[doc. web n. 10291895]

Provvedimento del 3 settembre 2026

Registro dei provvedimenti
n. 613 del 3 settembre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il prof. Pasquale Stanzione;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con nota del 11 marzo 2026 (prot. n. 37012) è pervenuto un reclamo a questa Autorità con cui il reclamante ha lamentato la ricezione di comunicazioni commerciali in-app da parte del Banco Bilbao Vizcaya Argentaria, S.A., succursale italiana, con sede in Corso Vittorio Emanuele 9, 20122 Milano, Cod. Fisc. e P.IVA 06862150155 (di seguito la “Società”).

In particolare, la Società aveva predisposto l’invio delle citate comunicazioni commerciali - tramite la propria app - nonostante la relativa impostazione fosse stata disattivata dall’utente e malgrado quest’ultimo avesse manifestato la propria opposizione a tale trattamento.

1.2. Attività svolta

Con comunicazione del 28 aprile 2026 (rif. prot. n. 64723/26) l’Ufficio ha trasmesso alla Società una richiesta di informazioni, ai sensi dell’art. 157 del Codice, volta a ottenere elementi di valutazione in merito al reclamo indicato.

Con propria nota del 20 maggio 2026 (prot. n. 77887/26) la Società ha rappresentato quanto segue:

- la disattivazione della ricezione delle notifiche commerciali, sebbene fosse stata recepita dai sistemi interni della Banca, non era stata sincronizzata con l’unità di Customer Relationship Management (“CRM”) deputata all’invio delle comunicazioni commerciali “così generando un ritardo implementativo della disattivazione delle notifiche, circostanza per cui queste ultime sono erroneamente proseguite”;

- dopo la richiesta dell’Ufficio, è stato corretto il profilo dell’utente che dal 13 maggio non riceve più tali notifiche e, parallelamente, sono stati rafforzati i sistemi di allineamento tra le richieste di opt-out e le comunicazioni commerciali.
Con nota del 25 maggio 2026 (prot. n. 80020/26) il reclamante ha insistito su quanto lamentato sottolineando come il trattamento contestato fosse non conforme alla normativa applicabile.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 23 giugno 2026 (prot. n. 97228), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti della Società in qualità di titolare del trattamento del trattamento, invitando la stessa a produrre scritti difensivi o documenti ovvero a chiedere di essere sentita dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate sono relative alle seguenti disposizioni:

- artt. 5, par. 1, lett. a), 12 e 21 del Regolamento, in quanto la Società non ha dato seguito in modo corretto e nei termini prescritti dalla normativa applicabile all’opposizione manifestata dal reclamante, né vi ha fornito idoneo riscontro;

- artt. 5, par. 1, lett. a) e 24 del Regolamento, in quanto la Società non ha posto in essere misure tecniche e organizzative idonee a garantire la trasparenza e la correttezza dei trattamenti.

2.2. Difese della Società (art. 166, comma 6, del Codice)

Con memoria difensiva del 22 luglio 2026 (prot. n. 112376), il titolare del trattamento del trattamento ha dichiarato di aver fornito al reclamante, attraverso il proprio call center, le indicazioni corrette per disattivare le notifiche commerciali in-app e che, tuttavia, è successivamente mancata la sincronizzazione tra la revoca effettuata dal cliente sulla propria app BBVA e la relativa registrazione nel database del team CRM.

La Società ha precisato che quanto rilevato è stato un difetto tecnico di coordinamento di sistemi interni puntuale e isolato, lamentando che il reclamante si sarebbe rivolto solo al Servizio Clienti senza utilizzare l’indirizzo di posta dedicato all’esercizio dei diritti (i.e. dirittiprotezionedati@bbva.it) né quello del DPO di BBVA (dpo.italy@bbva.com), entrambi indicati nella privacy policy.

La Società ha anche tenuto a precisare, da un lato, di aver inviato una comunicazione di chiarimento e di scuse per l’accaduto al reclamante una volta compreso il disagio arrecato allo stesso; dall’altra, di aver verificato al proprio interno che il difetto di allineamento occorso era limitato al solo reclamante e che, in ogni caso, era stato risolto.

Da ultimo, la Società ha illustrato le misure tecniche, organizzative e formative adottate per implementare la propria postura in materia di protezione dei dati personali.

3. VALUTAZIONI DELL’AUTORITÀ

In base ai profili fattuali sopra evidenziati e alle affermazioni rese con la memoria difensiva, di cui la Società risponde ai sensi dell’art. 168 Codice, si ritiene di confermare le violazioni rilevate nell’atto di contestazione per i motivi di seguito esposti.

