[doc. web n. 10223637]

Provvedimento del 12 febbraio 2026

Registro dei provvedimenti
n. 105 del 12 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000 (disponibile per la consultazione sul sito www.gpdp.it, doc. web n. 1098801);

RELATORE il prof. Pasquale Stanzione;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con atto Prot. n. 168414 del 2 dicembre 2025, notificato in pari data mediante posta elettronica certificata, che qui deve intendersi integralmente riprodotto, l’Ufficio ha avviato ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di Conversion Media S.r.l., (di seguito anche “Conversion Media” o “Società”), in persona del legale rappresentante pro-tempore, con sede legale in Milano (MI), Via Bagutta, 13, C.F. e P.IVA 10430480961.

Il procedimento trae origine da una istruttoria avviata a seguito della trasmissione all’Autorità di un reclamo, pervenuto in data 18 gennaio 2025 (cfr. Prot. n. 7246 del 21 gennaio 2025) e successivamente regolarizzato in data 23 aprile 2025 (cfr. Prot. n. 55411 del 23 aprile 2025), mediante il quale l’interessato ha lamentato l’avvenuta ricezione di una chiamata indesiderata sulla propria utenza telefonica iscritta al Registro Pubblico delle Opposizioni, effettuata nell’interesse di Depurazione Acqua e di un messaggio di conferma dell’avvenuto contatto promozionale.

Con la medesima doglianza, l’interessato ha contestato altresì il contenuto dei riscontri forniti dal Titolare in relazione all’istanza di esercizio dei diritti avanzata in data 8 gennaio 2025. Più in particolare, il Titolare sosteneva che i dati del reclamante erano stati acquisiti dal partner commerciale Unleadmited S.r.l. (di seguito anche “Unleadmited” o “List Provider”) «a seguito dell’iscrizione dell’utente avvenuta in data 26/12/2024 alle ore 23:32 al sito web disponibile su https://mediaonline.vinciadesso.com». Tuttavia il reclamante sosteneva di non aver «mai consultato il sito internet indicato, né tantomeno inserito i dati personali in tale sito o fornito consenso al trattamento per finalità di marketing» ed eccepiva che «l’IP del soggetto che ha immesso i dati riconduce alla città di Milano, città che il sottoscritto non ha frequentato nella data indicata. Inoltre viene riportato un indirizzo errato».

Peraltro, all’esito di una verifica effettuata dall’Ufficio successivamente alla ricezione del reclamo, è emerso che la numerazione chiamante indicata dal reclamante non risultava iscritta presso il Registro degli Operatori di Comunicazione e postali (di seguito anche “ROC”) e che il citato sito https://mediaonline.vinciadesso.com non è navigabile, bensì reca soltanto un form utile al conferimento dei dati personali e del consenso al trasferimento a terzi dei dati personali per finalità promozionali. Tuttavia, i form e l’informativa utilizzata non apparivano in linea con la vigente normativa in materia di protezione dei dati personali.   

1.2. Le richieste di informazioni formulate dall’Autorità

Preso atto delle evidenze emerse e al fine di verificare il rispetto della normativa in materia di protezione dei dati personali, con nota del 6 giugno 2025 (cfr. Prot. n. 81051/25), l’Ufficio ha invitato Depurazione Acqua e Unleadmited, ai sensi dell’art. 157 del Codice, a fornire le proprie osservazioni in ordine a quanto rappresentato dal reclamante e taluni chiarimenti in merito ai trattamenti dei dati effettuati per finalità promo-pubblicitarie.

Con riscontro del 9 giugno 2025 (cfr. Prot. n. 81991/25), Depurazione Acqua ha chiarito di essersi limitata «ad acquistare dei contatti già preselezionati e con la privacy correttamente autorizzata dalla Conversion media srl» (di seguito anche “Conversion Media”), allegando il contratto sottoscritto con tale società.

Quanto all’istanza presentata dal reclamante, Depurazione Acqua ha rappresentato di aver risposto alle richieste con e-mail del 17 gennaio 2025.

Unleadmited, invece, non ha fatto pervenire alcun riscontro alla richiesta di informazioni notificata dall’Ufficio e pertanto, scaduto il termine concesso, è stato notificato l’atto di avvio del procedimento Prot. n. 133862 del 9 ottobre 2025 in relazione alla violazione degli artt. 157 e 166, comma 2, del Codice.

Contestualmente, alla luce dei riscontri forniti da Depurazione Acqua e della documentazione prodotta, l’Ufficio ha ritenuto opportuno effettuare un supplemento di istruttoria, rivolgendo una richiesta di informazioni integrativa a Depurazione Acqua (cfr. Prot. n. 133860 del 9 ottobre 2025) e in pari data, una richiesta di informazioni anche a Conversion Media (cfr. Prot. n. 133857/25).

Con nota trasmessa in data 27 ottobre 2025 (cfr. Prot. n. 142693 del 28 ottobre 2025), Conversion Media ha fornito i chiarimenti richiesti, ribadendo che «il trattamento dei dati personali riferibili al Soggetto Interessato ha avuto luogo a fronte di una registrazione al sito web della società Unleadmited S.r.l. (…) raggiungibile al link https://mediaonline.vinciadesso.com/ (…) effettuata dal Soggetto Interessato in data 26/12/2024 alle ore 22:32. In tale contesto Unleadmited agisce in qualità di Titolare del trattamento (…). Tra le finalità indicate nella suddetta informativa è presente, al paragrafo 4.2, la finalità di comunicazione a terzi dei dati personali per finalità di marketing e la base giuridica che legittima il perseguimento di tale finalità è costituita dal consenso del soggetto interessato».

