Ordinanza ingiunzione o revoca n. 435 del 17/07/2025

Juna S.r.l. - telemarketing, teleselling e landing page illegittime

Il provvedimento riguarda Juna S.r.l., operatore di call center e lead generation per offerte di energia e telefonia, a seguito di un reclamo relativo a chiamate promozionali indesiderate e ingannevoli. L’istruttoria ha riguardato sia i contatti telefonici effettuati da Juna e da soggetti della sua rete, sia la raccolta dei dati tramite landing page e portali web utilizzati per acquisire contatti commerciali.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice privacy e dell’art. 58 GDPR. Il reclamante lamentava ripetute chiamate finalizzate alla stipula di contratti di fornitura energetica, che descriveva come pressanti e fuorvianti. Juna ha risposto affermando che i dati provenivano da una sub-agenzia o da landing page, che il consenso era stato prestato e che nessun contratto era stato perfezionato nel caso specifico. L’Ufficio ha richiesto chiarimenti sull’origine dei dati, sulle informative, sui consensi, sull’uso del Registro Pubblico delle Opposizioni, sull’iscrizione al ROC e sulle misure di governance e controllo della rete commerciale.

Trattamenti esaminati

L’Autorità ha distinto due ambiti principali:

• le attività di telemarketing e teleselling svolte per conto di committenti del settore energetico e telefonico;
• le attività di raccolta e gestione autonoma di liste di contattabilità tramite landing page o tramite l’approvvigionamento di anagrafiche da list provider.

Secondo il Garante, Juna operava come call center plurimandatario, avvalendosi di collaboratori interni ed esterni e di ulteriori agenzie/sub-agenzie.

Qualificazione dei ruoli privacy

Il provvedimento afferma che, nelle campagne promozionali svolte nell’interesse di società energetiche e telefoniche, i committenti sono titolari del trattamento ai sensi dell’art. 4, n. 7, GDPR, mentre Juna agisce quale responsabile del trattamento ai sensi degli artt. 4, n. 8, e 28 GDPR. Le ulteriori agenzie della rete commerciale assumono il ruolo di sub-responsabili.

Il Garante ha richiamato anche il Codice di condotta per le attività di telemarketing e teleselling (provv. n. 70/2023 e n. 148/2024), che qualifica come titolare chi esegue o commissiona campagne di telemarketing/teleselling e come responsabili i fornitori di servizi incaricati della loro esecuzione o del reperimento dei dati presso list provider.

Per le attività di mera acquisizione autonoma di liste, invece, Juna può assumere la veste di titolare autonomo, ma solo limitatamente a tali trattamenti.

Illiceità dei trattamenti svolti come titolare

Per i trattamenti connessi alle landing page gestite da Juna, in particolare scontoluce.it, l’Autorità ha ravvisato la violazione degli artt. 5, 6, 7, 24 e 25 GDPR e dell’art. 130 del Codice privacy.

In particolare:

• il form di raccolta dati non garantiva un consenso libero, specifico e granulare per la cessione dei dati a terzi;
• la formula utilizzata era eccessivamente ampia, poiché includeva numerose categorie merceologiche e diversi canali promozionali, costringendo l’interessato a un sì/no unitario;
• non risultavano misure idonee a verificare l’esattezza dei dati inseriti né l’identità dell’interessato.

Il Garante ha richiamato anche le Linee guida EDPB n. 5/2020 sul consenso, sottolineando che la libertà e la granularità del consenso sono necessarie quando le finalità sono diverse o i destinatari sono numerosi e eterogenei.

Violazioni nei trattamenti svolti come responsabile

Per i trattamenti effettuati per conto dei committenti, il Garante ha rilevato che Juna non aveva correttamente presidiato gli obblighi propri del responsabile del trattamento. La documentazione prodotta risultava incompleta o contraddittoria: non emergevano in modo sufficiente le nomine ex art. 28 GDPR, né controlli effettivi su RE CONSULTING S.r.l. e sugli altri soggetti della filiera.

L’Autorità ha ritenuto che il mero richiamo contrattuale a istruzioni, audit e verifiche non sia sufficiente se tali attività non vengono concretamente svolte. È stato inoltre richiamato l’art. 28, par. 4, GDPR, secondo cui il responsabile iniziale conserva la responsabilità verso il titolare se l’altro responsabile omette di adempiere ai propri obblighi.

Valutazioni sul reclamo specifico

Con riguardo alle chiamate ricevute dall’interessato, il Garante ha osservato che i contatti erano stati effettuati sulla base di consensi raccolti tramite un portale web, ma che anche tale origine non rendeva lecito il trattamento, poiché le landing page utilizzate non consentivano un valido consenso e non assicuravano adeguati controlli sull’esattezza dei dati e sull’identità del dichiarante. Il sistema, quindi, poteva anche essere usato per conferire solo una parvenza di legittimità a liste di contatti raccolte in modo illecito.

Violazioni accertate

Il Garante ha ritenuto accertate le seguenti violazioni:

• artt. 5, 6, 7, 24 e 25 GDPR, per la formazione e gestione di liste di contattabilità senza adeguati presupposti di liceità ed esattezza;
• art. 28 GDPR, anche in relazione all’art. 4, n. 7, GDPR, per la non corretta individuazione del ruolo soggettivo e il mancato presidio degli obblighi connessi;
• artt. 5, 6, 7 GDPR e 130 del Codice privacy, per il telemarketing e teleselling privi di idonea base giuridica.

Misure adottate dal Garante

L’Autorità ha disposto:

• il divieto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, di ogni ulteriore trattamento dei dati personali del reclamante;
• l’ingiunzione, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di implementare misure idonee a garantire che le attività di telemarketing e teleselling basate su dati raccolti tramite landing page siano svolte nel rispetto della normativa;
• l’obbligo di comunicare entro 30 giorni dalla notifica le iniziative intraprese, ai sensi dell’art. 157 del Codice.

Sanzione pecuniaria e criteri di quantificazione

È stata applicata una sanzione amministrativa pecuniaria di euro 25.000,00, ai sensi degli artt. 166, comma 7, del Codice e 83, parr. 3 e 5, GDPR. Il Garante ha richiamato il massimo edittale pari a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore, prendendo come riferimento il fatturato dell’ultimo bilancio disponibile (2023).

Ai fini della quantificazione sono stati valorizzati:

• la gravità delle violazioni, con riferimento a un settore già oggetto di numerosi interventi dell’Autorità e del Codice di condotta;
• la cooperazione della società nel corso del procedimento, considerata attenuante.

Sanzione accessoria e impugnazione

È stata disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019. Il provvedimento indica inoltre la possibilità di opposizione davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.