[doc. web n. 10197144]

Provvedimento del 9 ottobre 2025

Registro dei provvedimenti
n. 592 del 9 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. dott. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000 (disponibile per la consultazione sul sito www.gpdp.it, doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con atto Prot. n. 24517 del 24 febbraio 2025, notificato in pari data mediante posta elettronica certificata, che qui deve intendersi integralmente riprodotto, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di AD Media S.r.l., (di seguito “AD Media” o “Società”), in persona del legale rappresentante pro-tempore, con sede legale in Livorno (LI), via delle Cateratte, 90, P.IVA 01763400494.

Il procedimento trae origine da una istruttoria avviata a seguito della trasmissione all’Autorità di una segnalazione mediante la quale l’interessato lamentava l’avvenuta ricezione di una mail finalizzata alla promozione di servizi di consulenza e comparazione nel campo energetico, priva dei link utili alla consultazione dell’informativa sul trattamento dei dati personali e all’esercizio del diritto alla cancellazione.

1.2. La richiesta di informazioni formulata dall’Autorità

Nell’ambito dell’istruttoria preliminare condotta a seguito della ricezione della segnalazione da parte dell’interessato, l’Ufficio accertava che la comunicazione oggetto di doglianza recava in calce un’informativa sintetica sul trattamento dei dati personali e che puntando il cursore sugli spazi - apparentemente vuoti - posti dopo le diciture “cliccando” oppure ricopiandone il testo, i richiamati link divenivano utilizzabili (cfr. «Ricevi questa mail in quanto sei iscritto/a alla newsletter di XX. Ai sensi dell'art. 13 del Regolamento UE n. 697/2016 (GDPR) ti informiamo che il titolare del trattamento è AD Media Srl con sede legale in Via delle Cateratte 90, 57122, Livorno. Per conoscere i dettagli del trattamento dei tuoi dati, puoi visualizzare l’informativa privacy di AD Media Srl cliccando qui. L'invio della presente email promozionale è stato curato da XX in qualità di Responsabile del Trattamento per AD Media Srl. Se non vuoi più ricevere le nostre comunicazioni puoi richiedere la cancellazione cliccando qui»).  

Per l’effetto, cliccando sul primo dei link indicati, l’utente veniva reindirizzato alla pagina recante la privacy policy del portale Lavoro.in, riconducibile ad AD Media.  

Invece, cliccando sul secondo link, l’utente veniva reindirizzato alla pagina dedicata alle istanze di disiscrizione nell’ambito del portale XX, riconducibile a XX (di seguito anche “XX”).

In considerazione di tali evidenze, l’Ufficio con nota Prot. n. 127662 del 30 ottobre 2024, ai sensi degli artt. 58, par. 1, lett. a) del Regolamento e 157 del Codice, chiedeva ad AD Media e a XX di fornire le proprie osservazioni riguardo alle circostanze oggetto di doglianza e di «a) indicare il titolare del trattamento in relazione alle attività riconducibili all’utilizzo del portale XX e all’inoltro delle relative newsletter; b) fornire maggiori informazioni in ordine ai rapporti intercorrenti tra le società indicate in indirizzo e ai ruoli soggettivi svolti in relazione ai trattamenti di dati personali riconducibili al portale XX, nonché all’inoltro delle relative newsletter; c) illustrare le misure adottate al fine di garantire che le attività di comparazione, telemarketing e teleselling realizzate mediante il portale, siano svolte in ottemperanza alla normativa vigente in materia di protezione dei dati personali; d) illustrare le misure adottate al fine di garantire l’esercizio dei diritti da parte degli interessati».

Con riscontro del 4 novembre 2024 (cfr. Prot. n. 129563 del 5 novembre 2024) XX rappresentava preliminarmente che «Il portale XX è un sito internet di proprietà della XX. Le promozioni che vengono veicolate attraverso tale dominio possono essere indirizzate su contatti del proprio database, caso in cui XX agisce in qualità di titolare del trattamento dei dati o su contatti presenti in database di terzi, come nel caso di specie. Ogni singola e-mail riporta e indica all’interessato i riferimenti di cui sopra, l’informativa dedicata, il link di cancellazione, i contatti del titolare del trattamento (…) Il link di disiscrizione è gestito attraverso una specifica pagina del portale XX che notifica la richiesta al titolare del trattamento che procede all’immediata cancellazione dei dati personali dal proprio database».

XX chiariva, altresì, di avere ricevuto un incarico da parte di AD Media avente a oggetto la realizzazione di campagne promozionali rivolte ad «alcuni contatti del database del committente». Rispetto a tali trattamenti di dati personali, XX agiva in qualità di responsabile del trattamento dei dati e AD Media assumeva il ruolo di titolare del trattamento.

AD Media, inoltre, aveva fornito specifiche istruzioni per lo svolgimento dell’incarico, ivi inclusa l’indicazione del link all’informativa da inserire in calce alle mail promozionali.

Con nota trasmessa in data 4 novembre 2024 (cfr. Prot. n. 129667 del 5 novembre 2024), AD Media confermava «di essere il titolare del trattamento dei dati personali per le attività di invio di comunicazioni promozionali relative al portale Lavoro.in» e di avere conferito la nomina ex art. 28 del Regolamento a XX per effettuare l’inoltro di e-mail promozionali utilizzando un database fornito dal medesimo titolare, nonché per lo «sviluppo di campagne promozionali attraverso l’invio di comunicazioni promozionali, inclusa la gestione dei contatti e delle informative previste per legge».

AD Media evidenziava di avere fornito «istruzioni precise affinché in ogni comunicazione promozionale sia sempre incluso un link attivo all’informativa privacy di AD Media (http://www.lavoro.in/privacy-policy) e i recapiti per l’esercizio dei diritti da parte degli interessati, nonché un link al modulo di disiscrizione automatica» e che era stato concordato che «prima di ogni invio, XX effettui una verifica manuale della funzionalità del link all’informativa privacy e al modulo di disiscrizione, tramite l’invio di una mail di test».

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, adottava il sopra richiamato atto di contestazione Prot. n. 24517/25 nel quale, in primo luogo, osservava che l’informativa posta in calce alla mail promozionale oggetto di doglianza risultava poco chiara e trasparente, nonché foriera di informazioni inesatte.

In aggiunta, si rilevava che i link presenti all’interno della mail promozionale non erano prima facie visibili, salvo posizionare il cursore sullo spazio vuoto in corrispondenza della parola “cliccando” oppure ricopiare manualmente tutto il testo, rendendo di fatto difficoltosa la consultazione dell’informativa estesa sul trattamento e, al contempo, ostacolando l’esercizio dei diritti da parte dei soggetti interessati.

L’Ufficio rilevava, inoltre, che nella home-page del sito Lavoro.in era presente un form per la raccolta dei dati personali degli utenti, che non consentiva di esprimere un valido consenso al trattamento dei dati per finalità promozionali, giacché carente sotto il profilo della previa informazione, della libertà e della specificità.

Pertanto, venivano contestate le seguenti ipotesi di violazione:

a) artt. 5, 12, 13, 14 e da 15 a 22 del Regolamento per avere effettuato trattamenti di dati personali in assenza dei prescritti requisiti di correttezza e trasparenza, ostacolando l'esercizio dei diritti riconosciuti all’interessato;

b) artt. 5, 6, 7, 12, 13 del Regolamento e 130 del Codice per avere effettuato trattamenti di dati personali con finalità promozionali, senza la previa acquisizione di un consenso informato, libero e specifico dell’interessato.

2. LA DIFESA DEL TITOLARE

Ad Media non presentava richiesta di audizione davanti all’Autorità e trasmetteva i propri scritti difensivi, in base a quanto previsto dall’art. 166, comma 6, del Codice e dall’art. 13 del regolamento del Garante n. 1/2019 (disponibile per la consultazione sul sito www.gpdp.it, doc-web n. 9107633).
Nella fattispecie, con nota del 18 marzo 2025 (cfr. Prot. n. 36634 del 19 marzo 2025) la Società ribadiva di avere affidato a XX l’incarico di sviluppare «campagne promozionali attraverso l’invio di comunicazioni pubblicitarie» e che nell’ambito dell’esecuzione dei compiti affidati, quest’ultima aveva agito in qualità di responsabile del trattamento.

La Società chiariva, altresì, di avere «fornito a XX istruzioni precise affinché in ogni comunicazione promozionale fossero sempre inclusi: - un link attivo all’informativa privacy di AD Media (https://www.lavoro.in/privact-policy/)»; «i recapiti per l’esercizio dei diritti degli interessati» ed «un link al modulo di disiscrizione automatica», precisando di non aver mai «autorizzato né fornito istruzioni a XX, per l’inserimento di altri link diversi da quelli sopra indicati né, tantomeno, di indicare ai destinatari delle comunicazioni di essere iscritti alla newsletter di XX ovvero di utilizzare espressioni o accorgimenti grafici non in linea con i principi di correttezza e trasparenza».

A tale riguardo, AD Media rappresentava anche di essersi attivata - in collaborazione con XX - al fine di rendere ogni comunicazione pienamente conforme ai requisiti del Regolamento.

La Società evidenziava, poi, che «l’attività pubblicitaria svolta si era limitata esclusivamente all’invio di e-mail promozionali, come indicato al punto 2 dell’informativa privacy. Non sono mai stati ceduti dati personali a terzi. Non è mai stata effettuata alcuna attività di profilazione degli utenti.  Non è mai stata svolta alcuna attività ulteriore rispetto all’invio di e-mail promozionali».

Quanto alla configurazione del form presente sul sito web aziendale, AD Media rilevava che la presenza di due distinte formule per l’acquisizione del consenso era frutto di un mero errore materiale e che l’unico trattamento effettivamente realizzato era quello finalizzato all’inoltro di comunicazioni promozionali.

Sul punto, la Società evidenziava che «al di là dell’aspetto formale, i principi di correttezza e trasparenza del trattamento siano stati sostanzialmente rispettati. Inoltre, il fatto che nel form di iscrizione venisse richiesto esclusivamente l’indirizzo e-mail, rendeva evidente agli utenti che non sarebbero state effettuate altre attività promozionali, come l’invio di comunicazioni tramite posta, fax o telefono».

AD Media precisava che l’attività di invio di materiale pubblicitario tramite mail veniva «effettuata solo nei confronti di soggetti interessati che hanno selezionato l’apposita casella presente nel sito web di Ad Media S.r.l., e che la selezione di tale casella risulta del tutto libera e facoltativa e la mancata prestazione del consenso non comporta alcun effetto pregiudizievole per l’interessato».

Quanto alle misure correttive adottate, la Società rappresentava di avere eliminato «la seconda richiesta di consenso nel form di iscrizione, mantenendone una sola, coerente con l’attività effettivamente svolta» (cfr. «Acconsento al trattamento dei dati personali per le finalità commerciali di cui al paragrafo 2 dell'Informativa privacy») e di avere aggiornato «l’informativa privacy, specificando in maniera ancora più esplicita che il consenso è richiesto esclusivamente per l’invio di materiale pubblicitario tramite e-mail» (cfr. «Con il Suo consenso, i Suoi dati saranno trattati ai fini dell’invio di materiale pubblicitario, vendita diretta, ricerche di mercato, concorsi a premio e sondaggi, tramite e-mail. Il consenso al trattamento per tali finalità è facoltativo ed un eventuale rifiuto non pregiudica la fornitura dei servizi richiesti. Le ricordiamo che potrà opporsi in qualsiasi momento al trattamento dei Suoi dati per tali finalità, nonché potrà esercitare gli ulteriori diritti previsti dalla legge, facendone semplice richiesta, senza alcuna formalità»).

