Il Garante privacy, con Provvedimento n. 644 del 23 settembre 2026, si è pronunciato sugli obblighi dei titolari del trattamento nella gestione delle richieste di esercizio dei diritti degli interessati, con riferimento ad un caso relativo all’invio di SMS a contenuto promozionale.
In particolare, il procedimento in oggetto traeva origine dal reclamo di un soggetto che rappresentava di ricevere messaggi a contenuto promozionale inviati da parte di una società, senza possibilità di cancellazione attraverso tale canale di comunicazione.
Pertanto l’interessato inviava una richiesta di cancellazione dei propri dati all’indirizzo e-mail aziendale destinato ai contatti con il pubblico. Nonostante la ricezione di una risposta automatica di presa in carico, l’istanza non era veniva gestita e le comunicazioni promozionali proseguivano.
Nel corso dell’istruttoria, la società riconduceva l’accaduto a una criticità organizzativa, precisando che la casella di posta elettronica utilizzata dall’interessato non era monitorata dal personale incaricato della gestione delle richieste relative alla privacy.
Il principio di accountability
Con riferimento al principio di accountability (art 5 par. 2 GDPR), il Garante ha ricordato che il titolare del trattamento è tenuto non solo a rispettare i principi e gli obblighi previsti dal GDPR , ma anche a essere in grado di dimostrarne l’effettiva osservanza.
A tal fine, il titolare deve effettuare una valutazione ponderata di tutte le scelte connesse ai trattamenti di dati personali e adottare un approccio proattivo, verificando costantemente nel tempo l’efficacia e la correttezza delle misure tecniche e organizzative implementate. È quindi necessario predisporre soluzioni adeguate a garantire il rispetto degli obblighi normativi e l’effettiva tutela dei diritti degli interessati.
In tale contesto, l’Autorità ha richiamato le Linee guida 1/2022 del Comitato europeo per la protezione dei dati (EDPB), che incoraggiano i titolari a mettere a disposizione degli interessati canali di comunicazione semplici e appropriati. Qualora l’interessato presenti una richiesta attraverso un canale di comunicazione fornito dal titolare, sebbene diverso da quello indicato come preferenziale, l’istanza deve, in linea generale, essere considerata valida e gestita di conseguenza.
Nel caso di specie, l’interessato, pur usando un canale diverso da quello indicato come preferibile, formulava una richiesta chiara e precisa. La società avrebbe pertanto potuto facilmente reindirizzarla all’ufficio competente oppure invitare l’interessato a utilizzare il recapito specificamente dedicato.
Il Garante ha quindi rilevato l’inadeguatezza delle misure organizzative predisposte dalla società, che non aveva previsto procedure idonee a reindirizzare agli uffici competenti le richieste di esercizio dei diritti pervenute attraverso altri canali aziendali.
A tale criticità si aggiungeva l’assenza, nei messaggi promozionali, di un’indicazione immediata per esercitare l’opposizione, la revoca o la cancellazione (come un link dedicato, una mail specifica o la funzione “STOP” nell’SMS stesso).
Il Garante ha quindi accertato la violazione del principio di accountability di cui all’art. 5, par. 2 del GDPR.
Il mancato riscontro alla richiesta di cancellazione
Con riferimento al mancato riscontro alla richiesta di cancellazione, il Garante ha ricordato che il titolare deve adottare misure appropriate per fornire agli interessati tutte le comunicazioni relative all’esercizio dei diritti previsti dagli artt. 15-22 GDPR e informarli sulle iniziative intraprese senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta.
L’art. 17 del GDPR riconosce inoltre all’interessato il diritto di ottenere la cancellazione dei propri dati personali senza ingiustificato ritardo e impone al titolare il relativo obbligo, in caso di revoca del consenso o opposizione.
Nel caso di specie, l’interessato aveva inizialmente ricevuto una risposta automatica che confermava la presa in carico della richiesta, senza tuttavia ottenere successivamente alcun riscontro puntuale e formale. Inoltre, nonostante la manifestazione della volontà di non ricevere ulteriori comunicazioni promozionali, aveva continuato a ricevere SMS pubblicitari.
Alla luce di tali circostanze, il Garante ha accertato la violazione degli artt. 12 e 17 del GDPR.
Da ultimo, l’Autorità ha ribadito che l’invio di comunicazioni promozionali tramite SMS è consentito, ai sensi dell’art. 130, comma 2, del Codice Privacy, esclusivamente previo consenso dell’interessato. Il successivo comma 5 prevede inoltre che tali comunicazioni indichino un recapito idoneo attraverso il quale i destinatari possano esercitare agevolmente i diritti riconosciuti dagli artt. 15-22 del GDPR.
Nel caso esaminato, gli SMS inviati dalla società riportavano esclusivamente l’identità del mittente, senza indicare alcun recapito utile per consentire agli interessati di esercitare i propri diritti. Il Garante ha pertanto accertato anche la violazione dell’art. 130 del Codice Privacy.
