Il Garante per la protezione dei dati personali, con provvedimento del 18 dicembre 2025, ha ribadito che i dati pubblicati online o sui social network “non sono liberamente utilizzabili per finalità promozionali per il solo fatto di essere resi pubblici, poiché deve essere sempre rispettata la finalità di utilizzo in base alla quale i dati sono stati originariamente raccolti in accordo con le legittime aspettative degli interessati” e ha, conseguentemente, ammonito una società che ha utilizzato dati pubblicati online per inviare comunicazioni aventi finalità promozionali, in assenza di consenso al trattamento da parte dell’interessato o di altra idonea base giuridica.
La vicenda sorge dall’invio di una comunicazione tramite posta elettronica da parte di una start up, sviluppatrice di un software per la ricerca di immobili all’asta, ad un avvocato che opera nel settore immobiliare, con la quale veniva presentato e offerto il prodotto sviluppato e venduto dalla società. L’indirizzo mail era stato prelevato dalla società tramite il canale YouTube dell’avvocato, senza la previa richiesta di autorizzazione al trattamento dei dati. Conseguentemente, l’avvocato ha presentato reclamo al Garante sostenendo che l’avere un account YouTube attivo e una casella e-mail collegata allo stesso “non è di per sé una implicita autorizzazione a prelevare quell’indirizzo e a utilizzarlo per comunicazioni di marketing”. La società si è difesa affermando che non si trattasse di una mail volta a “commercializzare prodotti senza autorizzazione del destinatario” ma alla creazione di una collaborazione con un professionista operante nel medesimo settore.
Il Garante ha osservato che, dalla lettura della comunicazione inviata, l’intento sembrerebbe proprio quello di presentare il software ad un potenziale cliente. Infatti, secondo il Garante una proposta di collaborazione professionale si rinviene quando vi è una interlocuzione tra due soggetti con un interesse comune mentre, nel caso di specie, si riscontra esclusivamente l’interesse della start up a promuovere la vendita del proprio prodotto.
Pertanto, il Garante ha ritenuto che la condotta della società rientrasse nella fattispecie descritta dall’art. 130, commi 1 e 2, del Codice della Privacy, ai sensi del quale la trasmissione di comunicazioni tramite posta elettronica con la finalità di inviare materiale pubblicitario, effettuare una vendita diretta, compiere ricerche di mercato o comunicazioni commerciali sono consentite solo con il consenso dell’utente. Dunque, ha ritenuto che la società abbia violato l’art. 6, par. 1, lett. a) del GDPR e l’art. 130, c. 2, del Codice Privacy in quanto ha inviato una e-mail promozionale in assenza del consenso al trattamento dei dati da parte dell’interessato.
Nel caso di specie, la condotta della società è stata ritenuta una “violazione minore” in quanto oltre ad essere una vicenda isolata da cui non è derivato un danno per l’interessato, nella e-mail era presente il link per chiedere l’immediata cancellazione. Dunque, non è stata applicata alcuna sanzione amministrativa pecuniaria, ma si è proceduto con l’ammonizione della società e la pubblicazione del provvedimento, nonché l’annotazione della violazione nel registro interno dell’Autorità.