IFPDT contro Add Conti: chi invoca un consenso deve dimostrarlo

Fonte: Questo articolo si basa sulla comunicazione dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) del 22 ottobre 2026, «L’IFPDT vieta alla Add Conti GmbH il trattamento dei dati a fini pubblicitari e ne ordina la cancellazione totale», e sulla decisione dell'IFPDT del 26 giugno 2026 ivi pubblicata (PDF, in tedesco). Le citazioni dalla decisione, redatta in tedesco, sono traduzioni libere; «n.» rinvia ai numeri marginali della decisione. L'analisi è nostra e non sostituisce una consulenza legale. Tutte le fonti si trovano alla fine dell'articolo.

L'IFPDT ha vietato alla Add Conti GmbH di trattare dati personali a fini pubblicitari senza un consenso valido e di trasmetterli a terzi. La società deve cancellare i dati presso di sé e presso tutti gli incaricati e comprovare la cancellazione mediante documentazione. La decisione è definitiva.

Più del divieto colpisce la sua motivazione. Per ogni indirizzo la Add Conti GmbH disponeva di una prova del consenso: un modulo di concorso a premi compilato con due caselle spuntate, un estratto con marca temporale e indirizzo IP, un rapporto di invio per il codice di conferma via SMS. Sulla carta, un registro dei consensi ben tenuto ha proprio questo aspetto. L'IFPDT non vi ha creduto, e le sue ragioni sono istruttive per ogni azienda che raccoglie consensi.

Che cosa è successo?

Secondo il registro di commercio, la Add Conti GmbH è attiva tra l'altro nella generazione di lead e nel list broking, cioè nel commercio di indirizzi (n. 2). Persone residenti in Germania ricevevano pubblicità per telefono, per posta o per e-mail da aziende che non conoscevano. Quando chiedevano a queste aziende da dove provenissero i loro dati, la risposta era: dalla Add Conti GmbH, che li avrebbe raccolti nell'ambito di un concorso a premi. In alcuni casi la traccia passava per una o due società di marketing intermedie (n. 6-9).

Chi poi si rivolgeva direttamente alla Add Conti GmbH per chiedere informazioni, la cancellazione o lo stop alla pubblicità non riceveva risposta. In totale all'IFPDT sono pervenute 27 denunce (n. 5).

Data	Fase della procedura
Dal 9 dicembre 2023 al 4 giugno 2025	15 denunce di persone interessate, in seguito altre 12
4 giugno 2025	L'IFPDT apre l'inchiesta
Giugno e luglio 2025	Nessuna risposta al questionario, nemmeno entro il termine suppletorio
14 agosto 2025	Denuncia penale per violazione dell'obbligo di collaborare
19 agosto 2025	Decisione incidentale: il gerente deve presentarsi a Berna
29 agosto 2025	Prima presa di posizione a nome della società
18 settembre 2025	Colloquio telefonico con l'allora gerente
Febbraio 2026	Fattispecie notificata per presa di posizione, accettazione rifiutata o invio non ritirato
20 giugno 2026	Dichiarazione di fallimento della Add Conti GmbH
26 giugno 2026	Decisione dell'IFPDT
22 ottobre 2026	Comunicazione dell'IFPDT: la decisione è definitiva

Come si presentava la presunta prova del consenso?

Le persone interessate che chiedevano alle aziende inserzioniste informazioni dettagliate ricevevano tre documenti (n. 10):

1. una stampa della pagina del concorso a premi, compilata con i loro dati, entrambe le caselle spuntate (presa di conoscenza delle condizioni di partecipazione e consenso alla trasmissione dei dati), il captcha risolto;
2. un estratto intitolato «Dati dei partecipanti memorizzati e prova del consenso pubblicitario», con l'indirizzo del concorso a premi, i dati personali, la marca temporale dell'iscrizione, l'indirizzo IP e la marca temporale della verifica;
3. un rapporto di invio di un responsabile del trattamento a Cipro, secondo cui un codice di attivazione sarebbe stato inviato via SMS al numero indicato.

Modulo, registro, conferma via SMS: in linea di principio è esattamente la catena che si costruisce per una prova del consenso solida. Proprio per questo vale la pena di capire perché qui non ha retto.

Perché l'IFPDT non ha creduto alla prova?

La data. L'estratto e il rapporto SMS recavano ciascuno la data del giorno in cui la richiesta di accesso era pervenuta all'azienda inserzionista. L'IFPDT scrive in proposito: «Vi sono pertanto indizi che siano stati redatti dalla Add Conti GmbH solo in vista della richiesta di accesso pervenuta.» (n. 10)

Le incongruenze. Un denunciante, al presunto momento del consenso, non abitava più all'indirizzo indicato, e l'indirizzo IP indicato non esisteva più da un anno (n. 23). Un altro avrebbe dato il consenso una domenica mattina alle 7.26, ma il suo telefono cellulare è acceso solo nei giorni feriali (n. 24). Per un terzo era indicato come anno di nascita il 1909 (n. 55).

I concorsi stessi. Le pagine erano raggiungibili solo digitando direttamente l'indirizzo. Secondo l'IFPDT «sembrano costruite e consistono in primo luogo in tentativi di tutela giuridica». Da mesi riportavano gli stessi tre vincitori, e nell'informativa sulla privacy figurava ancora il gerente che aveva lasciato la società all'inizio del 2026 (n. 56).

L'abbinamento. Chi voleva partecipare doveva al contempo acconsentire a essere contattato dagli sponsor «per telefono, per e-mail e tramite pubblicità postale per la conclusione di contratti». Che qualcuno vi acconsenta per vincere un buono, l'IFPDT lo ritiene «quantomeno discutibile» (n. 57).

Il numero. Con 27 denunce che seguono lo stesso schema «si può escludere che si tratti di singoli malintesi» (n. 59). E poiché ogni partecipazione sarebbe stata confermata con un codice SMS, cadeva anche la spiegazione secondo cui degli sconosciuti avrebbero inserito dati altrui.

Il silenzio. La società non ha preso posizione sulla fattispecie accertata e non ha fornito alcuna prova (n. 58).

L'IFPDT riassume così il risultato: «La Add Conti GmbH non ha potuto dimostrare di disporre di un consenso giuridicamente valido per i dati da essa raccolti e trasmessi.» (n. 60)

Chi sopporta l'onere della prova di un consenso?

Il titolare del trattamento. La legge federale sulla protezione dei dati (LPD) non richiede un consenso per ogni trattamento. Ma chi lo invoca deve provarlo. L'IFPDT stabilisce:

«Secondo le regole generali sull'onere della prova dell'art. 8 CC, l'onere della prova dell'esistenza di un motivo giustificativo incombe alla persona che invoca il motivo giustificativo, ossia a chi tratta i dati» (n. 53)

A tale proposito rinvia a una sentenza del Tribunale amministrativo federale del 6 ottobre 2025 (A-2941/2024). Per la pubblicità al di fuori di una relazione commerciale esistente occorre secondo l'IFPDT «sempre un consenso libero, ottenuto preventivamente e dato dopo un'adeguata informazione» (n. 53).

Per le persone nell'UE la stessa regola è sancita espressamente dalla legge. L'articolo 7 paragrafo 1 del regolamento generale sulla protezione dei dati (GDPR) recita: «Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali.»

Che cosa rende credibile una prova del consenso?

La decisione non contiene una lista di controllo. Dalle ragioni per cui l'IFPDT ha respinto la prova si può però dedurre a che cosa una prova deve resistere. La nostra analisi:

1. Nasce nel momento della decisione. Un registro compilato solo su richiesta non è un registro. La voce va creata automaticamente, con la marca temporale del server, nell'istante in cui la persona clicca.
2. Rimane invariata. Esportazioni ed estratti provengono dal registro corrente e ne recano la marca temporale, non la data dell'esportazione.
3. Registra a che cosa è stato dato il consenso. Quali categorie, quale testo, quali destinatari. Un consenso «per la pubblicità» senza riferimento a uno scopo determinato vale poco.
4. Corrisponde alla via da cui sono arrivati i dati. Chi raccoglie indirizzi tramite un modulo dovrebbe poter mostrare come le persone siano arrivate a quel modulo in primo luogo. Una pagina che nessuno trova non spiega migliaia di iscrizioni.
5. Registra il rifiuto e la revoca come il consenso. Altrimenti documenta solo metà della storia.
6. Non viene conservata più a lungo del necessario. Per quanto tempo, lo spieghiamo nell'articolo sulla conservazione del registro dei consensi.

Per i consensi ai cookie, in Aiara se ne occupa il banner: ogni accettazione, ogni rifiuto e ogni revoca viene registrato nel momento della scelta con data e ora, azione e categorie scelte. L'indirizzo IP lo memorizziamo solo come valore hash, mai in chiaro. Per ogni mese concluso è disponibile un archivio dei consensi come file CSV. Per i consensi relativi a newsletter, concorsi a premi o lead vale lo stesso principio, ma lì deve garantirlo il sistema di moduli o di invio. Come si presenta un double opt-in corretto è spiegato nell'articolo sull'invio di newsletter in Svizzera.

Che cosa vale per le richieste di accesso, cancellazione e opposizione?

Qui il caso era chiaro. Dodici persone interessate avevano scritto alla Add Conti GmbH agli indirizzi e-mail pubblicati, sette per lettera raccomandata. Nemmeno una risposta (n. 46). Almeno 13 si erano opposte al trattamento o avevano chiesto la cancellazione, anche in questo caso senza reazione (n. 51).

Informazioni entro 30 giorni. Chi chiede informazioni secondo l'articolo 25 LPD deve di norma riceverle gratuitamente ed entro 30 giorni. L'IFPDT sottolinea che il titolare del trattamento deve a tal fine «istituire processi interni» (n. 44).

Cancellazione senza termine, ma tempestiva. La legge non prevede alcun termine per le richieste di cancellazione. L'IFPDT stabilisce comunque che il titolare del trattamento deve esaminarle «tempestivamente», perché altrimenti tratta dati contro la volontà espressa della persona, il che costituisce una lesione illecita della personalità ai sensi dell'articolo 30 capoverso 2 lettera b LPD (n. 49).

Le scuse non contano. La società ha spiegato che il suo gerente viaggiava regolarmente tra l'Asia e l'Europa, che occorreva prima trovare un sostituto e che i fornitori tedeschi di posta elettronica filtravano molti messaggi come spam (n. 14 e 15). Da ottobre 2025 all'IFPDT sono pervenute altre cinque denunce dello stesso tenore.

Esternalizzare non esonera. Le richieste sarebbero state evase da un fornitore di servizi ad Amburgo e da un consulente per la protezione dei dati a Krefeld. Secondo il gerente, con il fornitore non esisteva nemmeno un contratto scritto (n. 42). L'IFPDT in proposito:

«Può sì trasferire contrattualmente a terzi compiti concreti, ma resta giuridicamente responsabile di fornire le informazioni secondo l'art. 25 LPD entro 30 giorni, di garantire che le opposizioni siano attuate e che i dati siano trattati solo in modo lecito.» (n. 43)

In pratica ciò significa che ogni indirizzo di contatto indicato nell'informativa sulla privacy deve essere letto da qualcuno, anche durante le vacanze. Lettere, e-mail e telefonate devono confluire in un unico punto, con data di ricezione e scadenza del termine. Proprio a questo serve in Aiara Pro la gestione delle richieste degli interessati: un modulo in quattro lingue, lettere ed e-mail registrate a mano nello stesso elenco, il termine di 30 giorni dalla ricezione e promemoria al vostro team sette giorni e un giorno prima della scadenza. La risposta alla persona la scrivete voi.

La LPD si applica anche se sono interessate solo persone all'estero?

Sì. Tutti i denuncianti risiedevano in Germania, e le aziende inserzioniste avevano sede lì. Secondo l'IFPDT ciò non è determinante per l'applicabilità della LPD: conta il fatto che la società responsabile abbia sede in Svizzera e che una parte rilevante del trattamento avvenga qui (n. 37). L'IFPDT scrive in proposito che la Svizzera non deve «diventare un porto sicuro per trattamenti di dati che non producono effetti interni perché, ad esempio, dalla Svizzera vengono trattate solo informazioni su persone domiciliate all'estero».

Per le aziende svizzere con clientela all'estero questo è il rovescio della medaglia: chi tratta dati da qui è soggetto alla vigilanza svizzera e, a seconda dell'offerta, anche al GDPR. Spieghiamo la differenza tra le due normative nell'articolo LPD e GDPR a confronto.

Che cosa significa il caso per le aziende che acquistano indirizzi?

La decisione è rivolta solo alla Add Conti GmbH. I fatti mostrano però una catena: le aziende inserzioniste in Germania indicavano la Add Conti GmbH come fonte, in parte tramite altri commercianti. Chi acquista indirizzi o lead si fa così carico della questione se siano stati raccolti lecitamente. Se una persona interessata lo chiede, deve tra l'altro indicare le informazioni disponibili sulla provenienza dei dati (articolo 25 capoverso 2 lettera e LPD).

La nostra analisi: chi si basa su un consenso raccolto da altri dovrebbe farsi mostrare prima dell'acquisto come viene ottenuto, e poter richiamare per ogni record una prova che non venga generata solo il giorno della richiesta. Una prova che crolla al primo esame attento non protegge l'acquirente più del venditore.

Quali conseguenze ha avuto la procedura?

• Divieto e cancellazione. Il trattamento e la divulgazione a fini pubblicitari devono cessare, i dati devono essere cancellati presso la società e tutti gli incaricati entro 30 giorni dal momento in cui la decisione è diventata definitiva, e l'avvenuta cancellazione deve essere comprovata all'IFPDT mediante documentazione. L'IFPDT rinuncia a ordinare la comunicazione a posteriori delle informazioni, poiché i dati devono comunque essere cancellati.
• Comminatoria penale. La decisione è emanata con rinvio all'articolo 63 LPD. Chi intenzionalmente non vi si conforma è punito con la multa fino a 250 000 franchi. Punibile secondo l'articolo 29 del Codice penale è la persona fisica che all'interno dell'azienda avrebbe dovuto provvedere all'attuazione (n. 65). Come funzionano le multe previste dalla LPD è spiegato nell'articolo sulle multe per la protezione dei dati in Svizzera.
• Emolumento. L'IFPDT fattura il proprio lavoro: 26,75 ore più le spese, per un totale di 6456 franchi (n. 68).
• Denuncia penale. Per violazione dell'obbligo di collaborare, l'IFPDT aveva già sporto nell'agosto 2025 denuncia penale presso il Ministero pubblico del Cantone di San Gallo contro gli organi responsabili. Sull'esito non si sa nulla. Per gli imputati vale la presunzione d'innocenza.
• Fallimento. Secondo l'IFPDT, il fallimento della Add Conti GmbH è stato dichiarato con effetto dal 20 giugno 2026.

Che cosa dovrebbero verificare ora le aziende

1. Da dove provengono i nostri indirizzi pubblicitari? Per ogni fonte chiarire su quale base si fonda il trattamento e, per gli indirizzi acquistati, documentarne la provenienza.
2. Possiamo provare ogni consenso? Un registro che nasce nel momento della decisione e non può essere modificato a posteriori.
3. Il consenso è libero e specifico? Nessuna casella obbligatoria che abbini partecipazione e pubblicità, e scopi e destinatari chiaramente indicati.
4. Gli indirizzi di contatto vengono letti? Ogni indirizzo dell'informativa sulla privacy arriva a una persona che se ne occupa, con un sostituto.
5. Rispettiamo i 30 giorni? Registrare la data di ricezione, rendere visibile la scadenza, inviare un promemoria prima della scadenza.
6. Attuiamo tempestivamente opposizione e cancellazione? Anche presso gli incaricati, con contratto scritto e prova della cancellazione.

---

Aiara è un fornitore svizzero di banner per i cookie, prove del consenso e testi legali. Questo articolo riporta la comunicazione e la decisione dell'IFPDT e le analizza. Non sostituisce una consulenza legale nel singolo caso.

Fonti

• IFPDT, comunicazione del 22 ottobre 2026: «L’IFPDT vieta alla Add Conti GmbH il trattamento dei dati a fini pubblicitari e ne ordina la cancellazione totale», consultato il 28 ottobre 2026
• IFPDT, Verfügung vom 26. Juni 2026, Add Conti GmbH, Adressdatenbank für Werbezwecke und Betroffenenrechte (PDF, in tedesco), definitiva
• IFPDT, comunicazione del 21 agosto 2025: «L’IFPDT ha sporto denuncia penale contro Add Conti GmbH per violazione dell'obbligo di collaborazione nell'ambito di un'indagine»
• Legge federale sulla protezione dei dati (LPD), RS 235.1