam.

Alla luce dell’art. 83, par. 2, GDPR e del considerando 148, tale violazione è stata qualificata come “violazione minore”; per questo il Garante ha soprasseduto all’applicazione di una sanzione amministrativa pecuniaria per il marketing e ha adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Sanzione per il mancato riscontro e criteri di quantificazione

Per la violazione degli artt. 12 e 15 e seguenti GDPR, il Garante ha applicato una sanzione di 1.000 euro. Considerata l’unicità della condotta, ha richiamato l’art. 83, par. 3, GDPR e il limite riferito alla violazione più grave, soggetta all’art. 83, par. 5. Quanto alla quantificazione, ha valutato il mancato riscontro e le conseguenze per l’interessato, la natura comune dei dati trattati — indirizzi PEC — e un basso livello di intensità della violazione, in riferimento alle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, del 24 maggio 2023, punto 60.

Sono stati considerati attenuanti l’assenza di precedenti pertinenti, la collaborazione, la natura di microimpresa e la valutazione che l’omissione non avesse carattere sistematico, essendo riferita alla richiesta di un solo reclamante mentre la Società aveva risposto agli altri. La quantificazione ha tenuto conto anche del volume d’affari risultante dal bilancio 2025. L’importo è stato determinato secondo i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Dispositivo e adempimenti

Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 6, 7, 12, 15 e seguenti GDPR e dell’art. 130 del Codice. Ha quindi:

• ammonito la Società per l’invio di comunicazioni promozionali via e-mail senza il consenso degli interessati, ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• ingiunto di soddisfare la richiesta dell’interessato, ai sensi dell’art. 58, par. 2, lett. c), GDPR;
• prescritto di comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate per dare esecuzione all’ingiunzione;
• ordinato il pagamento di 1.000 euro per il mancato riscontro, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice.

In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, il pagamento deve essere effettuato entro 30 giorni dalla notificazione, pena l’avvio degli atti esecutivi. Resta salva la possibilità di definire la controversia pagando la metà della sanzione, pari a 500 euro, entro il termine previsto dall’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 per proporre ricorso, adempiendo alle prescrizioni impartite. È stata disposta la pubblicazione del provvedimento sul sito del Garante. L’opposizione può essere proposta al giudice ordinario entro 30 giorni dalla comunicazione, elevati a 60 giorni per chi risiede all’estero.