Il Garante Privacy sanziona un’impresa per non aver gestito una richiesta di cancellazione ricevuta attraverso un indirizzo email ordinario. Una vicenda che riporta al centro il principio di responsabilizzazione e apre una riflessione sul rapporto tra diritti individuali, organizzazione aziendale e conformità normativa.
di Luigi Todaro – Avvocato
Una semplice email può mettere in discussione l’intero sistema organizzativo attraverso il quale un’impresa dichiara di garantire la protezione dei dati personali?
La risposta arriva da un recente provvedimento del Garante per la protezione dei dati personali, che ha inflitto una sanzione di 5.000 euro a una società del settore dell’abbigliamento per non aver dato seguito alla richiesta di cancellazione dei dati di un cliente, continuando a inviargli comunicazioni commerciali indesiderate.
Il provvedimento n. 644 del 23 settembre 2026, reso noto il 29 ottobre, merita attenzione non tanto per l’entità della sanzione, quanto per il principio giuridico che riafferma: la conformità al GDPR non può essere ridotta all’esistenza formale di informative, procedure e indirizzi di posta elettronica dedicati. Deve tradursi in un’organizzazione effettivamente capace di garantire i diritti delle persone.
La vicenda, apparentemente circoscritta, consente di affrontare una questione più ampia: fino a che punto un’impresa può invocare la propria organizzazione interna per giustificare il mancato rispetto di un diritto riconosciuto dalla normativa europea?
Una richiesta ricevuta, ma non gestita
Il caso trae origine da una richiesta di cancellazione inviata il 7 giugno 2024 da un cliente che non intendeva più ricevere comunicazioni pubblicitarie.
L’interessato aveva utilizzato un indirizzo email ordinario dell’azienda, destinato principalmente alle attività di commercio elettronico e alle richieste informative.
La comunicazione era stata ricevuta e il sistema aveva generato una risposta automatica che ne confermava la presa in carico. Tuttavia, nessuno aveva provveduto a inoltrare l’istanza all’ufficio competente, né a interrompere tempestivamente l’utilizzo dei dati per finalità promozionali.
Nei mesi successivi, il cliente aveva continuato a ricevere comunicazioni commerciali, fino a rivolgersi all’Autorità.
Durante l’istruttoria, la società aveva ricondotto l’accaduto a un disguido organizzativo, precisando che la casella utilizzata dal cliente non era presidiata da personale specificamente incaricato di gestire le richieste relative alla protezione dei dati.
L’impresa disponeva, peraltro, di un’informativa privacy nella quale erano indicati gli indirizzi corretti ai quali rivolgersi.
Ma proprio questa circostanza ha posto il Garante di fronte a una questione giuridica significativa: la presenza di un canale ufficialmente dedicato può esonerare il titolare del trattamento dal prendere in considerazione una richiesta pervenuta attraverso un altro canale aziendale?
Il diritto non può dipendere dall’organigramma dell’impresa
La risposta dell’Autorità si fonda su una lettura sostanziale del Regolamento europeo 2016/679.
Il GDPR, all’articolo 12, impone al titolare del trattamento di agevolare l’esercizio dei diritti dell’interessato. Tale disposizione deve essere letta insieme all’articolo 5, paragrafo 2, che introduce il principio di responsabilizzazione, comunemente definito accountability.
Non è sufficiente che l’impresa abbia individuato formalmente il soggetto competente a ricevere le richieste. Occorre che l’intera organizzazione sia strutturata in modo da consentire che tali richieste vengano riconosciute e correttamente indirizzate.
Il Garante richiama, a questo proposito, le Linee guida 1/2022 del Comitato europeo per la protezione dei dati, dedicate al diritto di accesso, che contengono indicazioni rilevanti anche per la gestione dei canali di comunicazione.
Il principio è chiaro: quando l’interessato utilizza un canale effettivamente messo a disposizione dal titolare, diverso da quello indicato come preferibile, la richiesta deve generalmente essere considerata valida e gestita di conseguenza.
Esistono naturalmente dei limiti. Non si può pretendere che un’impresa controlli qualsiasi indirizzo casuale, inesatto o estraneo ai canali che ha reso disponibili.
Nel caso esaminato, però, la richiesta era chiara, proveniva da un cliente ed era stata inviata a una casella aziendale ordinariamente utilizzata per i rapporti con il pubblico.
Sarebbe stato sufficiente un ragionevole meccanismo di inoltro interno per evitare che rimanesse priva di seguito.
Il punto è particolarmente importante: l’organizzazione interna dell’impresa non può trasformarsi in un ostacolo all’esercizio di un diritto fondamentale.
La ripartizione delle competenze tra uffici, dipendenti e responsabili è una scelta del titolare del trattamento. Le conseguenze di eventuali inefficienze organizzative non possono essere trasferite automaticamente sull’interessato.
Cancellazione e opposizione al marketing: due diritti da distinguere
Un altro profilo merita un approfondimento.
Nel linguaggio comune, la richiesta di non ricevere più pubblicità viene spesso identificata con la cancellazione dei dati personali. Dal punto di vista giuridico, però, occorre distinguere situazioni differenti.
L’articolo 17 del GDPR disciplina il diritto alla cancellazione, che consente all’interessato, in presenza dei presupposti previsti dalla norma, di ottenere l’eliminazione dei propri dati personali.
L’articolo 21, paragrafo 2, riconosce invece il diritto di opporsi in qualsiasi momento al trattamento dei dati per finalità di marketing diretto.
Il successivo paragrafo 3 stabilisce che, una volta esercitata tale opposizione, i dati personali non possono più essere trattati per queste finalità.
Ne deriva una conseguenza rilevante: un’impresa potrebbe dover interrompere immediatamente l’utilizzo di un indirizzo email o di un numero telefonico per attività promozionali, pur conservando legittimamente alcuni dati per differenti finalità, ad esempio per adempiere obblighi fiscali o contrattuali.
Il diritto di opposizione al marketing, dunque, non comporta necessariamente la cancellazione indiscriminata di tutte le informazioni riferibili alla persona.
Può essere necessario conservare un’informazione minima relativa all’opposizione, per evitare che il contatto venga nuovamente inserito nelle liste promozionali.
Anche questa attività deve rispettare i principi di minimizzazione, limitazione della finalità e conservazione proporzionata.
Nel caso oggetto del provvedimento, il Garante ha accertato la violazione degli articoli 12 e 17 del GDPR, oltre al principio di accountability.
Ha inoltre rilevato la violazione dell’articolo 130 del Codice Privacy, in relazione all’invio di comunicazioni promozionali indesiderate e all’assenza, negli SMS, di un recapito idoneo a consentire l’esercizio dei diritti.
La disciplina, pertanto, non riguarda soltanto il diritto alla cancellazione, ma investe l’intero sistema di liceità delle comunicazioni commerciali.
L’accountability come obbligo di organizzazione e di controllo
La decisione offre l’occasione per riflettere su uno degli aspetti più significativi del GDPR, spesso sottovalutato nella pratica aziendale.
Il principio di accountability non consiste semplicemente nella capacità di esibire un documento durante un’ispezione.
Richiede che il titolare sia in grado di dimostrare l’adeguatezza e l’effettività delle misure adottate rispetto ai rischi e alle caratteristiche dei trattamenti effettuati.
Il collegamento con l’articolo 24 del GDPR è evidente: il titolare deve mettere in atto misure tecniche e organizzative adeguate e riesaminarle quando necessario.
Anche l’articolo 25, relativo alla protezione dei dati fin dalla progettazione e per impostazione predefinita, richiama una logica di prevenzione che non può essere confinata alla predisposizione iniziale dei sistemi informatici.
Nel caso delle richieste degli interessati, questo significa che l’impresa dovrebbe essere in grado di rispondere ad alcune domande fondamentali.
Chi riceve le richieste che arrivano attraverso le caselle commerciali? Chi è incaricato di riconoscerle? Come vengono inoltrate all’ufficio competente? Chi verifica che siano effettivamente eseguite? Come viene documentata la risposta all’interessato?
Sono interrogativi apparentemente semplici, ma dalla loro risposta dipende l’effettività della tutela.
Un sistema organizzativo realmente conforme dovrebbe prevedere una procedura di gestione delle istanze, responsabilità definite, formazione del personale, tracciabilità delle comunicazioni e controlli periodici.
Il ruolo del Responsabile della protezione dei dati, ove designato, assume in questo contesto una funzione di consulenza e sorveglianza sull’osservanza della normativa.
Non bisogna tuttavia confondere il ruolo del DPO con quello del titolare del trattamento: la responsabilità delle scelte organizzative e dell’attuazione delle misure resta in capo all’impresa.
È proprio questa distinzione che rende necessario un coinvolgimento effettivo della direzione aziendale.
La responsabilità dell’impresa oltre l’errore del dipendente
Uno degli aspetti più interessanti del provvedimento riguarda il rapporto tra errore umano e responsabilità organizzativa.
In molte realtà aziendali, quando una richiesta viene ignorata o un trattamento viene effettuato in modo scorretto, la spiegazione più immediata è quella del disguido operativo.
Un dipendente non ha letto la comunicazione. Un ufficio non l’ha inoltrata. Una procedura non è stata seguita.
Ma la prospettiva del GDPR impone un ragionamento ulteriore.
Occorre chiedersi se quell’errore fosse ragionevolmente prevenibile attraverso misure organizzative adeguate.
L’errore umano non esclude automaticamente la responsabilità del titolare. Può, al contrario, evidenziare una carenza nei processi di formazione, supervisione e controllo.
Questo non significa configurare una responsabilità oggettiva per qualsiasi inconveniente aziendale.
La valutazione deve sempre tenere conto delle circostanze concrete, della natura della violazione, delle misure effettivamente adottate e dell’elemento soggettivo richiesto per l’applicazione della sanzione.
Nel provvedimento in esame, il Garante ha qualificato la condotta come colposa e ha considerato la gravità della violazione di livello basso.
Ha inoltre valorizzato alcuni elementi favorevoli alla società, tra cui la collaborazione durante l’istruttoria, l’assenza di precedenti pertinenti e l’adozione di misure correttive.
Ciò non ha impedito l’applicazione della sanzione amministrativa.
La decisione dimostra che anche una violazione circoscritta, riferita a un solo interessato, può comportare conseguenze quando rivela l’inadeguatezza dei meccanismi di tutela.
Il significato della sanzione e le conseguenze per le imprese
I 5.000 euro irrogati dal Garante non rappresentano una tariffa sanzionatoria applicabile a ogni richiesta rimasta senza risposta.
La quantificazione discende dalla valutazione delle circostanze specifiche del caso, secondo i criteri dell’articolo 83 del GDPR.
Nel caso concreto, l’Autorità ha tenuto conto del numero limitato di comunicazioni indesiderate accertate, del coinvolgimento di un solo interessato, del carattere colposo della condotta e degli interventi correttivi successivamente adottati.
Oltre alla sanzione, è stata prescritta l’adozione di misure adeguate per assicurare che le attività promozionali rispettino le disposizioni dell’articolo 130, comma 5, del Codice Privacy.
Per le imprese, la lezione non riguarda quindi soltanto il rischio economico.
Una gestione inadeguata delle richieste può determinare l’apertura di procedimenti davanti all’Autorità, la necessità di rivedere processi aziendali, l’adozione di misure correttive e possibili ricadute reputazionali.
La prevenzione, in molti casi, richiede interventi meno complessi di quanto si possa immaginare.
Non necessariamente nuovi software o costosi sistemi informatici, ma una chiara attribuzione delle responsabilità, la formazione di chi gestisce i contatti con il pubblico e procedure che consentano di verificare la corretta esecuzione delle richieste.
Dalla privacy documentale alla compliance effettiva
Il caso offre infine uno spunto di riflessione che supera la disciplina della protezione dei dati personali.
Nel mondo della compliance aziendale si tende talvolta a identificare l’adeguamento normativo con la predisposizione di documenti: informative privacy, regolamenti, procedure, modelli organizzativi e manuali.
Sono strumenti indispensabili, ma non costituiscono, da soli, la prova del funzionamento del sistema di controllo.
La questione decisiva è verificare se quelle regole siano conosciute, applicate, monitorate e periodicamente aggiornate.
La stessa logica attraversa numerosi settori della regolazione contemporanea, dalla cybersecurity alla gestione dei rischi tecnologici, fino alla governance dei sistemi di intelligenza artificiale, pur nella diversità degli obblighi previsti dalle rispettive discipline.
Il legislatore europeo richiede sempre più spesso alle organizzazioni di dimostrare non soltanto l’esistenza di misure di conformità, ma anche la loro effettiva capacità di prevenire, individuare e gestire i rischi.
In questa prospettiva, il provvedimento del Garante rappresenta un richiamo alla responsabilità organizzativa dell’impresa.
Una casella email non presidiata, una richiesta non inoltrata o un’opposizione non recepita nei sistemi aziendali possono diventare il punto di emersione di un problema ben più ampio.
Il vero interrogativo non è se l’impresa abbia predisposto una procedura per rispettare il GDPR, ma se quella procedura sia realmente in grado di funzionare quando una persona decide di esercitare un proprio diritto.
Perché la protezione dei dati personali non si realizza soltanto attraverso le regole scritte.
Si realizza quando quelle regole diventano comportamenti, responsabilità e controlli verificabili.
E, soprattutto, quando l’organizzazione è capace di ascoltare.
