Di Giacomo Conti
Il telefono squilla sempre quando stai per versarti il caffè. Dall’altro capo del filo c’è la voce di un imprenditore che ha smesso di respirare a pieni polmoni da circa dieci minuti, ossia da quando sulla scrivania gli è atterrata una notifica dell’Autorità Garante per la protezione dei dati personali.
Non è una richiesta di chiarimenti di quelle di routine. È l’inizio di un incendio.
Nel nostro mestiere, i casi “disperati” arrivano sempre con lo stesso copione. L’azienda in questione progetta e vende architetture software complesse; una realtà solida, con decine di dipendenti. Eppure, per accelerare le vendite, qualcuno nel reparto marketing ha pensato di fare il passo più lungo della gamba: uno scraping massivo, quasi rabbioso, di indirizzi email dal web, seguito da campagne di cold mailing a tappeto, senza l’ombra di un consenso.
La pezza, come spesso accade, era stata peggio del buco. Quando alcuni destinatari avevano subdorato l’illecito e chiesto formalmente conto di come lo studio avesse i loro dati esercitando il sacrosanto diritto di accesso ex Art. 15 del GDPR, l’azienda, presa dal panico, ha fatto la mossa peggiore e invece di rispondere, ha cancellato i dati dal database pensando di far sparire le prove della violazione.
Il prezzo del panico
Il Garante è partito dal massimo edittale e ha calcolato la sanzione partendo dal massimo edittale di 20 milioni di euro (o il 4% del fatturato globale), l’azienda rischiava inoltre il blocco totale e immediato di ogni attività di lead generation. In pratica, la morte commerciale per un’azienda che vive di contratti B2B.
A rendere la difesa un suicidio annunciato c’era un dettaglio non trascurabile, in quanto prima di bussare alla porta dello Studio, l’imprenditore aveva già provato a difendersi da solo. Il Cliente aveva inviato al Garante memorie scritte di suo pugno piene di arrampicate sugli specchi, invocando un improbabile “legittimo interesse” e giurando che quelle email “non erano commerciali” (nonostante contenessero offerte di software con tanto di listino prezzi). Un autogol che aveva indispettito gli uffici dell’Autorità, blindando l’accusa.
La svolta: l’Ingegneria Giuridica applicata sul campo
Quando entri in partita su una posizione così compromessa, difenderti negando l’evidenza equivale a scavarsi la fossa da soli. Davanti alle Autorità di controllo, l’arroganza o la bugia grossolana si pagano a caro prezzo.
La strada che abbiamo imbottito in studio è quella che definiamo Ingegneria Giuridica, ossia accettare la realtà dei fatti, disarmare l’interlocutore con una trasparenza quasi spiazzante e scendere nel dettaglio dei processi per capire dove si è rotto il meccanismo. Come nel poker giocarsi una mano non ottimale senza bluffare inutilmente.
Siamo andati a smontare la tesi indifendibile del legittimo interesse e abbiamo iniziato a studiare i software. Abbiamo analizzato come l’azienda utilizzasse effettivamente i tool di estrazione, in particolare LinkedIn Sales Navigator e Snov.io.
E lì abbiamo trovato la chiave. Abbiamo dimostrato al Garante che non c’era un disegno criminoso o una volontà dolosa di saccheggiare il web, ma un errore scusabile: i flussi interni e le interfacce di quegli stessi software erano strutturati in modo tale da indurre un utente medio, non un ingegnere informatico, a ritenere che quel tipo di contatto fosse legittimo e integrato nella piattaforma. Abbiamo spostato l’asse della colpa da una “negligenza grave” a un “errore in buona fede indotto dalle policy di terzi, ossia snov.io e Linkedin”.
Ma le parole in una memoria difensiva non bastano se non sono seguite dai fatti.
Mentre l’istruttoria era ancora in corso, abbiamo preso in mano il caso e lo abbiamo gestito al meglio. Abbiamo imposto lo stop immediato ai vecchi sistemi di scraping, riscritto da zero le Procedure Operative Standard (SOP) per l’acquisizione dei contatti e istituito un team privacy interno con potere di veto sulle campagne marketing.
Quando siamo tornati davanti al Garante per l’audizione, non abbiamo portato scuse o promesse future. Abbiamo mostrato una struttura già profondamente cambiata. Abbiamo mostrato che il problema era stato risolto prima ancora che l’Autorità dovesse ordinarcelo.
L’atterraggio morbido: da 20Milioni a Mille Euro di sanzione complessiva (Provvedimento n. 285/2026)
Qualche mese dopo, il provvedimento è arrivato in studio.
L’Autorità ha recepito l’intera ricostruzione tecnica, dando atto del ravvedimento operoso e della collaborazione trasparente del cliente con l’Autorità Garante.
Il verdetto finale ha quasi dell’incredibile rispetto alle premesse:
Per lo scraping e l’invio delle email senza consenso. Ossia la ola ammonizione formale che vuole dire 0 € di sanzione pecuniaria.
Per l’errore sulla gestione delle richieste degli utenti (l’Art. 15) è stata comminata la sola sanzione minima di 1.000 euro.
Aver ridotto l’esposizione allo 0,005% del rischio iniziale significa aver salvato un’azienda dal fallimento e protetto decine di posti di lavoro.
Una lezione per il futuro: la trappola del “poi facciamo ricorso”
Molti imprenditori coltivano l’illusione che, se le cose vanno male con il Garante, si possa sempre “fare causa” in Tribunale. È una scommessa pericolosissima.
Impugnare un provvedimento sanzionatorio del Garante significa entrare in un rito civile (quello del lavoro) caratterizzato da una rigidità spietata: hai solo 30 giorni di tempo per depositare il ricorso a pena di decadenza, l’impugnazione non sospende quasi mai il pagamento della sanzione e, soprattutto, non esiste un secondo grado di giudizio nel merito. Se perdi in primo grado davanti al Tribunale civile, la sentenza è definitiva; ti resta solo la via strettissima della Cassazione per vizi di pura forma.
In questa materia la partita si gioca e si vince anche durante l’istruttoria amministrativa nel contraddittorio con l’Autorità, anche mettendo mano all’architettura dei tuoi processi quotidiani ed ammettendo gli errori passati senza nascondersi dietro un filo d’erba.
Se fai lead generation, non aspettare arrivi una notifica di sanzione dal Garante, ma intervieni per difenderti a modo nelle dovute sedi. Perché, da quanto la sanzione è stata comminata, il tempo diventerà istantaneamente il tuo peggior nemico e la difesa tecnica in Tribunale è tutta in salita.
La tua azienda fa lead generation e vuoi evitare che un controllo si trasformi in un caso disperato?
Leggi cosa puoi e cosa non puoi fare e come difenderti
[Scarica il provvedimento del Garante: Provvedimento 285.26 1778249672146]
[Scarica il nostro vademecum operativo: Difesa Garante]
