VEDI ANCHE Newsletter del 29 ottobre 2026

[doc. web n. 10312650]

Provvedimento del 23 settembre 2026

Registro dei provvedimenti
n. 644 del 23 settembre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

A seguito di un reclamo del 23 gennaio 2026 (acquisito agli atti in data 27 gennaio 2026, prot. n. 11069), regolarizzato con nota del 27 febbraio 2026 (acquisita agli atti in pari data, prot. n. 30809), con il quale un interessato (di seguito anche “reclamante”) ha rappresentato di avere ricevuto sul proprio telefono cellulare messaggi di testo a contenuto promozionale inviati dalla società Barbuti s.p.a. (di seguito anche solo “Società”) senza possibilità di cancellazione attraverso tale canale di comunicazione e di avere, pertanto, inviato in data 7 giugno 2024 una specifica richiesta di cancellazione dei propri dati all’indirizzo di posta elettronica ordinario della Società site@barbuti.it , rimasta priva di risposta. Oltre alla email promozionale del 7 dicembre 2024, il reclamante lamenta di aver ricevuto ulteriori comunicazioni promozionali il 21 novembre 2025 e il 10 gennaio 2026.

L’Ufficio ha pertanto avviato un’istruttoria preliminare chiedendo, ai sensi dell’art. 157 del Codice, informazioni alla predetta Società con nota del 3 aprile 2026 (prot. n. 52481).

La Società, con riscontro della cui veridicità il dichiarante risponde penalmente ai sensi dell’art. 168 del Codice, ha rappresentato che a causa di un “disguido interno” la richiesta del reclamante non è stata correttamente recepita nei sistemi gestionali e di avere rimosso il numero dell’interessato dalle liste di invio.

L’Ufficio ha formulato un’ulteriore richiesta di informazioni, con nota del 27 aprile 2026 (prot. n. 63892), chiedendo chiarimenti in ordine a quanto sinteticamente rappresentato dalla Società nel predetto riscontro, in particolare in relazione alla tipologia di “disguido” occorso (es. tecnico, organizzativo, errore umano).

Con nota del 12 maggio 2025, acquisita agli atti in data 13 maggio 2025 (prot. n. 73141), la Società ha chiarito che il disguido dal quale è originata la doglianza dell’interessato è derivato da una problematica di tipo organizzativo. Più nel dettaglio, è stato rappresentato, infatti, che l’interessato avrebbe utilizzato una casella di posta elettronica “originariamente destinata alla gestione di attività connesse all’e-commerce e, più in generale, a richieste di natura informativa”; è stato chiarito, inoltre, che nel “form “Contact us” è presente anche il link alla Privacy Policy dove viene riportato l’indirizzo email del titolare del trattamento e del DPO”. Tale circostanza, congiuntamente all’assenza di un presidio sulla casella di posta elettronica del “contact us” da parte di un “incaricato specificamente individuato” per la gestione delle istanze di esercizio dei diritti di protezione dei dati personali, ha comportato il “mancato recepimento dell’opposizione nei sistemi aziendali”.

La Società ha, infine, brevemente illustrato le misure correttive introdotte a seguito dell’evento occorso, tre le quali:

- l’individuazione, l’istruzione e la formazione di incaricati dedicati al presidio delle caselle di posta elettronica aziendali, per la gestione delle istanze di esercizio dei diritti di protezione dei dati da parte degli interessati;

- l’implementazione di procedure interne per la corretta classificazione, tracciabilità e tempestiva assegnazione delle comunicazioni ricevute tramite canali digitali.

È stata evidenziata, inoltre, l’intenzione di avviare una revisione sistematica delle basi dati per cancellare i “contatti non più legittimamente trattabili per finalità di marketing, in quanto scaduti o non conformi ai requisiti normativi vigenti”.

Si dà atto, infine, che l’interessato non ha fatto pervenire alcuna nota di replica rispetto alle richiamate dichiarazioni.   

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base agli elementi sopra descritti, con nota del 3 giugno 2026 (prot. n. 84805), notificata ai sensi dell’art. 166, comma 5 del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2 del Regolamento nei confronti del titolare del trattamento, invitandolo a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

La presunta violazione contestata ha riguardato le seguenti norme:

- art. 5, par. 2 del Regolamento per il mancato rispetto del principio di accountability in relazione alla carenza di misure necessarie a gestire correttamente ed efficacemente le istanze di esercizio dei diritti degli interessati;

- artt. 12 e 17 del Regolamento per il mancato riscontro all’istanza di cancellazione dei dati avanzata dall’interessato; 

- art. 130 del Codice, in particolare, per l’invio di email promozionali in assenza del consenso dell’interessato, ciò certamente con riferimento a quei messaggi di testo inviati nonostante la sua istanza, che dalla documentazione in atti risultano essere per lo meno tre (rispettivamente del 7 dicembre 2024, 21 novembre 2025 e 10 gennaio 2026).

