Ordinanza ingiunzione o revoca n. 392 del 10/07/2025

Outly di Veneziani & Co s.r.l. - sms promozionali, consenso non valido e mancato riscontro ai diritti

Il Garante ha esaminato un reclamo relativo all’invio, da parte di Outly di Veneziani & Co s.r.l., di sms promozionali nonostante l’interessato avesse chiesto accesso, cancellazione dei dati e opposizione al trattamento. Il procedimento, avviato ai sensi dell’art. 166, comma 5, del Codice, ha portato all’accertamento di più violazioni del GDPR e all’adozione di un divieto di trattamento per finalità promozionali nei confronti di ulteriori interessati, oltre alla sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

Il procedimento trae origine da un reclamo del 14 settembre 2024, con cui l’interessato lamentava la ricezione di sms pubblicitari dal maggio 2021. Il reclamo evidenziava anche l’assenza di riscontro alle richieste di accesso, cancellazione e opposizione al trattamento.

L’Ufficio ha quindi chiesto informazioni alla Società ai sensi dell’art. 157 del Codice. Nel riscontro, Outly ha riferito che l’interessato era cliente del punto vendita di Barberino e che, in occasione di un acquisto del 24 aprile 2016, aveva rilasciato il numero di telefono sottoscrivendo l’informativa privacy. La Società ha sostenuto che tale sottoscrizione legittimasse anche l’invio di sms promozionali. Ha inoltre ammesso che le comunicazioni commerciali erano state inviate per una omissione nella cancellazione dei dati allo scadere del termine di 24 mesi e che la mancata risposta all’interessato dipendeva da un disguido interno nella gestione della PEC.

Violazioni contestate

All’esito dell’istruttoria, il Garante ha contestato:

• la raccolta di un unico consenso per più finalità di trattamento, tra cui consultazione, assistenza post-vendita, comunicazioni personali, elaborazione puntuale e statistica, invio di informazioni su nuovi prodotti;
• l’accorpamento del consenso per tali trattamenti con quello negoziale relativo alla fornitura del servizio;
• l’assenza, nell’informativa originaria, dell’indicazione dei tempi di conservazione dei dati;
• il mancato riscontro alle istanze dell’interessato di accesso, cancellazione e opposizione al marketing;
• l’inadeguatezza delle misure organizzative e di controllo, con possibile violazione del principio di responsabilizzazione e dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Sono stati richiamati, in particolare, gli artt. 5, par. 1, lett. a) ed e), 6, par. 1, lett. a), 7 e 13, par. 2, lett. a), GDPR, nonché l’art. 130, comma 2, del Codice; gli artt. 12, par. 3, 15, 17 e 21, par. 2, GDPR; gli artt. 5, par. 2, 24 e 25 GDPR.

Valutazioni del Garante

Il Garante ha ritenuto che le giustificazioni della Società non fossero idonee a escluderne la responsabilità. In particolare, il consenso originariamente acquisito è stato considerato non specifico, perché riferito cumulativamente a più finalità e, soprattutto, accorpato al consenso necessario per il contratto, con conseguente mancanza di una scelta autonoma e libera rispetto al marketing.

L’Autorità ha inoltre osservato che l’informativa non riportava un elemento essenziale del trattamento, ossia il periodo di conservazione dei dati, fissato in 24 mesi ma non comunicato all’interessato. Di conseguenza, il consenso non poteva ritenersi davvero informato.

Alla luce degli atti, il Garante ha quindi confermato l’illiceità dell’invio di sms promozionali a notevole distanza di tempo dalla raccolta del consenso e senza adeguato conto dell’esercizio dei diritti dell’interessato.

Misure correttive e divieto di trattamento

Pur prendendo atto che la Società, dopo la richiesta dell’Autorità, aveva cancellato i dati del reclamante, aggiornato l’informativa, formato i dipendenti e rivisto le procedure interne, il Garante ha ritenuto necessario adottare ulteriori misure.

In particolare, ai sensi dell’art. 58, par. 2, lett. f), GDPR, è stato disposto il divieto di trattamento per finalità promozionali dei dati degli altri interessati eventualmente ancora presenti nella banca dati del Titolare, qualora non sia possibile documentare un consenso specifico, informato e ancora valido entro il termine di conservazione predeterminato.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 3, GDPR, ritenendo che, trattandosi di trattamenti collegati e di più violazioni, dovesse essere considerata la violazione più grave ai fini del trattamento sanzionatorio complessivo. È stato richiamato il massimo edittale di 20 milioni di euro, ai sensi dell’art. 83, par. 5, GDPR.

Nella quantificazione della sanzione sono stati valorizzati:

• come circostanza aggravante, la durata della violazione, in relazione all’invio di sms commerciali per un lungo periodo e alla mancata cancellazione dei dati nel termine di 24 mesi;
• come elementi attenuanti, le misure adottate per conformare i trattamenti, il carattere colposo della violazione, il basso livello di danno, l’assenza di precedenti procedimenti, la cooperazione con l’Autorità e la natura dei dati trattati, limitati a dati anagrafici e di contatto.

All’esito del bilanciamento, la sanzione amministrativa pecuniaria è stata fissata in euro 15.000,00, pari allo 0,08% del massimo edittale ipotizzato.

Pubblicazione e conseguenze ulteriori

È stata disposta anche la pubblicazione del provvedimento sul sito del Garante, sia ai sensi dell’art. 154-bis del Codice sia quale sanzione accessoria prevista dall’art. 166, comma 7, del Codice e dall’art. 16 del Regolamento del Garante n. 1/2019.

Il provvedimento richiama inoltre le conseguenze penali e amministrative in caso di inosservanza del divieto di trattamento, ai sensi dell’art. 170 del Codice e dell’art. 83, par. 5, lett. e), GDPR. È stata infine disposta l’annotazione nel registro interno dell’Autorità relativo alle violazioni e alle misure adottate.