Ordinanza ingiunzione o revoca n. 89 del 12/02/2026

Bressanelli Galli Gelpi Porta & C. S.r.l.: marketing email illecito e omesso riscontro a istanza di accesso

Il provvedimento riguarda la Bressanelli Galli Gelpi Porta & C. S.r.l., destinataria di un’ordinanza-ingiunzione per l’invio di comunicazioni promozionali via e-mail in assenza di valida base giuridica e per l’omesso riscontro a una richiesta di accesso. L’istruttoria è nata da un reclamo e si è poi estesa a un secondo reclamo, relativo a condotte analoghe e alla medesima campagna pubblicitaria.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato con comunicazione del 15 luglio 2025 ai sensi dell’art. 166, comma 5, del Codice privacy. Il primo reclamante lamentava la ricezione di e-mail promozionali senza consenso e la mancata risposta all’esercizio del diritto di accesso ex art. 15 GDPR. Le comunicazioni prodotte in atti erano quattro: due a firma della Società, del 17 e 25 ottobre 2024, relative a servizi riconducibili alla compagnia assicurativa mandante; altre due, del 18 novembre e 2 dicembre 2024, a firma della Direzione della Società, relative a un fondo pensione.

Successivamente è pervenuto un secondo reclamo, del 14 agosto 2025, fondato su vicende sostanzialmente sovrapponibili: tre e-mail promozionali, due del 17 e 25 ottobre 2024 e una del 2 dicembre 2024. Il Garante ha ritenuto opportuno trattare congiuntamente i due fascicoli, poiché riferiti allo stesso titolare e alle medesime circostanze fattuali.

Qualificazione del ruolo della Società

In un primo momento la Società si era qualificata come responsabile del trattamento della compagnia assicurativa mandante. Tuttavia, dall’istruttoria è emerso che essa aveva riutilizzato i dati, raccolti nell’ambito del rapporto con la compagnia, per finalità ulteriori e autonome, inviando comunicazioni commerciali di propria iniziativa e senza istruzioni del titolare.

Richiamando l’art. 28, par. 10, GDPR, il Garante ha quindi affermato che, quando un responsabile determina finalità e mezzi del trattamento, esso è considerato titolare del trattamento per quel trattamento specifico. Nel caso concreto, la Società ha agito come autonomo titolare per l’invio delle e-mail promozionali, pur usando dati originariamente raccolti come responsabile.

Violazioni accertate

Il provvedimento accerta tre macro-violazioni:

• omesso riscontro all’esercizio del diritto di accesso, in violazione degli artt. 5, par. 1, lett. a), 12, parr. 3 e 4, e 15 GDPR;
• assenza di un’idonea informativa per i trattamenti svolti dalla Società in qualità di autonomo titolare, in violazione degli artt. 5, par. 1, lett. a), e 13 GDPR;
• invio di e-mail di marketing in assenza di valida base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), e 7 GDPR, nonché dell’art. 130, comma 2, Codice privacy.

Sul primo profilo, la Società non ha risposto alla richiesta di accesso perché riteneva che fosse già in gestione dalla compagnia assicurativa. Il Garante ha ritenuto che, anche nell’ipotesi in cui la Società fosse rimasta responsabile, essa avrebbe dovuto quanto meno informare tempestivamente il titolare; essendo invece risultata titolare autonoma, aveva l’obbligo diretto di rispondere nei termini di cui all’art. 12 GDPR.

Sul secondo profilo, è stato rilevato che il reclamante aveva ricevuto solo l’informativa della compagnia assicurativa al momento della raccolta originaria, ma non una specifica informativa sui successivi trattamenti di marketing posti in essere dalla Società per finalità proprie.

Sul terzo profilo, il Garante ha ritenuto che l’invio di email promozionali fosse avvenuto senza consenso. La Società aveva invocato l’eccezione del soft spam e, in via descrittiva, il legittimo interesse, ma tali basi sono state escluse.

Valutazioni sul soft spam e sul legittimo interesse

La Società ha sostenuto di aver agito in buona fede facendo leva sull’art. 82 del Regolamento IVASS n. 40/2018 e sull’eccezione del soft spam di cui all’art. 130, comma 4, Codice privacy. Il Garante ha però chiarito che il legittimo interesse non costituisce base giuridica utilizzabile per email marketing al di fuori della disciplina speciale dell’art. 130, comma 2, Codice privacy, e che il soft spam non è invocabile da un soggetto che, come nella specie, riutilizzi dati nella veste di autonomo titolare senza specifica autorizzazione del titolare originario.

L’Autorità ha inoltre osservato che, una volta emersa l’incertezza interpretativa, la Società avrebbe dovuto consultare la compagnia titolare e comunque attenersi alle sue istruzioni, che escludevano l’invio di marketing senza consenso espresso.

Posizione difensiva e circostanze considerate

Nella memoria difensiva la Società ha riconosciuto la gravità delle contestazioni e ha ammesso:

• di aver oltrepassato i limiti del ruolo di responsabile;
• di aver inviato comunicazioni promozionali di propria iniziativa;
• di aver omesso il riscontro all’istanza di accesso;
• di aver utilizzato basi giuridiche non sostenibili.

Ha rappresentato di aver introdotto rimedi organizzativi e correttivi, tra cui l’aggiornamento dell’informativa, la revisione del registro dei trattamenti, l’interruzione del marketing senza consenso, la formazione interna e l’inserimento di un meccanismo di opt-out nelle comunicazioni future.

Provvedimenti correttivi e sanzione

Il Garante ha ritenuto lecitamente accertate le violazioni e ha adottato le seguenti misure:

• divieto di trattare ulteriormente, per finalità secondarie o promozionali, i dati acquisiti dalla Società in qualità di responsabile del trattamento;
• divieto di ogni trattamento di marketing svolto senza previo, specifico e valido consenso;
• ordine di dare adeguato riscontro al secondo reclamante e ad eventuali altri interessati che abbiano chiesto chiarimenti sulla ricezione di comunicazioni commerciali prive di consenso;
• ingiunzione di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure imposte.

Ai fini sanzionatori, il Garante ha applicato l’art. 83, par. 5, GDPR. Ha considerato la gravità delle violazioni, la durata del comportamento illecito tra ottobre e dicembre 2024, il ritardo di 228 giorni nel riscontro all’istanza di accesso, la grave negligenza, ma anche elementi attenuanti quali la cooperazione con l’Autorità, l’assenza di precedenti provvedimenti, l’assenza di categorie particolari di dati e il riconoscimento integrale delle contestazioni. La sanzione è stata fissata in 15.000 euro, pari allo 0,33% del fatturato, con previsione della pubblicazione del provvedimento sul sito del Garante.

Implicazioni operative

Il provvedimento ribadisce che il responsabile del trattamento non può autonomamente riutilizzare i dati per finalità proprie, nemmeno se riconducibili all’originario settore di attività del titolare. In caso di dubbio, devono prevalere le istruzioni del titolare e gli obblighi di trasparenza, nonché la necessità di acquisire un valido consenso quando richiesto dalla disciplina speciale sul marketing elettronico. Per gli operatori del settore assicurativo e per i distributori, la decisione evidenzia inoltre che il richiamo alla regolazione IVASS non consente di eludere l’art. 130 Codice privacy.