[doc. web n. 10209743]

Provvedimento del 13 novembre 2025

Registro dei provvedimenti
n. 671 del 13 novembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente e il dott. Agostino Ghiglia, componente, e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

L’avv. XX ha presentato all’Autorità un reclamo lamentando la ricezione di una chiamata commerciale da parte della Società BDF Communication s.r.l.s. (di seguito anche “Società” o “BDF”) nonostante il numero contattato fosse iscritto nel Registro Pubblico delle Opposizioni.

Con la nota del 19 settembre 2024 (rif. prot. n. 0110114/24) l’Ufficio ha richiesto alla Società di fornire osservazioni, ai sensi dell’art. 157 del Codice, in merito al reclamo presentato.

Con due diverse note (prot. n. 0117563/24 del 9 ottobre 2024 e prot. n. 128880/24 del 4 novembre 2024), la Società ha dichiarato di aver agito in qualità di Google Partner e di aver contattato il reclamante al solo fine di verificare la correttezza dei dati di contatto relativi al suo studio professionale, negando la natura commerciale della chiamata (i.e. offerta di propri servizi di consulenza) e chiarendo di non aver realizzato alcun trattamento di dati relativi al reclamante. La Società ha, inoltre, rappresentato di aver agito sulla base del “legittimo interesse degli utenti di Google”.

Il reclamante, con nota prot. 136237/24 del 20 novembre 2024, ha contestato quanto riportato dalla Società, confermando la natura commerciale della chiamata ricevuta e la richiesta di tutela dei propri diritti.

Alla luce delle evidenze acquisite agli atti, l’Ufficio ha valutato la sussistenza di possibili violazione della normativa in materia di protezione dei dati personali e, pertanto, ha notificato alla Società la comunicazione di avvio del procedimento sanzionatorio di cui all’art. 166 del Codice (n. prot. 142141/24 del 3 dicembre 2024) (di seguito anche “Contestazione”) per la possibile violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, in relazione al trattamento dei dati personali del reclamante.

La Società, dopo aver ottenuto da questa Autorità positivo riscontro all’istanza di accesso agli atti (prot. n. 15051 del 24 dicembre 2024), ha depositato memorie difensive (n. prot. 151945 del 31 dicembre 2024), con le quali, pur modificando e ampliando la propria linea difensiva rispetto alle precedenti interlocuzioni avute con l’Ufficio, ha negato la natura commerciale della chiamata effettuata e ha ribadito, in ogni caso, la legittimità del trattamento effettuato essendo esso basato sul legittimo interesse degli utenti “ad avere accesso ad informazioni di contatto aggiornate e corrette”.

In occasione del deposito di tali memorie, per la prima volta nella procedura, la Società ha prodotto la trascrizione della telefonata contestata dal reclamante.

Alla luce di tale integrazione, l’Ufficio ha ritenuto necessario integrare le contestazioni già formulate in precedenza, notificando una integrazione alla Contestazione (n. prot. 11215/25 del 29 gennaio 2025) con la quale ha aggiunto alle possibili violazioni già prospettate anche quella relativa alla violazione dell’art. 130 del Codice.

Con nota del successivo 3 marzo 2025 (prot. n. 27531/25), la Società ha sostanzialmente richiamato le difese già presentate chiarendo che, anche tutte le attività illustrate e prospettate al reclamante durante la telefonata sono da far rientrare nell’attività di Google Partner svolta dalla medesima Società.

In occasione di tale ultimo deposito, non risulta essere stata formulata alcuna richiesta di audizione “con istanza specifica anche allegata alle memorie difensive” ai sensi dell’art. 13, comma 4 del regolamento interno del Garante n. 1/2019.

2. VALUTAZIONI DI ORDINE GIURIDICO

Valutate le evidenze prodotte e le argomentazioni formulate durante l’istruttoria, l’Autorità ritiene sussistente la contestata violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento e 130 del Codice, poiché la Società ha contattato telefonicamente il reclamante con la finalità di proporre una consulenza commerciale, il tutto in carenza di una idonea base giuridica per i relativi trattamenti.

Al fine di analizzare in modo completo la condotta della Società, risulta utile dunque riportare la trascrizione della chiamata in questione avvenuta il 26 febbraio 2024 ore 12.29, così come prodotta agli atti da BDF:

“OPERATORE- Buongiorno, sono XX di BDF Communication, parlo con l'avvocato XX

AVV- Non ho capito chi è che mi chiama?

OPERATORE- XX, da BDF Communication, agenzia Google Partner. La chiamo per fare la verifica dei dati presenti su Google Maps. Parlo con l'avvocato XX?

AVV- Si. Però mi deve ripetere perché non ho capito, agenzia??

OPERATORE- Si si certo avvocato. Siamo BDF Communication, un'agenzia Google Partner. Chiamo per controllare se i dati presenti sulla mappa di Google sono corretti. E' sempre XX Avvocato XX e si trova in XX, giusto?

AVV- Sempre li.

OPERATORE- La città Milano al cap XX e la categoria Avvocati Studi.

AVV- Si.

OPERATORE- A quale indirizzo email posso mandare i dati che abbiamo appena confermato?

AVV- XX

OPERATORE- Si si ho capito, XX come il nome. Perfetto, ho parlato sempre con l'avvocato XX, titolare dell'attività?

AVV - L'avvocato XX, sono io.

OPERATORE- Piacere Avvocato. Vedo che nella mappa il numero di telefono è il fisso, non so se lei preferisce aggiungere un numero alternativo o va bene solo il fisso.

AVV- Va bene quello.

OPERATORE- Ok avvocato, certifichiamo la mappa con i dati che lei mi ha appena confermato e entro qualche giorno riceverà anche una mail con i dati del consulente e per qualsiasi esigenza, modifica o domanda nel futuro potrà sempre comunicare direttamente con il consulente. Noi siamo BDF, un’agenzia Google Partner e ci occupiamo di servizi web a 360 gradi. Tra qualche settimana riceverà una chiamata dal suo consulente assegnato per vedere insieme come vanno le visite e la visibilità della mappa.

AVV- Quindi agenzia Domodossola Domodossola Savona, DDS?

OPERATORE- BDF, Bologna Domodossola Firenze,

AVV- Ah, BDF. Ma di dove siete le chiedo scusa?

OPERATORE- La nostra sede centrale è a Milano è il consulente assegnato a lei è di Milano.

AVV- Ah ok.

OPERATORE- Un' ultima cosa, mi risulta un'altra sede presente in "XX",

AVV- No è vecchissimo.

OPERATORE- E' un vecchio Indirizzo?

AVV- Esatto.

OPERATORE- Perfetto. Abbiamo finito avvocato, la ringrazio. Buon lavoro e buona giornata.

AVV- Salve, salve”.

Il contenuto della chiamata, nella parte in cui fa riferimento al “consulente assegnato” all’interessato che avrebbe dovuto valutare “le visite e la visibilità della mappa”, rappresenta una chiara indicazione di una finalità commerciale (quella di consulenza, appunto) la quale, con ogni evidenza, non può essere legittimata sulla base de “L’interesse legittimo degli utenti di Google (ivi compreso il medesimo reclamante) ad avere accesso ad informazioni di contatto aggiornate e corrette”, come sostenuto dalla Società. La proposizione di consulenza commerciale, a ben vedere, risulta un’attività propria di BDF che, pertanto, esula dal perimetro dei servizi offerti da Google e non può basarsi su una condizione di liceità individuata dalla stessa Google per fornire i propri servizi, vedendo invece la Società agire come titolare autonomo del relativo trattamento.

Inoltre, nel caso di specie, la Società non ha verificato - previamente - se il numero contattato fosse iscritto presso il Registro Pubblico delle Opposizioni e ciò in contrasto con le garanzie di cui all’art. 130 del Codice, in particolare quelle previste dal comma 3 bis. Né, d’altra parte, è stata data evidenza dell’esistenza di alcun contratto in essere tra la Società (o Google LLC) e il reclamante.

Dunque, il trattamento per finalità di marketing propria della Società connesso alla indicata “chiamata dal suo consulente assegnato per vedere insieme come vanno le visite e la visibilità della mappa”, nel caso di specie, non è lecito nella misura in cui la Società non ha indicato una idonea base giuridica a supporto, né ha espletato le verifiche richieste dall’art. 130 del Codice in merito ai soggetti iscritti nel Registro Pubblico delle Opposizioni.  

Né, sotto ulteriore profilo, la prospettata gratuità della relativa consulenza, così come sostenuto sempre dalla Società, rappresenta un elemento idoneo a incidere sulla determinazione della natura (commerciale o meno) della comunicazione.

La prospettata “chiamata dal suo consulente assegnato”, dunque, assume lineamenti distinti e peculiari rispetto alla finalità di verifica dei dati svolta per conto di Google e rientra in un contesto di natura commerciale condotta in autonomia dalla Società.  

Pertanto, in relazione a tale specifica finalità il relativo trattamento è da considerarsi illecito e posto in violazione degli artt. 5, comma 1, lett. a) e 6 del Regolamento e 130 del Codice.

In sintesi, dalle evidenze raccolte in atti, è emerso che la Società, utilizzando come pretesto l’attività di Google Partner, ha proposto all’interessato una propria consulenza commerciale.

L’Autorità, infine, prende atto di quanto dichiarato dalla Società con le proprie memorie in merito al trattamento dei dati personali del reclamante e, in particolare, della circostanza che si è trattato “di un’unica condotta (unico e solo trattamento)” e che “il trattamento si è protratto per un arco temporale minimale di due minuti”, vale a dire il tempo della chiamata effettuata al reclamante.

Inoltre, nel valutare le misure correttive e sanzionatorie da adottare, l’Autorità tiene in debita considerazione l’assenza di precedenti violazioni analoghe in capo a BDF e la natura del pregiudizio arrecato al reclamante.

3. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di BDF Communication s.r.l.s. (CF e P.IVA 08997830966), con sede legale in via Cesalpino n. 60, Milano, in persona del legale rappresentante p.t., in ordine alle violazioni degli artt. 5, comma 1, lett. a) e 6 del Regolamento e 130 del Codice, per aver realizzato un contatto telefonico per finalità di marketing propria senza che i trattamenti indicati fossero sorretti da una idonea base giuridica e senza aver osservato le garanzie previste per le numerazioni iscritte al Registro Pubblico delle Opposizioni.

Accertata dunque l’illiceità delle condotte di BDF Communication s.r.l.s., con riferimento al trattamento preso in esame, si rende necessario rivolgere alla Società, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, un ammonimento per aver effettuato un trattamento di dati personali per finalità di marketing in violazione delle norme sopra richiamate, nonché, ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, imporre un divieto di trattamento dei dati personali degli interessati senza una idonea base giuridica e in assenza delle condizioni previste dall’art. 130 del Codice, in particolare il comma 3 bis.

TUTTO CIÒ PREMESSO IL GARANTE

rivolge alla società BDF Communication s.r.l.s. (CF e P.IVA 08997830966), in persona del legale rappresentante, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, un ammonimento per aver effettuato i trattamenti di dati personali indicati in violazione degli artt. 5, comma 1, lett. a) e 6 del Regolamento e 130 del Codice, nonché impone, ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, il divieto di trattamento dei dati personali degli interessati trattati senza una idonea base giuridica e in assenza delle condizioni previste dall’art. 130 del Codice, in particolare il comma 3 bis.

DISPONE

la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019 nel sito web del Garante, e l’annotazione del medesimo nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 13 novembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Fanizza