Ordinanza ingiunzione o revoca n. 103 del 12/02/2026

Depurazione Acqua S.r.l. - trattamento illecito di dati per finalità promozionali tramite lead generation

Il Garante ha adottato un’ordinanza-ingiunzione nei confronti di Depurazione Acqua S.r.l. in relazione a trattamenti di dati personali svolti per finalità di telemarketing e promozione commerciale, a seguito di reclamo di un interessato che lamentava una chiamata indesiderata e l’utilizzo dei propri dati senza valido consenso.

Origine del procedimento e svolgimento dell’istruttoria

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice privacy a seguito di un reclamo pervenuto nel gennaio 2025 e regolarizzato ad aprile 2025. L’interessato contestava l’avvenuta ricezione di una telefonata promozionale su utenza iscritta al Registro Pubblico delle Opposizioni e la ricezione di un messaggio di conferma dell’avvenuto contatto promozionale. Contestava inoltre la risposta fornita dal titolare alla propria istanza di esercizio dei diritti.

L’istruttoria ha coinvolto:

• Depurazione Acqua S.r.l., quale destinatario finale delle anagrafiche;
• Unleadmited S.r.l., quale soggetto che avrebbe raccolto i dati tramite sito web;
• Conversion Media S.r.l., intervenuta nella filiera come intermediario tecnico e soggetto deputato alla cosiddetta chiamata di qualifica.

Ricostruzione dei trattamenti esaminati

Secondo le difese delle società, i dati dell’interessato sarebbero stati raccolti tramite il sito https://mediaonline.vinciadesso.com, mediante form di iscrizione a un concorso/servizio di lead generation. Il processo dichiarato prevedeva: invio di e-mail di conferma, telefonata di qualifica per verificare i dati e il consenso alla comunicazione a terzi, e successivo SMS con l’indicazione del soggetto terzo a cui i dati sarebbero stati comunicati.

Depurazione Acqua ha affermato di aver acquistato contatti prequalificati da Conversion Media e di aver ricevuto i lead solo dopo che il titolare originario avrebbe raccolto un consenso alla cessione a terzi per finalità di marketing. Ha altresì dichiarato di aver effettuato controlli ex ante e a campione sui lead ricevuti, verificando coerenza territoriale, provenienza dichiarata e presenza di evidenze del consenso.

Valutazioni del Garante sulla validità del consenso

Il Garante ha ritenuto che i form e le informative utilizzati non consentissero l’acquisizione di un consenso valido ai sensi degli artt. 5, 6 e 7 GDPR. In particolare, è stato rilevato che:

• un unico flag era utilizzato per più finalità, tra cui marketing del titolare e cessione/comunicazione dei dati a terzi per finalità promozionali;
• l’informativa prevedeva categorie molto ampie e numerose di destinatari, appartenenti a settori eterogenei, con conseguente perdita di controllo da parte dell’interessato;
• l’informativa non era aggiornata rispetto ad alcuni destinatari menzionati;
• la documentazione prodotta non provava in modo certo, verificabile e non equivoco la reale manifestazione di volontà dell’interessato.

L’Autorità ha richiamato il proprio orientamento secondo cui log, timestamp e indirizzo IP, da soli, non bastano a dimostrare il consenso, in quanto documentazione modificabile e priva di requisiti di inequivocabilità. È stato inoltre osservato che la semplice e-mail di conferma dell’iscrizione non equivale a un sistema di doppio opt-in idoneo a verificare identità e volontà dell’interessato. La chiamata di qualifica e l’SMS successivo non sono stati ritenuti sufficienti a colmare le lacune probatorie.

Violazioni accertate

Il Garante ha accertato la responsabilità di Depurazione Acqua per le seguenti violazioni:

• artt. 5, 6, 7 e 24 GDPR, nonché art. 130 del Codice privacy, per trattamenti promozionali in assenza di idonea base giuridica e senza adeguate misure tecniche e organizzative atte a garantire e dimostrare la liceità del trattamento;
• artt. 4, 5, 24 e 28 GDPR, per aver effettuato trattamenti promozionali senza una corretta individuazione dei ruoli soggettivi e senza la formale designazione del partner come responsabile del trattamento.

Accountability e controlli sulla filiera dei lead

Secondo l’Autorità, Depurazione Acqua si è limitata a indicazioni generiche sulla pre-qualifica dei fornitori e su controlli non documentati sulle liste acquistate. Il Garante ha ritenuto insufficiente una governance basata su clausole contrattuali di garanzia o manleva non accompagnate da verifiche effettive e formalizzate.

È stato ribadito che il principio di accountability impone al titolare di governare l’intera filiera del trattamento, adottando misure reali, efficaci e documentabili. Nel caso concreto, sarebbero stati esigibili controlli a campione, verifiche da remoto sul sito e sulle informative utilizzate, criteri predeterminati di audit e formalizzazione degli esiti. La mancata predisposizione di tali strumenti ha evidenziato un difetto strutturale nella governance dei trattamenti affidati a terzi.

Corretta qualificazione dei ruoli e art. 28 GDPR

Il Garante ha ritenuto che Conversion Media abbia svolto attività materiali e operative direttamente funzionali alla campagna promozionale nell’interesse di Depurazione Acqua, tra cui il reperimento di lead, la chiamata di qualifica e l’invio del messaggio di conferma con richiamo a "italiadepura". Tali elementi hanno condotto l’Autorità a qualificare l’attività come trattamento effettuato per conto del titolare, con conseguente necessità di designazione formale di Conversion Media quale responsabile del trattamento ex art. 28 GDPR.

L’assenza di tale nomina è stata quindi considerata ulteriore profilo di illiceità.

Misure adottate e sanzione

L’Autorità ha:

• dichiarato illecito il trattamento effettuato da Depurazione Acqua;
• imposto il divieto di ogni ulteriore trattamento dei dati acquisiti in assenza di idonea base giuridica;
• ingiunto di adottare misure idonee affinché le attività promozionali siano svolte nel rispetto della normativa e previa corretta individuazione dei ruoli dei partner commerciali;
• ordinato la comunicazione, entro 30 giorni, delle iniziative intraprese per dare attuazione alle misure disposte.

È stata inoltre irrogata una sanzione amministrativa pecuniaria di euro 15.000,00. Nella quantificazione il Garante ha considerato, tra l’altro:

• la gravità delle violazioni e il loro inserimento nel fenomeno del telemarketing selvaggio;
• l’uso di internet e siti web, idonei a raggiungere un numero indefinito di interessati;
• l’assenza di precedenti provvedimenti sanzionatori a carico della società;
• il fatto che le violazioni riguardavano dati comuni.

È stata disposta anche la pubblicazione del provvedimento sul sito del Garante come sanzione accessoria.

Implicazioni operative

Il provvedimento conferma che, nelle filiere di lead generation e marketing, il titolare che acquista contatti non può limitarsi a verifiche formali o documentali minime. Deve invece assicurare controlli sostanziali sulla liceità della raccolta, sulla qualità del consenso, sulla chiarezza delle informative e sulla corretta attribuzione dei ruoli privacy. In difetto, rischia di rispondere in proprio delle violazioni anche se la raccolta originaria è avvenuta tramite soggetti terzi.