[doc. web n. 10262499]

Provvedimento del 28 maggio 2026

Registro dei provvedimenti
n. 394 del 28 maggio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il prof. Pasquale Stanzione;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con nota del 10 marzo 2026, acquisita agli atti in pari data (prot. n. 134231), è pervenuto un reclamo a questa Autorità con il quale un interessato ha rappresentato di essere stato iscritto da maggio 2023 ad agosto 2024 alla palestra Action Fit di Milano, sede via Tolstoj (di seguito “Società” o “titolare del trattamento”) e di avere ricevuto nel tempo svariate e-mail promozionali (dalla documentazione in atti ne risultano almeno 6) nonostante non avesse preventivamente acconsentito ad alcun trattamento dei propri dati personali per la suddetta finalità. 

L’interessato ha rappresentato, inoltre, di essersi opposto al predetto trattamento utilizzando il link disponibile in calce a ciascuna e-mail ricevuta ma che le sue istanze non sono state prese in considerazione dal titolare. Dalla documentazione in atti risulta che tali richieste venivano riscontrate da un messaggio automatico che invitava l’interessato, che avrebbe agito in tal senso, a cliccare il link “Conferma disiscrizione da comunicazioni di marketing” per completare l’operazione. Da ultimo, come da documentazione in atti, l’interessato ha avanzato un’istanza di opposizione ex art. 21, comma 2 del Regolamento, inviando, in data 30 settembre 2025, una pec all’indirizzo action.fit@legalmail.it, anch’essa rimasta priva di riscontro e inevasa nel merito.

Risulta comprovato in atti, infatti, che la Società ha inviato successivamente a tale data ulteriori comunicazioni all’interessato tre le quali rileva in particolare quella del 9 ottobre 2025, avente ad oggetto “Ottobre è il Mese della Salute – Torna in forma con Actionfit a partire da 29€ almese!”.

1.2. Attività svolta

Con la nota del 28 gennaio 2026 (prot. n. 11898), l’Ufficio del Garante ha formulato, ai sensi dell’art. 157 del Codice, una richiesta di informazioni alla Società riguardo a quanto rappresentato nel predetto reclamo. La richiesta, che risulta regolarmente consegnata via pec in pari data, è rimasta tuttavia priva di riscontro.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base agli elementi sopra descritti, con nota del 10 marzo 2026 (prot. n. 36652), notificata ai sensi dell’art. 166, comma 5 del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2 del Regolamento nei confronti del titolare del trattamento, invitandolo a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate hanno riguardato le seguenti norme

- art. 6, par. 1, lett. a) del Regolamento e art. 130 del Codice, in quanto la Società ha inviato comunicazioni commerciali all’interessato senza comprovare di avere acquisito un consenso valido per il predetto trattamento, né considerando le ripetute opposizioni dell’interessato;

- artt. 12 e 21, par. 2 del Regolamento, in quanto la Società ha omesso di fornire riscontro all’interessato e non ha dato seguito al diritto di opposizione da questi esercitato;

- art. 157 del Codice, in quanto la Società non ha fornito le informazioni richiesta dal Dipartimento procedente.

La Società non ha fatto pervenire scritti difensivi e documenti in relazione al procedimento a suo carico, né ha richiesto di essere audita dall’Autorità.

3. VALUTAZIONI DELL’AUTORITÀ

3.1 SULLE CONDIZIONI DI LICEITÀ PER L’INVIO DI COMUNICAZIONI DI CARATTERE COMMERCIALE

La doglianza pervenuta riguarda la ricezione di comunicazioni promozionali indesiderate via e-mail in assenza del consenso dell’interessato.

Omettendo di riscontrare alla richiesta di informazioni dell’Ufficio del 28 gennaio u.s., la Società non ha potuto fornire alcuna valida giustificazione al riguardo, in particolare, non ha confutato quanto sostento dal reclamante in ordine all’assenza di un’idonea condizione di liceità a fondamento del predetto trattamento di dati personali.

Nel caso in esame - relativo, giova ribadirlo, all'invio di e-mail promozionali - l’unica condizione di liceità idonea a legittimare il trattamento svolto avrebbe potuto rinvenirsi nel consenso del contraente o utente (ad es. cfr., ex multis, in www.garanteprivacy.it provv. dell'11 gennaio 2023 - doc web n. 9861941; provv. del 17 maggio 2023 - doc web n. 9899880; provv. 18 luglio 2023 - doc. web n. 9939507; provv. n. 410 del 4 luglio 2024, doc. web n. 10070284).

Le comunicazioni di natura promozionale, infatti, integrano una fattispecie che soggiace alla speciale disciplina originata dalla direttiva 2002/58/CE e recepita nell’ordinamento italiano nel Titolo X del Codice, di carattere speciale rispetto a quella del Regolamento, che resta applicabile solo per i profili non specificamente disciplinati dalla direttiva stessa. In particolare, si richiama quanto disposto dall’art. 130, comma 2 del Codice in base al quale l’invio di comunicazioni elettroniche per finalità commerciali tramite (tra gli altri mezzi) la posta elettronica è consentito solo con il consenso del contraente o utente, potendosi ammettere una deroga unicamente nel caso in cui l’indirizzo e-mail - e solo l’indirizzo e-mail - sia stato rilasciato dall’interessato nel contesto di una vendita di beni o servizi analoghi e ferma, in tale caso, la possibilità per l’interessato di opporsi in ogni momento alla ricezione di tali comunicazioni.

Ciò posto, dovendosi, come detto, inquadrare la richiamata disciplina speciale nell’ambito delle regole di carattere generale di cui al Regolamento per gli aspetti non ulteriormente definiti dalla direttiva 2002/58/CE, anche il consenso di cui all’art. 130 del Codice, per essere idoneo, deve godere dei requisiti di cui all’art. 7 del Regolamento (cfr. Linee guida 5/2020 sul consenso ai sensi del regolamento adottate il 4 maggio 2020 dal Comitato europeo per la protezione dei dati). 

In particolare, esso deve consistere in una dichiarazione o azione positiva da parte dell’interessato, e quindi in un’esplicita manifestazione di volontà rivolta al titolare del trattamento il quale deve essere successivamente in grado di comprovare di averlo acquisito. Tra i requisiti di liceità del consenso di cui all'art. 7 del Regolamento si prefigura, infatti, come distinto e autonomo elemento, quello della comprovabilità da parte del titolare, che deve quindi dimostrare che l'interessato abbia prestato il proprio consenso (cons. 32 e artt. 4, n. 11, e 7 del Regolamento, provv. n. 330 del 4 giugno 2025, doc. web n. 10143278).

Nel caso di specie, emerge che il reclamante sia stato cliente di una delle sedi della Società, come indicato nel reclamo stesso, e che, non solo, avesse negato espressamente che i suoi dati di contatto potessero essere utilizzati per l’invio di comunicazione di tipo commerciale, ma anche che si fosse espressamente opposto a tali trattamenti, escludendo, per tale via, anche una possibile applicazione della deroga sopra prospettata. 

Inoltre, in conseguenza del mancato riscontro da parte del titolare sia alla richiesta di informazioni che all’atto di contestazione dell’Ufficio, non solo non risulta comprovata la sussistenza delle condizioni di liceità prescritte, ma neanche confutata la doglianza dal reclamante in ordine all’assenza di una preventiva manifestazione di volontà e alla presenza di un’espressa opposizione manifestata in sede di stipula del contratto o successivamente.

Si ritiene quindi accertato che il titolare abbia reiteratamente inviato all’interessato comunicazioni di carattere commerciale (e segnatamente, secondo la documentazione in atti, almeno 6 comunicazioni), in assenza di un’idonea condizione di liceità, in violazione dell’art. 6, par. 1, lett. a) del Regolamento, nonché dell’art. 130 del Codice.

3.2 SUL MANCATO RISCONTRO ALL’ESERCIZIO DI DIRITTO DI OPPOSIZIONE DELL’INTERESSATO.

Il secondo elemento di doglianza avanzato ha riguardato la mancata considerazione e il mancato riscontro al diritto di opposizione esercitato dal reclamante ai sensi dell’art. 21, par. 2 del Regolamento attraverso il link di disiscrizione in calce alle e-mail ricevute e con l’invio, in data 30 settembre 2025, di una formale richiesta all’indirizzo action.fit@legalmail.it. 

Al riguardo, si osserva che in base all’art. 12 del Regolamento il titolare del trattamento è tenuto a fornire all'interessato le informazioni relative alle azioni intraprese riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della stessa (par. 3).

La ricezione di ulteriori e-mail indesiderate, nonostante il diniego espresso, comprova come il titolare non abbia tenuto in considerazione della volontà dell’interessato, omettendo di adottare misure necessarie per assicurare l’effettiva applicazione del diritto di opposizione riconosciutogli dal Regolamento in forza dell’art. 21, par. 2.

Per effetto dell’omesso riscontro all’interessato e del compimento, anzi, di azioni di segno diametralmente opposto a quella da lui richiesta con l’esercizio del diritto di opposizione di cui all’art. 21, par. 2 del Regolamento, nonché per effetto dell’assenza di idonee giustificazioni da parte del titolare del trattamento in sede istruttoria, si ritiene accertato che questi abbia violato le disposizioni di cui agli artt. 12 e 21, par. 2 del Regolamento.

3.3 SUL MANCATO RISCONTRO ALLA RICHIESTA DI INFORMAZIONI DELL’UFFICIO.

Risulta, infine, accertata la violazione della disposizione di cui all’art. 157 del Codice per il mancato riscontro alla richiesta di informazioni del 28 gennaio 2026 (prot. n. 11898), nonostante la corretta consegna del messaggio nella casella pec del titolare.

4. CONCLUSIONI

Alla luce di quanto sopra, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, non ricorrendo alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità delle condotte poste in essere dal titolare del trattamento, per aver inviato al reclamante comunicazioni promozionali via e-mail in assenza delle condizioni di liceità previste dalla normativa applicabile, per la mancata considerazione e il mancato riscontro al diritto di opposizione esercitato del reclamante e per il mancato riscontro alla richiesta di informazioni del 28 gennaio 2026 dell’Ufficio, in violazione degli artt. 6, par. 1, lett. a), 12, 21, par. 2 del Regolamento e degli artt. 130 e 157 del Codice.

5. MISURE CORRETTIVE 

Accertata nei predetti termini l’illiceità dei trattamenti presi in esame, si rende necessario:

- prescrive alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di conformare i trattamenti alle disposizioni del Regolamento, adottando misure tecniche e organizzative idonee ad assicurare effettiva applicazione ai diritti di protezione dei dati personali riconosciuti dal Regolamento agli interessati;  

- imporre alla Società, ai sensi dell’art. 58, par. 2, lett. g) del Regolamento, di tener conto del diniego dell’interessato alla ricezione di comunicazioni di carattere commerciale e quindi interrompere ogni tipo di trattamento del relativo indirizzo di posta elettronica per il perseguimento di tale finalità;

- imporre alla Società, ai sensi dell’art. 58, par. 2, lett. g) del Regolamento, di fornire riscontro alle istanze dell’interessato, informandolo dell’avvenuta registrazione del suo diniego alla ricezione di comunicazioni di carattere commerciale via e-mail.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle disposizioni agli articoli degli artt. 6, par. 1, lett. a), 12, 21, par. 2 del Regolamento, e dell’art. 130 del Codice ha avuto luogo in conseguenza di trattamenti tra loro collegati, limitatamente a tali illeciti, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono entrambe soggette alla sanzione prevista dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

La violazione dell’art. 157 del Codice costituisce, invece, una condotta distinta imputabile al medesimo titolare da considerarsi separatamente ai fini della quantificazione della sanzione amministrativa, il cui importo è da quantificarsi parimenti fino a euro 20.000.000 ai sensi dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice.

L’ammontare della sanzione da comminarsi al titolare del trattamento è quindi quantificato in base alla somma dell’importo corrispondente alle sanzioni considerate effettive proporzionate e dissuasive per le predette violazioni, tra loro collegate e non, secondo quanto di seguito più dettagliatamente motivato.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Al riguardo, giova anticipare che nel caso di specie, assumano rilevanza, inoltre, le condizioni economiche del titolare del trattamento, determinate in base all’ultimo bilancio di esercizio disponibile (anno 2024), e che il titolare del trattamento è un soggetto con un volume di affari inferiore a 500 milioni di euro.

Ciò premesso, con riferimento alla violazione delle disposizioni di cui agli artt. 6, par. 1, lett. a), 12, 21, par. 2 del Regolamento e dell’artt. 130 del Codice, tenuto conto:

- della natura e gravità del trattamento, consistito nell’invio di comunicazioni commerciali indesiderate via e-mail senza un danno conseguente per l’interessato, oltre al mero fastidio, e lamentato allo stato dal solo reclamante, non essendo pervenute all’Autorità altre analoghe doglianze nei confronti della medesima Società (art. 83, par. 2, lett. a), del Regolamento);

- che non è stato possibile accertare la natura dolosa dei trattamenti illeciti occorsi che quindi si impuntano alla colpa del titolare (art. 83, par. 2, lett. b), del Regolamento);

- che la violazione ha riguardato il trattamento di una sola tipologia di dato personale, -l’indirizzo di posta elettronica - riferito ad un solo interessato (cfr. art. 83, par. 2, lett. g), del Regolamento); 

si ritiene che, nel caso di specie, il livello di gravità delle violazioni commesse dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò posto, si ritiene che, ai fini della quantificazione della sanzione per le predette violazioni, debbano essere prese in considerazione le seguenti circostanze:

- l’assenza di precedenti violazioni pertinenti commesse dal medesimo titolare (cfr. art. 83, par. 2, lett. e), del Regolamento); 

- l’assenza di ogni tipo di cooperazione con l’Autorità durante l’attività istruttoria svolta (cfr. art. 83, par. 2, lett. f), del Regolamento);

- la circostanza che l’Autorità sia venuta a conoscenza degli illeciti in conseguenza di un reclamo dell’interessato (cfr. art. 83, par. 2, lett. h), del Regolamento);

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, per la violazione delle disposizioni di cui agli artt. 6, par. 1, lett. a), 12, 21, par. 2 del Regolamento e dell’artt. 130 del Codice si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.050 (duemilacinquanta/00).

Con riferimento alla violazione della disposizione di cui all’art. 157 del Codice tenuto conto:

- della natura e gravità del trattamento, consistito nel mancato riscontro alla richiesta di informazioni dell’Ufficio (art. 83, par. 2, lett. a), del Regolamento);

- che non è stato possibile accertare la natura dolosa dei trattamenti illeciti occorsi che quindi si impuntano alla colpa del titolare (art. 83, par. 2, lett. b), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” cit.). 

Ciò posto, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- l’assenza di precedenti violazioni pertinenti commesse dal medesimo titolare (cfr. art. 83, par. 2, lett. e), del Regolamento); 

- l’assenza di ogni tipo di cooperazione con l’Autorità durante l’attività istruttoria svolta (cfr. art. 83, par. 2, lett. f), del Regolamento);

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, per la violazione dell’art. 157 del Codice, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.880 (milleottocentoottanta/00).

In conclusione, per effetto della somma delle sanzioni sopra quantificate si ritiene di determinare l’ammontare della sanzione pecuniaria comminata al titolare nella misura di euro 3.930 (tremilanovecentotrenta/00).

Infine, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione particolare disvalore delle violazioni rilevate. 

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato nonché delle condotte omissive posta in essere dalla società Action Fit s.r.l. con sede legale in viale Bianca Maria 24, 20129 Milano, P.IVA/C.F. 11205880963, per la violazione degli artt. 6, par. 1, lett. a), 12, 21, par. 2 del Regolamento e degli artt. 130 e 157 del Codice, nei termini di cui in motivazione;

ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive di conformare i trattamenti alle disposizioni del Regolamento adottando misure tecniche e organizzative idonee ad assicurare effettiva applicazione ai diritti di protezione dei dati personali riconosciuti dal Regolamento agli interessati;

ai sensi dell’art. 58, par. 2, lett. g) del Regolamento si impone alla Società, di tener conto del diniego dell’interessato alla ricezione di comunicazioni di carattere commerciale e quindi di interrompere ogni tipo di trattamento del relativo indirizzo di posta elettronica per il perseguimento di tale finalità;

ai sensi dell’art. 58, par. 2, lett. g) del Regolamento si impone alla Società di fornire riscontro alle istanze dell’interessato, informandolo dell’avvenuta registrazione del suo diniego alla ricezione di comunicazioni di carattere commerciale via e-mail.

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare di pagare la somma di euro 3.930 (tremilanovecentotrenta/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 3.930 (tremilanovecentotrenta/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 28 maggio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori