Ordinanza ingiunzione o revoca n. 433 del 11/06/2026

Green Partner S.r.l.s.: telemarketing illecito, sub-responsabili non autorizzati e gestione inadeguata delle richieste dell'interessato

Il provvedimento riguarda Green Partner S.r.l.s., operante per attività promozionali nell'interesse di Sorgenia S.p.A., a seguito di un reclamo dell'interessato che aveva ricevuto una chiamata commerciale e una e-mail pur essendo iscritto al Registro Pubblico delle Opposizioni. L'istruttoria ha portato all'accertamento di più violazioni in materia di protezione dei dati personali e all'adozione di un'ordinanza-ingiunzione con misure correttive e sanzione pecuniaria.

Origine del procedimento e svolgimento dell'istruttoria

L'Autorità ha avviato il procedimento ai sensi dell'art. 166, comma 5, del Codice, a seguito del reclamo dell'interessato e delle successive richieste di informazioni rivolte a Green Partner e Sorgenia. Il reclamante aveva documentato la ricezione di una chiamata promozionale, seguita dall'invio di materiale contrattuale recante il marchio Sorgenia e riferimenti riconducibili a Green Partner. Nel corso dell'istruttoria sono emerse versioni difensive progressivamente più articolate, ma anche tra loro non pienamente coerenti, circa l'origine del contatto, la qualifica dei soggetti coinvolti e la gestione successiva della richiesta dell'interessato.

Trattamento contestato e mancanza di base giuridica

Il Garante ha ritenuto accertato che la comunicazione promozionale fosse stata effettuata da Green Partner nell'interesse di Sorgenia. Non è stata tuttavia dimostrata la lecita provenienza dei dati né è stato chiarito in modo convincente il mancato uso di una numerazione chiamante iscritta al ROC. La condotta è stata quindi ritenuta in contrasto con gli artt. 5, 6 e 7 GDPR e con l'art. 130 del Codice privacy. L'Autorità ha osservato che le spiegazioni fornite dall'agenzia, fondate su un supposto errore di digitazione del numero telefonico, non erano supportate da evidenze documentali e risultavano contraddette dai precedenti riscontri resi al reclamante.

Ruoli privacy: titolare, responsabile e contraddizioni documentali

Dalla documentazione contrattuale il Garante ha ricavato che Sorgenia era titolare del trattamento e Green Partner responsabile del trattamento ai sensi dell'art. 28 GDPR. Tuttavia, per diversi anni, i rapporti sono stati gestiti con un assetto incoerente: il contratto originario e l'addendum qualificavano le parti come autonomi titolari, mentre in un momento successivo era intervenuta una nomina a responsabile del trattamento mai adeguatamente aggiornata, con richiami a norme abrogate. Secondo l'Autorità, questa contraddittorietà ha inciso sulla consapevolezza dei ruoli e sui doveri connessi, evidenziando un approccio sostanzialmente formale e non effettivo agli obblighi dell'art. 28 GDPR.

Ricorso a Vanille Service S.r.l.s. senza autorizzazione del titolare

Un ulteriore profilo di violazione riguarda l'impiego di Vanille Service S.r.l.s. da parte di Green Partner. Il Garante ha accertato che il ricorso a tale soggetto era avvenuto senza la previa autorizzazione scritta, specifica o generale, del titolare, in violazione dell'art. 28 GDPR e delle istruzioni impartite nella nomina a responsabile. L'Autorità ha inoltre rilevato che la successiva documentazione prodotta non integrava correttamente le formalità richieste dal paragrafo 4 dell'art. 28 GDPR per il sub-affidamento a un altro responsabile, risultando persino errata la qualificazione del collaboratore come mero soggetto autorizzato.

Gestione delle istanze di accesso e dei diritti dell'interessato

Il provvedimento dedica particolare attenzione anche alla gestione delle richieste presentate dall'interessato. Green Partner ha ammesso di non avere fornito un riscontro adeguato all'istanza e di avere adottato solo in corso di procedimento una procedura specifica per la gestione dei diritti degli interessati. Il Garante ha ritenuto non plausibile la giustificazione fondata sul sospetto di una richiesta fraudolenta, evidenziando che il contenuto dell'istanza era sufficientemente dettagliato e proveniva da un indirizzo riferibile a un legale. La condotta è stata dunque considerata contraria agli artt. 12 e 15-22 GDPR, anche per la mancata agevolazione effettiva dell'esercizio dei diritti.

Valutazioni finali e irrilevanza dell'assenza di contratto o di vantaggio economico

L'Autorità ha sottolineato che il mancato perfezionamento di un contratto e l'assenza di un vantaggio economico per l'agenzia non escludono la rilevanza delle violazioni accertate. La realizzazione di contatti promozionali senza idonea base giuridica e l'inadeguato riscontro ai diritti dell'interessato integrano violazioni dei principi fondamentali del GDPR. Eventuali profili di danno o vantaggio avrebbero potuto rilevare solo ai fini della quantificazione sanzionatoria, non certo per escludere l'illecito.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto applicabile l'art. 83, parr. 3 e 5, GDPR, richiamando il massimo edittale di 20 milioni di euro. Nella determinazione della sanzione sono stati valorizzati:

• la gravità delle violazioni, in un contesto di telemarketing già più volte oggetto di interventi dell'Autorità;
• la circostanza attenuante del coinvolgimento di un solo interessato e di due sole comunicazioni commerciali;
• l'assenza di precedenti specifici;
• la natura dei dati, comuni e non particolari.

Alla luce di tali elementi, la sanzione è stata quantificata in 15.300 euro, ritenuta proporzionata, effettiva e dissuasiva.

Misure correttive, pubblicazione e termini di adempimento

Oltre alla sanzione pecuniaria, il Garante ha ordinato a Green Partner di adottare misure adeguate affinché l'affidamento di attività di trattamento a eventuali sub-responsabili avvenga nel pieno rispetto della normativa privacy. La società deve comunicare all'Autorità, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione a tale prescrizione. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l'annotazione nel registro interno dell'Autorità.

Opposizione giurisdizionale

Avverso il provvedimento è ammessa opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.