01Il fatto
La richiesta di cancellazione dei dati inviata a un indirizzo email aziendale generico è valida e va gestita: lo ha stabilito il Garante privacy con il provvedimento n. 644 del 23 settembre 2026, pubblicato nella newsletter n. 555 del 29 ottobre 2026. Una società con un programma fedeltà aveva ricevuto la richiesta a giugno 2024 su una casella generica legata all'e-commerce, non l'ha lavorata e ha continuato a inviare messaggi promozionali, gli ultimi due SMS il 21 novembre 2025 e il 10 gennaio 2026. La sanzione è di 5.000 euro, con l'ordine di adeguare le comunicazioni promozionali e di comunicare al Garante entro trenta giorni le misure adottate.
02La regola
Il titolare deve, in generale, riscontrare le richieste degli interessati anche quando arrivano su un canale diverso da quello indicato nell'informativa, come chiariscono le Linee guida 1/2022 del Comitato europeo per la protezione dei dati richiamate dal Garante: l'indirizzo dedicato alla privacy non esonera dal riconoscere e gestire la richiesta ricevuta altrove, e la casella non presidiata resta un problema organizzativo del titolare (artt. 5, par. 2, 12 e 17 del GDPR). I messaggi promozionali devono indicare un recapito idoneo per esercitare i diritti, come un collegamento, un indirizzo email o la risposta con la parola "stop" (art. 130, comma 5, del Codice privacy). Il Garante ha ordinato alla società di svolgere le attività promozionali nel rispetto dell'art. 130, comma 5 (art. 58, par. 2, lett. d, del GDPR), e di comunicare entro trenta giorni le misure adottate (art. 58, par. 1, lett. a, del GDPR e art. 157 del Codice privacy). Nel calcolo della sanzione hanno pesato la colpa e non il dolo, la pronta rimozione dei dati, la collaborazione e l'assenza di precedenti.
03Cosa fare
- Assegnare a una persona il controllo di tutte le caselle pubbliche dell'impresa (info@, contatti, e-commerce, assistenza) con l'istruzione di riconoscere le richieste privacy e inoltrarle al referente entro un giorno.
- Inserire in ogni SMS ed email promozionale un recapito per opporsi, per esempio un collegamento di disiscrizione o la risposta con "stop", e registrare la richiesta nel CRM con il blocco immediato degli invii.
- Tenere un registro delle richieste degli interessati con data di arrivo, canale, riscontro e termine di un mese (art. 12, par. 3, del GDPR), e verificarlo ogni trimestre.
Fonti: Garante, provvedimento n. 644 del 23 settembre 2026 (doc. web n. 10312650) · Garante, newsletter n. 555 del 29 ottobre 2026