Riporto integralmente un provvedimento del Garante Privacy che ha sanzionato la società Form & Lex Srl di Pesaro in conclusione di un procedimento sanzionatorio avviato dopo un mio reclamo ex art. 77 GDPR. La società reclamata aveva violato le norme sul trattamento dati personali per aver raccolto indebitamente i miei dati personali dall’albo avvocati e averli utilizzati senza legittima base giuridica (consenso) per inviarmi comunicazioni di carattere commerciale.
Nelle interlocuzioni preliminari, la società aveva sostanzialmente ammesso di aver prelevato i dati dall’albo avvocati senza consenso, contraddicendo solida giurisprudenza del Garante Privacy. Nonostante io abbia tentato di risolvere la vicenda in via stragiudiziale anche sul piano del risarcimento danni (art. 82 GDPR), Form & Lex non si è resa disponibile ad alcun accordo. Ho quindi dovuto presentare reclamo al Garante e, una volta accertata la violazione in sede amministrativa, avviare azione civile di fronte al tribunale (sono ancora in attesa della sentenza).
Il 23 ottobre 2025 il Collegio del Garante Privacy ha assunto il provvedimento n. 634/2025 (doc. web n. 10197559) in cui ha sostanzialmente accolto tutte le mie doglianze, pur qualificando la violazione come “minore” e non comminando alcuna sanzione pecuniaria. Scelta discutibile; il principio violato è ben noto e quindi è abbastanza assurdo che ancora oggi le aziende non abbiano capito come comportarsi. Una sanzione pecuniaria anche solo simbolica sarebbe stata a mio avviso opportuna.
Relatrice per il Collegio è stata la Prof. Cerrina Feroni; mentre Guido Scorza risulta non aver partecipato alla decisione (nel giugno scorso avevo infatti presentato un’istanza in cui segnalavo alcuni comportamenti anomali dello stesso Scorza che lo ponevano in conflitto di interessi con me).
[doc. web n. 10197559]
Provvedimento del 23 ottobre 2025
Registro dei provvedimenti
n. 634 del 23 ottobre 2025
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il cons. Angelo Fanizza, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l’adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
RELATORE la prof.ssa Ginevra Cerrina Feroni;
PREMESSO
1. L’ATTIVITÀ ISTRUTTORIA SVOLTA
Con reclamo pervenuto il 18 febbraio 2024 l’avv. Simone Aliprandi ha lamentato di aver ricevuto, all’indirizzo del proprio studio legale, un’email promozionale da parte di Form & Lex S.r.l. (di seguito, Form & Lex o la Società) senza aver mai prestato uno specifico consenso. Alla richiesta del reclamante, volta a conoscere l’origine dei dati e ad opporsi al trattamento, la Società ha risposto fornendo i dati in proprio possesso (tra cui si menzionava un diverso indirizzo email) e, con successiva integrazione, ha aggiunto di aver ottenuto l’indirizzo email a seguito di accreditamento presso il Consiglio Nazionale Forense (CNF) ritenendo di poterli trattare per finalità promozionali sulla base del proprio legittimo interesse.
Tali giustificazioni sono state confermate anche nella nota inviata al Garante il 6 maggio 2024 in risposta ad una richiesta di informazioni; in tale sede, la Società ha altresì precisato di aver effettuato un solo invio di email al reclamante, con immediato recepimento della sua opposizione, e di aver scelto le modalità del trattamento dopo attenta ponderazione dei diritti degli interessati. Inoltre, nella stessa comunicazione Form & Lex ha comunque dato atto di aver implementato misure idonee a garantire il rispetto dei diritti degli interessati modificando, non senza sforzo, le proprie procedure aziendali al fine di raccogliere idonei consensi per l’invio di email promozionali. La Società, infatti, era già stata destinataria di un prudente avviso dell’Ufficio (cfr. nota prot. 160270 del 30 novembre 2023) con il quale si era provveduto alla chiusura dell’istruttoria relativa al fascicolo 254451, ricordando al titolare che l’invio di comunicazioni promozionali per email può essere effettuato solo sulla base del consenso dell’interessato o, in deroga al consenso, qualora ricorrano le specifiche circostanze previste dall’art. 130, comma 4, del Codice.
Nella risposta al Garante la Società ha argomentato che la propria attività non dovrebbe considerarsi assimilata a quella di una società commerciale, dato che essa è strettamente correlata all’accreditamento ricevuto presso gli ordini professionali proprio per effettuare la formazione necessaria all’ottenimento dei crediti. Vi sarebbe dunque un interesse dei riceventi a conoscere le opportunità formative, fermo restando che la Società ha adottato diverse cautele per evitare di disturbare gli interessati e soprattutto per recepire immediatamente ogni richiesta di esercizio dei diritti. Anche nel caso di Simone Aliprandi, infatti, la Società ha precisato che, pur avendo questi inoltrato la sua richiesta ad un indirizzo email non preposto alla trattazione di tali istanze, ha comunque fornito riscontro nella stessa giornata.
Incidentalmente, la Società ha altresì eccepito che il reclamante non avesse titolo per presentare ricorso al Garante dal momento che la casella email su cui aveva ricevuto il messaggio – studioaliprandi@[omissis] – sarebbe generica e, per stessa ammissione del reclamante, condivisa con altri colleghi dello studio; per tali ragioni, la Società ha espresso dubbi in merito alla possibilità di considerare tale indirizzo email un dato personale.
Infine, la Società ha aggiunto che, nonostante le rilevanti modifiche procedurali adottate, il periodo in cui è stata inviata l’email a Simone Aliprandi era stato caratterizzato da gravi problematiche familiari “lasciando il titolare e amministratore della società, a gestire il tutto – anche e soprattutto la preponderante parte operativa quotidiana – col supporto di un solo dipendente”.
2. LA CONTESTAZIONE DELLE VIOLAZIONI
Con nota 100194/24 del 22 agosto 2024 è stato comunicato alla Società l’avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice, per l’adozione di eventuali provvedimenti di cui all’art. 58, par. 2, del Regolamento, riconoscendo in capo a Form & Lex la responsabilità per la presunta violazione delle seguenti disposizioni: art. 6, par. 1, lett. a) del Regolamento (UE) 2016/679 e art. 130, comma 2 del Codice per l’invio di una comunicazione promozionale senza consenso.
3. LA DIFESA DELLA SOCIETÀ
La Società ha presentato proprie memorie difensive il 13 settembre 2024 e, richiamando alcune osservazioni già effettuate in sede istruttoria, ha precisato innanzitutto che, a seguito delle modifiche introdotte sulla base del prudente avviso ricevuto, ha registrato una “diminuzione di iscritti (professionisti) ai nostri corsi con una contrazione di fatturato di 204’000 €, a fronte dei circa 267’000 dello stesso periodo dell’anno scorso (2023), ciò principalmente – come ci è stato più volte testimoniato dalla clientela – proprio a fronte dell’implementazione delle misure richieste, che hanno impedito a qualche professionista (legittimamente) più pigro e meno predisposto alla burocrazia (per quanto, evidentemente, a sua tutela) di prestare idoneo consenso ed essere messo tempestivamente a conoscenza dei nostri eventi accreditati”.
Inoltre, Form & Lex ha ribadito che la propria attività si limita a far conoscere agli avvocati iscritti all’ordine i corsi di formazione, da essa erogati, utili per l’ottenimento dei crediti formativi obbligatori; ciò in quanto la Società è accreditata presso i medesimi ordini professionali. Al riguardo essa ha considerato che “non sia stata tenuta in debita considerazione l’evenienza che i nostri eventi sono accreditati presso gli Ordini professionali competenti ed esclusivamente destinati ai loro iscritti, unici nostri riferimenti (non erogando, ad oggi, formazione non convenzionata con i medesimi Ordini), ma che la normativa sia stata applicata in modo asettico ed illogico. In altre parole, ci dispiace di non essere stati in grado (evidentemente) di far comprendere – nonostante la piena rilevanza del diritto fondamentale alla tutela dell’iniziativa imprenditoriale – come sia difficile la nostra vita imprenditoriale senza poter contattare liberamente (con tutte le garanzie del caso, ovviamente, quale la manifestazione di disinteresse prontamente accolta sia con rapide risposte ad apposite comunicazioni e-mail sia con la funzione automatico di disiscrizione) gli unici possibili destinatari dei nostri eventi”.
4. VALUTAZIONI DI ORDINE GIURIDICO
In base ai profili fattuali sopra evidenziati e alle affermazioni rese in sede di riscontro, di cui il dichiarante risponde ai sensi dell’art. 168 Codice, si ritiene di confermare le violazioni rilevate nell’atto di contestazione.
Pur comprendendo le argomentazioni addotte dalla Società con riguardo all’entità del pregiudizio e alle particolari circostanze in cui è stata effettuata l’attività promozionale, si deve tuttavia ricordare che il quadro normativo vigente non consente in nessun caso l’invio di messaggi promozionali attraverso reti di comunicazione elettronica (come l’email) senza aver acquisito un preventivo consenso da parte degli interessati. L’unica eccezione ammessa dall’ordinamento è quella contemplata dall’art. 130, comma 4 del Codice in materia di protezione dei dati personali, in base alla quale è consentito l’utilizzo dell’indirizzo email di soggetti già clienti per l’invio di comunicazioni promozionali aventi ad oggetto prodotti o servizi analoghi a quelli già acquistati. Allo stesso tempo, non è consentito l’utilizzo di dati personali contenuti in banche dati o registri (come quelli degli ordini professionali) creati per finalità diverse da quella promozionale (cfr. ad esempio, in www.garanteprivacy.it, i provvedimenti del Garante del 16 settembre 2021, doc. web n. 9705632, provvedimento 17 maggio 2023, doc web n. 9899880; provvedimento 18 luglio 2023 doc web n. 9939507; provvedimento 11 gennaio 2023 doc web n.9861941, provvedimento del 4 luglio 2024, doc. web n. 10070284).
In particolare, se la finalità delle comunicazioni è promozionale e se il canale utilizzato è un mezzo di comunicazione elettronica, la norma applicabile è l’art. 130 del Codice, in quanto lex specialis rispetto al Regolamento. In tale contesto, la base giuridica del legittimo interesse non è mai applicabile non essendo contemplata nell’art. 13 della direttiva 2002/58/CE che l’art. 130 del Codice recepisce nell’ordinamento italiano. Tale impostazione non è suscettibile di interpretazione, trattandosi di disciplina di carattere speciale. Il titolare ha comunque facoltà di valutare soluzioni alternative per raccogliere i consensi degli interessati o per informarli della propria offerta formativa anche per il tramite di altri canali.
Infine, con riguardo all’eccezione sollevata da Form & Lex circa la natura di dato personale dell’indirizzo email, si ritiene necessario precisare che la disposizione richiamata si applica non solo agli interessati ma a tutti i contraenti dei servizi di comunicazione elettronica, comprese anche le persone giuridiche, conformemente al combinato disposto dell’art. 130, comma 1 e dell’art. 121, comma 1-bis, lett. f) del Codice; pertanto la natura personale del dato non ha rilievo.
Tutto ciò premesso, tenuto conto del fatto che la Società si è adoperata per adeguare i propri trattamenti alle norme, si osserva che, nonostante il prudente avviso ricevuto il 30 novembre 2023, è stata comunque inviata un’email promozionale al reclamante il 30 gennaio 2024 in assenza del consenso. Pur volendo accogliere le argomentazioni circa le difficoltà operative ed economiche incontrate da una realtà di piccole dimensioni per conformare tutti i trattamenti ai principi indicati, si deve osservare che nelle more dell’adeguamento l’invio di email avrebbe dovuto interrompersi. Per tali ragioni si ritiene confermata la violazione dell’art. 6, par. 1, lett. a) del Regolamento (UE) 2016/679 e dell’art. 130, comma 2 del Codice.
Si deve tuttavia avere riguardo alle numerose circostanze attenuanti, relative all’assenza di un danno per l’interessato, al tempestivo recepimento dell’opposizione, alla natura di piccola impresa della Form & Lex e alle dichiarazioni rese in sede difensiva riguardo al ripristino della puntuale applicazione delle misure correttive già implementate.
Per tali ragioni, sebbene si ravvisino le violazioni sopra richiamate, le circostanze descritte inducono a qualificare il caso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del considerando 148 del Regolamento e si ritiene di poter soprassedere dall’applicazione di una sanzione amministrativa pecuniaria. Si ritiene, tuttavia che, relativamente al caso in esame, occorra ammonire il titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, dal momento che la condotta è stata posta in essere in violazione delle norme.
In ragione di quanto disposto dall’art. 154-bis, comma 3 del Codice, si procede alla pubblicazione del presente provvedimento sul sito internet dell’Autorità (cfr. anche art. 37 del regolamento interno del Garante n. 1/2019).
Si rileva inoltre che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Form & Lex S.r.l. con sede legale in Via Gagarin 167 Pesaro, P.I. 02641860412; di conseguenza:
a) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, rivolge al titolare un ammonimento dal momento che la condotta è stata posta in essere in violazione dell’art. 6, par. 1, lett. a) del Regolamento (UE) 2016/679 e dell’art. 130, comma 2 del Codice;
b) ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019, dispone la pubblicazione del presente provvedimento sul sito web del Garante;
c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.
Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.
Roma, 23 ottobre 2025
IL PRESIDENTE
Stanzione
IL RELATORE
Cerrina Feroni
IL SEGRETARIO GENERALE
Fanizza
