Il Garante privacy sanziona una palestra di Milano per aver continuato a inviare email promozionali a un cliente che si era opposto più volte, e per non aver mai risposto alle richieste dell’Autorità
Un ex iscritto a una palestra chiede, più volte e in più modi, di non ricevere più email promozionali: clicca sul link di disiscrizione presente in calce alle comunicazioni, invia una PEC formale di opposizione eppure le email continuano ad arrivare.
Con un provvedimento del 28 maggio 2026, il Garante privacy ha sanzionato la società che gestisce la palestra con € 3.930,00, per aver ignorato il diritto di opposizione del cliente e per non aver mai risposto alle richieste dell’Autorità durante l’istruttoria.
Un caso semplice nei fatti, ma che offre indicazioni preziose per qualsiasi attività che invia comunicazioni promozionali via email: il consenso al marketing non è un’autorizzazione perenne, e quando un cliente dice basta, va ascoltato.
La vicenda: email promozionali nonostante l’opposizione ripetuta del cliente
Il reclamante era stato iscritto a una palestra di Milano da maggio 2023 ad agosto 2024. Durante e dopo l’iscrizione, riceve diverse email promozionali (almeno sei, secondo gli atti) senza aver mai dato consenso a questo trattamento dei suoi dati.
Il cliente si oppone usando il link di disiscrizione presente nelleemail ma le comunicazioni continuano ad arrivare.
A settembre 2025 invia anche una PEC formale, esercitando espressamente il diritto di opposizione previsto dall’art. 21 del GDPR ma nemmeno questa richiesta produce effetto: a ottobre arriva un’altra email promozionale.
Il cliente presenta reclamo al Garante che chiede informazioni alla società su quanto descritto nel reclamo del cliente ma la società non risponde.
Avviato il procedimento sanzionatorio, la società non presenta difese e non chiede di essere audita e il silenzio diventa, di fatto, parte della violazione.
Le violazioni accertate dal Garante
1. Email promozionali senza un consenso valido (art. 6, par. 1, lett. a GDPR e art. 130 Codice privacy)
Per inviare comunicazioni commerciali via email, la regola generale richiede il consenso libero, specifico, informato e soprattutto dimostrabile da parte di chi lo riceve. "Dimostrabile" significa che non basta averlo chiesto: il titolare deve poter dimostrare quando e come è stato raccolto, ad esempio conservando data, modalità e testo esatto mostrato all'utente al momento della scelta.
Esiste una deroga (il cosiddetto “soft spam”): se l’indirizzo email è stato raccolto nel contesto della vendita di un prodotto o servizio, si possono inviare comunicazioni promozionali su prodotti analoghi senza consenso preventivo, purché si dia sempre la possibilità di opporsi.
Ma in questo caso la deroga non si applica: il cliente si era già opposto espressamente all’uso dei suoi dati per il marketing. E non avendo risposto alle richieste del Garante, la società non ha nemmeno potuto dimostrare di aver acquisito un consenso valido in origine.
2. Diritto di opposizione ignorato e nessun riscontro al cliente (artt. 12 e 21, par. 2 GDPR)
Il GDPR prevede che, quando un interessato si opponga al trattamento dei propri dati per finalità di marketing, il titolare debba interrompere immediatamente quel trattamento. Non sono richieste valutazioni o bilanciamenti di interessi: l’opposizione al marketing diretto va sempre accolta, senza eccezioni.
Il titolare deve poi dare un riscontro all’interessato sulle azioni intraprese, entro un mese dalla richiesta (art. 12, par. 3 GDPR). In questo caso, non solo non c’è stato alcun riscontro, ma sono arrivate altre email promozionali dopo l’opposizione formale via PEC: un comportamento opposto a quello richiesto, non semplicemente assente.
3. Mancata risposta alla richiesta di informazioni del Garante (art. 157 Codice privacy)
La società non ha mai risposto alla richiesta di informazioni inviata dall’Ufficio del Garante via PEC, nonostante la consegna fosse stata confermata. Si tratta di una violazione autonoma, distinta da quelle relative al marketing, e sanzionata separatamente.
Il principio chiave: l’opposizione al marketing va sempre rispettata, senza condizioni
Questo provvedimento ribadisce un principio che merita di essere ricordato spesso: il diritto di opposizione al marketing diretto (art. 21, par. 2 GDPR) è uno dei pochi diritti del GDPR che non ammette eccezioni o bilanciamenti.
Quando un cliente dice “non voglio più ricevere vostre comunicazioni”, non c’è spazio per valutazioni discrezionali: il titolare del trattamento deve interrompere subito ogni invio promozionale verso quei dati di contatto. Continuare a inviare comunicazioni dopo un’opposizione esplicita non è una semplice disattenzione organizzativa: è una violazione diretta del diritto della persona.
La sanzione per due violazioni distinte
Il Garante ha quantificato la sanzione in due parti separate:
- € 2.050,00 per le violazioni collegate al marketing senza consenso e al mancato rispetto del diritto di opposizione
- € 1.880,00 per il mancato riscontro alla richiesta di informazioni del Garante
Il Garante ha valutato la gravità delle violazioni come bassa: il trattamento ha riguardato un solo interessato, un solo tipo di dato (l’indirizzo email), senza danni concreti oltre al fastidio, e non sono arrivate altre segnalazioni simili contro la stessa società. La condotta è stata qualificata come colposa, non dolosa.
Ma a differenza di altri casi simili, qui non ci sono attenuanti legate alla collaborazione con l’Autorità: la società non ha mai risposto, né durante l’istruttoria preliminare né dopo l’avvio del procedimento sanzionatorio. Questo silenzio totale ha pesato sulla decisione finale, sia come aggravante (assenza di cooperazione) sia perché ha impedito alla società di fornire qualsiasi giustificazione o prova a proprio favore.
Oltre alla sanzione pecuniaria, il Garante ha imposto alla società di interrompere ogni trattamento dell’indirizzo email del cliente per finalità di marketing e di darne riscontro formale all’interessato. Anche in questo caso, sanzione accessoria della pubblicazione del provvedimento sul sito del Garante.
Cosa fare nella tua organizzazione se invii comunicazioni promozionali via email
Questo caso riguarda una palestra, ma le indicazioni valgono per qualsiasi impresa, studio professionale o attività che usi l’email per fare marketing verso la propria clientela o ex clienti.
- rendi davvero efficaci i link di disiscrizione. Non basta inserirli nelle email: verifica periodicamente che funzionino e che l’opposizione venga effettivamente registrata e applicata in tutti i sistemi usati per l’invio (CRM, piattaforme di email marketing, liste interne)
- gestisci le opposizioni in modo centralizzato. Se hai più canali o più sistemi che trattano i dati di contatto dei clienti (sito, CRM, agenti, software gestionale), assicurati che un’opposizione registrata su un canale la riporti a tutti gli altri. Una richiesta ignorata anche in un solo sistema è comunque una violazione
- rispondi sempre. Quando un cliente esercita un diritto previsto dal GDPR (opposizione, cancellazione, accesso), hai dei tempi precisi per rispondere evitando una violazione dell’art. 12 del GDPR
- non ignorare le richieste di informazioni del Garante. Se ricevi una richiesta o una contestazione dall’Autorità, rispondi sempre nei termini indicati. Il silenzio non solo aggrava la posizione nel merito, ma costituisce di per sé una violazione autonoma e sanzionabile
- distingui consenso e “soft spam”, e verifica sempre le opposizioni pregresse. Se ti basi sulla deroga del cliente/vendita pregressa per inviare promozioni senza consenso, controlla prima che quella persona non si sia già opposta: in quel caso la deroga non vale più, in nessun caso.
- raccogli il consenso marketing separatamente. Non includerlo in un'unica casella con altri consensi o accettazioni contrattuali. Deve essere una scelta a sé, facoltativa, e devi poter dimostrare quando e come è stata fatta.
Rispettare il “no” del cliente è anche una buona pratica di business
Questo provvedimento ci ricorda che la gestione del marketing via email non è solo una questione di adempimento normativo, ma anche di relazione con il cliente.
Insistere con comunicazioni indesiderate, ignorando richieste esplicite di fermarsi, danneggia la reputazione dell’attività ancora prima che intervenga il Garante. E quando il Garante interviene, anche una sanzione “bassa” comporta tempo, gestione, e la pubblicazione del provvedimento online.
Avere procedure chiare per gestire consensi e opposizioni, anche per una piccola attività, è una protezione concreta, non un costo aggiuntivo.
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