La Società illustrava, infine, le circostanze attenuanti e di matrice economica da tenere in considerazione ai sensi e per gli effetti dell’art. 83 del Regolamento, quali le modeste dimensioni e gli esigui ricavi, nonché «a) il carattere colposo della eventuale violazione; b) le misure adottate dal Titolare a seguito della contestazione; c) il grado di responsabilità del Titolare rispetto alle informazioni presenti nel footer della comunicazione e-mail; d) l’assenza di precedenti violazioni del Titolare; e) la pronta cooperazione con l’Autorità nel corso del procedimento; f) le categorie di dati personali: dati comuni di contatto (indirizzo e-mail); g) assenza di precedenti provvedimenti nei confronti del Titolare».

3. VALUTAZIONI DELL’AUTORITÀ

Va in primo luogo rappresentato che la documentazione e le osservazioni fornite da AD Media nel corso del procedimento non appaiono idonee a escludere la responsabilità della Società in relazione alle violazioni contestate dall’Autorità.

Quanto all’informativa sintetica posta in calce alla mail promozionale oggetto di doglianza, avuto riguardo alla sua formulazione e agli accorgimenti grafici utilizzati, si rileva che la medesima era del tutto carente sotto il profilo della chiarezza e della trasparenza, nonché foriera di informazioni inesatte.

In base alle dichiarazioni fornite dalla medesima Società ai sensi dell’art. 168 del Codice, infatti, è emerso per tabulas che contrariamente a quanto riportato in calce alla mail promozionale (cfr. «Ricevi questa mail in quanto sei iscritto/a alla newsletter di XX (…)»), le liste di contatti utili all’espletamento della campagna pubblicitaria non provenivano affatto dalle iscrizioni alla newsletter del portale XX (gestito da XX), bensì erano state raccolte direttamente da AD Media attraverso un form pubblicato sul sito web Lavoro.in.

In altri termini, avuto anche riguardo ai riferimenti manifestamente contraddittori, nel caso di specie non era di fatto possibile comprendere né la provenienza della comunicazione, né il ruolo svolto dai soggetti a vario titolo richiamati nel corpo dell’informativa.

Da un lato, infatti, l’espresso richiamo alla newsletter XX, il reindirizzamento a tale portale in caso di utilizzo del link utile alla disiscrizione, nonché la natura dei servizi oggetto di promozione (consulenza energetica), lasciavano intendere che i dati del segnalante erano stati raccolti mediante l’iscrizione a tale portale.

Dall’altro, la dicitura riportata in calce alla mail, riferiva che AD Media era il titolare del trattamento e forniva il link alla privacy policy di Lavoro.in, portale utile alla ricerca di annunci di lavoro e del tutto privo di riferimenti ai servizi di fornitura energetica.

Si aggiunga che i link riportati all’interno della mail promozionale non erano nemmeno prima facie visibili - salvo posizionare il cursore sullo spazio vuoto in corrispondenza della parola “cliccando” oppure ricopiare manualmente tutto il testo – rendendo oggettivamente difficoltosa e ostacolando la consultazione dell’informativa estesa sul trattamento dei dati personali.

E’ di palmare evidenza che in ragione delle formulazioni e degli accorgimenti grafici adottati, l’utilizzo di siffatti moduli comunicativi si ponga in aperto contrasto con le disposizioni di cui all’art. 5, par. 1, lett. a) del Regolamento, a tenore del quale i dati personali devono essere trattati nel rispetto dei principi di liceità, correttezza e trasparenza nei confronti dell'interessato (cfr. Cons. 39 «(…) dovrebbero essere trasparenti per le persone fisiche le modalità con cui sono raccolti, utilizzati, consultati o altrimenti trattati dati personali che le riguardano nonché la misura in cui i dati personali sono o saranno trattati. Il principio della trasparenza impone che le informazioni e le comunicazioni relative al trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un linguaggio semplice e chiaro. Tale principio riguarda, in particolare, l'informazione degli interessati sull'identità del titolare del trattamento e sulle finalità del trattamento e ulteriori informazioni per assicurare un trattamento corretto e trasparente con riguardo alle persone fisiche interessate e ai loro diritti di ottenere conferma e comunicazione di un trattamento di dati personali che le riguardano (...)»).

Sul punto si osserva, altresì, che l’obiettiva difficoltà di individuare i soggetti coinvolti e il ruolo soggettivo ricoperto rispetto al trattamento dei dati personali, nonché le dichiarazioni fuorvianti in merito all’origine delle informazioni e alla base giuridica del trattamento, unitamente alla carente visibilità dei link di reindirizzamento, concorrono a vanificare, tra le altre cose, anche uno dei principali scopi dell’informativa sul trattamento dei dati personali, vale a dire rendere edotto l’interessato in ordine ai diritti previsti dalla vigente normativa e ai mezzi a disposizione per il loro esercizio. Tale contegno, dunque, vale a violare non solo i principi di correttezza e trasparenza, ma anche le disposizioni dell’art. 12 del Regolamento, che sancisce un generale obbligo di agevolare l’esercizio dei diritti da parte dei soggetti interessati.

A tale riguardo, nemmeno può essere accolta l’eccezione avanzata dalla Società in ordine all’insussistenza della propria responsabilità con riferimento alla dicitura riportata in calce alla mail oggetto di doglianza, in ragione delle istruzioni impartite al responsabile del trattamento. 
AD Media non ha fornito alcun elemento, nemmeno di carattere documentale, né in relazione alle indicazioni fornite ex ante, né in ordine ai controlli svolti ex post sull’operato del responsabile del trattamento.

Al contrario, proprio dalle dichiarazioni fornite dalla Società, risulta acclarato che AD Media aveva completamente delegato al fornitore anche la realizzazione di tutte quelle attività correlate alla verifica della correttezza e funzionalità dei messaggi veicolati (cfr. memorie difensive «Era stato concordato con XX che, prima di ogni invio, quest’ultima effettuasse una verifica manuale della correttezza, visibilità e funzionalità del link all’informativa privacy e del modulo di disiscrizione, tramite l’invio a sé stessa di una e-mail di test»).

Ma è di palmare evidenza che affidare le attività di verifica e controllo al medesimo soggetto controllato, si riveli una contraddizione in termini e comporti una totale mancanza di verifiche (culpa in vigilando).

Ne consegue che la previsione di pattuizioni o clausole di manleva, che si risolvono in un mero espediente formale, se non accompagnate da attenta valutazione e controllo sui trattamenti demandati ai propri partner, non può sortire alcuna efficacia esimente o attenuante in capo alla Società committente.   

Sotto altro profilo, anche con riguardo ai trattamenti di dati personali riconducibili all’utilizzo del portale Lavoro.in, si ritengono sussistenti gli estremi di tutte le violazioni contestate.

Nel corso del procedimento, infatti, entrambe le Società hanno dichiarato che le liste di contatti utilizzate ai fini della campagna pubblicitaria affidata a XX, provenivano dal committente ed erano state raccolte tramite il sito web Lavoro.in.

Nella home-page del sito Lavoro.in era presente, difatti, un form per la raccolta dei dati personali e il conferimento di due consensi – distinti e facoltativi - da parte degli interessati, recante la dicitura «Ricevi gli ultimi annunci via e-mail! Iscriviti per essere sempre aggiornato sulle ultime offerte di lavoro in Italia! Accetto l'Informativa privacy. Consenso 1 - Acconsento al trattamento dei dati personali per le finalità commerciali e statistiche del Titolare, di cui al paragrafo 2 dell'Informativa privacy. Consenso 2 - Acconsento al trattamento dei dati personali per le finalità commerciali e statistiche del Titolare, di cui al paragrafo 5 dell'Informativa privacy».

Tuttavia, il secondo paragrafo dell’informativa in parola prevedeva che «2. Ulteriori fina-lità Con il Suo consenso, i Suoi dati saranno trattati ai fini dell’invio di materiale pubblicitario in linea con il suo profilo, vendita diretta, ricerche di mercato, concorsi a premio, sondaggi, invio di materiale pubblicitario e comunicazioni commerciali tramite posta, allegato in fattura, e-mail, fax o telefono, anche da parte di terzi. Il consenso al trattamento per tali finalità è facoltativo ed un eventuale rifiuto non pregiudica la fornitura dei servizi richiesti. Le ricordiamo che potrà opporsi in qualsiasi momento al trattamento dei Suoi dati per tali finalità, nonché potrà esercitare gli ulteriori diritti previsti dalla legge, facendone semplice richiesta, senza alcuna formalità», mentre il quinto paragrafo faceva esclusivo riferimento ai diritti dell’interessato.

In considerazione delle formulazioni utilizzate e delle informazioni fornite mediante la citata informativa, i consensi raccolti attraverso il portale in esame non possono ritenersi validi ai sensi della vigente normativa, giacché carenti sotto il profilo della previa informazione, della libertà e della specificità.

Da un lato, infatti, la Società acquisiva – e continua ad acquisire (benché attualmente non vi siano annunci effettivamente consultabili, il form è ancora attivo) - un unico consenso per distinte finalità, vale a dire inoltro di comunicazioni inerenti gli annunci di lavoro, comunicazioni promozionali nell’interesse di terzi e profilazione, senza offrire la possibilità di effettuare una scelta specifica, libera e granulare (cfr. Provv. n. 330 del 4 luglio 2013, doc. web 2542348 «Quanto alle finalità del trattamento di dati personali, si ribadisce che il titolare del trattamento deve acquisire un consenso specifico per ciascuna distinta finalità quali ad esempio: marketing, profilazione, comunicazione a terzi dei dati»).

Dall’altro, le diciture utilizzate non ponevano l’interessato in condizione di esprimere una volontà effettivamente consapevole, atteso che non facevano in alcun modo presagire la possibile ricezione di comunicazioni pubblicitarie aventi a oggetto la promozione di servizi di consulenza energetica, che nulla hanno a che vedere con il campo del recruitment.  

Si aggiunga che la condotta si connota di particolare gravità, non solo in ragione della pervasività dei mezzi utilizzati (internet), ma anche in considerazione della circostanza che sovente i soggetti che si approcciano alla ricerca di un impiego, possono verosimilmente trovarsi in uno stato di necessità o comunque in una situazione, che per svariate ragioni, può determinare una contingente vulnerabilità, che necessita di una correlata e maggiore protezione.

Al riguardo non può essere accolta nemmeno l’eccezione avanzata dalla Società, nella parte in cui ha contestato che il trattamento dei dati raccolti tramite il sito Lavoro.in era consistito esclusivamente nell’inoltro di e-mail promozionali, senza comportare alcuna cessione dei dati personali a terzi o effettuare alcuna attività di profilazione degli utenti.

Invero, i dati raccolti attraverso il portale in parola, stando alle dichiarazioni fornite dalla medesima Società, venivano utilizzati anche per l’inoltro di comunicazioni pubblicitarie realizzate nell’interesse di terzi.

Tuttavia dalla lettera dei form e dell’informativa visibili sul sito, non solo non era affatto chiara la natura dei servizi oggetto di promozione, ma non era possibile nemmeno conferire un consenso disgiunto rispetto alle comunicazioni commerciali inerenti i servizi offerti direttamente da Ad Media e quelle realizzate nell’interesse di società terze.

Parimenti non può essere accolta nemmeno la tesi dell’errore materiale in ordine ai form di consenso utilizzati, considerata la natura manifesta ed abnorme delle criticità rilevate e che il testo dell’informativa resa agli interessati deve essere conforme all’attività effettivamente compiuta dal titolare.

Sul tema, l’Autorità si è già pronunciata ripetutamente, interpretando il principio della trasparenza anche sotto il profilo dell’agevole comprensibilità del messaggio informativo, avuto riguardo alle modalità e alle finalità del trattamento effettivamente perseguite, ribadendo che debba sussistere una corrispondenza fra informativa resa ex art. 13 del Regolamento ed i trattamenti effettivamente posti in essere, al fine di dare piena attuazione anche all’art. 12 del Regolamento, che si pone come fondamentale e innovativo criterio di legittimità dei trattamenti stessi (cfr. Provv. n. 699 del 14 novembre 2024, disponibile per la consultazione sul sito www.gpdp.it).  

Per tutte le ragioni illustrate, deve ritenersi definitivamente confermata la responsabilità di AD Media in ordine a tutte le violazioni contestate.

4. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di AD Media in ordine alle seguenti violazioni:

a) artt. 5, 12, 13, 14 e da 15 a 22 del Regolamento per avere effettuato trattamenti di da-ti personali in assenza dei prescritti requisiti di correttezza e trasparenza, ostacolando l'esercizio dei diritti riconosciuti all’interessato;

b) artt. 5, 6, 7, 12, 13 del Regolamento e 130 del Codice per avere effettuato trattamenti di dati personali con finalità promozionali, senza la previa acquisizione di un consenso informato, libero e specifico dell’interessato.

Accertata, altresì, l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- imporre alla Società, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati raccolti mediante il Portale Lavoro.in, in assenza di un’idonea base giuridica e del conferimento di una previa e adeguata informativa;

- ingiungere alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di conformare i trattamenti effettuati attraverso il portale Lavoro.in alle disposizioni della vigente normativa in materia di protezione dei dati personali, con particolare riferimento alla chiarezza e trasparenza delle informazioni complessivamente fornite ai soggetti interessati, nonché alla validità dei consensi raccolti per l’inoltro di comunicazioni promozionali;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di AD Media della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento.

5. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di AD Media della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento (pagamento di una somma fino a € 20.000.000,00 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore).

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

1) quale fattore aggravante, la circostanza che l’oggetto e le finalità degli stessi trattamenti sono riconducibili ad un fenomeno in ordine al quale l’Autorità ha adottato, in particolare negli ultimi anni, numerosi provvedimenti che hanno compiutamente preso in esame molteplici elementi di criticità fornendo ai titolari numerose indicazioni per adeguare i trattamenti alla normativa vigente (art. 83, par. 2, lett. a) del Regolamento);

2) quale fattore aggravante, la gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), avuto riguardo ai mezzi utilizzati e ai soggetti interessati destinatari dei servizi offerti dal portale oggetto di istruttoria;

3) quale fattore attenuante, la circostanza (art. 83, par. 2, lett. e) del Regolamento) che AD Media non risulta essere stata destinataria di precedenti provvedimenti correttivi e sanzionatori.

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi ad AD Media la sanzione amministrativa del pagamento di una somma di euro 5.000,00 (cinquemila/00), pari allo 0,25% della sanzione massima edittale.

Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti e delle condotte della Società, nonché degli elementi di rischio per i diritti e le libertà degli interessati.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare ragionevole e proporzionata in relazione alla gravità e al particolare disvalore delle condotte oggetto di censura, soprattutto avuto riguardo alla pervasività dei mezzi utilizzati e ai destinatari della stessa, nonché alla gravità delle condotte contestate, in quanto afferenti ai principi fondamentali - e costantemente ribaditi - della normativa in materia di protezione dei dati personali.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. a), del Regolamento, dichiara illecito, nei termini di cui in motivazione, il trattamento effettuato da parte di AD Media S.r.l., con sede legale in Via delle Cateratte, 90, Livorno (LI), P.IVA 01763400494;

b) impone alla Società, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati appartenenti raccolti mediante il portale Lavoro.in, in assenza di un’idonea base giuridica e del conferimento di una previa e adeguata informativa;

c) ingiunge alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di conformare i trattamenti effettuati attraverso il portale Lavoro.in alle disposizioni della vigente normativa in materia di protezione dei dati personali, con particolare riferimento alla chiarezza e trasparenza delle informazioni complessivamente fornite ai soggetti interessati, nonché alla validità dei consensi raccolti per l’inoltro di comunicazioni promozionali;

d) ingiunge alla Società, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a AD Media S.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Livorno (LI), via delle Cateratte n. 90, P.IVA 01763400494, di pagare la somma di euro 5.000,00 (cinquemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 5.000,00 (cinquemila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

a) la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019;

b) l’applicazione della sanzione accessoria della pubblicazione sul sito del Garante della presente ordinanza di ingiunzione, come previsto dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019;

c) l’annotazione del presente provvedimento nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso. 

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la sede il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 9 ottobre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Fanizza