Con riguardo ai rapporti contrattuali in essere con Depurazione Acqua, Conversion Media ha richiamato l’accordo sottoscritto tra le parti e già prodotto agli atti, in forza del quale Conversion Media «si è impegnata a fornire al Cliente le anagrafiche di utenti (i) che hanno rilasciato un consenso esplicito, specifico e informato per finalità promozionali e (ii) i cui dati personali sono trattati nel rispetto» della normativa sulla protezione dei dati personali. Conversion Media ha specificato, altresì, di agire «in qualità di concessionaria per conto di terze parti che, in qualità di titolari del trattamento, hanno raccolto le anagrafiche e il consenso alla comunicazione a terzi per finalità promozionali», evidenziando che nel caso specifico «nel modulo d’ordine (…) è stato correttamente indicato che il soggetto che, in qualità di titolare del trattamento, ha raccolto le anagrafiche è la società Unleadmited».

In merito alla qualificazione dei ruoli privacy, Conversion Media ha precisato di aver agito «previa formale designazione ai sensi dell’art. 28 del Reg UE 2016/679 (…) – in qualità di responsabile del trattamento – per conto di Unleadmited al fine di porre in essere le attività strumentali necessarie alla realizzazione delle finalità di comunicazione dei dati a terzi, consistenti nella trasmissione dei dati al Cliente», rappresentando al contempo che Unleadmited aveva agito in qualità di titolare del trattamento, avendo raccolto i dati personali del soggetto interessato sul proprio sito web, così come anche Depurazione Acqua, una volta ricevute le anagrafiche,  aveva agito in qualità di ulteriore autonomo titolare del trattamento.

Conversion Media ha chiarito, altresì, che Unleadmited è sottoposta al proprio controllo societario e si occupa di organizzare e promuovere iniziative on-line, principalmente concorsi a premio, anche al fine di costituire database di utenti, agendo in qualità di titolare del trattamento.

Più in particolare, Conversion Media ha dichiarato che Unleadmited «è il soggetto che predispone i form di iscrizione e la raccolta dei dati in occasione delle attività di lead generation, definendo le finalità e i mezzi del trattamento dei dati personali», mentre «Conversion Media, oltre ad essere la controllante della Unleadmited, agisce come sua concessionaria e come controparte contrattuale dei Clienti che ricevono i dati raccolti», rivestendo quindi un ruolo di mero intermediario rispetto ai dati personali raccolti dalla prima e limitandosi a supportare quest’ultima nella loro commercializzazione.

Con riferimento alle attività dalla stessa svolte, Conversion Media ha rappresentato di non effettuare «attività di trattamento di dati personali nel perseguimento di proprie finalità» e di non realizzare proprie campagne promozionali, ma di fornire «in virtù del proprio ruolo di Responsabile del trattamento, (…) ad Unleadmited il necessario supporto per la corretta realizzazione delle attività di business, tramite la realizzazione delle attività strumentali che si rendono necessarie, come la gestione dei rapporti contrattuali con clienti e i fornitori e l’assistenza e manutenzione dell’infrastruttura IT».

Relativamente alle doglianze avanzate dall’odierno reclamante, Conversion Media ha rilevato che «la conformità alla vigente normativa della anagrafica fornita al Cliente è dimostrata, in primis, dalle evidenze generate dai sistemi informatici da cui si evincono le informazioni del log-event generato dall’iscrizione del Soggetto Interessato al Sito, evento al quale, in linea con le procedure aziendali di Unleadmited, ha fatto seguito (i) l’invio di una prima notifica di conferma trasmessa al Soggetto Interessato a mezzo e-mail; (ii) la realizzazione di una telefonata di verifica (cd. “qualifica”), volta appunto a verificare la correttezza dei dati personali del Soggetto Interessato e a confermare il consenso alla comunicazione a terzi dei suoi dati personali per finalità promozionali e, infine, (iii) l’invio al Soggetto Interessato di un SMS in cui veniva indicata in modo esplicito la denominazione del soggetto a cui sarebbero stati comunicati i dati personali allo stesso riferibili», precisando altresì come il reclamante «in sede di contatto telefonico, abbia confermato (i) i propri dati, nonché (ii) la propria volontà in merito alla comunicazione degli stessi alla società Depurazione Acqua S.r.l. in quanto dichiaratosi interessato all’acquisto di un depuratore».

Conversion Media ha evidenziato, poi, che presentare richieste di esercizio dei diritti riconosciuti dal Regolamento con il solo intento di contestare le risposte ricevute e avanzare pretese risarcitorie per presunti danni, spesso accompagnate dalla minaccia di proporre un reclamo dinanzi all’autorità di controllo competente, da alcuni anni è diventata una prassi posta in essere da parte di alcuni interessati e che pertanto, le Società coinvolte non intendevano assecondare tale richiesta.

Infine, con riguardo alle fonti di approvvigionamento delle liste di contattabilità e agli acquirenti delle stesse per gli anni 2024/2025, Conversion Media ha prodotto un elenco dei list provider e dei clienti appartenenti alla propria rete commerciale.

