Il Garante Privacy ha emesso un nuovo provvedimento (Provv. n. 739 del 4 dicembre 2025) che accoglie un mio reclamo per trattamento illecito di miei dati personali, in particolare per un’attività di email marketing sulla mia email senza alcun consenso da parte mia (cosiddetto spam) come era successo per un altro simile provvedimento già segnalato nei mesi scorsi (quello che ha condannato l’azienda Form & Lex di Fano > VEDI).
Anche questa volta si tratta di una società che offre servizi nel settore legale e che si è sentita autorizzata, sulla base di un fantomatico legittimo interesse, a prelevare i miei dati personali in occasione di un seminario online organizzato da altra società (nello specifico Avvocato360), a inserirli nella propria banca dati di potenziali clienti e a inviare comunicazioni promozionali dei propri servizi tramite un sistema di mailing list automatizzato.
Il soggetto in questione (sanzionato dal Garante Privacy con il formale ammonimento, il divieto di trattamento, della pubblicazione del provvedimento sul sito e l’annotazione delle violazioni nel registro interno dell’Autorità) è Accademiadr Società Benefit Srl con sede legale a Bergamo in Via Francesco Nullo 6, società che offre servizi di mediazione civile commerciale e servizi di formazione connessi a questo settore.
Nonostante i tentativi di difesa (molto deboli) della società abbiano cercato di sottolineare che si trattasse di email a mero scopo informativo, inviate sulla base di un legittimo interesse, l’Autorità Garante ha invece accertato la natura promozionale-commerciale delle loro comunicazioni, nonché il meccanismo chiaramente automatizzato e massivo sottostante.
Si legge nel provvedimento:
il quadro normativo vigente non consente in nessun caso l’invio di messaggi promozionali attraverso reti di comunicazione elettronica (come l’email) senza aver acquisito un preventivo consenso da parte degli interessati. […] Allo stesso tempo, non è consentito l’utilizzo di dati personali contenuti in banche dati o registri (come quelli degli ordini professionali) creati per finalità diverse da quella promozionale.
In particolare, se la finalità delle comunicazioni è promozionale e se il canale utilizzato è un mezzo di comunicazione elettronica, la norma applicabile è l’art. 130 del Codice, in quanto lex specialis rispetto al Regolamento. In tale contesto, la base giuridica del legittimo interesse non è mai applicabile […].
Ciò premesso, ne consegue che le email di Accademiadr sono state inviate in assenza di una base giuridica idonea, non essendo stato documentato il rilascio di uno specifico consenso del reclamante e non potendo essere invocato alcun idoneo presupposto per giustificare le email inviate dopo l’opposizione dell’interessato.
L’autorità ha quindi colto l’occasione per ribadire alcuni concetti che sembrano ovvi e ben radicati per chi conosce bene il diritto della privacy ma che, a quanto pare, continuano a essere ignorati da parte degli operatori commerciali. Ignorati colpevolmente – lasciatemi dire – dato che il GDPR è in vigore da ormai dieci anni e che sia la giurisprudenza sia la prassi si sono sufficientemente sedimentate da non dover più necessitare ripetizioni dell’ovvio.
Per di più la violazione oggetto del mio reclamo è avvenuta sia con la mia email, sia con l’email di un altro collega del mio studio il quale però non aveva mai partecipato a tale seminario online, facendo sorgere dubbi sul fatto che in realtà i dati fossero stati prelevati massivamente dall’albo avvocati. [NOTA: Sarebbe infatti interessante sentire qualche altro collega del mio foro (Lodi) ma anche di altri fori per capire se questa situazione riguarda solo le nostre due email oppure è appunto ben più diffusa. Nel caso, scrivetemi pure in privato e raccontatemi la vostra esperienza. Eventualmente provate a controllare anche nella cartella spam, nel caso l’email sia stata filtrata automaticamente].
Non a caso infatti il provvedimento del Garante Privacy ha concluso non solo con un divieto di trattamento dei dati personali miei e del collega di studio, ma anche di tutti i professionisti qualora questi dati siano stati prelevati indebitamente dagli albi pubblici, dal web, dai profili social (come purtroppo spesso accade) e non siano sorretti da un consenso specifico e dimostrabile.
Così si conclude infatti il provvedimento:
a) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, [il GPDP] rivolge un ammonimento al titolare dal momento che la condotta è stata posta in essere in violazione delle norme, in assenza di specifico consenso dell’interessato al trattamento dei dati personali per finalità promozionali;
b) ai sensi dell’art. 58, par. 2, lett. f), [il GPDP] impone ad Accademiadr il divieto di utilizzare per finalità promozionali i dati di contatto di altri professionisti, eventualmente già acquisiti e conservati, di cui non possa comprovare l’ottenimento di uno specifico consenso.
In ultimo, ma non meno importante, ricordiamo che a fronte di una violazione delle norme sul trattamento dati personali, l’art. 82 del GDPR prevede una responsabilità civile. Sarà dunque mia cura valutare anche una eventuale azione per il risarcimento dei danni patrimoniali e non patrimoniali per questo caso e per tutti i casi simili (come appunto quello già menzionato di Form & Lex). Forse lo spauracchio di dover versare un risarcimento e di dover rimborsare le spese legali sostenute incentiverà certe aziende a rispettare la privacy in modo più rigoroso.
RIPORTO DI SEGUITO IL TESTO DEL PROVVEDIMENTO (oppure leggilo sul sito del Garante Privacy)
[doc. web n. 10213792]
Provvedimento del 4 dicembre 2025
Registro dei provvedimenti
n. 739 del 4 dicembre 2025
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componenti, e il dott. Luigi Montuori, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l’adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
RELATORE il dott. Agostino Ghiglia;
PREMESSO
1. L’ATTIVITÀ ISTRUTTORIA SVOLTA
Con reclamo del 13 novembre 2024, l’avv. XX ha lamentato la ricezione di due e-mail promozionali indesiderate, pervenute in data 30 settembre e 28 ottobre 2024 all’indirizzo XX, e inviate da parte di Accademiadr Società Benefit s.r.l. (d’ora in avanti anche “Accademiadr” o “la Società”). Il reclamante ha altresì lamentato di non aver ricevuto riscontro alla richiesta di accesso ai dati presentata al titolare del trattamento il 12 ottobre 2024.
La Società ha fornito riscontro alla richiesta di informazioni inviata dall’Ufficio con nota del 6 dicembre 2024 chiarendo la sua natura di “organismo di mediazione civile commerciale riconosciuto dal Ministero della Giustizia al nr 1058 e Ente di Formazione riconosciuto al nr 455 dal 2017, organismo ADR riconosciuto da ARERA dal 2018 e organismo ODR riconosciuto dalla Commissione Europea dal 2018 e svolge l’attività di interesse pubblico di erogazione dei servizi di mediazione civile commerciale e più in generale di c.d. Alternative Dispute Resolution”. In particolare, la Società ha fornito preliminari chiarimenti che hanno reso necessario ampliare l’ambito dell’istruttoria. Accademiadr, infatti, si è innanzitutto espressa in merito al contestato mancato riscontro alla richiesta di esercizio dei diritti presentata da XX. Al riguardo, essa ha dichiarato, allegando pertinente documentazione, di aver ricevuto poco tempo prima – il 10 settembre 2024 – una richiesta di accesso ai dati ex art. 15 del Regolamento, del tutto uguale a quella presentata dall’avv. XX e proveniente dall’avv. XX, dello stesso studio legale. A tale richiesta era stato fornito riscontro all’interessato il giorno successivo indicando tutte le informazioni richieste e chiarendo che “non si trattava di alcuna vendita promozionale” avendo invece tale email “finalità naturalmente informative e divulgative della cultura della mediazione e delle ADR in generale”.
Con riguardo all’origine dei dati, la Società aveva chiarito a XX che “la presenza di indirizzi mail nei nostri database deriva esclusivamente o dal deposito di procedure di mediazione/arbitrato/conciliazione amministrata o dalla partecipazione a eventi formativi da noi direttamente organizzati o in collaborazione con altri partners quali a titolo esemplificativo Ordini degli Avvocati, Camere di Commercio, Accademy di Avvocato360”.
Da ultimo, evidenziando che in calce all’email erano presenti dei link per la disiscrizione, la Società aveva confermato a XX la cancellazione dei dati.
A tale risposta di Accademiadr, avrebbe fatto seguito una ulteriore comunicazione da parte di XX che, evidenziando una possibile violazione delle norme, invitava il titolare “a farmi contattare da un vostro legale per avviare una trattativa entro 7 giorni dal ricevimento della presente. Diversamente procederò a segnalare l’accaduto all’Autorità Garante e successivamente ad agire in sede civile per il risarcimento del danno ex art. 82 GDPR”. La Società, per il tramite di un’incaricata, avrebbe chiamato il giorno stesso lo studio legale non riuscendo tuttavia a parlare con XX; avrebbe invece interloquito con una persona che si sarebbe presentata come suo fratello acconsentendo a ricevere ulteriori email alle altre caselle dello studio legale.
Successivamente sarebbe pervenuta la richiesta di esercizio dei diritti di XX, il 12 ottobre 2024 ma, tenuto conto delle recenti interlocuzioni intercorse con lo studio legale, la Società non ha ritenuto di dover dare seguito a una richiesta che si presentava come “fotocopia” di quella già ricevuta e riscontrata e che, a detta della Società, pareva essere volta solo a sollecitare un risarcimento.
Con riguardo al contestato invio di email promozionali e alla base giuridica indicata nell’informativa privacy pubblicata nel sito di Accademiadr, la Società ha infine dichiarato che alcune comunicazioni sono finalizzate a “informare i nostri utenti di aggiornamenti e novità rilevanti per il servizio già sottoscritto, o per proposte affini. Questo approccio è conforme al legittimo interesse del titolare del trattamento, laddove il rapporto con l’interessato giustifichi una ragionevole aspettativa di ricevere tali comunicazioni. Tuttavia, ci atteniamo scrupolosamente alle prescrizioni normative e per tutte le comunicazioni strettamente commerciali richiediamo il consenso esplicito degli utenti, che rappresenta la base giuridica necessaria per tali attività. In pratica, il legittimo interesse viene utilizzato solo per comunicazioni non invasive e inerenti a servizi analoghi già usufruiti dagli interessati, mentre per le eventuali campagne di marketing diretto è sempre richiesto un consenso preventivo e informato”.
Analoghe giustificazioni sono state fornite dalla Società, con nota del 14 febbraio 2025, in relazione all’istruttoria avviata sulla base del reclamo presentato da XX.
Le note di riscontro alle richieste di informazioni dell’Ufficio non erano state trasmesse anche ai reclamanti, come invece richiesto in sede di acquisizione delle informazioni. Pertanto, l’Ufficio ha invitato Accademiadr a fornire un analogo riscontro ai reclamanti in modo da consentire a questi ultimi di formulare eventuali osservazioni in replica.
La Società ha provveduto a inoltrare ai reclamanti le note di riscontro presentate al Garante con nota del 18 giugno 2025.
I reclamanti, nel fornire proprie osservazioni in replica a tali riscontri, hanno negato la ricezione della telefonata presso lo studio legale e hanno ribadito le presunte violazioni rilevate in sede di reclamo.
Si osserva, infine, che XX aveva integrato l’istruttoria con nota del 18 gennaio 2025, allegando 3 ulteriori email ricevute da Accademiadr dopo la richiesta di informazioni del Garante del 6 dicembre 2024 (email ricevute il 9 e 23 dicembre e il 13 gennaio).
2. LA CONTESTAZIONE DELLE VIOLAZIONI E LA DIFESA DELLA SOCIETÀ
Con nota del 2 aprile 2025 (prot. n. 0044587/25), che qui deve intendersi integralmente richiamata, è stato comunicato alla Società l’avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice, per l’adozione di eventuali provvedimenti di cui all’art. 58, par. 2, del Regolamento, riconoscendo in capo a questa la responsabilità per la violazione degli artt. 5, § 1 e 2, 6, par. 1, lett. a), 7 e 13 del Regolamento e dell’art. 130, commi 2 e 3 del Codice.
Il titolare ha presentato proprie deduzioni difensive il 30 aprile 2025 (che qui si intendono integralmente richiamate) nelle quali ha ribadito la natura informativa e divulgativa delle comunicazioni email dirette all’interessato.
A suo avviso messaggi come quelli indirizzati allo studio XX avrebbero perseguito unicamente una finalità di carattere informativo e non commerciale, non contenendo offerte di prodotti o promozioni di servizi ed essendo rivolte a una platea qualificata. Ciò in quanto, l’avvocato avrebbe un ruolo di mero tramite tra il suo cliente che, sottoscrive la domanda di mediazione, e società come l’odierna Accademiadr che fornisce l’omonimo servizio.
Infatti, ha sostenuto il titolare: “non ogni comunicazione elettronica costituisce automaticamente marketing, dovendosi valutare la finalità effettiva, il contenuto, il linguaggio utilizzato e il contesto del destinatario.”
Alla luce dell’estraneità giuridico-economica del ruolo che l’avvocato ha nella mediazione dunque, le comunicazioni di cui l’odierno interessato ha lamentato la ricezione sarebbero state in realtà a lui dirette non con lo scopo di pubblicizzare l’acquisto diretto dei servizi, bensì solo di favorirne la conoscenza e, eventualmente, la consulenza ai propri assistiti e/o colleghi.
In quanto tale, la fattispecie in esame esulerebbe dall’ambito di applicazione dell’art. 130 del Codice, valido solo per le comunicazioni strettamente commerciali, di talché la base giuridica del trattamento dell’email dello studio XX a scopo divulgativo-informativo sarebbe il legittimo interesse del titolare ex art. 6, par. 1 lett. f) del Regolamento.
La Società ha rivendicato inoltre il legittimo trattamento della mail dello studio in forza del consenso acquisito in occasione di una sua partecipazione ad attività formativa erogata dalla piattaforma Avvocato360, circostanza che il titolare non ha meglio precisato, né documentato.
Inoltre, con riguardo alla cancellazione dell’indirizzo dello studio dall’elenco dei destinatari, il titolare ha dichiarato di avervi provveduto anche in assenza di una formale richiesta in tal senso dell’interessato. Tuttavia, tale cancellazione effettuata sui sistemi aziendali non era stata replicata anche sulla piattaforma di invio delle email (MailUp) utilizzata dalla Società solo da poco tempo e le cui funzionalità non erano ancora pienamente conosciute (proprio in ragione del fatto che Accademiadr non opera nel settore del marketing in maniera professionale).
3. LE VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ
In base ai profili fattuali sopra evidenziati e alle affermazioni rese in sede di riscontro, di cui il dichiarante risponde ai sensi dell’art. 168 Codice, si ritengono confermate le violazioni rilevate nell’atto di contestazione e si osserva quanto segue.
Le argomentazioni addotte dalla Società con riguardo alle particolari circostanze in cui è stato effettuato l’invio delle comunicazioni al reclamante sono state attentamente valutate dall’Autorità soprattutto con riguardo all’asserita natura informativa – e non promozionale – delle stesse. Tuttavia, dal contenuto delle email allegate dai reclamanti non sembra emergere tale specifica finalità essendo invece piuttosto individuabile in esse l’intento di informare il ricevente dei servizi offerti dalla Accademiadr: attività di mediazione, corsi di formazione e consulenze. Il fine ultimo di tali comunicazioni è dunque quello di far conoscere la Società e i suoi servizi (verosimilmente a pagamento) invitandolo altresì ad interagire con essa, mediante appositi link, per concludere un eventuale contratto. Ciò consente di qualificare tali messaggi come invio di materiale pubblicitario e come comunicazioni commerciali, rendendo pertanto applicabile al caso di specie la disciplina di cui all’art. 130, commi 1 e 2 del Codice.
Pur prendendo atto del fatto che il contenuto delle comunicazioni potrebbe essere di potenziale interesse per un destinatario che, svolgendo la professione di avvocato, è tenuto alla formazione obbligatoria, si deve tuttavia ricordare che il quadro normativo vigente non consente in nessun caso l’invio di messaggi promozionali attraverso reti di comunicazione elettronica (come l’email) senza aver acquisito un preventivo consenso da parte degli interessati. L’unica eccezione ammessa dall’ordinamento è quella contemplata dall’art. 130, comma 4 del Codice, in base alla quale è consentito l’utilizzo dell’indirizzo email di soggetti già clienti per l’invio di comunicazioni promozionali aventi ad oggetto prodotti o servizi analoghi a quelli già acquistati, purché però vi sia stato effettivamente un precedente acquisto(1). Al riguardo corre l’obbligo di evidenziare che tale disposizione costituisce una mera eccezione, disposta ex lege, al generale obbligo di acquisire il consenso e non è qualificabile invece come un’applicazione del legittimo interesse del titolare (cfr. i chiarimenti forniti al riguardo dal Garante in www.garanteprivacy.it, con i provvedimenti dell’11 gennaio 2023, doc. web n. 9861941 e del 17 luglio 2024, doc. web n. 10084158).
Allo stesso tempo, non è consentito l’utilizzo di dati personali contenuti in banche dati o registri (come quelli degli ordini professionali) creati per finalità diverse da quella promozionale (cfr. ad esempio, in www.garanteprivacy.it, i provvedimenti del Garante del 16 settembre 2021, doc. web n. 9705632, provvedimento 17 maggio 2023, doc web n. 9899880; provvedimento 18 luglio 2023 doc web n. 9939507; provvedimento 11 gennaio 2023 doc web n.9861941, provvedimento del 4 luglio 2024, doc. web n. 10070284).
In particolare, se la finalità delle comunicazioni è promozionale e se il canale utilizzato è un mezzo di comunicazione elettronica, la norma applicabile è l’art. 130 del Codice, in quanto lex specialis rispetto al Regolamento. In tale contesto, la base giuridica del legittimo interesse non è mai applicabile non essendo contemplata nell’art. 13 della direttiva 2002/58/CE che l’art. 130 del Codice recepisce nell’ordinamento italiano. Tale impostazione non è suscettibile di interpretazione, trattandosi di disciplina di carattere speciale. Il titolare ha comunque facoltà di valutare soluzioni alternative per raccogliere i consensi degli interessati o per informarli della propria offerta formativa anche per il tramite di altri canali.
Ciò premesso, ne consegue che le email di Accademiadr sono state inviate in assenza di una base giuridica idonea, non essendo stato documentato il rilascio di uno specifico consenso del reclamante e non potendo essere invocato alcun idoneo presupposto per giustificare le email inviate dopo l’opposizione dell’interessato.
Si deve tuttavia avere riguardo alle circostanze attenuanti, relative all’assenza di un danno per l’interessato, al fatto che l’attività di invio di email è del tutto accessoria all’attività aziendale non essendo dedita all’attività di marketing in maniera professionale, alla natura di micro impresa della Accademiadr e alla collaborazione prestata dalla Società nelle interlocuzioni con il Garante.
Per tali ragioni, sebbene si ravvisino le violazioni sopra richiamate, le circostanze descritte inducono a qualificare il caso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del considerando 148 del Regolamento e si ritiene di poter soprassedere dall’applicazione di una sanzione amministrativa pecuniaria. Si ritiene, tuttavia che, relativamente al caso in esame, occorra ammonire il titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, dal momento che la condotta è stata posta in essere in violazione delle norme e si rende, altresì, necessario, ai sensi dell’art. 58, par. 2, lett. f), imporre ad Accademiadr il divieto di utilizzare per finalità promozionali i dati di contatto di altri professionisti, eventualmente già acquisiti e conservati, di cui non possa comprovare l’ottenimento di uno specifico consenso.
In ragione di quanto disposto dall’art. 154-bis, comma 3 del Codice, si procede alla pubblicazione del presente provvedimento sul sito internet dell’Autorità (cfr. anche art. 37 del regolamento interno del Garante n. 1/2019).
Si rileva inoltre che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.
Si ricorda che, ai sensi dell’art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto del trattamento è punito con la reclusione da tre mesi a due anni e che, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e) del Regolamento.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Accademiadr Società Benefit srl, con sede in Via Francesco Nullo 6, 24128 BERGAMO (BG), CF 04222800163, di conseguenza:
a) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, rivolge un ammonimento al titolare dal momento che la condotta è stata posta in essere in violazione delle norme, in assenza di specifico consenso dell’interessato al trattamento dei dati personali per finalità promozionali;
b) ai sensi dell’art. 58, par. 2, lett. f), impone ad Accademiadr il divieto di utilizzare per finalità promozionali i dati di contatto di altri professionisti, eventualmente già acquisiti e conservati, di cui non possa comprovare l’ottenimento di uno specifico consenso.
Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.
Roma, 4 dicembre 2025
IL PRESIDENTE
Stanzione
IL RELATORE
Ghiglia
IL SEGRETARIO GENERALE
Montuori
______
1) Cfr. al riguardo Cass. II sez. civile, sentenza del 15 marzo 2023, n. 7555
