Ammonimento n. 626 del 21/09/2026

Ammonimento per newsletter inviata senza consenso e mancato riscontro ai diritti dell’interessato

Il provvedimento n. 626 del 21 settembre 2026 riguarda l’Associazione Biancofango ETS e il trattamento dell’indirizzo e-mail di un’interessata per l’invio di newsletter. Il procedimento, avviato a seguito di reclamo, si è concluso con la dichiarazione di illiceità del trattamento e un ammonimento, senza sanzione pecuniaria.

Reclamo e attività istruttoria

Con reclamo del 18 febbraio 2026, l’interessata ha riferito di aver ricevuto e-mail promozionali senza aver prestato il consenso e ha lamentato che l’Associazione non avesse dato seguito alle sue richieste di accesso e cancellazione dei dati.

Con nota del 17 marzo 2026, l’Ufficio ha chiesto all’Associazione osservazioni sul reclamo e informazioni sulle modalità di gestione delle istanze degli interessati. In mancanza di riscontro, la richiesta è stata reiterata il 13 aprile 2026. Con comunicazione del 16 aprile 2026, l’Associazione ha riferito di aver rimosso l’indirizzo dalla lista utilizzata per l’invio delle newsletter, ma di non essere in grado di ricostruire quando lo avesse acquisito né di individuare la base giuridica del trattamento. Ha spiegato il mancato riscontro con il fatto che la casella e-mail destinataria dell’istanza non era quotidianamente presidiata.

Con nota del 5 maggio 2026 sono state contestate le violazioni. L’Associazione ha presentato memorie difensive il 29 maggio 2026; non sono pervenute osservazioni dell’interessata.

Trattamenti e violazioni accertate

L’Associazione ha ammesso di non poter documentare le circostanze di acquisizione dell’indirizzo e-mail e l’eventuale consenso, nonché di non aver risposto all’interessata entro i termini previsti. Il Garante ha confermato le seguenti violazioni:

• artt. 12, 15, 17 e 21 GDPR, per il mancato riscontro nei termini alle richieste di accesso e alla successiva richiesta di cancellazione;
• artt. 5, par. 2, e 6, par. 1, lett. a), GDPR e art. 130, commi 1 e 2, del Codice, per l’utilizzo dell’indirizzo e-mail per l’invio di newsletter senza che fosse dimostrato il prescritto consenso.

Valutazioni del Garante e misure correttive

Nel corso dell’istruttoria l’Associazione ha rimosso l’indirizzo della reclamante dalla lista di invio e ha documentato ulteriori interventi: la completa riformulazione dell’informativa, l’attivazione di un canale dedicato e presidiato per le richieste in materia di protezione dei dati, la rimozione dei dati personali per i quali non era dimostrabile una base giuridica e la revisione dei rapporti con i fornitori dei servizi di mailing list.

Il Garante ha ritenuto che tali interventi non eliminassero le violazioni già commesse, ma fossero rilevanti nella valutazione del caso. Ha considerato che il trattamento riguardava l’indirizzo e-mail di una sola persona, che la condotta non appariva dolosa, che l’Associazione aveva collaborato, non risultavano precedenti violazioni e gli effetti della condotta erano cessati. Ha inoltre rilevato che erano state fornite idonee assicurazioni e che l’Associazione aveva adottato misure correttive autonomamente.

In base all’art. 83, par. 2, e al considerando 148 GDPR, nonché alle Linee guida del Gruppo di Lavoro Articolo 29 del 3 ottobre 2017 (WP 253), fatte proprie dal Comitato europeo per la protezione dei dati con Endorsement 1/2018 del 25 maggio 2018, il caso è stato qualificato come “violazione minore”. Il ricorso alla procedura delegata era coerente con la delibera del Garante del 26 marzo 2026, n. 233, relativa ai casi in cui la condotta sia risalente o abbia esaurito i suoi effetti, questi siano stati rimossi o siano state fornite idonee assicurazioni.

Esito, pubblicazione e ricorso

Il Garante ha dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento e ha ammonito l’Associazione ai sensi dell’art. 58, par. 2, lett. b), GDPR. Non ha ritenuto necessario adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, considerata la cessazione degli effetti e le misure già adottate. Non è stata irrogata una sanzione amministrativa pecuniaria.

Il provvedimento dispone la pubblicazione sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e l’annotazione delle violazioni e delle misure nel registro interno, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR. È possibile proporre ricorso all’autorità giudiziaria ordinaria, ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, oppure entro 60 giorni se il ricorrente risiede all’estero.