Con nota trasmessa in data 27 ottobre 2025 (cfr. Prot. n. 142847 del 28 ottobre 2025), Unleadmited ha rappresentato preliminarmente che il ritardo nel riscontro alla richiesta di informazioni trasmessa inizialmente dall’Autorità era dipeso da una criticità occorsa nel sistema di notifica di avvenuta ricezione dei messaggi della propria casella pec, manifestando la volontà di cooperare con l’Autorità allo scopo di fornire ogni chiarimento ed evidenza richiesta. A tale riguardo Unleadmited ha rappresentato, altresì, «di aver già implementato le misure adeguate ad evitare che quanto accaduto possa tornare a ripetersi».

Con riferimento al caso dell’odierno reclamante, anche Unleadmited ha ribadito che «il trattamento dei dati personali riferibili al Soggetto Interessato ha avuto luogo a fronte di una registrazione al sito web della Società raggiungibile dal link https://mediaonline.vinciadesso.com/ (…) effettuata dal Soggetto Interessato in data 26/12/2024 alle ore 22:32. In tale occasione quest’ultimo ha manifestato il consenso alla comunicazione a terzi per finalità di marketing, selezionando volontariamente – in modo libero e facoltativo - l’apposita casella presente in calce al form in corrispondenza della dicitura: “Si, acconsento alla elaborazione dei miei dati personali per la trasmissione dei miei dati personali alle aziende terze di cui all’art. 4.2 dell’informativa privacy, per loro finalità di marketing (facoltativo)”».

In merito al form di iscrizione, Unleadmited ha precisato «che lo stesso prevede due step di compilazione: nel primo step gli utenti possono indicare nome, cognome, e-mail e data di nascita; nel secondo step è possibile conferire l’indirizzo e il numero di telefono».

Con riferimento all’attività di raccolta di dati personali tramite il proprio sito web, Unleadmited ha rappresentato che, completata la registrazione tramite il form di iscrizione, l’utente riceve una notifica a mezzo e-mail volta a informarlo della corretta registrazione avvenuta sul sito e che, nel caso di specie, tale notifica era stata inviata in data 26 dicembre 2024 alle ore 22:33 all’indirizzo di posta elettronica del reclamante. Inoltre, nell’immediatezza della registrazione (solitamente il giorno seguente) gli utenti ricevono una chiamata telefonica (c.d. chiamata di qualifica) volta a verificare la regolare iscrizione dell’utente (quindi sia l’effettiva volontarietà dell’iscrizione che la correttezza dei dati conferiti) e a confermare l’effettivo interesse dell’utente a ricevere comunicazioni promozionali da parte di terzi. Nel caso di specie, a causa della pausa dovuta alle festività natalizie, tale chiamata era stata effettuata in data 8 gennaio 2025. Inoltre, al termine della chiamata di qualifica, gli utenti del sito ricevono un’ulteriore notifica di conferma via sms, contenente i riferimenti della società che effettivamente vende il prodotto verso il quale l’utente ha dimostrato interesse.

In merito all’iscrizione nel registro pubblico delle opposizioni dell’utenza telefonica del reclamante, Unleadmited ha rappresentato che «come previsto dall’art. 1, comma 6, della L. n. 5/2018, il consenso al trattamento dei dati personali (…) prestato successivamente all’iscrizione al Registro Pubblico delle Opposizioni, dovrebbe essere ritenuto valido al fine di contattare mediante telefono l’interessato».

Unleadmited ha rilevato, altresì, di non aver inviato comunicazioni tramite app di messaggistica, come whatsapp, in quanto le uniche comunicazioni trasmesse sarebbero state veicolate tramite e-mail e sms, chiarendo che le stesse «avevano natura c.d. “transazionale” e non promozionale, avendo l’unica finalità di costituire evidenza dei consensi prestati e misura di trasparenza nei confronti degli interessati».

Con riguardo all’attendibilità dell’indirizzo IP prodotto, Unleadmited ha segnalato che tale dato può variare anche in base al dispositivo utilizzato dall’utente in fase di registrazione ovvero, in caso di indirizzo IP dinamico, dopo un certo periodo di tempo.

Unleadmited ha rappresentato di essere iscritta al ROC, ma di aver contattato il reclamante tramite una numerazione tradizionale, in chiaro, ricontattabile e non iscritta al ROC in quanto la chiamata c.d. “di qualifica” aveva natura meramente tecnica e di compliance normativa.

Infine, in merito alla natura degli accordi commerciali sussistenti tra il List Provider e XX, Unleadmited ha confermato che «la XX è una società terza a cui la Unleadmited può comunicare i dati personali degli utenti che hanno manifestato il consenso alla comunicazione a terzi, per finalità di marketing (digital advertising)», precisando che «la collaborazione tra le parti è avvenuta solo nel corso dell’anno 2023, in quanto, successivamente, la Società non ha comunicato dati a XX e, pertanto, si conferma che tale attività non ha riguardato i dati personali del Soggetto Interessato».

Con nota del 28 ottobre 2025 (cfr. Prot. n. 143220/25), anche Depurazione Acqua ha fornito i chiarimenti ulteriormente richiesti.

In tale occasione, in primo luogo anche Depurazione Acqua ha rappresentato di non aver «accettato né definito alcun accordo transattivo, nonostante una proposta di accordo stragiudiziale da parte del reclamante».

Con riferimento alle modalità di realizzazione delle attività di telemarketing e teleselling svolte nel proprio interesse, Depurazione Acqua ha riferito di non effettuare «direttamente attività di teleselling o telemarketing massivo», ma di avvalersi «di liste di contatti prequalificati fornite da Conversion Media S.r.l., in base al contratto sottoscritto in data 11 ottobre 2024», chiarendo al riguardo che siffatto processo si articola in quattro distinte fasi consistenti nella «raccolta del dato da parte di Unleadmited S.r.l., titolare del sito vinciadesso.com, tramite form con doppio step»; nella successiva «telefonata di qualifica eseguita da Conversion Media S.r.l. per conto di Unleadmited S.r.l., volta a verificare la correttezza del dato e l’effettiva volontà dell’utente di ricevere comunicazioni commerciali da specifiche aziende partner (tra cui Depurazione Acqua)»; nel «trasferimento del contatto validato a Depurazione Acqua, che può contattare il soggetto esclusivamente per finalità commerciali coerenti con il consenso espresso, previa ulteriore telefonata di qualifica da parte di Depurazione Acqua»; nello «eventuale contatto successivo di conferma o consulenza da parte di personale interno o tecnici di Depurazione Acqua, senza attività di vendita telefonica diretta».

Il Titolare ha indicato, poi, i soggetti coinvolti nella realizzazione di attività promo-pubblicitarie per proprio conto, specificando il ruolo soggettivo ricoperto da ciascuno di tali soggetti. Segnatamente, ha riferito che Unleadmited aveva agito quale titolare originario del trattamento, Conversion Media in qualità di responsabile del trattamento per conto di Unleadmited e, infine, ha chiarito di avere rivestito il ruolo di autonomo titolare del trattamento per le successive attività promozionali basate sul consenso alla cessione ricevuto dal titolare originario.

Con specifico riferimento alle modalità di selezione dei list provider e dei partner commerciali coinvolti nei trattamenti di dati effettuati per finalità promo-pubblicitarie realizzati per proprio conto, il Titolare ha rappresentato di selezionare «i fornitori previa verifica documentale delle garanzie contrattuali sulla liceità della raccolta dei dati».

In merito alle istruzioni impartite ai soggetti coinvolti nella realizzazione di attività promo-pubblicitarie e ai controlli effettuati affinché tali attività venissero svolte in ottemperanza alla vigente normativa in materia di protezione dei dati personali, Depurazione Acqua ha dichiarato che generalmente forniva «ai propri fornitori designati come responsabili istruzioni scritte», verificando che «i dati siano utilizzati unicamente per le finalità concordate e che i propri responsabili si avvalgano di idonee misure di sicurezza tecniche e organizzative». La Società ha rappresentato, altresì, di effettuare «controlli a campione sui fornitori, visionando le fonti di raccolta e le evidenze tecniche di consenso (form, log, timestamp, indirizzo IP)».

Depurazione Acqua ha precisato, poi, di effettuare «controlli ex ante e a campione sui lead ricevuti, verificando: la coerenza territoriale (geo target previsto nel contratto: Marche, Emilia-Romagna, Lombardia, Lazio); la provenienza dichiarata (unleadmited S.r.l.); la presenza di evidenze del consenso (log, data/ora, form, e-mail di conferma)».

Quanto all’origine dei dati personali dell’odierno reclamante, anche Depurazione Acqua ha ribadito le informazioni già fornite dalle altre Società in merito all’iscrizione al sito https://mediaonline.vinciadesso.com/.

Depurazione Acqua ha dichiarato di non intrattenere alcun rapporto contrattuale direttamente con Unleadmited, precisando che «i dati vengono forniti a Depurazione Acqua da Conversion Media, che agisce in qualità di intermediario tecnico incaricato da Unleadmited (…) La comunicazione dei dati personali da Unleadmited a Depurazione Acqua avviene sulla base del consenso alla cessione a terzi per finalità di marketing, validamente acquisito dal titolare originario».

Infine, con riguardo alla gestione delle istanze di esercizio dei diritti presentate dai soggetti interessati ai sensi degli artt. 15 e ss. del Regolamento, il Titolare ha illustrato la procedura interna adottata, evidenziando di avere fornito riscontro al reclamante entro il termine di 30 giorni, informando l’interessato della provenienza dei propri dati e fornendo i contatti di Unleadmited per ulteriori approfondimenti.

Con nota trasmessa in data 28 ottobre 2025 (cfr. Prot. n. 143527 del 29 ottobre 2025), il reclamante ha fatto pervenire le proprie osservazioni, contestando la ricostruzione fattuale effettuata nell’ambito dei riscontri forniti all’Autorità. Segnatamente, l’interessato ha rappresentato di non essersi mai collegato al sito https://mediaonline.vinciadesso.com, rilevando che l’indirizzo IP indicato dalle parti era riconducibile all’area geografica di Milano, dallo stesso non frequentata in quel periodo e diversa dal luogo del proprio domicilio.

Nella medesima occasione, l’istante ha dichiarato di non aver mai prestato il proprio consenso per comunicazioni di marketing e di non aver ricevuto alcuna e-mail proveniente da https://mediaonline.vinciadesso.com o da indirizzi simili, evidenziando la mancata produzione ad opera delle controparti del testo dell’e-mail di conferma.

L’interessato ha rilevato, inoltre, che «l’indirizzo di XX riportato da controparte (…) corrisponde in realtà ad altro avvocato riminese, non a caso quello che precede il sottoscritto nell’elenco in PDF pubblicato on line dall’ordine degli avvocati di Rimini».

Infine, con riguardo alla chiamata indesiderata ricevuta l’8 gennaio 2025, il reclamante ha riferito di «non essere stato affatto contattato per una “chiamata di qualifica” per verificare la genuinità del (…) consenso, bensì direttamente da un soggetto che si è qualificato come “Italia Depura” e che (…) ha formulato una offerta per un depuratore».

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, ha adottato il sopra richiamato atto di contestazione Prot. n. 168414 /25 nel quale, preliminarmente ha rilevato che i trattamenti di dati personali presi in esame sembravano sollevare criticità sotto il profilo della corretta attribuzione dei ruoli soggettivi e, conseguentemente, dell’adempimento degli obblighi dai medesimi derivanti.

Più in particolare, l’Ufficio ha contestato la presunta violazione degli artt. 4 e 28 del Regolamento in quanto Conversion Media aveva effettuato trattamenti di dati personali nell’interesse di Depurazione Acqua, ma tuttavia senza la previa e formale nomina ex art. 28 del Regolamento.

Inoltre, a parere dell’Ufficio, la Società era venuta meno anche ai doveri, incombenti sul responsabile del trattamento, in ordine agli obblighi di informazione nei confronti del titolare.

2. LA DIFESA DEL TITOLARE

Con nota del 31 dicembre 2025 (cfr. Prot. n. 3302 del 13 gennaio 2026) Conversion Media ha trasmesso i propri scritti difensivi, in base a quanto previsto dall’art. 166, comma 6, del Codice e dall’art. 13 del regolamento del Garante n. 1/2019 (disponibile per la consultazione sul sito www.gpdp.it, doc-web n. 9107633) e presentato richiesta di audizione dinanzi all’Autorità.

Nella fattispecie, la Società ha preliminarmente rappresentato di aver «operato in qualità di Responsabile del trattamento, effettuando ogni attività nel rispetto del Regolamento e, in particolare, delle disposizioni e dei doveri che il Regolamento destina al responsabile del trattamento».

Successivamente, Conversion Media ha evidenziato l’importanza di valutare il contesto della vicenda, con particolare riferimento al contegno del soggetto interessato, che «nell’esercizio della sua professione di avvocato, prima di rivolgersi alla Autorità, ha richiesto alla società Depurazione Acqua S.r.l. (…) la somma di euro 500,00 in ottica transattiva, in quanto dichiaratosi disposto a transigere sulla (presunta) illiceità della condotta dei soggetti a vario titolo coinvolti nel trattamento dei suoi dati se avesse ricevuto la somma richiesta, dimostrando così di poter facilmente rinunciare alla tutela dei propri diritti in cambio di un corrispettivo economico e, plausibilmente, svilendo o, in ogni caso, strumentalizzando, per fini privati, l’opera di tutela dell’interesse pubblico dell’Autorità».

Quanto ai profili di merito, la Società ha contestato la ricostruzione dei ruoli soggettivi effettuata con l’atto di avvio del procedimento, evidenziando che la chiamata c.d. “di qualifica” è stata effettuata nel perseguimento di finalità proprie di Unleadmited e che tale contatto era finalizzato a «a) verificare la corretta e regolare registrazione del Reclamante; b) confermare l’effettivo interesse del Soggetto Interessato a ricevere comunicazioni promozionali da parte di soggetti terzi; c) verificare l’esattezza e la correttezza dei dati forniti in sede di registrazione al Sito».

La Società ha precisato, altresì, che la chiamata di qualifica costituiva una misura adottata da Unleadmited, in conformità ai principi di accountability, per garantire l’accuratezza dei dati e la piena consapevolezza del consenso, nonché per poter dimostrarne la validità e che nel corso della chiamata, «una volta verificata l’effettiva prestazione del consenso alla ricezione di comunicazioni promozionali relative a prodotti o servizi riconducibili a uno specifico settore merceologico», all’interessato veniva «comunicata in modo espresso la denominazione o il nome commerciale del soggetto terzo destinatario dei dati personali. Nel caso di specie, tale soggetto era Depurazione Acqua, identificata anche mediante il proprio brand “Italia Depura”».

A sostegno della tesi prospettata, Conversion Media ha evidenziato inoltre che «sino alla effettuazione della chiamata, l’anagrafica del Reclamante non è stata oggetto di trasmissione alla stessa Depurazione Acqua, in quanto non si erano ancora perfezionate tutte le operazioni di trattamento e le verifiche di competenza del titolare originario (Unleadmited)» e che rispetto all’incarico affidatole, Depurazione Acqua non aveva fornito alcuna istruzione, script di chiamata o regole da seguire nell’esecuzione dello stesso.

Inoltre, a parere della Società, anche la circostanza che una volta ricevute le anagrafiche, Depurazione Acqua provvedeva alla realizzazione di un contatto telefonico con gli interessati successivo e separato dalla chiamata di qualifica effettuata da Conversion Media, depone a favore dell’interpretazione che vedeva una separazione netta tra le due attività di contatto.

Sul punto la Società evidenziava, altresì, che «il riferimento al termine “lead prequalificate”, contenuto nel Modulo d’Ordine, appare dirimente per la corretta definizione dei ruoli delle parti, in quanto si tratta di una nomenclatura di carattere commerciale con cui le parti hanno inteso definire l’attività, tuttalpiù utile a Depurazione Acqua per rendere edotta la propria forza vendite del fatto che, una volta ricevute le anagrafiche in questione, sarebbe stato necessario procedere con il contatto per la fissazione di un appuntamento e, quindi, con la verifica definitiva della volontà del Soggetto Interessato a ricevere maggiori informazioni ed, eventualmente, acquistare il prodotto in questione».