3.1 SULLA POSSIBILE VIOLAZIONE DEGLI ARTT. 5, PAR. 1, LETT. A), 12 E 21 DEL REGOLAMENTO

In primo luogo, si richiama la disposizione dell’art. 21 del Regolamento che, al par. 2, prevede espressamente che “Qualora i dati personali siano trattati per finalità di marketing diretto, l'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto”.

Nel caso di specie, il reclamante, con le comunicazioni del 2 ottobre e del 9 dicembre 2025, risulta aver manifestato al Servizio Clienti del titolare opposizione al trattamento per finalità di comunicazioni commerciali e, come confermato dalla stessa Società, aveva anche regolarmente indicato l’opposizione attraverso le impostazioni della app BBVA.

Nelle proprie memorie, la Società eccepisce la correttezza dell’esercizio del diritto di opposizione da parte del reclamante il quale non avrebbe utilizzato gli indirizzi email corretti, ovvero quelli indicati nella propria privacy policy (vale a dire dirittiprotezionedati@bbva.it e dpo.italy@bbva.com); infatti, se si fosse rivolto a tali indirizzi, chiarisce la Società, “avrebbe gestito la richiesta quale diritto dell’interessato ai sensi degli artt. 15-22 GDPR, intervenendo direttamente sul profilo del Cliente sino ad arrivare ove ai fini della tutela dei diritti del Cliente alla revoca del consenso marketing”.

Tale eccezione non appare in linea con i principi che il Regolamento detta in materia di esercizio dei diritti degli interessati.  

Infatti, in tale prospettiva l’art. 12 del Regolamento pone in capo al titolare del trattamento l’onere di agevolare l’esercizio dei diritti da parte degli interessati e di fornire riscontro senza ritardo e comunque entro un mese dal ricevimento della richiesta.

Inoltre, nelle Linee guida 1/2022 (sui diritti degli interessati - Diritto di accesso, versione 2.1, adottate il 28 marzo 2023) sotto un profilo generale, si afferma che “non vi sono requisiti specifici per il formato della richiesta. Il titolare del trattamento dovrebbe fornire canali di comunicazione semplici e appropriati, che l'interessato possa utilizzare senza difficoltà. L'interessato non è però tenuto a valersi di questi specifici canali e può invece inviare la richiesta a un punto di contatto ufficiale del titolare del trattamento. Il titolare del trattamento non ha però l'obbligo di dar seguito a richieste inviate a indirizzi del tutto casuali o apparentemente inesatti”.

Nel caso di specie, il reclamante ha manifestato la propria opposizione interagendo correttamente con le impostazioni della app BBVA, operazione che è risultata essere standard per esercitare tale diritto. Pertanto, appare che il reclamante abbia esattamente seguito le indicazioni previste, nel caso di specie, dalla Società per l’esercizio del diritto in parola.

A fronte della continua ricezione di comunicazioni commerciali in-app non richieste, il reclamante ha inoltre esercitato il proprio diritto di opposizione anche con comunicazione al Servizio Clienti del titolare del trattamento il quale ha evidentemente mancato di comunicare la relativa richiesta ai dipartimenti competenti. Eppure la richiesta formulata era stata ben compresa dall’operatore del Servizio Clienti, tanto che questi ha fornito indicazioni in merito al settaggio delle impostazioni della app BBVA (che come detto rappresenta la procedura standard).

Dall’analisi di quanto occorso, appare che il reclamante aveva correttamente manifestato la propria opposizione mediante la app fornita dalla Società, in conformità alle informazioni ricevute dal Servizio Clienti. Pertanto, la successiva opposizione manifestata dal reclamante allo stesso Servizio Clienti è da considerarsi un di più, una conferma di quanto già correttamente comunicato utilizzando gli strumenti previsti dallo stesso titolare.

A propria difesa, la Società ha rappresentato che la problematica riscontrata dal reclamante era isolata e limitata al “flusso di allineamento tecnico tra i sistemi interni e l’unità CRM della Banca e non la corretta registrazione della variazione di scelta effettuata dal Cliente, che risulta difatti regolarmente censita nei sistemi della Banca”. Tale affermazione, però, equivale a confermare che la Società non ha dato seguito alla richiesta, seppure per un asserito difetto tecnico, nonostante l’interessato avesse correttamente esercitato la propria opposizione al trattamento.

In ogni caso, si prende atto che la Società, dopo aver risolto il disallineamento tecnico causa della mancata implementazione dell’opposizione espressa dal reclamante, abbia anche implementato ulteriori misure tese a garantire “che in particolare il call center abbia sempre adeguata conoscenza delle procedure interne - compreso un rafforzamento dei protocolli di escalation interna, quando si verifichino situazioni rischiose come quella di che trattasi”.

Le valutazioni appena svolte, inoltre, richiamano l’obbligo del titolare del trattamento di fornire riscontro all’interessato (art. 12 del Regolamento), riscontro che risulta non essere stato inviato dalla Società. Le risposte fornite all’interessato, infatti, si sono limitate ad indicare la procedura standard per modificare le impostazioni della app BBVA, senza fornire informazioni relative alle azioni intraprese dal titolare per dar seguito alla medesima richiesta (che, in effetti, non risultano essere state prese nell’immediato).

La Società ha dichiarato di essersi attivata solo dopo la nota dell’Ufficio del Garante, e dunque a maggio 2026, mostrando - tra l’altro - anche una relativa semplicità nella gestione tecnica della richiesta mediante l’allineamento dei sistemi interni. Nel periodo ottobre 2025 - maggio 2026, però, sono risultate almeno dieci notifiche di comunicazioni commerciali non richieste.

Eppure, già all’esito della seconda segnalazione del dicembre 2025 la Società aveva tutti gli elementi per effettuare le stesse verifiche interne (verifiche poste in essere, come detto, solo a maggio 2026) e per provvedere di conseguenza, ma il Servizio Clienti non ha gestito correttamente la criticità rappresentata dal reclamante.

In ultima analisi, pur dando atto del fatto che la Società ha previsto la possibilità di manifestare opposizione mediante l’invio di una email o di una raccomandata, non si può ritenere che tali indicazioni possano autorizzare il titolare ad ignorare manifestazioni di volontà che l’interessato ha correttamente rappresentato, nella specie, mediante le impostazioni della app BBVA e anche al Servizio Clienti; né ciò può giustificare un mancato riscontro all’interessato in relazione all’esercizio dei propri diritti. 

La Società, dunque, risulta non aver dato seguito, né riscontro, all’opposizione del reclamante in modo corretto (almeno in un primo tempo) e tempestivamente, come riconosciuto anche nella nota fornita a questo Ufficio (“Ciò premesso, è poi mancata la sincronizzazione tra i sistemi interni e l’unità di Customer Relationship Management (“CRM”) della Banca - deputata all’invio delle comunicazioni commerciali -, così generando un ritardo implementativo della disattivazione delle notifiche, circostanza per cui queste ultime sono erroneamente proseguite”).

Pertanto si conferma la violazione degli artt. 5, par. 1, lett. a), 12 e 21 del Regolamento.

Per completezza espositiva, si rappresenta inoltre che la Società è già stata destinataria del provvedimento n. 413 del 10 luglio 2025 (doc. web. n. 10168555) con il quale, tra l’altro, questa Autorità ha “accertato che la condotta posta in essere da BBVA con riferimento al tardivo riscontro all’istanza di accesso presentata dal reclamante, è illecita, nei termini su esposti, in relazione agli artt. 12, par. 3 e 4 e 15 del Regolamento”.

Tale accertamento, dunque, risulta rilevante al fine delle valutazioni previste dall’art. 83, par. 2 lett. e) del Regolamento.

3.2 SULLA POSSIBILE VIOLAZIONE DEGLI ARTT. 5, PAR. 1, LETT. A) E 24 DEL REGOLAMENTO

Tra gli obblighi generali con il Regolamento pone in capo al titolare del trattamento vi è anche quello di mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento. Tra i principi che permeano le disposizioni del Regolamento, vi sono anche quelli di correttezza e trasparenza di cui alla lettera a) dell’art. 5.

Durante l’istruttoria è emerso che, il 10 dicembre 2025, il Servizio Clienti della Società abbia comunicato al reclamante quanto segue: “Ti comunichiamo che si possono regolare solamente le comunicazioni tramite email, l’app è uguale per tutti i clienti e non possiamo rimuovere le notifiche pop-up, non le mettiamo noi del servizio clienti, ti ripetiamo, l’app è uguale per tutti, se non ha bisogno dei servizi delle notifiche promozionali, può ignorare le notifiche”.

In altri termini, è stato comunicato al reclamante che la Società non aveva modo di intervenire sulle impostazioni della propria app per far cessare la ricezione delle comunicazioni commerciali, facendo passare gli stessi invii come una cosa inevitabile e invitando lo stesso reclamante ad ignorarli se non interessato.    

Quanto appena riportato, però, appare smentito dagli interventi tecnici posti in essere dalla stessa Società che, al fine di rendere effettiva l’opposizione espressa dal reclamante, ha dichiarato di aver allineato la volontà del reclamante bloccando le notifiche commerciali inviate all’interno della medesima app BBVA.

