Ordinanza ingiunzione o revoca n. 105 del 12/02/2026

Conversion Media S.r.l.: trattamento illecito per mancata nomina ex art. 28 GDPR nei flussi di lead generation e telemarketing

Il Garante ha esaminato il trattamento di dati personali svolto da Conversion Media S.r.l. nell’ambito di attività commerciali collegate a Depurazione Acqua e al sistema di raccolta contatti gestito da Unleadmited. Il procedimento è stato avviato a seguito di un reclamo relativo a una chiamata promozionale indesiderata e alla successiva gestione dei riscontri forniti in relazione a un’istanza di esercizio dei diritti.

Origine del procedimento e fatti contestati

Il reclamo riguardava la ricezione di una telefonata promozionale su un’utenza iscritta al Registro Pubblico delle Opposizioni, nonché un messaggio di conferma dell’avvenuto contatto. L’interessato contestava inoltre di non aver mai utilizzato il sito indicato dalle controparti per la raccolta del consenso e di non aver autorizzato il trattamento dei propri dati per finalità di marketing.

Nel corso dell’istruttoria, l’Ufficio ha verificato che il sito segnalato non risultava navigabile in senso tradizionale, ma presentava un form per il conferimento dei dati e del consenso alla comunicazione a terzi per finalità promozionali. Sono emerse ulteriori perplessità sulla conformità dei form e dell’informativa alla disciplina privacy applicabile.

Attività istruttoria e riscontri delle parti

Il Garante ha richiesto informazioni a Depurazione Acqua e a Unleadmited. Depurazione Acqua ha dichiarato di aver acquistato contatti già prequalificati da Conversion Media, allegando il relativo contratto, e di avere risposto all’istanza dell’interessato. Unleadmited, inizialmente inerte, ha poi chiarito di aver raccolto il consenso sul proprio sito e di aver previsto una procedura composta da:

• invio di una e-mail di conferma della registrazione;
• telefonata di qualifica;
• successivo SMS con i riferimenti del soggetto terzo destinatario dei dati.

Conversion Media ha sostenuto di operare quale responsabile del trattamento per conto di Unleadmited, limitandosi a supporto tecnico e commerciale, e di non trattare dati per finalità proprie. Depurazione Acqua ha invece ricostruito una filiera in cui Unleadmited sarebbe titolare originario, Conversion Media responsabile e Depurazione Acqua titolare autonomo per il trattamento successivo dei dati ricevuti.

Violazioni contestate e valutazioni dell’Autorità

L’Ufficio aveva inizialmente contestato a Conversion Media la violazione degli artt. 4 e 28 GDPR, ritenendo che avesse trattato dati personali nell’interesse di Depurazione Acqua senza la previa nomina formale ex art. 28 e senza adempiere agli obblighi di informazione verso il titolare.

Nel merito, il Garante ha ritenuto che le attività svolte da Conversion Media fossero sostanzialmente funzionali alle campagne promozionali di Depurazione Acqua: reperimento delle lead, chiamata di qualifica volta a verificare i dati e il consenso alla cessione a terzi, e messaggio di conferma con richiamo a "Italia Depura". La qualificazione formale data dalle parti non è stata ritenuta decisiva; ciò che conta è l’analisi sostanziale delle operazioni e del potere decisionale sui mezzi essenziali del trattamento, secondo le Linee guida EDPB 07/2020.

Il Garante ha quindi affermato che, proprio perché Conversion Media svolgeva operazioni per conto di Depurazione Acqua, quest’ultima avrebbe dovuto procedere alla designazione formale del responsabile ai sensi dell’art. 28 GDPR. È stata inoltre ravvisata la violazione dell’obbligo del responsabile di informare senza indugio il titolare qualora ritenga che istruzioni ricevute siano in contrasto con la normativa privacy.

Esito del procedimento e sanzione

Accertata l’illiceità del trattamento, il Garante ha disposto:

• l’adozione di misure adeguate per assicurare che ogni trattamento sia preceduto dalla corretta individuazione del ruolo soggettivo e, se necessario, dalle nomine e autorizzazioni previste;
• la comunicazione all’Autorità, entro 30 giorni dalla notifica, delle iniziative intraprese;
• l’ordinanza ingiunzione per il pagamento della sanzione amministrativa pecuniaria.

Ai fini della quantificazione, l’Autorità ha richiamato l’art. 83, parr. 1-5, GDPR, valorizzando come aggravante la gravità delle violazioni, collegate a obblighi fondamentali della disciplina privacy, e come attenuanti l’assenza di precedenti provvedimenti sanzionatori e il fatto che fossero coinvolti dati comuni. È stata quindi applicata la sanzione di euro 10.000, pari allo 0,1% del massimo edittale indicato nel provvedimento.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi delle norme richiamate nel testo, e l’annotazione nel registro interno dell’Autorità. Resta ferma la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.