Il Garante per la protezione dei dati personali, con provvedimento n. 330 del 4 giugno 2025, ha sanzionato una società di rivendita di auto online per l’illecito trattamento dei dati personali degli utenti effettuato per lo svolgimento di attività di e-mail marketing.
Nel caso in esame, il Garante riceveva il reclamo di un utente, il quale lamentava di aver ricevuto numerose e-mail indesiderate aventi ad oggetto la promozione dei servizi offerti dalla società. Il reclamante precisava, altresì, di non aver mail fornito il proprio consenso alla ricezione di tali messaggi, che arrivavano da indirizzi e-mail sempre diversi e non direttamente riconducibili alla società.
La società, nelle memorie difensive, dichiarava di avvalersi, per lo svolgimento delle proprie attività promozionali, di partner commerciali che si erano contrattualmente impegnati ad agire in qualità di autonomi titolari del trattamento, garantendo altresì il rispetto delle norme dettate in materia di protezione dei dati personali nello svolgimento delle attività in questione.
Con riguardo ai consensi raccolti, invece, la società rappresentava di aver fatto affidamento sul fatto che essi fossero conformi alla normativa, ritenendo peraltro che il ricorso al meccanismo del “double opt-in”, suggerito dal Garante per la lecita raccolta del consenso, non fosse “formalmente annoverato tra le condizioni di liceità del consenso ai sensi del Codice privacy del GDPR”.
Il Garante, sulla base di quanto acquisito all’esito dell’istruttoria, nonostante le eccezioni formulate dalla società, ha ritenuto che il trattamento dei dati presentasse profili di non conformità alla disciplina dettata in materia di privacy.
In primo luogo, il Garante evidenziava che la società doveva qualificarsi come titolare del trattamento, con tutte le connesse responsabilità in ordine alla selezione e al controllo dei soggetti che operano per suo conto. Difatti, indipendentemente dalla qualificazione contrattuale dei ruoli, non può non tenersi in considerazione il fatto che il contenuto promozionale era indubbiamente riferito alla società e che i link presenti nelle mail riconducevano alla landing page della stessa.
Difatti, come già in precedenza chiarito dal Garante, “i contatti a carattere promozionale sono effettuati in nome, comunque per conto e nell’interesse della società preponente; con l’effetto che negli interessati si ingenera un legittimo affidamento, dal momento che essi percepiscono di essere destinatari di iniziative pubblicitarie condotte direttamente dalla società per conto della quale viene formulata la proposta di vendita di prodotti o servizi”. In tali termini, dunque, il preponente, essendo il soggetto che determina la finalità promozionale del trattamento ed i mezzi per la sua effettuazione, oltre ad essere il soggetto nel cui interesse il trattamento è effettuato, non può che configurarsi quale titolare del trattamento. Il soggetto che, invece, per suo conto concretamente svolge il servizio potrà qualificarsi, a seconda dei casi, come contitolare o come responsabile del trattamento.
Stante quanto osservato, il Garante segnalava che non risultava che la società avesse svolto alcuna verifica dei partner, né in fase di selezione, né nel successivo svolgimento delle attività commissionate, e tantomeno rispetto alla liceità della attività di raccolta del consenso. Nel caso di specie, dunque, risultava che il titolare fosse venuto meno all’obbligo di adottare misure tecniche e organizzative volte a garantire la conformità del trattamento effettuato. Alcun rilievo, peraltro, si poteva riconoscere alle clausole di manleva o le asserite garanzie di conformità offerte dai partner in via pattizia, in quanto queste non potevano essere considerate misure sufficienti, tali da giustificare il mancato controllo sull’operato dei già menzionati soggetti terzi.
Inoltre, relativamente all’inesistenza di un espresso obbligo normativo rispetto alla qualificazione del consenso con modalità di “double opt-in”, il Garante osservava che, contrariamente a quanto asserito alla società, tra i requisiti di liceità del consenso ex art. 7 GDPR si inserisce anche l’obbligo, per il titolare, di dimostrare che l’interessato abbia prestato correttamente il proprio consenso. Partendo da tale presupposto, “il Garante ha più volte fornito orientamenti su casi specifici ricordando che la documentazione del consenso in modalità double opt-in è una forma di documentazione del consenso che offre maggiori garanzie e può considerarsi, allo stato dell’arte, una misura minima di protezione per l’interessato ma anche per lo stesso titolare, tenuto a comprovare la liceità del trattamento”.
Tale misura, pertanto, deve ritenersi perfettamente rientrante nel quadro normativo.
Alla luce di tutto quanto rilevato, viste le numerose violazioni registrate, il Garante ingiungeva alla società il pagamento di una sanzione amministrativa pecuniaria di 45 mila euro.