Il disallineamento informativo tra quanto posto in essere e dichiarato dalla Società a questo Ufficio e quanto comunicato dal Servizio Clienti al reclamante appare conseguenza di misure organizzative non adeguate che, come effetto, hanno avuto quello di fornire all’esterno informazioni non corrette e non trasparenti in merito ai trattamenti posti in essere all’interno della struttura del titolare. Ciò risulta di una certa rilevanza se si considera con il Sevizio Clienti rappresenta il primo punto di contatto tra gli interessati e il titolare del trattamento.

Pertanto si conferma la violazione degli artt. 5, par. 1, lett. a) e 24 del Regolamento.

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria, le difese prospettate e le evidenze depositate in atti non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per a) non aver dato seguito in modo corretto e nei termini prescritti all’opposizione manifestata dell’interessato, b) non aver fornito corretto riscontro alla richiesta dell’interessato e c) non aver posto in essere misure tecniche e organizzative idonee a garantire la trasparenza e la correttezza dei trattamenti, tutto ciò in violazione rispettivamente dei seguenti articoli:

- 5, par. 1, lett. a), 12 e 21 del Regolamento;

- 5, par. 1, lett. a) e 24 del Regolamento.

5. MISURE CORRETTIVE

Accertata nei predetti termini l’illiceità dei trattamenti presi in esame, si rende necessario prescrivere alla Società:

a) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo ed in modo corretto, le relative istanze per l’esercizio dei diritti dell’interessato;

b) ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese, fornendo descrizioni più puntuali rispetto a quanto già implementato, al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione degli articoli degli artt. 5, par. 1, lett. a), 12, 21 e 24 del Regolamento ha avuto luogo in conseguenza di trattamenti tra loro collegati, limitatamente a tali illeciti, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono tutte soggette alla sanzione prevista dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino al 4% del fatturato mondiale annuo del 2025.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto di quanto segue:

la natura della violazione, che ha riguardato le disposizioni relative all’esercizio dei diritti dell’interessato, la durata della stessa, protrattasi per 7 mesi (da ottobre 2025 a maggio 2026), il coinvolgimento di un solo interessato e la finalità perseguita, quella di marketing (cfr. art. 83, par. 2, lett. a), del Regolamento);

il carattere colposo della violazione (cfr. art. 83, par. 2, lett. b), del Regolamento);

la natura dei dati personali coinvolti (dati di contatto) (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un soggetto con fatturato d’affari superiore a 500 milioni di euro, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

come fattore attenuante l’adozione di misure, in pendenza di istruttoria, atte a far cessare la violazione (cfr. art. 83, par. 2, lett. c), del Regolamento);

come fattore aggravante la responsabilità, che si giudica di grado medio, per non aver adottato misure organizzative (idonea formazione del Servizi Clienti) adeguate a facilitare l’esercizio dei diritti degli interessati (cfr. art. 83, par. 2, lett. d), del Regolamento);

come fattore aggravante il precedente provvedimento del Garante n. 413 del 10 luglio 2025 (doc. web. n. 10168555) con il quale, tra l’altro, sono state accertate nei confronti della Società violazioni pertinenti con quelle oggetto della presente istruttoria (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.508.000,00 (cinquemilionicinquecentoottomila/00) per la violazione degli artt. 5, par. 1, lett. a), 12, 21 e 24 del Regolamento.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione della natura della violazione, che ha riguardato l’esercizio dei diritti dell’interessato, nonché degli elementi di rischio per i diritti e le libertà degli interessati, e ciò anche in considerazione del precedente provvedimento adottato nei confronti della Società per violazioni pertinenti.

PER QUESTI MOTIVI

- ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato da Banco Bilbao Vizcaya Argentaria, S.A., succursale italiana, in persona del rappresentate legale p.t., con sede in Corso Vittorio Emanuele 9, 20122 Milano, Cod. Fisc. e P.IVA 06862150155, per la violazione degli artt. 5, par. 1, lett. a), 12, 21 e 24 del Regolamento, nei termini di cui in motivazione;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive alla Società di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo ed in modo corretto, le relative istanze per l’esercizio dei diritti dell’interessato;

- ai sensi dell’art. 157 del Codice, si prescrive alla Società di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese, fornendo descrizioni più puntuali rispetto a quanto già implementato, al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, alla Società, di pagare la somma di euro 5.508.000,00 (cinquemilionicinquecentoottomila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

alla Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 5.508.000,00 (cinquemilionicinquecentoottomila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 settembre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori