Mi è arrivata ieri la notizia della conclusione di un altro procedimento sanzionatorio del Garante Privacy che ha avuto origine da un mio reclamo ex art. 77 GDPR. La questione è sempre la stessa: il prelievo non autorizzato dei miei dati personali dall’albo professionale o da altre fonti pubbliche (social media, MEPA, siti degli enti pubblici con cui collaboro…) e il loro utilizzo per finalità di marketing in forma di email “spam”. Questa volta il soggetto reclamato e sanzionato è tale Reco Agency Srl, società di Milano attiva nel settore immobiliare, con cui io ovviamente non avevo mai avuto nulla a che fare e che “magicamente” ha iniziato a scrivermi proponendomi i suoi servizi.
Le sanzioni comminate sono l’ammonimento formale, la pubblicazione del provvedimento sul sito del Garante e l’annotazione delle violazioni e delle misure adottate nell’apposito registro interno dell’Autorità.
Le argomentazioni del Garante sono più o meno sempre le stesse che abbiamo già letto nei vari provvedimenti che ho ottenuto per situazioni simili. Ad ogni modo condivido qui sotto il testo integrale del provvedimento che ho ricevuto e che a breve dovrebbe anche essere pubblicato nell’apposita sezione del sito del Garante come Provvedimento N. 622 del 9 settembre 2026.
Il reclamo era stato da me presentato nel dicembre 2024 confermando la tendenza del Garante a sforare ampiamente i termini indicati dai suoi stessi regolamenti, che – ricordiamolo – prevedono un massimo di 12 mesi. Inoltre, anche questo provvedimento come tutti quelli assunti dalla fine di gennaio 2026 ad oggi, risulta assunto da un collegio composto da soli tre membri, quando la legge imporrebbe un collegio di quattro membri.
______________________________________________
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l’adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);
VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);
RELATORE il dott. Agostino Ghiglia;
1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA
1.1. Origine dell’istruttoria preliminare
Con reclamo presentato ai sensi dell’art. 77 del Regolamento, pervenuto il 9 dicembre 2024 (Prot. n. 145014 del 10 dicembre 2024), l’Avv. Simone Aliprandi ha lamentato di aver ricevuto un’e-mail indesiderata da parte di Reco Agency S.r.l., con sede legale in Milano, Corso Italia 38, C.F. e P.IVA 04384240968 (di seguito, anche “Reco Agency”, la “Società” o il “Titolare”), a seguito della quale l’interessato ha esercitato il proprio diritto di accesso ex art. 15 del Regolamento, chiedendo al Titolare di indicare i propri dati personali oggetto di trattamento, la base giuridica in forza della quale fosse stato effettuato il trattamento e l’origine dei dati stessi. Il reclamante ha rappresentato altresì di non aver ricevuto riscontro alcuno alla propria richiesta.
1.2. Attività svolta
Preso atto delle evidenze emerse a seguito dell’esame del reclamo ricevuto e al fine di verificare il rispetto della normativa in materia di protezione dei dati personali, con nota del 8 gennaio 2025 (Prot. n. 1535/25), l’Ufficio ha invitato la Società, ai sensi dell’art. 157 del Codice, a fornire le proprie osservazioni in ordine a quanto rappresentato dal reclamante.
Con nota di riscontro del 11 febbraio 2025 (Prot. n. 18052 del 12 febbraio 2025), il Titolare del trattamento ha rappresentato di aver reperito l’indirizzo di posta elettronica del reclamante consultando il sito web dell’Ordine professionale di appartenenza di quest’ultimo. Ha, altresì, precisato di aver prontamente cancellato il predetto dato personale in data 9 gennaio 2025, a seguito della ricezione della richiesta d’informazioni notificata dall’Autorità. Al riguardo, il Titolare ha inoltre dichiarato di non aver ricevuto il previo interpello formulato dall’interessato, in quanto trasmesso a un indirizzo di posta elettronica certificata inesistente. Quanto alla liceità del trattamento, la Società ha riferito di aver individuato quale base giuridica del trattamento di dati personali posto in essere il legittimo interesse, ai sensi dell’art. 6, par. 1, lett. f) del Regolamento, sostenendo che la comunicazione inviata aveva ad oggetto tematiche tecnico giuridiche attinenti alla professione svolta dal reclamante.
Con successiva nota del 12 febbraio 2025 (Prot. n. 18395/2025), il reclamante ha formulato le proprie osservazioni, contestando, in primo luogo, la tardività del riscontro reso dal Titolare. Ha inoltre rilevato che la richiesta di esercizio dei diritti ai sensi dell’art. 15 del Regolamento era stata trasmessa all’indirizzo di posta elettronica certificata pubblicato sul sito web della Società, sicché l’asserita inesistenza di tale recapito sarebbe stata imputabile al Titolare. L’interessato ha, altresì, evidenziato che la Società aveva raccolto e trattato non soltanto il suo indirizzo di posta elettronica, ma anche ulteriori dati personali, segnatamente quelli anagrafici e quelli relativi alla professione esercitata. Da ultimo, il reclamante ha contestato l’individuazione del legittimo interesse quale base giuridica del trattamento, ribadendo di non aver mai prestato il proprio consenso alla ricezione di comunicazione aventi carattere promozionale.
2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE
2.1 Avvio del procedimento (art. 166, comma 5 del Codice)
In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 6 giugno 2025 (Prot. n. 81389/25), notificata ai sensi dell’art. 166, comma 5 del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2 del Regolamento, nei confronti del Titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).
In particolare, l’Ufficio ha contestato la presunta violazione degli artt. 6, par. 1, lett. a) e 7, par. 1 del Regolamento e dell’art. 130 del Codice per l’invio di una comunicazione promozionale senza consenso e in assenza di altra idonea base giuridica per il trattamento.
2.2. Difese della Parte (art. 166, comma 6 del Codice)
La Società ha presentato proprie memorie difensive il 2 luglio 2025 (Prot. n. 93530/2025) e, richiamando alcune osservazioni già effettuate in sede istruttoria, in via preliminare ha ribadito di non aver acquisito, né trattato, dati personali dell’interessato diversi rispetto all’indirizzo e-mail, contestando pertanto quanto dedotto dal reclamante in ordine al presunto trattamento di ulteriori dati personali.
Inoltre, il Titolare ha precisato di aver inviato al reclamante un’unica comunicazione, nel testo della quale era presente in calce un apposito link mediante il quale il destinatario avrebbe potuto richiedere la cancellazione del proprio indirizzo e manifestare la volontà di non ricevere altre e-mail.
La Società ha altresì confermato di aver provveduto alla cancellazione dell’indirizzo di posta elettronica del reclamante non appena ricevuta la richiesta d’informazione notificata dall’Autorità e di non aver inviato successive comunicazioni all’interessato oltre a quella oggetto del presente procedimento.
Con riferimento alla natura della comunicazione inviata, Reco Agency ha sostenuto che la stessa non fosse finalizzata alla vendita di beni o servizi, bensì alla trasmissione di informazioni aventi contenuto tecnico-giuridico, escludendone, conseguentemente, la natura promozionale.
Infine, il Titolare ha chiesto che non si proceda all’adozione di alcun provvedimento sanzionatorio nei propri confronti, invocando, ai fini della determinazione dell’eventuale sanzione amministrativa pecuniaria, la valutazione della situazione economico finanziaria negativa in cui versa la Società.
3. VALUTAZIONI DELL’AUTORITÀ
Alla luce delle risultanze istruttorie e delle difese formulate dalla Società, si ritiene di confermare le violazioni contestate con l’atto di avvio del procedimento. Le dichiarazioni rese nel corso dell’istruttoria sono state, peraltro, valutate ai sensi dell’art. 168 del Codice, ferma restando la responsabilità del dichiarante in ordine alla loro veridicità.
In primo luogo, non può essere condivisa la tesi difensiva della Società secondo cui la comunicazione inviata al reclamante non avrebbe avuto natura promozionale, ma sarebbe stata finalizzata esclusivamente a mettere a disposizione dei professionisti un servizio innovativo di interesse tecnico-giuridico coerente con l’attività professionale svolta dal destinatario.
Dall’esame del contenuto della comunicazione prodotta agli atti emerge, infatti, che la finalità perseguita era quella di promuovere servizi di consulenza e di intermediazione immobiliare offerti dalla Società, invitando il destinatario ad avvalersene. In particolare, il messaggio si concludeva con l’espresso invito «Mi metto, da oggi, anche a Sua disposizione per qualsiasi eventuale esigenza negli ambiti sopra descritti. Non esiti a contattarmi anche solo per conoscerci o per sottopormi qualsiasi eventuale casistica», espressione che evidenzia chiaramente l’intento di instaurare un rapporto commerciale con il destinatario e di promuovere l’attività svolta dalla Società.
Le giustificazioni prospettate dal Titolare non possono, pertanto, essere accolte. La condotta oggetto del presente procedimento deve essere ricondotta alla disciplina dettata dal combinato disposto dei commi 1 e 2 dell’art. 130 del Codice, il quale consente l’utilizzo della posta elettronica per finalità di “invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale” esclusivamente previo consenso dell’interessato, fatta salva la ricorrenza di specifiche eccezioni che, nel caso di specie, non risultano sussistenti.
Né può ritenersi che la pubblicazione dell’indirizzo di posta elettronica sul sito web dell’Ordine professionale di appartenenza del reclamante ne consentisse l’utilizzo per finalità promozionali. Sul punto, il Garante ha costantemente affermato che i dati personali resi pubblicamente disponibili in rete non possono essere liberamente riutilizzati per finalità ulteriori e incompatibili con quelle per le quali sono stati originariamente pubblicati, dovendo il relativo trattamento avvenire nel rispetto del principio di limitazione della finalità e delle ragionevoli aspettative degli interessati (cfr. ad esempio, in www.garanteprivacy.it, provv. 4 dicembre 2025, n. 739, doc. web n. 10213792; provv. 23 ottobre 2025, n. 635, doc. web n. 10197577; provv. 23 ottobre 2025, n. 634, doc. web n. 10197559).
Tutto ciò premesso, si osserva che, nel caso di specie, risulta accertato che l’indirizzo di posta elettronica del reclamante è stato utilizzato per l’invio di una comunicazione avente natura promozionale in assenza del consenso dell’interessato e senza che il Titolare abbia individuato un’altra idonea base giuridica ai sensi dell’art. 6 del Regolamento. Il richiamo al legittimo interesse di cui all’art. 6, par. 1, lett. f) del Regolamento non può ritenersi fondato, atteso che la disciplina speciale dettata dall’art. 130 del Codice richiede, per l’invio di comunicazioni commerciali mediante posta elettronica, il previo consenso dell’interessato, salvo le tassative ipotesi derogatorie previste dalla legge, nella fattispecie non ricorrenti.
4. CONCLUSIONI
Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, nel caso di specie, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.
Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver inviato al reclamante una comunicazione e-mail promozionale in assenza di idonea base giuridica, in violazione degli artt. 6, par. 1, lett. a) e 7 del Regolamento e dell’art. 130 del Codice.
Ai fini dell’individuazione della misura correttiva da adottare, affinché la stessa sia proporzionata e dissuasiva, occorre tuttavia valutare le circostanze del caso concreto alla luce dei criteri previsti dall’art. 83, par. 2 del Regolamento.
Sotto tale profilo, assumono rilievo in senso attenuante il carattere episodico della condotta, atteso che il reclamante ha ricevuto un’unica comunicazione di posta elettronica, nonché la circostanza che il messaggio contenesse un collegamento ipertestuale mediante il quale il destinatario avrebbe potuto richiedere la cancellazione del proprio indirizzo e manifestare la volontà di non ricevere ulteriori comunicazioni.
Assume inoltre rilievo la condotta successivamente tenuta dal Titolare, il quale ha dichiarato di aver provveduto alla cancellazione dei dati personali del reclamante non appena ricevuta la richiesta di informazioni notificata dall’Autorità, che ha costituito il primo atto con cui la Società ha avuto effettiva conoscenza delle contestazioni dell’interessato. Dagli atti del procedimento risulta, infatti, che la precedente istanza di esercizio dei diritti ai sensi dell’art. 15 del Regolamento non è pervenuta al Titolare, in quanto trasmessa a un indirizzo di posta elettronica certificata inesistente. Tale circostanza non può essere imputata al titolare del trattamento, in quanto costituisce onere dell’interessato indirizzare le proprie richieste al corretto recapito del destinatario, verificandone preventivamente l’esattezza mediante gli ordinari strumenti di consultazione disponibili. Nel caso di specie, tale onere assume particolare rilievo anche in considerazione della qualifica professionale del reclamante, il quale esercita la professione di avvocato e, pertanto, è ragionevolmente a conoscenza delle modalità di funzionamento degli indirizzi di posta elettronica certificata. Si osserva peraltro che il reclamante si è limitato ad allegare al reclamo la richiesta inviata al titolare senza fornire prova dell’avvenuta ricezione della pec; tale prova documentale non risulta prodotta neanche in occasione della replica da questi successivamente formulata il 12 febbraio 2025 nella quale il reclamante ha tenuto a precisare che “qualora emergesse che invece l’indirizzo recoagencysrl[@]pecmail.it risulta esistente o comunque risultava esistente e funzionante alla data della mia richiesta di accesso, mi riservo di procedere a denuncia penale”.
Deve altresì essere valutato favorevolmente il comportamento collaborativo tenuto dalla Società nel corso del procedimento. Sebbene il riscontro alla richiesta di informazioni dell’Autorità sia pervenuto con un ritardo di modesta entità rispetto al termine assegnato, tale circostanza non ha determinato alcun concreto ostacolo allo svolgimento dell’attività istruttoria, essendosi il Titolare successivamente attivato per fornire i chiarimenti richiesti e avendo collaborato con l’Autorità ai fini dell’accertamento dei fatti.
Rilevano poi l’assenza di elementi idonei a dimostrare un concreto pregiudizio subito dall’interessato, atteso che non risultano ulteriori comunicazioni promozionali inviate al reclamante successivamente a quella oggetto del procedimento, nonché l’assenza di analoghi precedenti a carico della Società.
Infine, occorre tenere conto del carattere isolato della vicenda, non risultando al momento altre analoghe doglianze pervenute all’Autorità, nonché i risultati economici registrati nell’ultimo bilancio dalla Società.
Per tali ragioni, sebbene si ravvisino le violazioni sopra richiamate, le circostanze descritte inducono a qualificare il caso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del considerando 148 del Regolamento e si ritiene di poter soprassedere dall’applicazione di una sanzione amministrativa pecuniaria.
5. MISURE CORRETTIVE
Si ritiene che, relativamente al caso in esame, occorra ammonire il titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, dal momento che la condotta è stata posta in essere in violazione delle norme sopra indicate.
Considerando che la condotta ha esaurito i suoi effetti – atteso che la Società ha provveduto alla cancellazione dei dati personali dell’interessato – non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.
PER QUESTI MOTIVI
ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato da Reco Agency S.r.l., con sede legale in Milano, Corso Italia 38, P.IVA e C.F. 04384240968, per la violazione degli artt. 6, par. 1, lett. a) e 7 del Regolamento e dell’art. 130 del Codice, nei termini di cui in motivazione; di conseguenza ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, si rivolge al titolare un ammonimento dal momento che la condotta è stata posta in essere in violazione delle norme sopra indicate.
In ragione di quanto disposto dall’art. 154-bis, comma 3 del Codice, si procede alla pubblicazione del presente provvedimento sul sito internet dell’Autorità (cfr. anche art. 37 del Regolamento interno del Garante n. 1/2019).
Si rileva inoltre che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Reco Agency S.r.l. con sede legale in Milano, Corso Italia 38, C.F. e P.IVA 04384240968 e
DISPONE
▪ ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;
▪ ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.
Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.
Roma, 3 settembre 2026
Firmato
IL RELATORE Agostino Ghiglia
IL PRESIDENTE Pasquale Stanzione
IL SEGRETARIO GENERALE Luigi Montuori
