[doc. web n. 10135041]

Provvedimento del 10 aprile 2025

Registro dei provvedimenti
n. 210 del 10 aprile 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

Sono pervenuti a questa Autorità un reclamo e una segnalazione con cui è stata lamentata la ricezione di telefonate indesiderate volte alla promozione di servizi di intermediazione immobiliare dell’Agenzia “Vogliocasa Milano”. In riscontro alla richiesta degli interessati, è stato rappresentato che i dati di contatto dei medesimi sarebbero stati acquisiti dalla società Realmaps S.r.l. (di seguito «Realmaps» e «fornitore»). Tale fornitore è stato oggetto di una separata istruttoria, condotta ad aprile 2024, che ha consentito di appurare diverse criticità nell’ambito dei trattamenti dei dati personali destinati alle Agenzie immobiliari per finalità di marketing (v. provv. n. 11 del 16 gennaio 2025, disponibile in www.gpdp.it doc. web n. 10110241).

Nell’ambito dell’istruttoria preliminare avviata nei confronti di Vogliocasa Holding & Servizi S.r.l. (di seguito «Vogliocasa») - alla quale sembravano essere riconducibili i citati contatti telefonici - quest’ultima, nel dichiarare la propria estraneità in relazione alla condotta lamentata, ha indicato la Undici S.r.l.s. (di seguito anche «Undici» o « Società») quale autrice delle due comunicazioni segnalate nelle doglianze all’Autorità e qualificabile, quindi, come titolare del trattamento in questione. Vogliocasa ha inoltre affermato - con dichiarazioni delle quali la medesima è chiamata a rispondere ai sensi dell’art. 168 del Codice - che la Undici avrebbe ricevuto da Realmaps “81.185 record” comprensivi di dati catastali e anagrafici dei proprietari degli immobili e, in particolare, “di 13.265 numeri di cellulari nonché di 7.616 numeri di telefono fisso”.

Considerato che, da quanto emerso in atti, la Undici è ricompresa tra le Agenzie immobiliari alle quali Realmaps avrebbe fornito i dati per fini promozionali, il 19 agosto 2024 l’Ufficio ha formulato una richiesta di informazioni (rif. prot. n. 0099558/24), ai sensi dell’art. 157 del Codice, volta principalmente a chiarire i rapporti con il citato fornitore e a conoscere gli adempimenti in materia di protezione dei dati personali che la Società ha posto in essere in merito alle liste acquisite, con particolare riferimento: - alla verifica di un originario consenso informato che ne autorizzasse l’utilizzo per scopi commerciali; - all’informativa resa nel corso delle telefonate nonché allo script di chiamata utilizzato; - al riscontro nel Registro Pubblico delle Opposizioni delle utenze contattate; - alla gestione delle istanze di opposizione avanzate dagli interessati. Inoltre è stato chiesto alla Società di comunicare quanti soggetti, i cui dati sono stati acquisiti da Realmaps, sono stati poi oggetto di comunicazioni promozionali.

Con comunicazione del 13 settembre 2024, pervenuta all’Autorità il 18 settembre u.s., la Società ha fornito riscontro alla citata richiesta di informazioni e ha preliminarmente precisato che “all’epoca dei fatti (tra ottobre 2022 e Marzo 2023) il legale rappresentante della Undici S.r.l.s. risultava essere” un soggetto diverso da quello attuale. Pertanto, è apparso necessario un confronto con il precedente legale rappresentante della Società “al fine di chiarire le dinamiche della vicenda ed i rapporti con RealMaps”. All’esito di tale confronto è emerso che la Società ha sottoscritto il contratto con Realmaps in data 25 ottobre 2022 (di cui è stata fornita copia) dopo aver ottenuto dal citato fornitore garanzie verbali in ordine alla liceità dei dati da acquistare e a seguito delle verifiche condotte sul relativo sito internet (www.realmaps.it) e delle “recensioni a 5 stelle” registrate in rete ove è stato rinvenuto un articolo sull’attività di Realmaps pubblicato su uno dei principali e noti quotidiani italiani.

A detta della Società, Realmaps ha assicurato “che ogni dato veniva recuperato presso pubblici registri […] e che ogni contatto veniva accuratamente verificato”, con particolare riferimento alla “corretta acquisizione del consenso”; ciò risultava formalizzato nel contratto sottoscritto con il citato fornitore dal quale emergeva che “i dati e le banche dati cedute da RealMaps provengono da elenchi pubblici o da pubblici registri” e soprattutto da “elenchi il cui consenso al ricevimento di informazioni di carattere pubblicitario è stato espresso nel rispetto della vigente normativa a tutela della privacy”. Inoltre, in base agli accordi pattuiti con Realmaps, la Società, “se mai fosse stato necessario”, avrebbe dovuto comunicare agli interessati che richiedevano informazioni sull’origine dei loro dati un indirizzo e-mail riconducibile a tale fornitore (dpo@realmaps.it). Circostanza, questa, ricorsa nel reclamo di cui al presente procedimento: la Società, infatti, in riscontro alla richiesta dell’interessato di ottenere informazioni “sull’origine del consenso prestato” (formulata il 15 febbraio 2023), ha rappresentato di aver indicato al medesimo il citato recapito, come concordato con Realmaps (risposta al reclamante del 1° marzo 2023).

La Società, nell’invocare l’esimente della “buona fede”, ha dichiarato di aver interrotto i rapporti commerciali con Realmaps e, nel chiarire di aver cancellato i dati personali degli istanti di cui al presente procedimento, ha rappresentato di non essere in grado di quantificare i soggetti effettivamente contattati, facendo una stima del 10/15%. Infine ha affermato che “ogni singolo soggetto contattato […] viene regolarmente informato dei suoi diritti in materia di protezione dei dati personali anche in tema del diritto di opposizione”.

2. LA CONTESTAZIONE DELLE VIOLAZIONI

Con nota del 27 settembre 2024 (prot. n. 0112694/24) è stato comunicato alla Società l’avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice, per l’adozione di eventuali provvedimenti di cui all’art. 58, par. 2, del Regolamento, riconoscendo in capo alla Undici la responsabilità per la presunta violazione delle seguenti disposizioni del Regolamento:

- artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 13, 14 del Regolamento e art. 130, commi 3 e 3 bis, del Codice per non aver verificato, né documentato, i presupposti di liceità dei dati acquisiti dal fornitore (informativa e consenso) e per non aver effettuato il riscontro nel Registro Pubblico delle Opposizioni delle utenze contattate;

- artt. 12 e 15 del Regolamento in quanto il riscontro alle richieste degli interessati in merito al trattamento dei loro dati personali è subordinato al necessario confronto con Realmaps che detiene tali informazioni, determinando un potenziale ritardo nell’evasione delle citate istanze e una non completa soddisfazione da parte del richiedente;

- artt. 5, par. 2, 24 e 25 del Regolamento per non aver comprovato gli adempimenti effettuati in materia di protezione dei dati personali.

3. VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ

La Società non ha presentato memorie difensive, né ha chiesto di essere ascoltata dall’Autorità. In base ai profili fattuali sopra evidenziati e alle affermazioni rese dalla Undici in sede di riscontro, di cui il dichiarante risponde ai sensi dell’art. 168 Codice, si ritiene di confermare le violazioni rilevate nell’atto di contestazione.

La Undici è da ritenersi titolare, ai sensi dell’art. 4 del Regolamento, avendo in concreto determinato lo scopo per cui è stato posto in essere il trattamento (promozione dei propri servizi) e il canale telefonico utilizzato a tal fine. Alla medesima Società sono, dunque, direttamente riconducibili tanto gli adempimenti posti dalla normativa in materia di protezione dei dati personali quanto la responsabilità per le violazioni rilevate. A nulla rileva il cambio del legale rappresentante della Undici dal momento che tale operazione ha esaurito i suoi effetti solo sul piano civilistico e non anche in relazione al trattamento dei dati personali: il nuovo rappresentante legale è subentrato, di fatto, automaticamente in tutti i rapporti giuridici e in tutti i trattamenti realizzati durante la precedente gestione, compresi quelli relativi ai dati acquisiti da Realmaps per scopi promozionali.

Ciò doverosamente precisato, si osserva che la Società ha dichiarato di aver agito in completa “buona fede” riguardo alla provenienza dei dati e alla loro natura “pubblica” e, quindi, di libera utilizzabilità. Sul punto, si ritiene opportuno ricordare che il trattamento per finalità di marketing effettuato mediante strumenti di comunicazione elettronica (come il mezzo telefonico) è disciplinato dall’art. 130 del Codice, in recepimento dell’art. 13 della direttiva 2002/58/CE, che costituisce una lex specialis dove l’unica base giuridica ammessa è il consenso dell’interessato (c.d. opt-in); in assenza di tale base giuridica non è possibile effettuare comunicazioni promozionali neanche nel caso in cui i dati personali siano tratti da registri pubblici, elenchi, siti internet, atti o documenti conosciuti o conoscibili da chiunque (v., al riguardo, Linee guida in materia di attività promozionale e contrasto allo spam - 4 luglio 2013, provv. n. 330, doc. web n. 2542348, in www.gpdp.it).

Da quanto prodotto in atti, non risulta che la Società, titolare del trattamento, abbia fornito documentazione comprovante la sussistenza dei requisiti di liceità delle anagrafiche acquisite da Realmaps. In particolare, non risulta che sia stato verificato, e quindi comprovato, il rilascio agli interessati dell’informativa da parte dell’originario titolare che avrebbe acquisito i dati, ai sensi dell’art. 14 del Regolamento, risultando in atti solo le assicurazioni di Realmaps sulla legittimità dei trattamenti; analogamente non è stato provato l’eventuale asserito consenso alla comunicazione a terzi (fra cui la Undici S.r.l.s.) per finalità di marketing che gli interessati avrebbero rilasciato né, quindi, è stato verificato se tale autorizzazione rispettasse i requisiti di libertà e specificità (di cui all’art. 4, punto 11, del Regolamento), con inevitabili ricadute sulla legittimità anche dell’attività promozionale della Società stessa.

Tale lacuna non può neppure essere superata rinviando genericamente ai termini contenuti nel contratto stipulato con il fornitore che, peraltro, contiene una descrizione sommaria della normativa in materia di protezione dei dati personali (v. punto 7 del contratto, rubricato “privacy”) e dell’asserito consenso al marketing rilasciato dagli interessati (v. par. “Condizioni generali di contratto e condizioni d’uso del servizio di vendita di dati e fornitura di banche dati – mappatura RealMaps.S.r.l.”). Si deve precisare, al riguardo, che in nessun modo la previsione di una clausola contrattuale di manleva può esonerare il titolare dal porre in essere le necessarie attività al fine di comprovare che i trattamenti siano stati effettuati nel rispetto dei principi di liceità, trasparenza e correttezza da cui discendono le disposizioni in tema di base giuridica e informativa.

In definitiva, il trattamento descritto ha dato luogo all’effettuazione di telefonate promozionali senza il consenso informato degli interessati dal momento che la Società non ha prodotto riscontri probatori atti a documentarne l’acquisizione. Si ritiene, pertanto, integrata la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 14 del Regolamento e dell’art. 130 del Codice, non solo in relazione ai due casi di cui al presente procedimento, ma nel complesso dei trattamenti svolti dalla Undici e relativi alle anagrafiche acquisite da Realmaps delle quali sono risultate contattate il 10/15% delle utenze telefoniche; considerato che i numeri telefonici forniti da Realmaps ammontano ad un totale di 20.881 (13.265 mobili e 7.616 fissi, come comunicato a Vogliocasa – v. punto 1 del presente provvedimento), sulla base di quanto dichiarato dalla Società, i contatti avrebbero riguardato circa 2-3 mila utenze telefoniche.

A ciò si aggiunge la violazione dell’art. 130, commi 3 e 3 bis, del Codice in relazione all’art. 1, comma 12, della legge n. 5/2018, con riferimento allo svolgimento, da parte della Società, di attività di telemarketing senza aver consultato il Registro delle opposizioni a cadenza mensile o comunque prima di ogni campagna promozionale. In assenza di riscontri sul punto da parte della Società, deve rilevarsi che, attesa la finalità promozionale sopra evidenziata e il mezzo telefonico con il quale le comunicazioni agli interessati sono veicolate, la verifica nel Registro deve considerarsi quale pre-condizione per poter svolgere correttamente attività di telemarketing e la mancata consultazione non può che determinare l’impossibilità di avviare qualsivoglia campagna promozionale per la quale è previsto l’utilizzo del citato mezzo telefonico.

Inoltre, la Società non ha prodotto, come richiesto dall’Ufficio, lo script di chiamata utilizzato per i contatti promozionali, né, dalla documentazione in atti, risulta aver fornito agli interessati la necessaria informativa ai sensi dell’art. 13 del Regolamento con la quale far conoscere gli aspetti più rilevanti del trattamento dei dati personali (natura, origine dei dati, base giuridica). Infatti, informazioni sull’origine dei dati e sul consenso al trattamento per scopi promozionali sono state fornite all’interessato soltanto dopo una sua esplicita richiesta (formulata il 15 febbraio 2023 alla quale la Undici ha dato un riscontro, peraltro parziale, il 1° marzo successivo). Si ritiene pertanto integrata la violazione dell’art. 13 del Regolamento nonché dei principi di liceità e trasparenza di cui all’art. 5, par. 1, lett. a) del medesimo Regolamento.

La Società non ha chiarito le modalità adottate per assicurare il diritto di opposizione degli interessati, limitandosi a comunicare di aver cancellato i dati ceduti da Realmaps, manifestando il proposito di migliorare la propria politica di trattamento dei dati personali, con particolare riferimento alla verifica sull’origine dei futuri contatti di cui verrà in possesso e sui consensi eventualmente prestati dagli interessati; ciò soltanto dopo l’istruttoria avviata dall’Autorità. Tuttavia, da quanto è dato comprendere, per una completa evasione delle istanze degli interessati in ordine ai trattamenti dei loro dati personali, la Undici era tenuta a confrontarsi con Realmaps che deteneva le informazioni sull’origine dei dati medesimi e sull’eventuale consenso alla comunicazione a terzi. Tale passaggio a Realmaps era necessario per ottenere le informazioni sui dati ma determinava una notevole distrazione di tempo e un potenziale ritardo nella soddisfazione di quanto richiesto. Pertanto, per un’evasione tempestiva “e senza ingiustificato ritardo” delle richieste degli interessati (ex art. 12, par. 3, del Regolamento) non è apparsa funzionale tale modalità operativa che non ha consentito una gestione adeguata delle istanze di esercizio dei diritti, integrando la violazione degli artt. 12 e 15 del Regolamento. Sotto questo profilo, la mera cancellazione dei dati, così come rappresentata dalla Società in sede di riscontro all’Autorità, non esaurisce gli obblighi del titolare di fornire agli interessati tutte le informazioni sul trattamento dei loro dati, dall’identificazione dell’originario titolare che avrebbe acquisito il consenso al marketing sino ai soggetti a cui i dati erano o sarebbero stati comunicati, nonché alle relative basi giuridiche di liceità, oltre a garantire di aver adottato idonei accorgimenti per impedire ulteriori futuri trattamenti (ad es. inserimento del nominativo in black list).

I trattamenti sopra descritti restituiscono un quadro di non adeguato controllo e di inosservanza delle norme in materia di protezione dei dati personali. Le iniziative intraprese dalla Società a seguito della richiesta di informazioni dell’Ufficio (interruzione dei rapporti commerciali con Realmaps e cancellazione dei dati da quest’ultima acquisiti) non bastano a ridurre il grado di responsabilità in vigilando che il titolare deve costantemente esercitare nel corso delle attività di trattamento. In mancanza di adeguati controlli sull’intera filiera del trattamento (dalla raccolta dei dati personali alla realizzazione della campagna promozionale) l’attività di marketing si pone in violazione degli artt. 5, par. 2, e 24 del Regolamento, che inquadrano le competenze del titolare in un’ottica di necessaria valorizzazione del principio di responsabilizzazione (accountability) finalizzata a comprovare gli adempimenti effettuati in materia di protezione dei dati personali, anche tenuto conto del principio di privacy by design (art. 25 del Regolamento).

4.    CONCLUSIONI

Alla luce delle argomentazioni di cui al punto 3 del presente provvedimento, pur prendendo atto delle iniziative intraprese dalla Società (interruzione dei rapporti commerciali con Realmaps e cancellazione dai sistemi societari dei dati personali acquisiti), con riferimento ai trattamenti già effettuati e oggetto di istruttoria, si ritiene di confermare le violazioni contestate e si rende necessario:

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiungere alla Società, qualora intenda in futuro indirizzare l’attività promozionale verso utenze telefoniche fornite da soggetti terzi, di adottare idonee procedure volte a verificare costantemente, anche mediante adeguati controlli a campione, che i dati personali siano trattati nel pieno rispetto delle disposizioni in materia (acquisizione preventiva di un consenso libero, specifico, inequivocabile, documentato, oltre che informato, degli interessati per l’invio di comunicazioni commerciali) (artt. 6, 7 e 14 del Regolamento);

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiungere, ai fini dell’obbligo informativo di cui all’art. 13 del Regolamento, di fornire agli interessati tutte le informazioni ivi previste;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiungere alla Undici di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze, compreso il diritto di opposizione che può essere avanzato “in qualsiasi momento” dall’interessato.

Infine, con riguardo ai trattamenti già realizzati e in considerazione delle violazioni sopra accertate, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento.

5. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, risultano violate varie disposizioni del Regolamento e del Codice in relazione a trattamenti collegati effettuati dalla Undici, per cui occorre applicare l’art. 83, par. 3, del Regolamento, in base al quale, se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave con conseguente applicazione della sola sanzione prevista dall’art. 83, par. 5, del Regolamento.

Ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2, da valutare all’atto di quantificarne il relativo importo.

Quali circostanze da prendere in considerazione, nel caso di specie, devono essere considerati, sotto il profilo delle aggravanti:

1.    l’elevato numero di soggetti coinvolti nel trattamento per i quali la Società non è stata in grado di comprovare i requisiti di liceità per l’attività commerciale (quali, informativa e consenso): 20.881 sono le utenze telefoniche fornite da Realmaps (13.265 mobili e 7.616 fissi) di cui circa 2-3-mila sarebbero state destinatarie di contatti promozionali (art. 83, par. 2, lett. a del Regolamento);

2.    la gravità delle violazioni rilevate, con particolare riferimento all’assenza di verifiche a campione delle numerazioni da contattare acquisite dal fornitore, alla non adeguata gestione delle istanze di esercizio dei diritti degli interessati, nonché all’inidoneità dell’informativa resa in occasione dei contatti telefonici (art. 83, par. 2, lett. a del Regolamento);

3.    il carattere negligente della condotta, dal momento che le norme a protezione dei dati personali sono state ignorate dal titolare fino all’intervento del Garante (art. 83, par. 2, lett. b del Regolamento);

4.    la difformità della condotta della Società rispetto alla consistente attività provvedimentale dell’Autorità in materia di marketing, con particolare riferimento agli adempimenti dell’informativa e del consenso (art. 83, par. 2, lett. k del Regolamento).

Quali elementi attenuanti, si ritiene di poter tener conto:

1.    dell’assenza di precedenti procedimenti avviati a carico della Società (art. 83, par. 2, lett. e del Regolamento);

2.    delle iniziative intraprese dalla Società a seguito della richiesta di informazioni dell’Ufficio (interruzione dei rapporti commerciali con Realmaps e cancellazione dei dati da quest’ultima acquisiti), nonché dell’espressa intenzione di adottare misure correttive al fine di rendere il trattamento conforme alla normativa in materia di protezione dei dati personali (con particolare riferimento alla verifica sull’origine dei futuri contatti di cui verrà in possesso e sui consensi eventualmente prestati dagli interessati) (art. 83, par. 2, lett. f del Regolamento);

3.    della natura dei dati trattati, consistenti in dati comuni anagrafici e di contatto (art. 83, par. 2, lett. g del Regolamento);

4.    della complessiva valutazione sulla capacità economica della Undici, con particolare riferimento all’ultimo bilancio di esercizio per il periodo di imposta 2023 (art. 83, par. 2, lett. k del Regolamento).

In una complessiva ottica di necessario bilanciamento fra diritti degli interessati e libertà di impresa, occorre valutare prudentemente i suindicati criteri, anche al fine di limitare l’impatto economico della sanzione.

Pertanto si ritiene che - in base al complesso degli elementi sopra indicati - debba applicarsi alla Undici la sanzione amministrativa del pagamento di una somma di euro 8.000,00 (ottomila/00) pari allo 0,04% della sanzione edittale massima di 20 milioni di euro.

Nel caso in argomento si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare proporzionata in relazione alla gravità e al particolare disvalore delle condotte oggetto di censura, con specifico riferimento all’acquisizione di un numero elevato di anagrafiche (20.881) di cui non sono stati verificati i presupposti di legittimità (informativa e consenso); ciò indipendentemente dal fatto che i contatti indesiderati effettuati abbiano in concreto interessato un numero inferiore di utenze (2-3 mila circa) in quanto anche solo la raccolta dei dati testè descritta, ancorchè non utilizzabili, costituisce un trattamento effettuato in violazione della normativa in materia di protezione dei dati, da cui consegue una valutazione di significativo disvalore della condotta medesima.

Si ricorda che, ai sensi dell’art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto del trattamento è punito con la reclusione da tre mesi a due anni e che, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e) del Regolamento

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato dalla Undici S.r.l.s., con sede in Via Padova 178, 20132 Milano (MI), P.IVA 12465230964; di conseguenza: 

a) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge alla Società, qualora intenda in futuro indirizzare l’attività promozionale verso utenze telefoniche fornite da soggetti terzi, di adottare idonee procedure volte a verificare costantemente, anche mediante adeguati controlli a campione, che i dati personali siano trattati nel pieno rispetto delle disposizioni in materia (acquisizione preventiva di un consenso libero, specifico, inequivocabile, documentato, oltre che informato, degli interessati per l’invio di comunicazioni commerciali) (artt. 6, 7 e 14 del Regolamento);

b) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge, ai fini dell’obbligo informativo di cui all’art. 13 del Regolamento, di fornire agli interessati tutte le informazioni ivi previste;

c) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze, compreso il diritto di opposizione che può essere avanzato “in qualsiasi momento” dall’interessato;

d) ai sensi dell’art. 157 del Codice, ingiunge alla Undici di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

ORDINA

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, alla Undici S.r.l.s., in persona del suo legale rappresentante, di pagare la somma di euro 8.000,00 (ottomila,00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 8.000,00 (ottomila,00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019, la pubblicazione del presente provvedimento nonché, ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione della presente ordinanza ingiunzione sul sito web del Garante;

b) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 10 aprile 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE REGGENTE
Filippi