2.2. La difesa della Società (art. 166, comma 6, del Codice)

Con nota del 25 giugno 2026, acquisita agli atti in data 26 giugno 2026 (prot. n. 99232), il titolare del trattamento ha fatto pervenire le proprie memorie difensive con le quali, oltre a ribadire quando già dichiarato in sede istruttoria, ha, in primo luogo, dichiarato (ancorché non documentato) che il numero di cellulare dell’interessato è stato raccolto in occasione della richiesta di iscrizione al programma “fidelity”, al quale questi ha volontariamente aderito, prestando il consenso all’invio di offerte dedicate, per finalità di marketing e per finalità di profilazione. L’adesione al programma fidelity presuppone la presa visione dell’informativa privacy disponibile alla pagina https://www.barbuti.it/privacy-policy/ . Al riguardo, è stato precisato che “Con l’adesione, il reclamante ha altresì dichiarato di avere preso visione dei canali di comunicazione, indicati nell’informativa alla pag. 7. Precisamente, il Titolare del trattamento, Barbuti S.p.A. (info@barbuti.it), e il DPO […]”.

3. VALUTAZIONI DELL’AUTORITÀ IN ORDINE AL MANCATO RISCONTRO ALLA RICHIESTA DI INFORMAZIONI DELL’UFFICIO

In base ai profili fattuali sopra evidenziati e alle affermazioni rese in sede di riscontro, di cui, come detto, il dichiarante risponde ai sensi dell’art. 168 Codice, si ritiene di dover confermare le violazioni per le ragioni di seguito riportate.

3.1 Sul principio di accountability

Il principio di accountability impone al titolare del trattamento di conformarsi ed essere in grado di comprovare il rispetto dei principi e degli adempimenti previsti dal Regolamento e di avere quindi effettivamente tutelato i diritti di protezione dei dati personali degli interessati. Per il rispetto di tale principio è necessaria, in capo al titolare, una valutazione ponderata di tutte le scelte connesse ai trattamenti di dati personali e un atteggiamento proattivo del titolare, chiamato ad una costante verifica della persistenza nel tempo dell’efficacia e correttezza delle scelte effettuate e delle misure implementate.

La ratio della previsione di cui all’art. 5, par. 2 del GDPR, impone infatti al titolare comportamenti fondati sulla consapevole adozione delle misure e delle soluzioni più adeguate al conseguimento degli obiettivi di conformità e tutela, nonché coerenti con lo stato dell’arte tecnologica. 

L’effettiva applicazione dei diritti di protezione dei dati personali riconosciuti dal Regolamento agli interessati dipende quindi inevitabilmente dall’adeguatezza delle misure tecniche e organizzative a tal fine implementate dal titolare.

Ebbene, nel caso di specie, dalla documentazione in atti e da una verifica svolta dall’Ufficio del Garante presso il sito internet della Società, si conferma quanto da essa dichiarato circa la distinzione resa nota agli interessati tra il canale di comunicazione predisposto per l’esercizio dei diritti di protezione dei dati, individuabile nell’informativa privacy, e quello previsto per la richiesta di ulteriori informazioni.  

Al riguardo, si osserva che il Comitato europeo per la protezione dei dati, con le Linee guida 1/2022 sui diritti degli interessati “incoraggia i titolari del trattamento a fornire i canali di comunicazione più semplici e appropriati, ai sensi dell'articolo 12, paragrafo 2, e dell'articolo 25 GDPR, per consentire all'interessato di presentare una richiesta valida. Se tuttavia un interessato presenta una richiesta utilizzando un canale di comunicazione fornito dal titolare del trattamento28, diverso da quello indicato come preferibile, tale richiesta, in generale, è considerata valida e il titolare del trattamento dovrebbe gestirla di conseguenza (cfr. gli esempi seguenti). I titolari del trattamento dovrebbero compiere ogni ragionevole sforzo per agevolare l'esercizio dei diritti dell'interessato” ivi inclusa la predisposizione di “meccanismi volti a migliorare la comunicazione interna tra i dipendenti per le richieste ricevute da persone che potrebbero non essere competenti a darvi seguito” (punti 53 e 55).

Il documento prosegue indicando “che il titolare del trattamento non è tenuto a dar seguito a una richiesta inviata a un indirizzo e-mail (o postale) casuale o inesatto non fornito direttamente dal titolare del trattamento, o a un canale di comunicazione chiaramente non designato per ricevere richieste riguardanti i diritti dell'interessato, se il titolare del trattamento ha fornito un canale di comunicazione appropriato che l'interessato può utilizzare” (punto 54).

Nel caso di specie si rileva che, dalla documentazione in atti, l’interessato, pur usando il canale diverso da quello indicato come preferibile, ha formulato una richiesta chiara e precisa che, con l’impiego di uno sforzo ragionevole e la previsione di adeguate misure, il titolare avrebbe potuto facilmente reindirizzare all’Ufficio competente ovvero riscontrare chiedendo all’interessato stesso di attivarsi in tal senso.

Si ritiene pertanto che, come dalla stessa Società sottolineato nelle proprie memorie difensive, essa sia risultata carente di misure atte a reindirizzare alla divisione competente le richieste di esercizio dei diritti erroneamente rivolte al canale diverso da quello indicato come preferibile, laddove l’implementazione delle più elementari misure tecniche e/o organizzative, ivi inclusa un’adeguata formazione del personale (come infatti successivamente fatto dalla Società), avrebbe certamente favorito la corretta gestione dell’istanza. 

Deve rilevarsi, inoltre, che la doglianza dell’interessato origina dall’invio di comunicazioni promozionali via sms a margine delle quali manca l’indicazione di un canale per consentire facilmente e rapidamente l’esercizio dei diritti di protezione dei dati (in particolare, opposizione o revoca -in base alla differente condizione di liceità del trattamento degli stessi per scopi promozionali- e cancellazione artt. 7, comma 3,17, 21, comma 3, del Regolamento).

Tutto ciò premesso, in primo luogo, si ribadisce che in base al principio di accountability (artt. 5, par. 2 del Regolamento) il titolare, tenuto conto dello stato dall’arte tecnologica, deve porre in essere specifiche misure tecniche e organizzative volte a favorire l’esercizio dei diritti degli interessati anche rispetto a comunicazioni commerciali inviate tramite canali di comunicazione come l’sms; tali misure avrebbero potuto concretizzarsi, a titolo meramente esemplificativo e non esaustivo, nell’indicazione di un collegamento ipertestuale al sito internet del titolare, di uno specifico indirizzo di posta elettronica dedicato oppure nell’indicazione nello stesso sms di un’opzione “STOP” per la cancellazione semplice (cfr. art.130, comma 5 del Codice).

Per tali ragioni, in conclusione, si ritiene accertato che il titolare abbia violato il principio di accountability di cui all’art. 5, par. 2 del Regolamento.

3.2 Sul mancato riscontro all’esercizio del diritto di cancellazione dell’interessato e sull’invio di comunicazioni commerciali indesiderate via sms

L’ufficio del Garante ha inoltre contestato la violazione del diritto di cancellazione esercitato dal reclamante (art. 17 del Regolamento) e l’invio a quest’ultimo di comunicazioni di carattere commerciale indesiderate.

In base al Regolamento, infatti, “Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte […] le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro […]” e che “[…] Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa […]” (art. 12, par. 1 e 3 del Regolamento).

Il Regolamento, prevede, inoltre, che “l'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali”, in caso (tra gli altri) di revoca del consenso o opposizione (art. 17, par. 1, lett. b) e c) del Regolamento).

Nel caso di specie, non solo risulta accertato, invece, che l’interessato ha, dapprima ricevuto un riscontro automatizzato che lo informava della presa in carico della sua istanza -ingenerando quindi in quest’ultimo una ragionevole aspettativa sul futuro invio di una qualche risposta- e successivamente non ha ricevuto nessun riscontro puntuale e formale in ordine all’istanza di esercizio dei diritti in materia di protezione dei dati personali.

Si ritiene, quindi, accertato che la Società abbia violato le disposizioni di cui all’artt. 12 e 17 del Regolamento.

Inoltre, nel periodo di inerzia della Società rispetto all’istanza dell’interessato, questi anche ha ricevuto ulteriori sms promozionali il 21 novembre 2025 e il 10 gennaio 2026, pur avendo espresso una volontà a ciò diametralmente opposta, con l’effetto che tali comunicazioni sono state effettuate in assenza di un’idonea condizione di liceità, in violazione dell’art. 130 del Codice (cfr. ex multis provv. Provvedimento del 17 ottobre 2024, doc. web 10108041).

Le comunicazioni elettroniche di natura promozionale effettuate mediante messaggi del tipo sms integrano una fattispecie che soggiace alla disciplina originata dalla direttiva 2002/58/CE e recepita nell’ordinamento italiano nel Titolo X del Codice. In particolare, si richiama quanto disposto dall’art. 130, comma 2 del Codice in base al quale l’invio delle comunicazioni oggetto del presente procedimento è consentito solo con il consenso del contraente o utente.

Si osserva, inoltre, che l’invio di comunicazioni commerciali è condizionato altresì all’indicazione di un idoneo recapito presso il quale l'interessato possa esercitare i diritti di cui agli articoli da 15 a 22 del Regolamento. 

Dalla documentazione in atti è risultato invece che negli sms promozionali inviati dalla Società tale indicazione non era presente. Essi, infatti si limitavano ad indicare l’identità del mittente senza tuttavia fornire un idoneo recapito presso il quale fosse possibile per l’interessato esercitare i propri diritti così come espressamente previsto dall’art.130, comma 5 del Codice. 

Si ritiene, quindi, accertato che la Società abbia violato le richiamate disposizione dell’art. 130 del Codice

4. CONCLUSIONI

Alla luce di quanto sopra, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, non ricorrendo alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

L’Autorità rileva quindi l’illiceità della condotta posta in essere dal titolare del trattamento nei termini sopra descritti in violazione degli artt. all’art. 5, par. 2, 12 e 17 del Regolamento e 130 del Codice.

5. MISURE CORRETTIVE

Accertata, dunque, l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario imporre al titolare de trattamenti, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, l’adozione di misure adeguate a garantire che le attività promozionali realizzate nel proprio interesse vengano svolte nel pieno rispetto di quanto previsto dall’art. 130, comma 5 del Regolamento;

Avendo la Società già cancellato i dati personali del reclamante si ritiene di non dover imporre misure correttive al riguardo.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni riscontrate sono soggette alla sanzione prevista dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- sebbene sia scaturita da una mancanza di responsabilizzazione nelle procedure di gestione delle istanze di esercizio dei diritti di protezione dei dati degli interessati, ha in concreto riguardato dati comuni relativi ad un solo interessato e le comunicazioni commerciali indesiderate accertate sono state solo tre nell’arco di oltre un anno (cfr. art. 83, par. 2, lett. a) e g), del Regolamento);

- la condotta è da imputarsi alla colpa e non al dolo del titolare (cfr. art. 83, par. 2, lett. b), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 
Ciò premesso, anche nel considerare il volume di affari del titolare del trattamento, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione altresì le seguenti circostanze: 

- la Società ha prontamente posto in essere non solo azioni concrete per rimediare alla violazione occorsa, cancellando i dati dell’interessato ma anche per prevenire il verificare di eventi analoghi in futuro (cfr. art. 83, par. 2, lett. c), del Regolamento); 

- la condotta è imputabile alla colpa del titolare del trattamento (cfr. art. 83, par. 2, lett. d), del Regolamento); 

- l’assenza di precedenti violazioni pertinenti commesse dal medesimo titolare (cfr. art. 83, par. 2, lett. e), del Regolamento); 

- l’elevato grado cooperazione con l’Autorità durante l’attività istruttoria svolta (cfr. art. 83, par. 2, lett. f), del Regolamento);

- il design del sito internet del titolare, risultato chiaro in ordine ai canali da utilizzare per esercitare i diritti di protezione dei dati (cfr. art. 83, par. 2 lett. k del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5000 (cinquemila/00) per la violazione degli artt. 5, par. 2, 12 e 17 del Regolamento nonché dell’art. 130 del Codice.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione del particolare disvalore delle violazioni rilevate. 

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità della condotta e dei trattamenti posti in essere dalla società Barbuti s.p.a (C.F. 05657390653), con sede legale in Piazza della Seta n. 7/8, 81100 Caserta, per la violazione degli artt. 5, par. 2, 12 e 17 del Regolamento nonché dell’art. 130 del Codice, nei termini di cui in motivazione;

ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive alla Barbuti s.p.a di adottare di misure adeguate a garantire che le attività promozionali realizzate nel proprio interesse vengano svolte nel pieno rispetto di quanto previsto dall’art. 130, comma 5 del Regolamento;

ai sensi dell’art. 58, par. 1, lett. a) e dell’art. 157 del Codice, si prescrive alla Barbuti s.p.a di comunicare all’Autorità, entro il termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte al punto precedente, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento.

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare di pagare la somma di euro 5000 (cinquemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 5000 (cinquemila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 settembre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori