[doc. web n. 10227081]

Provvedimento del 12 febbraio 2026

Registro dei provvedimenti
n. 103 del 12 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000 (disponibile per la consultazione sul sito www.gpdp.it, doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con atto Prot. n. 168401 del 2 dicembre 2025, notificato in pari data mediante posta elettronica certificata, che qui deve intendersi integralmente riprodotto, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di Depurazione Acqua S.r.l., (di seguito anche “Depurazione Acqua” o “Titolare”), in persona del legale rappresentante pro-tempore, con sede legale in Milano (MI), Piazza della Repubblica, 19, C.F. e P.IVA 11475270960.

Il procedimento trae origine da una istruttoria avviata a seguito della trasmissione all’Autorità di un reclamo, pervenuto in data 18 gennaio 2025 (cfr. Prot. n. 7246 del 21 gennaio 2025) e successivamente regolarizzato in data 23 aprile 2025 (cfr. Prot. n. 55411 del 23 aprile 2025) - mediante il quale l’interessato ha lamentato l’avvenuta ricezione di una chiamata indesiderata sulla propria utenza telefonica iscritta al Registro Pubblico delle Opposizioni, effettuata nell’interesse di Depurazione Acqua e di un messaggio di conferma dell’avvenuto contatto promozionale.

Con la medesima doglianza, l’interessato ha contestato altresì il contenuto dei riscontri forniti dal Titolare in relazione all’istanza di esercizio dei diritti avanzata in data 8 gennaio 2025. Più in particolare, il Titolare sosteneva che i dati del reclamante erano stati acquisiti dal partner commerciale Unleadmited S.r.l. (di seguito anche “Unleadmited” o “List Provider”) «a seguito dell’iscrizione dell’utente avvenuta in data 26/12/2024 alle ore 23:32 al sito web disponibile su https://mediaonline.vinciadesso.com». Tuttavia il reclamante sosteneva di non aver «mai consultato il sito internet indicato, né tantomeno inserito i dati personali in tale sito o fornito consenso al trattamento per finalità di marketing» ed eccepiva che «l’IP del soggetto che ha immesso i dati riconduce alla città di Milano, città che il sottoscritto non ha frequentato nella data indicata. Inoltre viene riportato un indirizzo errato».

Peraltro, all’esito di una verifica effettuata dall’Ufficio successivamente alla ricezione del reclamo, è emerso che la numerazione chiamante indicata dal reclamante non risultava iscritta presso il Registro degli Operatori di Comunicazione e postali (di seguito anche “ROC”) e che il citato sito https://mediaonline.vinciadesso.com non è navigabile, bensì reca soltanto un form utile al conferimento dei dati personali e del consenso al trasferimento a terzi dei dati personali per finalità promozionali. Tuttavia i form e l’informativa utilizzata non apparivano pienamente in linea con la vigente normativa in materia di protezione dei dati personali. 

1.2. Le richieste di informazioni formulate dall’Autorità

Preso atto delle evidenze emerse e al fine di verificare il rispetto della normativa in materia di protezione dei dati personali, con nota del 6 giugno 2025 (cfr. Prot. n. 81051/25), l’Ufficio ha invitato Depurazione Acqua e Unleadmited, ai sensi dell’art. 157 del Codice, a fornire le proprie osservazioni in ordine a quanto rappresentato dal reclamante e taluni chiarimenti in merito ai trattamenti dei dati effettuati per finalità promo-pubblicitarie.

Con riscontro del 9 giugno 2025 (cfr. Prot. n. 81991/25), Depurazione Acqua ha chiarito di essersi limitata «ad acquistare dei contatti già preselezionati e con la privacy correttamente autorizzata dalla Conversion media srl» (di seguito anche “Conversion Media”), allegando il contratto sottoscritto con tale società.

Quanto all’istanza presentata dal reclamante, Depurazione Acqua ha rappresentato di aver risposto alle richieste con e-mail del 17 gennaio 2025.
Unleadmited, invece, non ha fatto pervenire alcun riscontro alla richiesta di informazioni notificata dall’Ufficio e pertanto, scaduto il termine concesso, è stato notificato l’atto di avvio del procedimento Prot. n. 133862 del 9 ottobre 2025 in relazione alla violazione degli artt. 157 e 166, comma 2, del Codice.

Contestualmente, alla luce dei riscontri forniti da Depurazione Acqua e della documentazione prodotta, l’Ufficio ha ritenuto opportuno effettuare un supplemento di istruttoria, rivolgendo una richiesta di informazioni integrativa a Depurazione Acqua (cfr. Prot. n. 133860 del 9 ottobre 2025) e in pari data, una richiesta di informazioni anche a Conversion Media (cfr. Prot. n. 133857/25).

Con nota trasmessa in data 27 ottobre 2025 (cfr. Prot. n. 142693 del 28 ottobre 2025), Conversion Media ha fornito i chiarimenti richiesti, ribadendo che «il trattamento dei dati personali riferibili al Soggetto Interessato ha avuto luogo a fronte di una registrazione al sito web della società Unleadmited S.r.l. (…) raggiungibile al link https://mediaonline.vinciadesso.com/ (…) effettuata dal Soggetto Interessato in data 26/12/2024 alle ore 22:32. In tale contesto Unleadmited agisce in qualità di Titolare del trattamento (…). Tra le finalità indicate nella suddetta informativa è presente, al paragrafo 4.2, la finalità di comunicazione a terzi dei dati personali per finalità di marketing e la base giuridica che legittima il perseguimento di tale finalità è costituita dal consenso del soggetto interessato».

Con riguardo ai rapporti contrattuali in essere con Depurazione Acqua, Conversion Media ha richiamato l’accordo sottoscritto tra le parti e già prodotto agli atti, in forza del quale Conversion Media «si è impegnata a fornire al Cliente le anagrafiche di utenti (i) che hanno rilasciato un consenso esplicito, specifico e informato per finalità promozionali e (ii) i cui dati personali sono trattati nel rispetto» della normativa sulla protezione dei dati personali. Conversion Media ha specificato, altresì, di agire «in qualità di concessionaria per conto di terze parti che, in qualità di titolari del trattamento, hanno raccolto le anagrafiche e il consenso alla comunicazione a terzi per finalità promozionali», evidenziando che nel caso specifico «nel modulo d’ordine (…) è stato correttamente indicato che il soggetto che, in qualità di titolare del trattamento, ha raccolto le anagrafiche è la società Unleadmited».

In merito alla qualificazione dei ruoli privacy, Conversion Media ha precisato di aver agito «previa formale designazione ai sensi dell’art. 28 del Reg UE 2016/679 (…) – in qualità di responsabile del trattamento – per conto di Unleadmited al fine di porre in essere le attività strumentali necessarie alla realizzazione delle finalità di comunicazione dei dati a terzi, consistenti nella trasmissione dei dati al Cliente», rappresentando al contempo che Unleadmited aveva agito in qualità di titolare del trattamento, avendo raccolto i dati personali del soggetto interessato sul proprio sito web, così come anche Depurazione Acqua, una volta ricevute le anagrafiche,  aveva agito in qualità di ulteriore autonomo titolare del trattamento.

Conversion Media ha chiarito, altresì, che Unleadmited è sottoposta al proprio controllo societario e si occupa di organizzare e promuovere iniziative on-line, principalmente concorsi a premio, anche al fine di costituire database di utenti, agendo in qualità di titolare del trattamento.

Più in particolare, Conversion Media ha dichiarato che Unleadmited «è il soggetto che predispone i form di iscrizione e la raccolta dei dati in occasione delle attività di lead generation, definendo le finalità e i mezzi del trattamento dei dati personali», mentre «Conversion Media, oltre ad essere la controllante della Unleadmited, agisce come sua concessionaria e come controparte contrattuale dei Clienti che ricevono i dati raccolti», rivestendo quindi un ruolo di mero intermediario rispetto ai dati personali raccolti dalla prima e limitandosi a supportare quest’ultima nella loro commercializzazione.

Con riferimento alle attività dalla stessa svolte, Conversion Media ha rappresentato di non effettuare «attività di trattamento di dati personali nel perseguimento di proprie finalità» e di non realizzare proprie campagne promozionali, ma di fornire «in virtù del proprio ruolo di Responsabile del trattamento, (…) ad Unleadmited il necessario supporto per la corretta realizzazione delle attività di business, tramite la realizzazione delle attività strumentali che si rendono necessarie, come la gestione dei rapporti contrattuali con clienti e i fornitori e l’assistenza e manutenzione dell’infrastruttura IT».

Relativamente alle doglianze avanzate dall’odierno reclamante, Conversion Media ha rilevato che «la conformità alla vigente normativa della anagrafica fornita al Cliente è dimostrata, in primis, dalle evidenze generate dai sistemi informatici da cui si evincono le informazioni del log-event generato dall’iscrizione del Soggetto Interessato al Sito, evento al quale, in linea con le procedure aziendali di Unleadmited, ha fatto seguito (i) l’invio di una prima notifica di conferma trasmessa al Soggetto Interessato a mezzo e-mail; (ii) la realizzazione di una telefonata di verifica (cd. “qualifica”), volta appunto a verificare la correttezza dei dati personali del Soggetto Interessato e a confermare il consenso alla comunicazione a terzi dei suoi dati personali per finalità promozionali e, infine, (iii) l’invio al Soggetto Interessato di un SMS in cui veniva indicata in modo esplicito la denominazione del soggetto a cui sarebbero stati comunicati i dati personali allo stesso riferibili», precisando altresì come il reclamante «in sede di contatto telefonico, abbia confermato (i) i propri dati, nonché (ii) la propria volontà in merito alla comunicazione degli stessi alla società Depurazione Acqua S.r.l. in quanto dichiaratosi interessato all’acquisto di un depuratore».

Conversion Media ha evidenziato, poi, che presentare richieste di esercizio dei diritti riconosciuti dal Regolamento con il solo intento di contestare le risposte ricevute e avanzare pretese risarcitorie per presunti danni, spesso accompagnate dalla minaccia di proporre un reclamo dinanzi all’autorità di controllo competente, da alcuni anni è diventata una prassi posta in essere da parte di alcuni interessati e che pertanto, le Società coinvolte non intendevano assecondare tale richiesta.

Infine, con riguardo alle fonti di approvvigionamento delle liste di contattabilità e agli acquirenti delle stesse per gli anni 2024/2025, Conversion Media ha prodotto un elenco dei list provider e dei clienti appartenenti alla propria rete commerciale.

Con nota trasmessa in data 27 ottobre 2025 (cfr. Prot. n. 142847 del 28 ottobre 2025), Unleadmited ha rappresentato preliminarmente che il ritardo nel riscontro alla richiesta di informazioni trasmessa inizialmente dall’Autorità era dipeso da una criticità occorsa nel sistema di notifica di avvenuta ricezione dei messaggi della propria casella pec, manifestando la volontà di cooperare con l’Autorità allo scopo di fornire ogni chiarimento ed evidenza richiesta. A tale riguardo Unleadmited ha rappresentato, altresì, «di aver già implementato le misure adeguate ad evitare che quanto accaduto possa tornare a ripetersi».

Con riferimento al caso dell’odierno reclamante, anche Unleadmited ha ribadito che «il trattamento dei dati personali riferibili al Soggetto Interessato ha avuto luogo a fronte di una registrazione al sito web della Società raggiungibile dal link https://mediaonline.vinciadesso.com/ (…) effettuata dal Soggetto Interessato in data 26/12/2024 alle ore 22:32. In tale occasione quest’ultimo ha manifestato il consenso alla comunicazione a terzi per finalità di marketing, selezionando volontariamente – in modo libero e facoltativo - l’apposita casella presente in calce al form in corrispondenza della dicitura: “Si, acconsento alla elaborazione dei miei dati personali per la trasmissione dei miei dati personali alle aziende terze di cui all’art. 4.2 dell’informativa privacy, per loro finalità di marketing (facoltativo)”».

In merito al form di iscrizione, Unleadmited ha precisato «che lo stesso prevede due step di compilazione: nel primo step gli utenti possono indicare nome, cognome, e-mail e data di nascita; nel secondo step è possibile conferire l’indirizzo e il numero di telefono».

Con riferimento all’attività di raccolta di dati personali tramite il proprio sito web, Unleadmited ha rappresentato che, completata la registrazione tramite il form di iscrizione, l’utente riceve una notifica a mezzo e-mail volta a informarlo della corretta registrazione avvenuta sul sito e che, nel caso di specie, tale notifica era stata inviata in data 26 dicembre 2024 alle ore 22:33 all’indirizzo di posta elettronica del reclamante. Inoltre, nell’immediatezza della registrazione (solitamente il giorno seguente) gli utenti ricevono una chiamata telefonica (c.d. chiamata di qualifica) volta a verificare la regolare iscrizione dell’utente (quindi sia l’effettiva volontarietà dell’iscrizione che la correttezza dei dati conferiti) e a confermare l’effettivo interesse dell’utente a ricevere comunicazioni promozionali da parte di terzi. Nel caso di specie, a causa della pausa dovuta alle festività natalizie, tale chiamata era stata effettuata in data 8 gennaio 2025. Inoltre, al termine della chiamata di qualifica, gli utenti del sito ricevono un’ulteriore notifica di conferma via sms, contenente i riferimenti della società che effettivamente vende il prodotto verso il quale l’utente ha dimostrato interesse.

In merito all’iscrizione nel registro pubblico delle opposizioni dell’utenza telefonica del reclamante, Unleadmited ha rappresentato che «come previsto dall’art. 1, comma 6, della L. n. 5/2018, il consenso al trattamento dei dati personali (…) prestato successivamente all’iscrizione al Registro Pubblico delle Opposizioni, dovrebbe essere ritenuto valido al fine di contattare mediante telefono l’interessato».

Unleadmited ha rilevato, altresì, di non aver inviato comunicazioni tramite app di messaggistica, come whatsapp, in quanto le uniche comunicazioni trasmesse sarebbero state veicolate tramite e-mail e sms, chiarendo che le stesse «avevano natura c.d. “transazionale” e non promozionale, avendo l’unica finalità di costituire evidenza dei consensi prestati e misura di trasparenza nei confronti degli interessati».

Con riguardo all’attendibilità dell’indirizzo IP prodotto, Unleadmited ha segnalato che tale dato può variare anche in base al dispositivo utilizzato dall’utente in fase di registrazione ovvero, oppure, in caso di indirizzo IP dinamico, dopo un certo periodo di tempo.

Unleadmited ha rappresentato di essere iscritta al ROC, ma di aver contattato il reclamante tramite una numerazione tradizionale, in chiaro, ricontattabile e non iscritta al ROC in quanto la chiamata c.d. “di qualifica” aveva natura meramente tecnica e di compliance normativa.

Infine, in merito alla natura degli accordi commerciali sussistenti tra il List Provider e XX, Unleadmited ha confermato che «la XX è una società terza a cui la Unleadmited può comunicare i dati personali degli utenti che hanno manifestato il consenso alla comunicazione a terzi, per finalità di marketing (digital advertising)», precisando che «la collaborazione tra le parti è avvenuta solo nel corso dell’anno 2023, in quanto, successivamente, la Società non ha comunicato dati a XX e, pertanto, si conferma che tale attività non ha riguardato i dati personali del Soggetto Interessato».

Con nota del 28 ottobre 2025 (cfr. Prot. n. 143220/25), anche Depurazione Acqua ha fornito i chiarimenti ulteriormente richiesti.

In tale occasione, in primo luogo anche Depurazione Acqua ha rappresentato di non aver «accettato né definito alcun accordo transattivo, nonostante una proposta di accordo stragiudiziale da parte del reclamante».

Con riferimento alle modalità di realizzazione delle attività di telemarketing e teleselling svolte nel proprio interesse, Depurazione Acqua ha riferito di non effettuare «direttamente attività di teleselling o telemarketing massivo», ma di avvalersi «di liste di contatti prequalificati fornite da Conversion Media S.r.l., in base al contratto sottoscritto in data 11 ottobre 2024», chiarendo al riguardo che siffatto processo si articola in quattro distinte fasi consistenti nella «raccolta del dato da parte di Unleadmited S.r.l., titolare del sito vinciadesso.com, tramite form con doppio step»; nella successiva «telefonata di qualifica eseguita da Conversion Media S.r.l. per conto di Unleadmited S.r.l., volta a verificare la correttezza del dato e l’effettiva volontà dell’utente di ricevere comunicazioni commerciali da specifiche aziende partner (tra cui Depurazione Acqua)»; nel «trasferimento del contatto validato a Depurazione Acqua, che può contattare il soggetto esclusivamente per finalità commerciali coerenti con il consenso espresso, previa ulteriore telefonata di qualifica da parte di Depurazione Acqua»; nello «eventuale contatto successivo di conferma o consulenza da parte di personale interno o tecnici di Depurazione Acqua, senza attività di vendita telefonica diretta».

Il Titolare ha indicato, poi, i soggetti coinvolti nella realizzazione di attività promo-pubblicitarie per proprio conto, specificando il ruolo soggettivo ricoperto da ciascuno di tali soggetti. Segnatamente, ha riferito che Unleadmited aveva agito quale titolare originario del trattamento, Conversion Media in qualità di responsabile del trattamento per conto di Unleadmited e, infine, ha chiarito di avere rivestito il ruolo di autonomo titolare del trattamento per le successive attività promozionali basate sul consenso alla cessione ricevuto dal titolare originario.

Con specifico riferimento alle modalità di selezione dei list provider e dei partner commerciali coinvolti nei trattamenti di dati effettuati per finalità promo-pubblicitarie realizzati per proprio conto, il Titolare ha rappresentato di selezionare «i fornitori previa verifica documentale delle garanzie contrattuali sulla liceità della raccolta dei dati».

In merito alle istruzioni impartite ai soggetti coinvolti nella realizzazione di attività promo-pubblicitarie e ai controlli effettuati affinché tali attività venissero svolte in ottemperanza alla vigente normativa in materia di protezione dei dati personali, Depurazione Acqua ha dichiarato che generalmente forniva «ai propri fornitori designati come responsabili istruzioni scritte», verificando che «i dati siano utilizzati unicamente per le finalità concordate e che i propri responsabili si avvalgano di idonee misure di sicurezza tecniche e organizzative». La Società ha rappresentato, altresì, di effettuare «controlli a campione sui fornitori, visionando le fonti di raccolta e le evidenze tecniche di consenso (form, log, timestamp, indirizzo IP)».

Depurazione Acqua ha precisato, poi, di effettuare «controlli ex ante e a campione sui lead ricevuti, verificando: la coerenza territoriale (geo target previsto nel contratto: Marche, Emilia-Romagna, Lombardia, Lazio); la provenienza dichiarata (unleadmited S.r.l.); la presenza di evidenze del consenso (log, data/ora, form, e-mail di conferma)».

Quanto all’origine dei dati personali dell’odierno reclamante, anche Depurazione Acqua ha ribadito le informazioni già fornite dalle altre Società in merito all’iscrizione al sito https://mediaonline.vinciadesso.com/.

Depurazione Acqua ha dichiarato di non intrattenere alcun rapporto contrattuale direttamente con Unleadmited, precisando che «i dati vengono forniti a Depurazione Acqua da Conversion Media, che agisce in qualità di intermediario tecnico incaricato da Unleadmited (…) La comunicazione dei dati personali da Unleadmited a Depurazione Acqua avviene sulla base del consenso alla cessione a terzi per finalità di marketing, validamente acquisito dal titolare originario».

Infine, con riguardo alla gestione delle istanze di esercizio dei diritti presentate dai soggetti interessati ai sensi degli artt. 15 e ss. del Regolamento, il Titolare ha illustrato la procedura interna adottata, evidenziando di avere fornito riscontro al reclamante entro il termine di 30 giorni, informando l’interessato della provenienza dei propri dati e fornendo i contatti di Unleadmited per ulteriori approfondimenti.

Con nota trasmessa in data 28 ottobre 2025 (cfr. Prot. n. 143527 del 29 ottobre 2025), il reclamante ha fatto pervenire le proprie osservazioni, contestando la ricostruzione fattuale effettuata nell’ambito dei riscontri forniti all’Autorità. Segnatamente, l’interessato ha rappresentato di non essersi mai collegato al sito https://mediaonline.vinciadesso.com, rilevando che l’indirizzo IP indicato dalle parti era riconducibile all’area geografica di Milano, dallo stesso non frequentata in quel periodo e diversa dal luogo del proprio domicilio.

Nella medesima occasione, l’istante ha dichiarato di non aver mai prestato il proprio consenso per comunicazioni di marketing e di non aver ricevuto alcuna e-mail proveniente da https://mediaonline.vinciadesso.com o da indirizzi simili, evidenziando la mancata produzione ad opera delle controparti del testo dell’e-mail di conferma.

L’interessato ha rilevato, inoltre, che «l’indirizzo di XX riportato da controparte (…) corrisponde in realtà ad altro avvocato riminese, non a caso quello che precede il sottoscritto nell’elenco in PDF pubblicato on line dall’ordine degli avvocati di Rimini».

Infine, con riguardo alla chiamata indesiderata ricevuta l’8 gennaio 2025, il reclamante ha riferito di «non essere stato affatto contattato per una “chiamata di qualifica” per verificare la genuinità del (…) consenso, bensì direttamente da un soggetto che si è qualificato come “Italia Depura” e che (…) ha formulato una offerta per un depuratore».

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, ha adottato il sopra richiamato atto di contestazione Prot. n. 168401/25 nel quale, preliminarmente ha rilevato che le attività promozionali effettuate da Depurazione Acqua nei confronti dell’odierno reclamante apparivano realizzate in assenza di un’idonea base giuridica e, di conseguenza, in violazione degli artt. 5, 6 e 7 del Regolamento e art. 130 del Codice.

Inoltre, la documentazione prodotta a riprova del consenso acquisito non appariva di per sé insufficiente ad assolvere l’onere probatorio gravante sul titolare e in ogni caso, era inidonea a superare le contestazioni avanzate dal reclamante.

L’Ufficio ha altresì rilevato che in violazione dei doveri derivanti dal principio di accountability, la Società si è limitata a fornire generiche indicazioni in merito alla pre-qualifica dei fornitori e a non meglio specificate attività di controllo sulle liste acquistate, senza fornire alcun elemento di carattere documentale.

Infine, l’Ufficio ha rilevato che i trattamenti di dati personali esaminati sembravano sollevare criticità anche sotto il profilo della corretta attribuzione dei ruoli soggettivi e, conseguentemente, dell’adempimento degli obblighi dai medesimi derivanti, dal momento che Depurazione Acqua non aveva conferito la nomina ex art. 28 del Regolamento in favore di Conversion Media.

Pertanto, è stata contestata la presunta violazione delle seguenti disposizioni:

- artt. 5, 6, 7, 24 del Regolamento, nonché 130 del Codice per aver effettuato - e continuare ad effettuare - trattamenti di dati personali in contrasto con i principi di liceità, esattezza e responsabilizzazione, in assenza di un’idonea base giuridica e mettendo in atto misure tecniche e organizzative non adeguate per garantire ed essere in grado di dimostrare che il trattamento è effettuato conformemente al Regolamento con riferimento all’idoneità della base giuridica, al rilascio di un adeguato consenso e alla predisposizione di un sistema idoneo a garantire e a documentare la conformità dei trattamenti effettuati;

- artt. 4, 5, 24 e 28 del Regolamento per avere effettuato trattamenti di dati personali con finalità promozionali, senza la previa corretta individuazione dei ruoli soggettivi ricoperti e di conseguenza, in violazione dei doveri che derivano da essi.

2. LA DIFESA DEL TITOLARE

Con nota del 23 dicembre 2025 (cfr. Prot. n. 22 del 2 gennaio 2026), Depurazione Acqua ha presentato istanza di proroga dei termini previsti dalla legge per il deposito degli scritti difensivi e della richiesta di essere sentita dall’Autorità. Pertanto, in accoglimento dell’istanza in parola, tale termine è stato prorogato sino al 17 gennaio 2026.

Successivamente, con nota del 16 gennaio 2026 (cfr. Prot. n. 7626 del 20 gennaio 2026) la Società ha trasmesso i propri scritti difensivi, in base a quanto previsto dall’art. 166, comma 6, del Codice e dall’art. 13 del regolamento del Garante n. 1/2019 (disponibile per la consultazione sul sito www.gpdp.it, doc-web n. 9107633) e presentato richiesta di audizione.

Con la medesima nota Depurazione Acqua ha preliminarmente ribadito la piena collaborazione con l’Autorità, contestando la ricostruzione dei fatti proposta dal reclamante ed evidenziando che «una eventuale illiceità del trattamento, qualora accertata, non può essere in alcun modo ascritta a Depurazione Acqua».

Nel merito delle contestazioni sollevate dall’Ufficio, la Società ha rappresentato in primo luogo di aver adempiuto agli obblighi derivanti dal principio di accountability «attraverso l’adozione di un registro del trattamento, la nomina di incaricati e responsabili del trattamento (…) e l’adozione di misure tecniche e organizzative volte a mitigare i rischi connessi al trattamento dei dati personali»; di aver redatto specifiche informative con riferimento «al trattamento dei dati relativi a soggetti che Depurazione Acqua ottiene da liste di anagrafiche e i trattamenti di dati effettuati nel momento in cui vieni contattato dall’operatore di Depurazione Acqua»; di aver provveduto a nominare consulenti in materia di protezione dei dati personali per il mantenimento e l’aggiornamento del proprio modello organizzativo; di avere individuato un DPO e di avere provveduto alla somministrazione di appositi corsi di formazione per il  personale.

Con specifico riferimento alla valutazione dei propri fornitori, inoltre, Depurazione Acqua ha precisato di aver effettuato «un’analisi delle procedure di raccolta dei dati e del rispetto della normativa della privacy da parte dei fornitori di lead selezionati e loro validazione solo a seguito dell’accertamento circa gli elevati livelli di serietà, organizzazione e compliance normativa, tramite assistenza dei propri consulenti privacy»,  accompagnata dalla previsione, in sede contrattuale, di «idonee garanzie a tutela dei dati personali e che le lead siano trasferite a Depurazione Acqua solo a fronte del rilascio da parte degli interessati di un "consenso esplicito, specifico e informato" per la cessione dei dati a terzi per proprie finalità promozionali».

La Società, inoltre, ha rappresentato di effettuare «controlli a campione ex post per verificare la presenza di evidenze del consenso fornito dagli interessati in relazione ai lead prequalificati acquistati» e di aver implementato una banca dati dei lead acquisiti da terzi interna tramite un unico personal computer, protetto da password e accessibile da un’unica incaricata adeguatamente formata.

In merito all’errata qualificazione dei ruoli soggettivi, pure contestata con l’atto di avvio del procedimento, la Società ha osservato che Conversion Media non ha operato in qualità di responsabile del trattamento di Depurazione Acqua in quanto i trattamenti oggetto di doglianza vengono eseguiti da Unleadmited e da Conversion Media in esecuzione della propria attività di impresa e a prescindere dall’accordo in essere tra Depurazione Acqua e Conversion Media.

A tale riguardo Depurazione Acqua ha, altresì, precisato che Conversion Media non ha eseguito alcuna attività promozionale in nome e per conto di Depurazione Acqua, né era autorizzata a farlo in base agli accordi contrattuali tra le parti. Di conseguenza, in base alla ricostruzione prospettata dalla Società, le anagrafiche venivano trattate da Conversion Media in qualità di responsabile del trattamento di Unleadmited e successivamente venivano trasferite a Depurazione Acqua per conto di Unleadmited, che assumeva la veste di list provider. Per l’effetto, «il nominativo di Depurazione Acqua veniva utilizzato solo ai fini di rendere il consenso specifico, in conformità alle previsioni normative e non per finalità promozionali».

Sempre ai fini della qualificazione dei ruoli soggettivi, Depurazione Acqua ha evidenziato che il riferimento contenuto nel contratto alle “Lead Prequalificate” riguardava i «contatti il cui consenso è stato qualificato per l’esecuzione di attività promozionali di terzi nel settore merceologico della scrivente. L'oggetto della prestazione è quindi la fornitura di un "prodotto" (i lead qualificati), non l'esecuzione di un servizio di trattamento per conto del cliente» e che «i lead, successivamente alla cessione, sono gestiti “Dal Cliente [i.e. Depurazione Acqua ndr] in nome proprio e nel proprio interesse” (…). Dunque, Conversion Media S.r.l. non è autorizzata ad eseguire alcuna attività per conto della scrivente» e «Il contratto non autorizzava Conversion Media S.r.l. ad usare il nome e il marchio di Depurazione Acqua per finalità promozionali».

La Società ha precisato, altresì, che la raccolta di dati personali tramite siti di concorso a premio e le attività di qualifica dei lead, rappresentano «una delle principali attività di impresa sia di Unleadmited S.r.l. che di Conversion Media S.r.l. e viene eseguita a prescindere e in modo non correlato con il contratto sottoscritto da Depurazione Acqua con Conversion Media S.r.l. (…) Solo a seguito della qualifica e dell’ottenimento di un legittimo e valido consenso, specifico per il settore merceologico di riferimento (i.e. depuratori di acqua), il dato viene trasmesso ai clienti delle suddette società, come risulta anche dall’istruttoria, che a quel punto avviano il proprio trattamento in autonomia per le proprie finalità commerciali» e che «Depurazione Acqua non è mai menzionata nel Sito o in altra documentazione utilizzata da tali società, fatta unica eccezione per l’SMS trasmesso in data 8.01.2025 alle ore 11.39 e che ha la sola funzione di rendere il consenso specifico e specificare all’interessato il nominativo del terzo a cui vengono trasmessi i dati, nell’interesse del titolare originario».

Depurazione Acqua ha evidenziato che l’adeguatezza delle misure poste in essere deve essere valutata in concreto, anche in relazione alle caratteristiche del trattamento preso in esame e che pertanto, nel caso di specie i controlli "meramente formali” «rappresentano la principale verifica concretamente esigibile da un titolare che acquista liste da un list provider terzo in considerazione delle circostanze specifiche legate al trattamento e delle dimensioni e alla organizzazione di Depurazione Acqua», né «è ragionevole pretendere che l’acquirente (i.e. Depurazione Acqua) conduca un audit tecnico-legale completo sui sistemi e sulle informative del titolare originario (Unleadmited S.r.l.), con cui non ha nemmeno un rapporto diretto ovvero esegua ulteriori attività».

La Società ha poi evidenziato che nonostante le misure adottate, è venuta a conoscenza di una serie di elementi che minano alla radice la veridicità delle rappresentazioni fornite dai suoi partner commerciali, solo a seguito dell'odierna istruttoria e che nessuna misura considerata adeguata e proporzionale, nel caso in esame avrebbe consentito a Depurazione Acqua di accertare ed evitare il comportamento descritto dal reclamante. A parere di Depurazione Acqua, tali evidenze sarebbero potute emergere soltanto a seguito di attività ispettive e di indagine «eccessivamente onerose in termini di costi e/o impegno e/o che sono demandate, per legge, unicamente agli organi di polizia e alle autorità di vigilanza. Le evidenze tecniche prodotte da Unleadmited S.r.l. (log di sistema e di invio email) appaiono infatti, solo alla luce dei riscontri sollevati dal reclamante in data 28 ottobre 2025, del tutto inattendibili e potenzialmente artefatte per simulare una registrazione mai avvenuta».

La Società ha evidenziato la natura meramente strumentale della richiesta risarcitoria avanzata dal reclamante e ha  illustrato le misure rimediali poste in essere già nel corso del procedimento, quali la cancellazione dei dati del reclamante e l’immediata interruzione del rapporto con Conversion Media, avviando al contempo una revisione  delle procedure interne di compliance privacy e, in particolare, di acquisizione di lead da fornitori esterni, al fine di «a) adottare il Codice di condotta per le attività di telemarketing e teleselling per la valutazione dei propri fornitori, nonostante l’attività principale dell’azienda non rientri in tale tipologia di attività; b) redigere e sottoporre ai fornitori di lead questionari di audit in forma scritta prima dell’avvio del rapporto e periodicamente, se si tratti di rapporti di lunga durata; c) eseguire, a cadenza almeno annuale, verifiche documentali e ispezioni interne presso i fornitori, tenendo traccia delle motivazioni delle scelte effettuate in apposito documento; d) richiedere ai fornitori la documentazione dettagliata sulle metodologie di raccolta del consenso (es. screenshot dei form, percorsi di navigazione, informative privacy specifiche per ogni campagna), invio a campione della documentazione del valido consenso fornito dall’interessato, nel corso del rapporto, e, per ogni singolo lead fornito, di conservare la documentazione scritta del valido consenso fornito da parte dell'interessato; e) stipulare contratti di fornitura di lead solo con fornitori che si rendano disponibili ad agire in qualità di responsabili del trattamento e a collaborare con Depurazione Acqua per l’identificazione delle procedure di raccolta dei dati in base alle indicazioni fornite dalla stessa e in conformità al Codice di condotta per le attività di telemarketing e teleselling; f) inserire nei contratti con i propri fornitori la nomina a responsabile del trattamento e clausole di garanzia ulteriori che: (i) consentano al titolare di verificare in affiancamento a tecnici del responsabile, in sede di verifica o ispezione interna, il rispetto delle misure di sicurezza previste per il trattamento dei dati affidati in outsourcing e trattati mediante i sistemi fisici ed informatici dell’affidatario del servizio; (ii) implementino gli standard garantiti in prima nomina previsti dal Codice di condotta per le attività di telemarketing e teleselling di Codesta Autorità, tenuto conto dello stato dell’arte, dei costi di attuazione, nonché nella durata e del contesto del trattamento delegato; (i) vietino l’affidamento delle attività delegate a sub-responsabili, salva l’espressa autorizzazione da parte del committente/titolare del trattamento, che potrà essere concessa solo per soggetti che garantiscano i medesimi standard richiesti dal presente Codice di condotta per i responsabili del trattamento. g) identificare formalmente i propri fornitori come responsabili del trattamento e fornire agli stessi indicazioni operative precise circa le modalità e le tutele da adottare circa il trattamento dei dati personali dei lead che verranno raccolti e alla stessa trasmessi».

Successivamente nel corso dell’audizione – originariamente fissata in data 21 gennaio 2026 e poi, su istanza di parte, rinviata al 23 gennaio 2026 - richiamando preliminarmente le deduzioni già prospettate mediante il deposito delle memorie difensive, Depurazione Acqua ha ribadito di non svolgere né direttamente né tramite terzi attività di vendita telefonica, bensì chiamate finalizzate a fissare un appuntamento sulla base di anagrafiche raccolte da terzi e rispetto alle quali sia stato previamente raccolto il consenso ai fini del trasferimento a terzi per finalità di marketing.  

La Società ha evidenziato poi che la condotta tenuta dal reclamante era apparsa strumentale all’ottenimento di un risarcimento del danno, ciò anche in ragione della professione svolta dal reclamante (i.e. avvocato).

Depurazione Acqua ha inoltre chiarito che «la chiamata di qualifica effettuata da Conversion Media S.r.l. era finalizzata a verificare la correttezza dei dati e la permanenza del consenso al trasferimento dei dati a terzi, quindi aveva lo scopo anche di individuare il titolare e il settore merceologico in riferimento al consenso per la cessione di dati a terzi, nell’interesse del titolare originario, Unleadmited S.r.l.».

Infine, la Società ha precisato che, precedentemente alla sottoscrizione del contratto con il fornitore, aveva effettuato delle verifiche ex ante per comprendere le modalità di raccolta dei dati e, nel corso del rapporto, alcune call dirette a verificare a campione l’andamento del contratto e i consensi raccolti, ma che tuttavia non vi erano evidenze documentali attestanti le verifiche effettuate.

3. VALUTAZIONI DELL’AUTORITÀ

Va in primo luogo rappresentato che la documentazione e le osservazioni fornite da Depurazione Acqua nel corso del procedimento non appaiono idonee a escludere la responsabilità della Società in relazione alle violazioni contestate.

Le attività promozionali effettuate da Depurazione Acqua, o comunque nell’interesse della medesima, nei confronti dell’odierno reclamante appaiono realizzate in assenza di un’idonea base giuridica e, di conseguenza, in violazione degli artt. 5, 6 e 7 del Regolamento e art. 130 del Codice.

A tale riguardo appare utile precisare sin da ora che, contrariamente a quanto sostenuto dalla Società, devono qualificarsi alla stregua di attività promozionali, anche tutti quei contatti e quelle comunicazioni prodromiche e preordinate alla pubblicizzazione di prodotti e servizi, nonché alla stipula del contratto, ciò a prescindere dalla circostanza che le medesime vengano effettuate ricorrendo a una commistione di mezzi e modalità (i.e. telefono, appuntamento, messaggio sul dispositivo mobile ecc.). Una diversa interpretazione, difatti, presterebbe il fianco a una elusione del dettato normativo, giacché consentirebbe agli operatori di segmentare l’attività promozionale, al fine di sottrarsi ai vincoli di legge in materia di trattamento di dati personali per finalità promozionali.

Nel merito della vicenda, i chiarimenti forniti dal Titolare non sono risultati idonei a illustrare l’origine dei dati dell’interessato, né a comprovare la sussistenza di un’idonea base giuridica del trattamento.

Depurazione Acqua, per il tramite di Conversion Media, ha acquistato l’anagrafica dell’odierno reclamante da Unleadmited, che a sua volta l’ha acquisita attraverso un concorso a premi pubblicato sul proprio sito web. A riprova della provenienza dei dati, agli atti del procedimento sono stati prodotti i log dell’iscrizione effettuata dall’interessato, della mail di conferma e della chiamata di qualifica.

Tuttavia, i form e le informative utilizzate nell’ambito della raccolta dei dati personali, non consentivano di acquisire un consenso al trattamento libero, specifico, informato, inequivocabile e granulare rispetto alle diverse finalità perseguite e indicate nell’informativa asseritamente resa all’interessato, dal momento che veniva richiesto un unico flag per il perseguimento di diverse finalità (i.e. attività promozionali realizzate da Unleadmited e cessione a terzi ai fini promozionali).

Nella fattispecie, in calce al form era presente il modulo per l’acquisizione del consenso da parte degli utenti che recava la dicitura «Si, acconsento alla elaborazione dei miei dati personali per la trasmissione dei miei dati personali alle aziende terze di cui all’art. 4.2 dell’informativa privacy, per loro finalità di marketing (facoltativo)» e un link diretto all’informativa sul trattamento dei dati personali.

Tuttavia, da una lettura più attenta e integrale della richiamata informativa, emergeva che a fronte della acquisizione di un unico consenso, i trattamenti per finalità promozionale basati sul consenso dell’interessato erano contemplati dapprima al par. 4.1 che recava il riferimento alle attività di marketing effettuate sia nell’interesse di Unleadmited, che di terzi (cfr. «4.1 Marketing Con il consenso libero e facoltativo dell’Utente, alcuni dati personali dell’Utente (…) potranno essere trattati dal Titolare anche per finalità di marketing (…) per proporre all’Utente l’acquisto di prodotti e/o servizi offerti dallo stesso Titolare e/o da imprese terze, presentare offerte, promozioni ed opportunità commerciali, proprie o di tali imprese terze. Il Titolare potrebbe quindi effettuare le attività di marketing summenzionate relativamente ad aziende che offrono prodotti o servizi nel contesto di una o più delle seguenti categorie merceologiche: (i) aziende di telefonia fissa e mobile; (ii) aziende attive nel mondo dell’editoria (carta stampata, internet, televisione e nuovi media); (iii) aziende attive nel settore del commercio elettronico di prodotti e servizi; (iv) società operanti nel settore energetico; (v) società operanti nel settore viaggi e tempo libero; (vi)società che si occupano di formazione professionale e/o scolastica; (vii) agenzie di pubblicità, centri media e contact center; (viii)società operanti nel settore alimentare; (ix) ONG e ONLUS; (x) società operanti nel settore marketing e comunicazione web, nonché ai partners commerciali delle medesime, appartenenti ai settori dell’e-commerce, della vendita per corrispondenza, editoriale, utilities, turistico, sportivo, comunicazione, entertainment, finanziario, assicurativo, automobilistico, largo consumo, per l’invio di materiale pubblicitario e altre finalità di carattere promozionale e commerciale, a mezzo posta o telefono e/o sistemi automatizzati di chiamata o comunicazione di chiamata senza l’intervento di un operatore e/o comunicazioni elettroniche quali e-mail, fax, messaggi del tipo Mms o Sms o di altro tipo (…)») e successivamente anche al paragrafo 4.2 ove si faceva riferimento alla sola «Comunicazione dei dati ad aziende terze Con il consenso libero e facoltativo dell’Utente, i dati personali dell’Utente (…) saranno comunicati dal Titolare alle seguenti categorie di aziende terze: (i) aziende di telefonia fissa e mobile; (ii) aziende attive nel mondo dell’editoria (carta stampata, internet, televisione e nuovi media); (iii) aziende attive nel settore del commercio elettronico di prodotti e servizi; (iv) società operanti nel settore energetico; (v) società operanti nel settore viaggi e tempo libero; (vi) società che si occupano di formazione professionale e/oscolastica; (vii) agenzie di pubblicità, centri media e contact center; (viii) società operanti nel settore alimentare; (ix) ONG e ONLUS; (x) società operanti nel settore finanziario e assicurativo (xi) società operanti nel settore marketing e comunicazione web, non ché ai partners commerciali delle medesime, appartenenti ai settori dell’e-commerce, della vendita per corrispondenza, editoriale, utilities, turistico, sportivo, comunicazione, entertainment, finanziario, assicurativo, automobilistico, largo consumo, per l’invio di materiale pubblicitario e altre finalità di carattere promozionale e commerciale, a mezzo posta o telefono e/o sistemi automatizzati di chiamata o comunicazione di chiamata senza l’intervento di un operatore e/o comunicazioni elettroniche quali e-mail, fax, messaggi del tipo Mms o Sms o di altro tipo. (xii) apparecchiature elettromedicali (…): clicca qui per visionare la Lista Estesa (https://vinciadesso.com/i-nostri-sponsor.pdf)».

Peraltro, stando a quanto riportato all’interno dell’informativa, i dati personali raccolti venivano trasmessi ad un ingente numero di destinatari dislocati in varie parti del mondo, appartenenti a categorie merceologiche anche molto diverse tra loro, nonché a società attive nel campo del marketing, comportando di fatto, la perdita di ogni controllo da parte dell’interessato sul dato stesso.

Si aggiunga che siffatte configurazioni di form e informative sono già state oggetto di un recente intervento da parte dell’Autorità, che ne ha dichiarato la contrarietà alle disposizioni vigenti in materia di protezione dei dati personali (cfr. provv. 27 febbraio 2025, n. 114 disponibile per la consultazione sul sito www.gpdp.it, doc. web n. 10114967 ove si legge che «In ragione dell’ampia formulazione utilizzata in ordine alla platea numerosa e indistinta dei cessionari dei dati personali operanti in settori molto differenti tra loro, infatti, l’interessato che voglia ricevere le offerte relative a uno o più delle categorie merceologiche ivi indicate o voglia riceverle tramite uno soltanto dei canali indicati è, di fatto, costretto a conferire un consenso unitario alla cessione indiscriminata dei propri dati a tutti, indistintamente, i soggetti terzi destinatari a scopi promozionali e non è posto nella condizione di esercitare agevolmente i diritti riconosciuti dalla vigente normativa (…) L’utilizzo di formule per l’acquisizione del consenso al trattamento dei dati personali per la cessione a terzi ai fini marketing così ampie e generiche, da non permettere all’interessato di esprimere una volontà granulare e differenziata (…), non permette di acquisire una valida, consapevole e inequivocabile manifestazione di volontà dell’interessato, dal momento che finisce per realizzare un’incontrollabile diffusione di dati personali a favore di una platea indistinta di operatori, minando anche la possibilità di esercitare efficacemente i diritti riconosciuti dalla legge a favore dei soggetti interessati. La manifestazione di volontà in ordine alla cessione dei dati a terzi per finalità di marketing, può considerarsi realmente libera soltanto se all’interessato è garantita una scelta effettiva e il controllo sui propri dati personali»).

Inoltre, per stessa ammissione di Unleadmited, l’informativa non era nemmeno aggiornata (cfr. Prot. n. 142847/25 «la XX è una società terza a cui la Unleadmited può comunicare i dati personali degli utenti che hanno manifestato il consenso alla comunicazione a terzi, per finalità di marketing (digital advertising) (…) la collaborazione tra le parti è avvenuta solo nel corso dell’anno 2023, in quanto, successivamente, la Società non ha comunicato dati a XX e, pertanto, si conferma che tale attività non ha riguardato i dati personali del Soggetto Interessato»), di guisa che anche sotto tale profilo, i consensi acquisiti tramite il portale in questione non potevano ritenersi validi, giacché conferiti sulla base di un’informativa non più attuale e per l’effetto privi del requisito della previa informazione.  

Ma se pure il consenso asseritamente acquisito da parte dell’odierno reclamante fosse stato valido, si rileva che all’esito della disamina di tutta la documentazione e delle deduzioni versate agli atti del procedimento, a dispregio dell’onere probatorio gravante sul titolare del trattamento, Depurazione Acqua - anche con l’ausilio dei propri partner commerciali - non è riuscita a fornire elementi sufficienti a comprovare inequivocabilmente la legittimità della provenienza dei dati e la sussistenza di un idoneo consenso, né a superare le pertinenti contestazioni sollevate dall’interessato.

A tale riguardo, sono state prodotte essenzialmente una scheda recante la data, l’ora e l’IP dell’iscrizione al sito, nonché alcune schermate riguardanti il log di iscrizione e quello dell’inoltro della mail di conferma. Tuttavia tale documentazione non può essere ritenuta sufficiente a dimostrare in modo certo, verificabile e non equivoco l’effettiva manifestazione di volontà dell’interessato, giacché trattasi di documentazione priva dei requisiti informatici di immodificabilità.

In relazione alla valenza probatoria dei file di log e dei riferimenti alla combinazione IP-ora di registrazione, giova richiamare il consolidato orientamento dell’Autorità, secondo cui tali evidenze non sono idonee, di per sé, a comprovare la reale ed effettiva volontà dell’interessato, trattandosi appunto di documentazione modificabile e carente dei requisiti di inequivocabilità (ex multis provv. 4 giugno 2025, n. 330, doc. web n. 10143278 e provv. 15 dicembre 2022, n. 429 doc. web n. 9852290).

Peraltro, con riferimento all’attendibilità dell’indirizzo IP, anche il list provider ha rilevato che tale dato può variare in base al dispositivo utilizzato dall’utente in fase di registrazione ovvero, in caso di indirizzo IP dinamico, dopo un certo periodo di tempo. Ne consegue che, in assenza di altri elementi, anche per tali ragioni la mera registrazione dei log non si rivela sufficiente ai fini della prova dell’avvenuta acquisizione del consenso dell’interessato.

Si aggiunga che nel caso di specie le evidenze emerse dalla registrazione dell’indirizzo IP e dai file di log, non risultano nemmeno corroborate dall’invocato inoltro dell’e-mail di conferma all’indirizzo del reclamante per un triplice ordine di ragioni.

In prima battuta, nonostante l’onere della prova gravante sul titolare del trattamento in virtù del principio di accountability di cui agli artt. 5 e 24 del Regolamento, agli atti del procedimento non risulta pervenuta copia della richiamata mail di conferma, anche se sarebbe stato onere del titolare acquisire tale documentazione già a seguito delle prime contestazioni dell’interessato e anche al fine di fornire un compiuto riscontro all’istanza presentata in materia di diritti.

In seconda istanza, stando alle dichiarazioni fornite dalle parti, la mail in parola si limitava a informare l’utente della mera conferma dell’avvenuta iscrizione. Tuttavia la misura appena descritta, nel caso di specie, non risulta idonea ad assicurare la sussistenza della base giuridica del trattamento e a verificare l’identità del soggetto che ha conferito i dati personali, atteso che non implica alcuna azione positiva di conferma da parte dell’interessato (cd. double opt-in) e che in ragione delle numerose e-mail di spam, notoriamente ricevute dagli utenti, una mail di mera conferma si presta ad essere facilmente cestinata.

Tanto è vero che l’Autorità, di recente e in più di un’occasione, ha avuto modo di chiarire che «la documentazione del consenso in modalità double opt-in (…) offre maggiori garanzie e può considerarsi, allo stato dell'arte, una misura minima di protezione per l'interessato ma anche per lo stesso titolare, tenuto a comprovare la liceità del trattamento. Pertanto, tale misura (o qualsiasi altra che possa offrire un pari livello di garanzia) rientra perfettamente nel quadro normativo, in ragione del combinato disposto dell'art. 7, par. 1 e dell'art. 24, par. 1 del Regolamento poiché il titolare, tenuto conto del contesto e dei potenziali rischi, deve mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento e che l'interessato ha prestato il proprio consenso” (cfr. provv.  4 giugno 2025, n. 330, doc. web n. 10143278).

Invero, con la codificazione del principio di accountability, la scelta delle misure di sicurezza e tecnico-organizzative idonee ad assicurare l’ottemperanza alla vigente normativa in materia di protezione dei dati personali, non è più effettuata ex ante dal legislatore, ma è rimessa alla discrezionalità del Titolare, tenuto a individuare quelle più adatte a tutelare i diritti e le libertà degli interessati, avuto riguardo ai rischi specifici intimamente correlati alle peculiarità dei trattamenti effettuati e alle caratteristiche della propria organizzazione.   

Ne consegue che nell’attuale contesto socio-economico, caratterizzato dalla pervasiva diffusione di internet e dal massiccio ricorso all’utilizzo di portali che offrono servizi di comparazione o concorsi a premi - sovente di dubbia liceità perché non navigabili e caratterizzati da informative contraddittorie e poco trasparenti – il rischio specifico per i diritti e le libertà degli interessati è che tali portali vengano surrettiziamente sfruttati per conferire una parvenza di liceità a liste di contattabilità acquisite aliunde e illecitamente.

Pertanto, in tale mutato contesto, atteso che il titolare del trattamento è responsabile di tutta la filiera del trattamento – che dal contatto consente di giungere al contratto – in base alla doverosa e ordinaria diligenza, Depurazione Acqua avrebbe dovuto e potuto verificare l’origine dei dati e affidarsi a partner commerciali in grado di garantire l’implementazione di meccanismi idonei alla certificazione di un valido consenso e alla verifica dell’identità del soggetto che, navigando sui predetti portali, provvede al conferimento dei dati.

In terzo luogo, assumono particolare valenza anche le osservazioni fornite dal reclamante nella parte in cui quest’ultimo ha negato di avere visitato il sito in questione o ricevuto la mail di conferma, evidenziando la mancanza di correttezza dell’indirizzo associato alla propria anagrafica e che tale indirizzo coincide con quello di un altro avvocato, riportato proprio prima di lui negli elenchi pubblici messi a disposizione dal foro di appartenenza. Siffatte evidenze, anche sotto tale profilo, inducono a ritenere che le misure adottate non siano idonee a garantire l’esattezza dei dati trattati, né a verificare l’identità del soggetto che li ha conferiti.

Sotto altro e diverso versante, le dichiarazioni fornite da Depurazione Acqua in merito all’acquisto delle liste di contattabilità e ai controlli effettuati in ordine alla scelta dei propri partner e alla verifica del loro operato, denotano che la medesima non ha ancora completamente assimilato gli obblighi derivanti dalla vigente normativa in materia di protezione dei dati personali.

A tale riguardo, la Società si è limitata a fornire generiche indicazioni in merito alla pre-qualifica dei fornitori e a non meglio specificate attività di controllo sulle liste acquistate, senza peraltro fornire alcun elemento di carattere documentale. Tali elementi, se considerati congiuntamente, denotano la tendenza all’effettuazione di verifiche meramente formali. Né la presenza di clausole di garanzia o manleva all’interno degli accordi sottoscritti con i propri partner, può esplicare efficacia scriminante o attenuante in ordine alle violazioni contestate.

Le previsioni in parola, difatti, se non accompagnate dall’implementazione di adeguate misure di verifica, si risolvono in mero espediente formale inidoneo a garantire l’efficace adempimento di tutti gli obblighi gravanti sul titolare del trattamento.  

Sul punto, non può essere nemmeno accolta, la tesi avanzata da Depurazione Acqua in base alla quale l’eventuale invalidità del consenso raccolto dai propri fornitori costituirebbe un vizio non rilevabile né prevenibile mediante le misure ragionevolmente esigibili da un’impresa di dimensioni contenute e non dotata di poteri di investigativi e di indagine sui sistemi e sulle procedure del titolare originario dei dati.

Nell’attento bilanciamento tra la tutela della libertà di impresa e della riservatezza, infatti, sarebbe stato sufficiente per esempio il ricorso a controlli a campione sulle anagrafiche o alla verifica da remoto - anche con l’ausilio del DPO e dei consulenti che la medesima società ha dichiarato di avere contrattualizzato – sulla configurazione del sito e delle informative utilizzate, per individuare le criticità prospettate. Allo stesso tempo, la previsione di una predeterminata periodicità degli audit, dei criteri di determinazione del campione da sottoporre a controllo e la formalizzazione degli esiti delle verifiche da porre a disposizione dell’Autorità, avrebbero agevolmente dimostrato l’impegno profuso e l’attenzione posta alle tematiche della privacy, ciò anche in ossequio alla lettera dell’art. 5, par. 2, del Regolamento, che impone al titolare del trattamento di dimostrare l’ottemperanza alle disposizioni della vigente normativa

Sul punto, è opportuno rilevare che, in ossequio al principio di accountability, “il titolare è il soggetto cui è attribuita la “responsabilità generale” del trattamento che egli abbia posto in essere direttamente o che altri abbia effettuato per suo conto, gravando, pertanto, sullo stesso l’onere di attuare un sistema organizzativo e gestionale contraddistinto da misure reali ed efficaci di protezione dei dati nonché comprovabili (v. c. 74 e artt. 5, par. 2 e 24 del Regolamento); ciò non soltanto mediante la corretta e puntuale predisposizione degli adempimenti imposti dalla normativa di protezione dei dati (informativa, registro delle attività di trattamento, nomina del responsabile della protezione dei dati ove obbligatoria, valutazione di impatto ove necessaria, ecc.), ma soprattutto attraverso l’implementazione di procedure e prassi organizzative atte a conformare i relativi trattamenti al medesimo Regolamento (es. processi di mappatura dei trattamenti; regole per l’attribuzione di responsabilità; programmi di formazione del personale; procedure per la verifica dell’operato dei responsabili designati ai sensi dell’art. 28; previsione di audit interni ed esterni con cadenza periodica; ecc.; cfr. Gruppo art. 29, WP 173 del 13 luglio 2010- Opinion 3/2010 on the principle of accountability, pagg. 11-12)” (cfr. provv. 17 luglio 2024, n. 440, doc. web n. 10053211).

Inoltre, l’Autorità ha più volte evidenziato che «i nuovi principi dettati dal Regolamento inquadrano le competenze del titolare in un’ottica di responsabilizzazione (accountability) ed impongono comportamenti proattivi e coerenti con la finalità di comprovare, in ogni fase, la liceità dei trattamenti. Spetta pertanto al titolare adottare misure di particolare garanzia al fine di comprovare che i contratti e le attivazioni registrati nei propri sistemi siano originati da contatti effettuati nel pieno rispetto delle disposizioni in materia di protezione dei dati personali» (cfr. provv. 15 dicembre 2022, n. 429 doc. web n. 9852290).

Segnatamente, la Società non risulta aver adottato misure organizzative adeguate alla natura, all’ambito di applicazione, al contesto e alle finalità del trattamento, né commisurate ai rischi per i diritti e le libertà degli interessati. In particolare, l’assenza di procedure formalizzate per la selezione e la verifica dei fornitori, nonché la mancata definizione di criteri predeterminati e documentati di controllo, evidenziano un difetto strutturale nella governance dei trattamenti affidati, in tutto o in parte, a soggetti terzi.

Come già chiarito in precedenza «il principio di acccountability conferisce al titolare del trattamento un’ampia libertà di scelta rispetto alla implementazione della propria governance in materia di protezione dei dati, alla quale è intimamente correlato un complesso concetto di responsabilità. (…) Per l’effetto, gli obblighi gravanti sul titolare del trattamento ai sensi dell’art. 28 del Regolamento, se interpretati alla luce del principio di responsabilizzazione, non possono ritenersi efficacemente assolti dalla mera previsione di clausole di stile o da interventi realizzati soltanto ex post al verificarsi di un’anomalia, ma impongono un quid pluris, vale a dire l’effettiva governabilità della filiera di trattamento e l’aggiornamento periodico delle stesse misure tecniche e organizzative implementate per realizzarla» (cfr. provv. 13 novembre 2024, n. 672, doc. web n. 10086536).

Per le ragioni illustrate, la condotta tenuta dalla Società risulta realizzata in aperto contrasto con i principi e gli obblighi di cui agli artt. 5, par. 2, 24 e 28 del Regolamento.

I trattamenti di dati personali in esame presentano ulteriori ed evidenti criticità anche sotto il profilo della corretta attribuzione dei ruoli soggettivi e, conseguentemente, dell’adempimento degli obblighi dai medesimi derivanti.

Depurazione Acqua ha documentato di avvalersi di Conversion Media per il reperimento delle liste di contattabilità. Tuttavia, nell’ambito di tale rapporto, il titolare non ha provveduto alla nomina di responsabile ex art. 28 del Regolamento della propria controparte contrattuale. Tale ricostruzione dei ruoli soggettivi, per come proposta dal titolare del trattamento, non appare condivisibile.

Dalla documentazione versata agli atti del procedimento, infatti, emerge che Conversion Media ha svolto attività materiali e operative direttamente funzionali alla realizzazione delle campagne promozionali nell’interesse di Depurazione Acqua.

Nella fattispecie, in esecuzione dell’incarico affidato Conversion Media ha procurato al titolare lead prequalificate, ha effettuato la chiamata oggetto di doglianza - volta a verificare la correttezza dei dati e la sussistenza della volontà dell’interessato in ordine alla cessione dei dati a terzi ai fini promozionali, nonché alla disclosure dell’identità del terzo cessionario (i.e. Depurazione Acqua) - e ha inviato anche il messaggio di conferma recante i riferimenti a “italiadepura”, dicitura coincidente proprio con quella riportata anche sul sito web del titolare (www.italiadepura.it).

In altri termini, il riferimento esplicito a Depurazione Acqua – confermato anche dalle dichiarazioni rese dal titolare – vale a qualificare quell’attività come un’operazione effettuata nell’interesse di tale Società, atteso che ne comporta anche la spendita del nome. Tale considerazione trova conferma nella lettera del contratto sottoscritto tra Depurazione Acqua e Conversion Media, ove le parti hanno previsto che «il Cliente conferisce a Conversion, che accetta, l’incarico di realizzare il complesso delle attività come dettagliatamente descritte nel Modulo d’Ordine», che riporta a sua volta tutte le specifiche della prestazione pianificata. Nel caso di specie, trattavasi della fornitura di lead prequalificate, che per stessa ammissione della Società consistevano in «contatti il cui consenso è stato qualificato per l’esecuzione di attività promozionali di terzi nel settore merceologico della scrivente».

Le circostanze appena descritte imponevano la formale designazione della società quale responsabile del trattamento ai sensi dell’art. 28 del Regolamento da parte di Depurazione Acqua.

In tal senso militano anche dichiarazioni rese dall’odierno reclamante ai sensi dell’art. 168 del Codice, che nel contestare la ricostruzione degli eventi proposta dalle società coinvolte nella presente istruttoria, espressamente riferiva di non essere stato contattato per una generica chiamata di qualifica finalizzata alla verifica della genuinità del consenso rilasciato, bensì direttamente per la promozione di servizi di depurazione da parte di un soggetto qualificatosi come «Italia Depura».

A tale riguardo si richiamano anche le Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento predisposte dal Comitato europeo per la protezione dei dati (EDPB), disponibili per la consultazione sul sito www.edpb.europa.eu, che hanno il pregio di chiarire che la qualificazione dei ruoli non può essere rimessa alla mera denominazione formale adottata dalle parti, bensì deve fondarsi su un’analisi sostanziale delle attività concretamente svolte e sull’effettivo potere decisionale esercitato in ordine alle finalità e ai mezzi essenziali del trattamento. In tale prospettiva, ricorre un rapporto di titolarità-responsabilità ogniqualvolta un soggetto terzo tratti dati personali per conto del titolare, svolgendo operazioni di trattamento funzionalmente collegate alle finalità determinate da quest’ultimo e sulla base delle esigenze organizzative e commerciali dello stesso.

Secondo i principi appena richiamati, tali circostanze sono idonee a integrare un trattamento di dati personali effettuato “per conto” del titolare, con conseguente obbligo, in capo a quest’ultimo, di procedere alla designazione formale del responsabile del trattamento ai sensi dell’art. 28 del Regolamento, mediante un atto giuridico vincolante che disciplini in modo puntuale le istruzioni impartite, le misure di sicurezza applicabili e le modalità di controllo sull’operato del soggetto incaricato.

In conclusione, sulla base delle argomentazioni esposte, si ritiene definitivamente confermata la responsabilità di Depurazione Acqua in ordine a tutte le violazioni contestate con l’atto di avvio del procedimento.

Si rileva, infine, che dalle interlocuzioni occorse tra le parti, emerge che il reclamante ha rivolto al titolare una richiesta di accesso e contestualmente anche di risarcimento (i.e. euro 500,00), senza peraltro fornire elementi di dettaglio in ordine al danno asseritamente patito. Tale contegno assume una peculiare caratterizzazione, anche alla luce della professione svolta dal reclamante.

In altri termini, il reclamante sarebbe stato disposto a soprassedere in merito all’illeceità della condotta tenuta dalla società, qualora quest’ultima avesse accolto la richiesta economica avanzata.
A tale riguardo, vale la pena ricordare che sebbene l’art. 82 del Regolamento sancisce il diritto al risarcimento dei danni subiti a causa di una violazione commessa dal titolare o dal responsabile, tale prerogativa deve essere eventualmente esercitata dinanzi al Giudice ordinario, nelle forme e nei modi stabiliti dalla disciplina di riferimento.

Pur non incidendo nel caso di specie sui profili di responsabilità imputabili a Depurazione Acqua - che prescindono dalle doglianze del singolo reclamante in quanto riguardano la complessiva compliance della Società e investono anche tutte le altre anagrafiche trattate nell’ambito del contratto sottoscritto con Conversion Media -  si ritiene necessario rilevare incidentalmente che la condotta tenuta dal reclamante non appare del tutto in linea coi principi ispiratori della normativa sulla protezione dei dati personali e più in generale, con i doveri di solidarietà gravanti sui consociati, che impongono il divieto dell’abuso del diritto e dei mezzi di difesa. Sebbene notoriamente teorizzato nell’ambito del diritto civile e tributario, infatti, tale divieto deve ritenersi pacificamente applicabile anche ai procedimenti dinanzi all’Autorità, ciò anche al fine di scongiurare il rischio che il ruolo del Garante, finalizzato alla salvaguardia di un interesse pubblico, possa essere strumentalizzato per scopi estranei alla protezione dei diritti degli interessati (cfr. provv. 23 ottobre 2025, n. 635, doc. web n. 10197577).

4. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di Depurazione Acqua in ordine alla violazione delle seguenti disposizioni:

a) artt. 5, 6, 7 e 24 del Regolamento e 130 del Codice per aver effettuato i sopra descritti trattamenti di dati personali in contrasto con i principi di liceità, esattezza e responsabilizzazione, in assenza di un’idonea base giuridica e mettendo in atto misure tecniche e organizzative non adeguate per garantire ed essere in grado di dimostrare che il trattamento è effettuato conformemente al Regolamento con riferimento all’idoneità della base giuridica, al rilascio di un adeguato consenso e alla predisposizione di un sistema idoneo a garantire e a documentare la conformità dei trattamenti effettuati;

b) artt. 4, 5, 24 e 28 del Regolamento per aver effettuato i trattamenti di dati personali con finalità promozionali senza la previa corretta individuazione dei ruoli soggettivi ricoperti e di conseguenza in violazione dei doveri che derivano da essi.

Accertata, altresì, l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- imporre alla Società, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati acquisiti in assenza di un’idonea base giuridica;

- ingiungere alla Società ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare misure idonee ad assicurare che le attività promozionali effettuate nel proprio interesse, vengano realizzate in ossequio alle disposizioni vigenti in materia di protezione dei dati personali e previa corretta individuazione dei ruoli soggettivi ricoperti dai partner commerciali coinvolti nello svolgimento di tali attività;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Depurazione Acqua della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento.

5. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Depurazione Acqua della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento (pagamento di una somma fino a € 20.000.000,00 ovvero, per le imprese con oltre 500.000.000 di euro di fatturato, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore).

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

1) quale fattore aggravante, la gravità delle violazioni (art. 83, par. 2, lett. a) del Regolamento), tenuto conto dell’oggetto e delle finalità dei trattamenti, riconducibili al fenomeno complessivo del telemarketing selvaggio, in ordine al quale l’Autorità ha adottato, in particolare negli ultimi cinque anni, numerosi provvedimenti che hanno compiutamente preso in esame i molteplici elementi di criticità fornendo ai titolari numerose indicazioni per adeguare i trattamenti alla normativa vigente e per attenuare l’impatto delle chiamate di disturbo nei confronti degli interessati;

2) quale ulteriore fattore aggravante, la gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), avuto riguardo ai mezzi utilizzati (internet e siti web) suscettibili di raggiungere un numero indefinito di soggetti interessati;

3) quale fattore attenuante, la circostanza (art. 83, par. 2, lett. e) del Regolamento) che Depurazione Acqua non risulta essere stata destinataria di precedenti provvedimenti correttivi e sanzionatori;

4) quale ulteriore fattore attenuante, la categoria di dati personali interessata dalle violazioni (i.e. dati comuni) (art. 83, par. 2, lett. g) del Regolamento).

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi a Depurazione Acqua la sanzione amministrativa del pagamento di una somma di euro 15.000,00 (quindicimila,00), pari allo 0,075% della sanzione massima edittale.

Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti e delle condotte della Società, nonché degli elementi di rischio per i diritti e le libertà degli interessati.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare ragionevole e proporzionata in relazione al particolare disvalore delle condotte oggetto di censura, soprattutto avuto riguardo alla pervasività dei mezzi utilizzati e ai destinatari della stessa, nonché alla loro gravità, in quanto afferenti ai principi fondamentali - e costantemente ribaditi - della normativa in materia di protezione dei dati personali.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. a), del Regolamento, dichiara illecito, nei termini di cui in motivazione, il trattamento effettuato da parte di Depurazione Acqua S.r.l., con sede legale in Piazza della Repubblica, 19, Milano (MI), C.F. e P.IVA 11475270960;

b) impone alla Società, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati acquisiti in assenza di un’idonea base giuridica;

c) ingiunge alla Società ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare misure idonee ad assicurare che le attività promozionali effettuate nel proprio interesse, vengano realizzate in ossequio alle disposizioni vigenti in materia di protezione dei dati personali e previa corretta individuazione dei ruoli soggettivi ricoperti dai partner commerciali coinvolti nello svolgimento di tali attività;

d) ingiunge alla Società, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Depurazione Acqua S.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Milano (MI), Piazza della Repubblica, 19, C.F. e P.IVA 11475270960, di pagare la somma di euro 15.000,00 (quindicimila,00), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 15.000,00 (quindicimila,00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

a) la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019;

b) l’applicazione della sanzione accessoria della pubblicazione sul sito del Garante della presente ordinanza di ingiunzione, come previsto dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019;

c) l’annotazione del presente provvedimento nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso. 

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori