[doc. web n. 10303009]

Provvedimento del 23 settembre 2026

Registro dei provvedimenti
n. 643 del 23 settembre 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;    

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con reclamo del 17 aprile 2025 il sig. XX ha lamentato di aver ricevuto comunicazioni promozionali indesiderate, tramite e-mail e WhatsApp, da parte di Cocontest S.r.l. (di seguito, “Cocontest” o la “Società”) titolare della piattaforma www.gopillar.com, nonostante non avesse mai fornito il proprio consenso per finalità promozionali, nonché di non aver ottenuto riscontro alle richieste di accesso ai dati personali. 

1.2. Attività svolta

L'Ufficio, esaminati il reclamo e la documentazione pervenuta, ha avviato l’istruttoria preliminare in data 7 luglio 2025 (nota prot. 95268). Con tale atto, notificato ai sensi del combinato disposto di cui agli artt. 58, par. 1, lett. a) del Regolamento e 157 del Codice, è stato chiesto alla Società di fornire, entro il termine di 20 giorni, le proprie osservazioni in merito a quanto rappresentato nel reclamo e di comunicare se intendesse aderire alle richieste del reclamante.  

L’Ufficio ha inoltre chiesto alla Società di trasmettere il riscontro sia al Garante sia al reclamante.

Alla richiesta di informazioni dell’Ufficio, la Società ha risposto con pec del 16 luglio 2025 (prot. n. 101158) e del 7 novembre 2025 (prot. n. 148045), sostenendo che i recapiti e-mail e telefonici del Sig. XX fossero stati inseriti spontaneamente dallo stesso tramite il form online in occasione della registrazione al contest organizzato attraverso la piattaforma della Società nel 2021, senza tuttavia fornire prova dell’avvenuta registrazione nei propri sistemi. 

Quanto al messaggio inviato tramite WhatsApp, la Società ha rappresentato che lo stesso aveva finalità meramente informativa quale “informazione tecnica/operativa relativa al servizio utilizzato”.

In merito agli obblighi informativi di cui agli artt. 12 e ss. del Regolamento, la Società ha dichiarato che l’informativa sul trattamento dei dati personali era presente e accessibile sul sito della piattaforma sin dalla sua attivazione nel 2012 e che il relativo link era rimasto nel tempo accessibile da ogni pagina del sito.

Quanto alla base giuridica del trattamento, la Società ha sostenuto che l’invio della comunicazione si fondava sul proprio legittimo interesse, ai sensi dell’art. 6, par. 1, lett. f), del Regolamento, a fornire “aggiornamenti rilevanti ai propri clienti”. Ha inoltre precisato che l’invio si era limitato a una singola comunicazione, senza successivi contatti, e che l’intento non era promozionale, bensì volto a garantire continuità informativa agli utenti che avevano già usufruito del servizio.

Con riferimento alla rimozione dei dati personali del reclamante, la Società ha rappresentato che l’interessato non aveva formulato un’espressa richiesta di cancellazione dell’account, bensì aveva chiesto la rimozione da “specifiche liste di contatti per comunicazioni (e-mail e WhatsApp)”. Ha quindi dichiarato di aver provveduto alla rimozione del sig. XX da tali liste e che, da quel momento, lo stesso non aveva più ricevuto comunicazioni da parte della Società, fatta eccezione per le risposte alle e-mail dallo stesso inviate.

La Società ha infine rappresentato che l’account del reclamante non era stato cancellato, in quanto l’interessato non aveva esercitato tale opzione tramite le impostazioni del proprio profilo né si era rivolto al supporto della Società, precisando che la cancellazione poteva essere effettuata autonomamente attraverso la sezione “Impostazioni”.

In riscontro alla prima comunicazione trasmessa dal titolare, il reclamante, con pec del 17 luglio 2025 (prot. n. 101309), ha replicato riferendo di aver ricevuto un messaggio tramite WhatsApp da parte di Cocontest, relativo a “nuove funzionalità e a un nuovo modello di prezzi più vantaggiosi, con invito a visitare la sezione “Prezzi”, ritenendo che si trattasse di una comunicazione a carattere promozionale e commerciale e non meramente informativa. 

Il medesimo ha inoltre rappresentato che, al momento della registrazione, aveva prestato il consenso esclusivamente alla ricezione di comunicazioni da parte degli architetti iscritti e non anche da parte del titolare della piattaforma. Ha altresì precisato che quello ricevuto tramite WhatsApp non era stato l’unico contatto commerciale, avendo già ricevuto, il 16 novembre 2024, una comunicazione commerciale via e-mail per la promozione di sconti relativi al Black Friday.

Il reclamante ha altresì rappresentato che, dal momento della propria registrazione e fino alla prima segnalazione del 29 gennaio 2025, il link alla privacy policy non era funzionante e reindirizzava alla homepage del sito. In particolare, ha riferito di aver effettuato una prova registrandosi come nuovo utente sulla piattaforma GoPillar e di aver riscontrato che il link alla privacy policy presente in fase di registrazione reindirizzava alla stessa pagina di registrazione.

Ha infine evidenziato di non aver conferito il proprio numero di telefono nell’account creato su Cocontest e si è chiesto “in che modo la società ne sia entrata in possesso e su quale base abbia potuto trattarlo per finalità promozionali”, considerato che tale recapito non risultava tra i dati presenti nel proprio profilo, né gli era mai stato indicato come oggetto di trattamento.

Con riferimento, più in generale, alle doglianze del reclamante, la Società ha rappresentato che le stesse denotavano “uno stato di insoddisfazione soggettiva rispetto al servizio ricevuto tramite GoPillar”, evidenziando, a sostegno di tale affermazione, che il reclamante aveva successivamente inviato numerose e-mail, “anche a breve distanza l’una dall’altra, contenenti richieste pressanti e toni minacciosi, spesso in riferimento a informazioni già liberamente disponibili sul sito (termini, condizioni, informativa privacy)”.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 26 gennaio 2026 (prot. n. 10697), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate sono indicate di seguito.

Sono stati invece archiviati i profili relativi all’invio delle comunicazioni promozionali senza consenso e alla mancata cancellazione dell’account. 

Difatti, quanto al primo profilo, la ricezione dell’e-mail, isolata e risalente, potrebbe non essere basata sull’obbligo del consenso dal momento che la comunicazione era finalizzata a informare della presenza di uno sconto rispetto a un servizio già acquistato dal reclamante. Pertanto, potrebbe trovare applicazione la deroga prevista dall’art. 130, comma 4, del Codice (cd. soft spam). Inoltre, rispetto a tale comunicazione, il reclamante ha manifestato la volontà di non ricevere ulteriori contatti e il suo diritto di opposizione risulta tempestivamente riscontrato dal titolare che non ha inviato altre e-mail. Diversamente, il messaggio trasmesso via WhatsApp, alla luce del suo contenuto e della sua unicità, è stato qualificato dalla Società quale informazione tecnica riferita al servizio già utilizzato e tale ipotesi risulta condivisibile.

Parimenti, non risultava fondata la doglianza relativa alla mancata cancellazione dell’account, non essendo stata rilevata, sulla base della documentazione acquisita, una richiesta univoca in tal senso; la Società aveva correttamente qualificato la richiesta del reclamante come opposizione alla ricezione di messaggi e, di conseguenza, aveva provveduto a cancellare i suoi dati dalle liste di invio ma, non essendo esplicita la richiesta di cancellare anche il profilo utente (con la conseguente impossibilità di usufruire dei servizi), si era limitata a dare evidenza del fatto che avrebbe potuto lui stesso provvedere alla cancellazione dell’account, qualora vi avesse avuto interesse, attraverso la specifica funzionalità presente nella sua area cliente.

Sono state invece rilevate criticità in merito alla gestione della richiesta di accesso presentata dal reclamante ai sensi degli artt. 12 e 15 del Regolamento, alla quale la Società non ha fornito riscontro. Infine, sono emersi profili di non conformità relativi all’informativa privacy resa disponibile sul sito della Società, in violazione degli obblighi di trasparenza previsti dagli artt. 12 e 13 del Regolamento. 

Per tali ragioni è stato notificato il menzionato atto di avvio del procedimento, a seguito del quale il titolare ha presentato una memoria difensiva e ha chiesto di essere audito; l’audizione è stata fissata il giorno 27 febbraio 2026.

2.2. Difese della Parte (art. 166, comma 6, del Codice)

Con memoria difensiva del 29 gennaio 2026, presentata ai sensi dell’art. 166, comma 6, del Codice, la Società ha formulato le proprie deduzioni in merito ai profili oggetto di contestazione e ha chiesto, ove ritenuto utile, di essere audita dall’Autorità.

In via preliminare, la Società ha richiamato la natura isolata dell’e-mail inviata nel novembre 2024, riferita a un servizio già acquistato dall’utente e potenzialmente riconducibile alla deroga di cui all’art. 130, comma 4, del Codice, nonché la qualificazione del messaggio trasmesso tramite WhatsApp quale informazione tecnica/operativa relativa al servizio già utilizzato dall’interessato. Ha inoltre evidenziato che il reclamante aveva ricevuto complessivamente due sole comunicazioni in un arco temporale pluriennale.

Con riferimento all’origine e al trattamento del numero di telefono del reclamante, la Società ha rappresentato che tale dato costituiva un elemento necessario per completare la procedura di creazione della bozza e procedere al lancio di un concorso di progettazione sulla piattaforma GoPillar e che il sistema non consentiva di proseguire in assenza del relativo inserimento. A sostegno di quanto rappresentato, la Società ha prodotto un video dimostrativo volto a documentare la sequenza delle fasi di compilazione, l’obbligatorietà del campo relativo al numero di telefono e l’impossibilità di procedere al lancio del concorso senza l’inserimento di tale dato. Ha altresì rappresentato che il relativo trattamento si fondava sull’art. 6, par. 1, lett. b), del Regolamento.

Quanto all’informativa sul trattamento dei dati personali, la Società ha preso atto delle criticità rilevate e ha rappresentato di aver provveduto, nelle more del procedimento, ad aggiornare integralmente la Privacy Policy del sito GoPillar.com, rendendola disponibile anche in lingua italiana e integrandola con informazioni relative, tra l’altro, alle finalità e alle basi giuridiche del trattamento, alle categorie di dati trattati e ai servizi di terze parti utilizzati. 

Con riferimento alla richiesta di accesso ai dati personali formulata dal reclamante ai sensi degli artt. 12 e 15 del Regolamento, la Società ha riconosciuto di non aver fornito un riscontro formale nei termini previsti. Ha rappresentato che la richiesta si inseriva in un contesto caratterizzato da precedenti interlocuzioni relative all’esecuzione del servizio e che tale circostanza l’aveva indotta, erroneamente, a ritenere sufficienti le informazioni già fornite all’interessato. La Società ha riconosciuto che tale valutazione non era conforme al quadro normativo di riferimento, precisando che l’omesso riscontro non era riconducibile a un intento ostruzionistico, bensì a una non corretta interpretazione degli obblighi procedurali previsti dal Regolamento.

La Società ha infine rappresentato di aver adottato misure volte a rafforzare le procedure interne di gestione delle istanze degli interessati, assicurare riscontri formali, tempestivi e tracciabili alle richieste formulate ai sensi degli artt. 12 e ss. del Regolamento e aggiornare l’informativa privacy e i meccanismi di gestione del consenso. Ha inoltre richiamato, ai fini della valutazione complessiva della vicenda, la natura isolata delle condotte contestate, l’assenza di precedenti rilievi analoghi e la collaborazione prestata all’Autorità.

In sede di audizione, la Società si è riportata alle deduzioni formulate nella memoria difensiva e a quanto già rappresentato nelle note di riscontro presentate nel corso dell’istruttoria, precisando che la vicenda doveva comunque essere contestualizzata al fine di ridurne la portata. In particolare, la Società ha rappresentato di essere una start up la cui attività imprenditoriale era stata originariamente avviata in Italia nel 2012 e che, successivamente, nel 2015, la sede era stata trasferita negli Stati Uniti, assumendo la denominazione di Cocontest Inc. Secondo quanto dichiarato, tale circostanza aveva determinato il permanere sul sito web di alcune impostazioni e contenuti informativi non aggiornati e ancora in lingua inglese.

La Società ha inoltre evidenziato di non aver mai ricevuto, nel corso della propria attività, segnalazioni o reclami in materia di protezione dei dati personali e di avere sempre operato con attenzione alla qualità del servizio offerto agli utenti.

La Società ha inoltre ribadito di aver provveduto, una volta avviato il procedimento, ad aggiornare e correggere l’informativa sul trattamento dei dati personali pubblicata sul proprio sito web, dopo aver riscontrato alcune carenze della stessa.

Con riferimento alle richieste di esercizio dei diritti formulate dall’interessato, la Società ha sostenuto di aver fornito, nel corso delle precedenti interlocuzioni, diversi riscontri al reclamante attraverso contatti telefonici con il proprio responsabile tecnico e di aver ritenuto, sulla base di tali contatti, che le informazioni già comunicate fossero sufficienti.

3. VALUTAZIONI DELL’AUTORITÀ

Il complesso delle dichiarazioni e dei documenti acquisiti porta a ritenere che la Società abbia posto in essere trattamenti di dati personali in violazione del Regolamento limitatamente ai profili di seguito descritti.

3.1 Adeguatezza dell’informativa privacy 

Con riferimento all’informativa sul trattamento dei dati personali accessibile sul sito al momento dell’istruttoria, come verificato da questo Ufficio il 5 novembre 2025, la stessa è risultata non conforme agli artt. 12 e 13 del Regolamento. Infatti, il documento, raggiungibile tramite il link “Privacy Policy” nel footer del sito, era redatto in lingua inglese e riconducibile a un template generico fornito da terzi, non risultando personalizzato, né compilato.

Pertanto la pagina era del tutto priva delle specifiche finalità perseguite, delle basi giuridiche sottese in relazione a ciascuna finalità e delle modalità per esercitare i diritti degli interessati. Erano assenti, inoltre, le informazioni sui destinatari dei dati, sui tempi di conservazione e sull’eventuale trasferimento verso Paesi terzi.

Tali omissioni hanno reso il documento non idoneo a soddisfare l’obbligo informativo configurando una violazione dei principi di liceità, correttezza e trasparenza, sanciti dagli artt. 5, par. 1, lett. a), 12, par. 1 e 13 del Regolamento.

Si deve dare atto che l’informativa privacy è stata successivamente corretta e risulta presente sul sito in italiano, con sufficiente livello di dettaglio delle informazioni.

3.2     Esercizio del diritto di accesso ai dati 

Quanto al profilo relativo all’esercizio del diritto di accesso ai propri dati personali da parte del reclamante, la Società non ha ottemperato all’obbligo di fornire un puntuale riscontro. 

Dalla documentazione acquisita agli atti risulta che il reclamante ha presentato una richiesta di accesso ai sensi degli artt. 12 e 15 del Regolamento, inviata via pec il 28 gennaio 2025, volta a ottenere informazioni complete circa i dati personali trattati, le finalità del trattamento, le categorie di dati e la loro origine, il periodo di conservazione degli stessi nonché l’eventuale comunicazione a terzi. 

Il reclamante ha altresì richiesto di sapere come fosse stato acquisito il suo numero di telefono, dal momento che aveva dichiarato di non averlo mai comunicato alla Società, documentandone l’assenza attraverso lo screen shot delle informazioni pubblicate nel proprio account personale. 

Nonostante il sollecito successivamente inviato, il reclamante ha dichiarato di non aver mai ricevuto riscontro e la Società non ha fornito giustificazioni in merito a tale silenzio. Inoltre, la presenza del numero di telefono del reclamante tra i dati in possesso della Società non è stata comprovata in sede istruttoria (ma soltanto dichiarata); di contro, il reclamante ha negato di aver inserito il proprio numero all’atto dell’iscrizione e ha prodotto prova dell’assenza di tale elemento tra le informazioni personali presenti nel proprio profilo utente. Rispetto a tale ultimo profilo, si deve dare atto che la Società ha documentato in sede difensiva che l’inserimento del numero di telefono costituiva una condizione necessaria per l’apertura del profilo, applicata anche nel caso del reclamante; la circostanza che questi non avesse rinvenuto il numero di telefono tra le informazioni presenti nella sua area personale non era indicativa del fatto che tale informazione non fosse mai stata rilasciata, ma era riconducibile alla necessità per il titolare di conservare i numeri telefonici nel database aziendale dei clienti, non essendovi motivo di renderli disponibili nelle aree personali (essendo tali informazioni già note ai diretti interessati).

Con riguardo al mancato riscontro alla richiesta di esercizio dei diritti, la Società si è giustificata solo in sede difensiva chiarendo che con il reclamante erano già state avviate diverse interlocuzioni telefoniche in ragione di problematiche relative al servizio fruito e ad alcune pretese di rimborso che la Società non aveva potuto accogliere. In tale contesto, il titolare aveva sottovalutato la specificità della richiesta, qualificandola come riconducibile a doglianze cui riteneva di aver già dato riscontro. Secondo quanto rappresentato, per tali ragioni non aveva adempiuto all’obbligo di fornire riscontro all’interessato.

Pertanto, la condotta descritta evidenzia una violazione degli obblighi previsti in capo titolare del trattamento, in contrasto con quanto previsto dagli artt. 5, par. 2, 12, par. 3 e 15 del Regolamento. 

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver reso agli interessati un’informativa sul trattamento dei dati personali non conforme alla disciplina applicabile e per non aver fornito riscontro alla richiesta di accesso ai dati personali presentata dal reclamante, in violazione degli artt. 5, par. 1, lett. a), 5, par. 2, 12, parr. 1 e 3, 13 e 15 del Regolamento.

5. MISURE CORRETTIVE 

Considerato che, con riferimento all’informativa sul trattamento dei dati personali, la condotta ha esaurito i suoi effetti, atteso che la Società ha successivamente provveduto a correggere l’informativa e a renderla disponibile sul proprio sito in lingua italiana con un sufficiente livello di dettaglio delle informazioni, non ricorrono i presupposti per l’adozione di misure correttive; tuttavia, tenuto conto delle circostanze descritte, quale misura effettiva, proporzionata e dissuasiva, si ritiene necessario infliggere una sanzione amministrativa pecuniaria  ai sensi dell’art. 58, par. 2, lett. i)  del Regolamento.

Con riferimento, invece, al mancato riscontro alla richiesta di accesso formulata dal reclamante, tenuto conto delle circostanze del caso concreto, considerato che erano comunque state effettuate delle interlocuzioni telefoniche con l’interessato, sebbene non sufficienti a comprovare l’adeguatezza del riscontro, si ritiene di adottare nei confronti della Società la misura correttiva dell’ammonimento, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento per la violazione degli artt. 5, par. 2, 12, par. 3 e 15 del Regolamento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

L’applicazione della sanzione amministrativa pecuniaria riguarda la condotta relativa all’inadeguatezza dell’informativa sul trattamento dei dati personali resa disponibile sul sito della Società, in relazione alla quale sono state accertate, nei termini sopra descritti, le violazioni degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- quanto alla natura, gravità e durata della violazione, l’informativa privacy è stata corretta solo dopo l’avvio dell’istruttoria da parte del Garante, sebbene la Società fosse esistente dal 2015 (cfr. art. 83, par. 2, lett. a), del Regolamento);

- quanto al carattere doloso o colposo della violazione, la condotta ha avuto carattere colposo, non essendo emersi elementi idonei a connotarla in termini di intenzionalità (cfr. art. 83, par. 2, lett. b), del Regolamento); 

- quanto alle categorie di dati personali interessate dalla violazione, il trattamento ha riguardato dati personali comuni, di natura anagrafica e di contatto (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia basso.

Ciò premesso, nel considerare che il titolare del trattamento è una società con fatturato inferiore a 500 milioni di euro, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze attenuanti:

- le misure adottate dalla Società per rendere il trattamento conforme alla disciplina applicabile, avendo la stessa provveduto a revisionare e correggere l’informativa pubblicata sul proprio sito (cfr. art. 83, par. 2, lett. c), del Regolamento); 

- l’assenza di precedenti violazioni pertinenti commesse dalla Società (cfr. art. 83, par. 2, lett. e), del Regolamento); 

- il grado di cooperazione dimostrato dalla Società nei confronti dell’Autorità di controllo nel corso del procedimento (cfr. art. 83, par. 2, lett. f), del Regolamento);

- La natura di microimpresa del titolare e i correlati risultati economici (cfr. art. 83, par. 2, lett. k), del Regolamento).

Nel caso di specie, si ritiene che assumano rilevanza le condizioni economiche del titolare del trattamento, determinate in base al volume d’affari della Società di cui all’ultimo bilancio di esercizio disponibile (2024).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.000,00 (mille/00) per la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

Si ritiene altresì che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione della potenziale estensione del trattamento a tutti gli utenti che abbiano interagito con il sito web nel periodo in cui non era disponibile un’informativa privacy corretta.

PER QUESTI MOTIVI 

- ai sensi dell’art. 57 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato/della condotta posta in essere da Cocontest Italy S.r.l., con sede in via Marsala 29 H 00185 Roma, P.IVA n. 13547621006, per la violazione artt. 5, par. 1, lett. a), 5, par. 2, 12, parr. 1 e 3, 13 e 15 del Regolamento, nei termini di cui in motivazione;

- ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, si rivolge un ammonimento al titolare del trattamento per non aver fornito un adeguato e documentato riscontro alla richiesta di esercizio dei diritti dell’interessato.

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare del trattamento, di pagare la somma di euro 1.000,00 (mille/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE 

al predetto titolare del trattamento, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 1.000,00 (mille/00) entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 settembre 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori