Blog / Notizie

Uno «stop» finito nella casella sbagliata costa 5.000 euro: cosa dice la multa del Garante a chi manda promozioni

Cosa succede

Un cliente riceve SMS promozionali da un’azienda di abbigliamento maschile. Nei messaggi non c’è scritto come smettere di riceverli. Allora fa la cosa più naturale: scrive all’indirizzo email che trova sul sito, quello per i contatti con il pubblico, e chiede di cancellare i suoi dati. Riceve una risposta automatica di presa in carico. Poi niente: gli SMS continuano ad arrivare, uno a dicembre 2024, uno a novembre 2025, uno a gennaio 2026. A quel punto il cliente presenta reclamo al Garante.

L’azienda si è giustificata così: quella casella seguiva l’e-commerce e le richieste di informazioni, e non era presidiata da chi gestisce le richieste privacy, che nell’informativa avevano un altro indirizzo. Il Garante non ha accolto la difesa. Con il provvedimento n. 644 del 23 settembre 2026 ha inflitto una sanzione di 5.000 euro, ha ordinato di adeguare le comunicazioni promozionali e di riferire entro 30 giorni le misure adottate. La notizia è uscita nella newsletter n. 555 del 29 ottobre.

Cosa è verificato e cosa no

Abbiamo letto la newsletter e il testo integrale del provvedimento sul sito del Garante (doc. web 10312650). Questi punti sono scritti lì:

• Le violazioni contestate sono tre: l’articolo 5 del GDPR (mancavano misure per gestire le richieste), gli articoli 12 e 17 (alla richiesta di cancellazione non è seguita una risposta vera, solo quella automatica) e l’articolo 130 del Codice privacy (promozioni inviate dopo l’opposizione e senza un recapito per esercitare i diritti).
• Sul canale, il Garante richiama le linee guida europee sui diritti degli interessati: una richiesta mandata a un contatto diverso da quello indicato è di norma valida e va gestita. Non vale per indirizzi presi a caso o chiaramente non destinati a questo, ma un indirizzo per i contatti con il pubblico non è tra questi.
• Gli SMS promozionali devono indicare un recapito adatto: il Garante cita come esempi un link al sito, un indirizzo email dedicato o la possibilità di rispondere «STOP».
• La multa è bassa perché la gravità è stata giudicata bassa: un solo cliente, tre messaggi in più di un anno, colpa e non dolo, nessun precedente, collaborazione con l’Autorità e rimedi rapidi.

Quello che il provvedimento non dice: non parla di WhatsApp né di altri canali di chat. L’articolo 130 del Codice privacy, però, vale per email, fax, SMS e MMS «o di altro tipo», e il diritto di opporsi al marketing previsto dal GDPR non dipende dal canale. Che lo stesso ragionamento si applichi alle promozioni su WhatsApp è una nostra lettura, coerente con le regole di Meta che citiamo sotto, non una frase del Garante.

Chi riguarda

• Chi manda promozioni via SMS, email o WhatsApp a una lista di clienti, anche piccola.
• Chi ha più punti di contatto (email del sito, modulo, numero WhatsApp, pagina social, negozio) e un solo indirizzo «ufficiale» per la privacy.
• Chi usa risposte automatiche di presa in carico senza che nessuno controlli cosa succede dopo.
• Chi ha comprato o ereditato uno strumento di invio e non ha mai verificato se i messaggi spiegano come uscire.

La soluzione: un’uscita in ogni messaggio e un solo registro

Il primo problema del caso è che il cliente non sapeva come dire basta. La soluzione costa una riga: «Rispondi STOP per non ricevere più offerte» in fondo a ogni promozione. È l’esempio che fa il Garante, ed è anche quello che chiede la WhatsApp Business Messaging Policy, che impone istruzioni chiare per smettere di ricevere i messaggi e il rispetto delle richieste fatte «su WhatsApp e fuori». Come gestire la risposta, passo per passo, lo spieghiamo in cosa fare quando il cliente scrive STOP.

Il secondo problema è organizzativo: la richiesta è arrivata e si è persa. Qui serve una regola interna semplice. Chiunque legga una casella, una chat o un messaggio diretto sa riconoscere una richiesta di stop o di cancellazione e sa dove annotarla; e quell’annotazione la legge la campagna successiva. Il quadro dei diritti che il cliente può esercitare è nella nostra guida al GDPR applicato al marketing su WhatsApp.

Su WhatsApp una parte del lavoro si può automatizzare. Con uno strumento come SendApp una regola che scatta sulla parola «stop», e sulle varianti che i clienti usano davvero, può rispondere con una conferma e togliere il contatto dalla rubrica delle promozioni; con tag e rubriche tieni separati chi riceve le offerte da chi riceve solo gli avvisi di servizio. Le conversazioni dei canali collegati arrivano in una sola casella condivisa, che più operatori possono seguire. Resta un limite da dire chiaro: le richieste arrivate per email al sito, al telefono o in negozio nessun automatismo le vede, e vanno registrate a mano nello stesso posto.

Cosa fare adesso

• Apri l’ultima promozione che hai mandato, per SMS, email o WhatsApp, e controlla che dica come si smette di riceverle.
• Elenca tutti gli indirizzi e i numeri dove un cliente può scriverti, non solo quello dell’informativa.
• Per ognuno, decidi chi lo legge e dove annota uno stop o una richiesta di cancellazione.
• Se usi risposte automatiche di presa in carico, verifica che dietro ci sia qualcuno che risponde davvero entro un mese, il termine dell’articolo 12 del GDPR.
• Prima del prossimo invio, togli dalla lista chi ha chiesto di uscire, anche se l’ha chiesto altrove.

Una risposta automatica che dice «abbiamo ricevuto la tua richiesta» non è una risposta: in questo caso è proprio quella che il Garante ha contestato, perché dopo non è successo nulla. Se la usi, falla seguire da una conferma vera, con quello che hai fatto.

Chi manda newsletter ha un’altra scadenza appena passata sullo stesso fronte: dal 29 ottobre misurare chi apre una email richiede il consenso, come raccontato nel pezzo sui pixel di tracciamento nelle email.

Fonti: Garante per la protezione dei dati personali, newsletter n. 555 del 29 ottobre 2026 e provvedimento n. 644 del 23 settembre 2026 (doc. web 10312650); D.lgs. 196/2003, articolo 130; Regolamento UE 2016/679, articoli 5, 12 e 17; WhatsApp Business Messaging Policy. Ultima verifica delle fonti: 31 ottobre 2026.