Conversion Media, poi, ha rappresentato che Unleadmited, nell’ambito di un processo di riorganizzazione aziendale, ha inteso internalizzare il processo di qualifica delle lead e che «pertanto, ad oggi, Conversion Media si limita ad effettuare solo le operazioni di trattamento, in qualità di Responsabile, funzionali alla trasmissione tecnica delle lead del Titolare ai clienti finali» e che anche «tale internalizzazione depone a favore del fatto che il processo di qualifica costituisse una operazione funzionale al perseguimento delle finalità di trattamento proprie di Unleadmited e non di Depurazione Acqua».

La Società ha rappresentato che le ulteriori operazioni di trattamento svolte nell’ambito del contratto tra le parti risultano funzionali esclusivamente alla comunicazione di dati personali tra titolari autonomi, ossia tra Unleadmited, anche per il tramite del proprio responsabile Conversion Media e Depurazione Acqua, che ha agito quale soggetto terzo e destinatario dei dati.

La Società ha inoltre rappresentato che, con riferimento alla chiamata oggetto di doglianza, Conversion Media non ha svolto alcuna attività riconducibile alla vendita o alla conclusione di contratti, né richiesto pagamenti, illustrato prodotti o fissato appuntamenti, né ha operato sui sistemi appartenenti a Depurazione Acqua. La chiamata oggetto di doglianza è stata limitata alla conferma dei dati personali e del consenso dell’interessato alla comunicazione degli stessi a un soggetto terzo appartenente a uno specifico settore merceologico, nel caso di specie la depurazione dell’acqua.

Conversion Media ha anche evidenziato che «Alla luce di tutto quanto suesposto, ad oggi Conversion Media non ha ritenuto di contestare le istruzioni ricevute e l’identificazione del proprio ruolo di responsabile conseguente all’esecuzione del proprio rapporto contrattuale con Unleadmited, non avendo peraltro ricevuto alcuna evidenza, tanto dal punto di vista formale che sostanziale, che tale individuazione fosse stata effettuata in violazione del Regolamento».

Nel corso dell’audizione tenutasi il 13 gennaio 2026 - alla presenza congiunta di Conversion Media e Unleadmited in ragione della omogeneità delle posizioni difensive, del regime societario di controllo e dell’avvenuto conferimento dell’incarico difensivo ai medesimi procuratori – le Società appena richiamate hanno preliminarmente rilevato che il sito web di titolarità di Unleadmited è preordinato alla realizzazione di una manifestazione a premi ai sensi del D.P.R. n. 430/2001, regolarmente segnalata al MIMIT. Quanto alle evidenze relative all’avvenuta iscrizione al sito da parte del reclamante, entrambe le Società hanno evidenziato che le medesime sono tra loro coerenti sotto il profilo temporale, in quanto il log di avvenuta iscrizione al sito è immediatamente precedente a quello di invio della mail di conferma. Inoltre, i log di invio della “welcome mail” sono salvati dal sistema informatico in un file formato zip, creato mensilmente e automaticamente dal server, di guisa che in caso di intervento successivo sul file di log, lo stesso sarebbe parimenti evidenziato in quanto il file zip acquisirebbe la data dell’ultima modifica effettuata.

In relazione ai tempi di conservazione delle cd. welcome mail, è stato evidenziato che pur ritenendo di avere agito correttamente, si è ritenuto opportuno avviare un procedimento interno di riorganizzazione volto a superare le criticità emerse nel corso della presente istruttoria, pertanto Unleadmited sta valutando di estenderne il periodo di conservazione sino a 24 mesi.

Entrambe le Società hanno poi precisato che verrà predisposta una nuova configurazione per l’acquisizione dei consensi, che permetta all’interessato di selezionare le macrocategorie di terzi ovvero le singole società a cui acconsenta di cedere i propri dati personali.

Quanto alla chiamata di qualifica, Unleadmited e Conversion Media hanno precisato che la medesima era funzionale a verificare l’effettiva iscrizione dell’utente e la volontà di quest’ultimo di cedere i propri dati personali a terzi. In aggiunta, nel corso di tale contatto telefonico veniva anche richiesta conferma della volontà dell’utente a ricevere comunicazioni promozionali da parte di Depurazione Acqua.

3. VALUTAZIONI DELL’AUTORITÀ

Va in primo luogo rappresentato che la documentazione e le osservazioni fornite da Conversion Media nel corso del procedimento non appaiono idonee a escludere la responsabilità della Società in relazione alle violazioni contestate.

Conversion Media ha documentato di avere sottoscritto un contratto con Depurazione Acqua avente a oggetto il reperimento delle liste di contattabilità. Tuttavia, nell’ambito di tale rapporto, la Società ha agito senza la previa nomina ex art. 28 del Regolamento da parte di Depurazione Acqua. 
Tale omissione si pone in aperto contrasto con le disposizioni vigenti in materia di protezione dei dati personali.

Dalla documentazione versata agli atti del procedimento, infatti, emerge che Conversion Media ha svolto attività materiali e operative direttamente funzionali alla realizzazione delle campagne promozionali nell’interesse di Depurazione Acqua.

Nella fattispecie, in esecuzione dell’incarico affidato, Conversion Media ha procurato al titolare lead prequalificate, ha effettuato la chiamata oggetto di doglianza - volta a verificare la correttezza dei dati e la sussistenza della volontà dell’interessato in ordine alla cessione dei dati a terzi ai fini promozionali, nonché alla disclosure dell’identità del terzo cessionario (i.e. Depurazione Acqua) - e ha inviato anche il messaggio di conferma recante i riferimenti a “italiadepura”, dicitura coincidente proprio con quella riportata anche sul sito web del titolare (www.italiadepura.it).

In altri termini, il riferimento esplicito a Depurazione Acqua – confermato anche dalle dichiarazioni rese dal titolare – vale a qualificare quell’attività come un’operazione effettuata nell’interesse di tale Società, atteso che ne comporta anche la spendita del nome. Tale considerazione trova conferma nella lettera del contratto sottoscritto tra Depurazione Acqua e Conversion Media, ove le parti hanno previsto che «il Cliente conferisce a Conversion, che accetta, l’incarico di realizzare il complesso delle attività come dettagliatamente descritte nel Modulo d’Ordine», che riporta a sua volta tutte le specifiche della prestazione pianificata. Nel caso di specie, trattavasi della fornitura di lead prequalificate, che consistevano in «contatti il cui consenso è stato qualificato per l’esecuzione di attività promozionali di terzi nel settore merceologico della scrivente».

Le circostanze appena descritte imponevano la formale designazione della società quale responsabile del trattamento ai sensi dell’art. 28 del Regolamento da parte di Depurazione Acqua.

In tal senso militano anche le dichiarazioni rese dall’odierno reclamante ai sensi dell’art. 168 del Codice, che nel contestare la ricostruzione degli eventi proposta dalle società coinvolte nella presente istruttoria, espressamente riferiva di non essere stato contattato per una generica chiamata di qualifica finalizzata alla verifica della genuinità del consenso rilasciato, bensì direttamente per la promozione di servizi di depurazione da parte di un soggetto qualificatosi come «Italia Depura».

A tale riguardo si richiamano anche le Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento predisposte dal Comitato europeo per la protezione dei dati (EDPB), disponibili per la consultazione sul sito www.edpb.europa.eu, che hanno il pregio di chiarire che la qualificazione dei ruoli non può essere rimessa alla mera denominazione formale adottata dalle parti, bensì deve fondarsi su un’analisi sostanziale delle attività concretamente svolte e sull’effettivo potere decisionale esercitato in ordine alle finalità e ai mezzi essenziali del trattamento. In tale prospettiva, ricorre un rapporto di titolarità-responsabilità ogniqualvolta un soggetto terzo tratti dati personali per conto del titolare, svolgendo operazioni di trattamento funzionalmente collegate alle finalità determinate da quest’ultimo e sulla base delle esigenze organizzative e commerciali dello stesso.

Secondo i principi appena richiamati, tali circostanze sono idonee a integrare un trattamento di dati personali effettuato “per conto” del titolare, con conseguente obbligo, in capo a quest’ultimo, di procedere alla designazione formale del responsabile del trattamento ai sensi dell’art. 28 del Regolamento, mediante un atto giuridico vincolante che disciplini in modo puntuale le istruzioni impartite, le misure di sicurezza applicabili e le modalità di controllo sull’operato del soggetto incaricato.

A tale riguardo, inoltre, appare utile precisare che, contrariamente a quanto sostenuto dalla Società e a prescindere dalle qualificazioni e locuzioni utilizzate dalla stessa, devono qualificarsi alla stregua di attività promozionali, anche tutti quei contatti e quelle comunicazioni prodromiche e preordinate alla pubblicizzazione di prodotti e servizi, nonché alla stipula del contratto, ciò a prescindere dalla circostanza che le medesime vengano effettuate ricorrendo a una commistione di mezzi e modalità (i.e. telefono, appuntamento, messaggio sul dispositivo mobile ecc.). Una diversa interpretazione, difatti, presterebbe il fianco a una elusione del dettato normativo, giacché consentirebbe agli operatori di segmentare l’attività promozionale, al fine di sottrarsi ai vincoli di legge in materia di trattamento di dati personali per finalità promozionali.

Sotto un ulteriore e distinto profilo, nel caso di specie, si ravvisa anche una violazione dell’art. 28 del Regolamento nella parte in cui impone al responsabile del trattamento l’obbligo di informare senza indugio il titolare qualora ritenga che una delle istruzioni ricevute da quest’ultimo risulti in contrasto con le previsioni del Regolamento o, più in generale, con le norme vigenti in materia di protezione dei dati personali. Il rispetto di tale obbligo costituisce un presidio essenziale nel sistema di governance delineato dal legislatore europeo, in quanto finalizzato a garantire che il trattamento dei dati personali sia costantemente conforme ai principi di liceità, correttezza e trasparenza, nonché alle disposizioni che disciplinano ruoli e responsabilità dei soggetti coinvolti.

Nel contesto della presente istruttoria, tale obbligo assumeva un rilievo particolarmente significativo, atteso che Conversion Media in qualità di soggetto professionalmente operante nel settore, avrebbe potuto e dovuto prontamente segnalare a Depurazione Acqua le evidenti irregolarità riguardanti il processo di raccolta dei dati e dei susseguenti trattamenti effettuati per finalità promozionali. Analogamente la Società avrebbe potuto e dovuto segnalare a Depurazione che la mancata investitura formale ai sensi dell’art. 28 del Regolamento, costituiva una violazione della normativa vigente in materia di protezione dei dati personali.

In conclusione, sulla base delle argomentazioni esposte, si ritiene definitivamente confermata la responsabilità di Conversion Media ordine a tutte le violazioni contestate con l’atto di avvio del procedimento.

Si rileva, infine, che dalle interlocuzioni occorse tra le parti, emerge che il reclamante ha rivolto al titolare una richiesta di accesso e contestualmente anche di risarcimento (i.e. euro 500,00), senza peraltro fornire elementi di dettaglio in ordine al danno asseritamente patito. Tale contegno assume una peculiare caratterizzazione, anche alla luce della professione svolta dal reclamante.

In altri termini, il reclamante sarebbe stato disposto a soprassedere in merito all’illeceità della condotta tenuta dalla società, qualora quest’ultima avesse accolto la richiesta economica avanzata.
A tale riguardo, vale la pena ricordare che sebbene l’art. 82 del Regolamento sancisce il diritto al risarcimento dei danni subiti a causa di una violazione commessa dal titolare o dal responsabile, tale prerogativa deve essere eventualmente esercitata dinanzi al Giudice ordinario, nelle forme e nei modi stabiliti dalla disciplina di riferimento.

Pur non incidendo nel caso di specie sui profili di responsabilità imputabili a Conversion Media - che prescindono dalle doglianze del singolo reclamante in quanto riguardano la complessiva compliance della Società e investono anche tutte le altre anagrafiche trattate nell’ambito del contratto sottoscritto con Depurazione Acqua -  si ritiene necessario rilevare incidentalmente che la condotta tenuta dal reclamante non appare del tutto in linea coi principi ispiratori della normativa sulla protezione dei dati personali e più in generale, con i doveri di solidarietà gravanti sui consociati, che impongono il divieto dell’abuso del diritto e dei mezzi di difesa. Sebbene notoriamente teorizzato nell’ambito del diritto civile e tributario, infatti, tale divieto deve ritenersi pacificamente applicabile anche ai procedimenti dinanzi all’Autorità, ciò anche al fine di scongiurare il rischio che il ruolo del Garante, finalizzato alla salvaguardia di un interesse pubblico, possa essere strumentalizzato per scopi estranei alla protezione dei diritti degli interessati (cfr. provv. 23 ottobre 2025, n. 635, doc. web n. 10197577).

4. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di Conversion Media in ordine alla violazione degli artt. 4 e 28 del Regolamento per aver effettuato trattamenti di dati personali senza la previa corretta individuazione dei ruoli soggettivi ricoperti e, di conseguenza, in violazione dei doveri derivanti dai medesimi ruoli.

Accertata, altresì, l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- ingiungere alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, l’adozione di misure adeguate ad assicurare che la realizzazione di trattamenti di dati personali sia preceduta dalla corretta individuazione del ruolo soggettivo ricoperto e, ove necessario, dal rilascio delle nomine e autorizzazioni previste dalla normativa vigente in materia di protezione dei dati personali;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Conversion Media della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 - 5, del Regolamento.

5. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Conversion Media della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 - 5, del Regolamento (pagamento di una somma fino a € 10.000.000,00 ovvero, per le imprese con oltre 500.000.000 di euro di fatturato, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore).

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

1) quale fattore aggravante, la natura delle violazioni (art. 83, par. 2, lett. a) del Regolamento), strettamente correlata alle più basilari nozioni e ai principali obblighi in materia di protezione dei dati personali, quale appunto deve essere considerata la corretta individuazione dei ruoli soggettivi e il doveroso rispetto degli obblighi che ne derivano;

2) quale fattore attenuante, la circostanza (art. 83, par. 2, lett. e) del Regolamento) che Conversion Media non risulta essere stata destinataria di precedenti provvedimenti correttivi e sanzionatori;

3) quale ulteriore fattore attenuante, la categoria di dati personali interessata dalle violazioni (i.e. dati comuni) (art. 83, par. 2, lett. g) del Regolamento).

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi a Conversion Media la sanzione amministrativa del pagamento di una somma di euro 10.000,00 (diecimila,00), pari allo 0,1% della sanzione massima edittale.

Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti e delle condotte della Società, nonché degli elementi di rischio per i diritti e le libertà degli interessati.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare ragionevole e proporzionata in relazione alla gravità e al particolare disvalore delle condotte oggetto di censura, in quanto afferenti ai principi fondamentali - e costantemente ribaditi sia nelle precedenti decisioni, che all’interno delle fonti normative e regolamentari - della normativa in materia di protezione dei dati personali.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. a), del Regolamento, dichiara illecito, nei termini di cui in motivazione, il trattamento effettuato da parte di Conversion Media S.r.l., con sede legale in Via Bagutta, 13, Milano (MI), C.F. e P.IVA 10430480961;

b) ingiunge alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, l’adozione di misure adeguate ad assicurare che la realizzazione di trattamenti di dati personali sia preceduta dalla corretta individuazione del ruolo soggettivo ricoperto e, ove necessario, dal rilascio delle nomine e autorizzazioni previste dalla normativa vigente in materia di protezione dei dati personali;

c) ingiunge alla Società, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Conversion Media S.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Milano (Mi), Via Bagutta, 13, C.F. e P.IVA 10430480961, di pagare la somma di euro  10.000,00 (diecimila,00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000,00 (diecimila,00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

a) la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019;

b) l’applicazione della sanzione accessoria della pubblicazione sul sito del Garante della presente ordinanza di ingiunzione, come previsto dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019;

c) l’annotazione del presente provvedimento nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso. 

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori