Ordinanza ingiunzione o revoca n. 636 del 23/10/2025

Emera Srl - SMS promozionali inviati dopo la revoca del consenso e mancata gestione delle richieste di cancellazione

Il provvedimento riguarda Emera Srl e un trattamento di dati personali per finalità promozionali tramite SMS. L'istruttoria trae origine dal reclamo di un interessato che, nonostante ripetute richieste di opposizione, revoca del consenso e cancellazione dei dati, ha continuato a ricevere messaggi pubblicitari per circa un anno.

Origine del procedimento e svolgimento dell'istruttoria

Il reclamante ha riferito di aver chiesto inizialmente la cancellazione dei dati il 9 luglio 2023 al punto vendita dove aveva effettuato acquisti. Poiché gli SMS sono proseguiti, ha reiterato la richiesta via email il 4 novembre 2023 e il 29 novembre 2023, rivolgendosi sia al negozio sia all'indirizzo indicato nell'informativa privacy del sito. Il 12 gennaio 2024 si è recato anche personalmente presso il punto vendita, ottenendo la sottoscrizione della presa in carico della richiesta di cancellazione. Nonostante ciò, i messaggi sono continuati fino ad agosto 2024.

Alla richiesta di informazioni dell'Ufficio, Emera ha dichiarato di aver acquisito i dati nel 2012 in occasione di un acquisto e di aver provveduto alla cancellazione solo dopo la presentazione del reclamo, attribuendo il ritardo a generici problemi tecnici. La società non ha però presentato memorie difensive né chiesto di essere ascoltata.

Trattamenti esaminati

Il Garante ha esaminato il trattamento dei dati di contatto del reclamante per l'invio di comunicazioni promozionali relative al marchio Roche Bobois. La questione ha riguardato sia la conservazione dei dati per finalità di marketing, sia la corretta gestione delle richieste di revoca del consenso, opposizione e cancellazione.

Violazioni accertate

L'Autorità ha confermato le violazioni già contestate in avvio del procedimento, in particolare:

• art. 5, par. 1, lett. e), GDPR, per la conservazione dei dati oltre il tempo necessario alle finalità perseguite;
• art. 5, par. 2, GDPR, per difetto di accountability e di prova della liceità del trattamento;
• art. 7, par. 3, GDPR, per la mancata tempestiva esecuzione della revoca del consenso;
• art. 17 GDPR, per la mancata cancellazione dei dati a fronte delle richieste dell'interessato;
• art. 24 GDPR, per l'assenza di misure tecniche e organizzative adeguate;
• art. 6, par. 1, lett. a), GDPR e art. 130, comma 2, Codice privacy, per l'invio di SMS promozionali in assenza di un valido consenso dopo l'opposizione del reclamante.

Valutazioni del Garante

Il Garante ha chiarito che il titolare deve essere in grado di documentare il presupposto di liceità del trattamento, soprattutto quando il trattamento promozionale continua nel tempo. Il consenso al marketing, anche se validamente acquisito in origine, deve rimanere conforme alla normativa applicabile e ai tempi di conservazione stabiliti e comunicati all'interessato.

Nel caso in esame, il richiamo al consenso raccolto nel 2012 non è stato ritenuto sufficiente. Il trattamento promozionale è stato considerato autonomo rispetto al trattamento connesso alla vendita, e la conservazione dei dati per oltre dieci anni è stata giudicata eccessiva rispetto al principio di limitazione della conservazione. Il Garante ha anche richiamato il principio per cui il consenso può essere revocato con la stessa facilità con cui è stato prestato e che il titolare deve predisporre strumenti idonei a recepire tale volontà senza ritardi ingiustificati.

Misure ingiunte

Ai sensi dell'art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Emera di:

• stabilire adeguati tempi di conservazione dei dati per finalità promozionali, adeguando le procedure interne alla cancellazione dei dati al raggiungimento del termine fissato;
• predisporre adeguate procedure organizzative e misure tecniche per garantire il recepimento delle richieste di esercizio dei diritti da parte degli interessati.

In base all'art. 157 del Codice privacy, la società deve comunicare all'Autorità entro 30 giorni dalla notifica le iniziative adottate per dare attuazione alle misure imposte. Il mancato adempimento può comportare l'applicazione della sanzione prevista dall'art. 83, par. 5, lett. e), GDPR.

Sanzione amministrativa pecuniaria

Il Garante ha applicato la sanzione pecuniaria di euro 6.000,00. Nella quantificazione sono stati considerati, da un lato, elementi aggravanti quali la durata del trattamento illecito, protratto per circa un anno e interrotto solo dopo l'intervento dell'Autorità, e il grado di responsabilità del titolare per l'assenza di misure adeguate; dall'altro, elementi attenuanti quali l'isolamento del caso, il basso livello di danno, la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto, e la qualità di piccola impresa della società.

L'Autorità ha altresì disposto la pubblicazione integrale del provvedimento sul sito istituzionale e l'annotazione nel registro interno delle violazioni e delle misure adottate.