Chi è il titolare del trattamento ai sensi della normativa sulla protezione dei dati quando Pubblicità viene inviata tramite un fornitore di indirizzi? L’azienda pubblicitaria che definisce il gruppo target o il fornitore di indirizzi che seleziona i destinatari ed elabora i dati degli indirizzi? Il Tribunale amministrativo di Berlino ha dovuto affrontare questa questione. La sentenza (rif.: 1 K 74/24) fa chiarezza per le aziende che si avvalgono di fornitori esterni di servizi di lettershop per il marketing diretto.
L'autorità di vigilanza emette un richiamo
La ricorrente, gestrice di un teatro di rivista a Berlino, alla fine del 2021 voleva promuovere uno spettacolo rivolgendosi anche a persone che fino a quel momento non erano state sue clienti.
A tal fine, ha incaricato un’azienda specializzata nella gestione di indirizzi di inviare lettere pubblicitarie tramite un servizio di lettershop. La ricorrente si è limitata a definire il gruppo target desiderato: persone residenti a Berlino e nel Brandeburgo con un potere d’acquisto superiore alla media.
La selezione concreta dei destinatari è stata effettuata dalla società di gestione degli indirizzi sulla base di un proprio modello di microcelle. I dati relativi agli indirizzi utilizzati provenivano dalla banca dati della società di gestione degli indirizzi e non sono mai stati comunicati alla ricorrente.
Dopo che una destinataria della Pubblicità Reclamo presentato all’autorità di controllo della protezione dei dati, l’autorità ha ammonito la ricorrente. Secondo il parere della Autorità di vigilanza la ricorrente e la commerciante di indirizzi erano congiuntamente responsabili per la Elaborazione responsabile del trattamento dei dati personali.
La ricorrente ha quindi presentato ricorso contro la decisione della Autorità di vigilanza.
Chi è responsabile dei dati relativi agli indirizzi nella procedura di lettershop?
Al centro del procedimento vi era la questione se la ricorrente, insieme alla società di vendita di indirizzi, fosse Persone responsabili ai sensi dell’art. 4, n. 7, e dell’art. 26 GDPR era visibile.
Secondo GDPR Si ha una responsabilità congiunta quando più soggetti decidono congiuntamente in merito alle finalità e alle modalità di un trattamento dei dati.
L'autorità garante della protezione dei dati ha sostenuto che la ricorrente, avendo specificato il gruppo target, abbia influito sul trattamento dei dati e sia pertanto responsabile in solido con la società che commercializza gli indirizzi.
Il Tribunale amministrativo di Berlino non ha tuttavia condiviso tale opinione.
Il Tribunale amministrativo di Berlino revoca l'ammonimento
L'utilizzo degli indirizzi è soggetto al GDPR
In primo luogo, il tribunale ha chiarito che l’utilizzo di nomi e indirizzi postali per l’invio di comunicazioni pubblicitarie costituisce una Elaborazione costituisce un trattamento di dati personali.
Se già la formazione e la selezione delle microcellule costituiscano di per sé una Elaborazione Il tribunale non ha dovuto pronunciarsi sulla questione se ciò costituisse un trattamento di dati personali. Ciò che era determinante era il fatto che fossero stati estratti dati concreti relativi all’indirizzo e utilizzati per l’invio del Pubblicità sono stati utilizzati.
La ricorrente ha determinato le finalità del trattamento
Secondo il tribunale, la ricorrente ha effettivamente influito sulla finalità della Elaborazione.
L'iniziativa pubblicitaria era finalizzata all'acquisizione di nuovi clienti e quindi andava direttamente a vantaggio dei suoi interessi economici. È stata la ricorrente a decidere di contattare per iscritto i potenziali nuovi clienti.
Tuttavia, questo da solo non è sufficiente per stabilire una responsabilità congiunta.
I mezzi per il trattamento erano interamente nelle mani del fornitore di indirizzi
Per il tribunale è stato determinante il fatto che la ricorrente non avesse alcuna influenza sulle modalità concrete del trattamento dei dati.
La responsabile della gestione degli indirizzi decideva autonomamente,
- come si formano le microcelle,
- quali caratteristiche statistiche vengono utilizzate,
- come vengono selezionati i destinatari,
- come vengono trattati tecnicamente i dati,
- e come viene gestita dal punto di vista organizzativo la spedizione.
La ricorrente ha semplicemente acquistato un servizio. Per contro, la gestione tecnica, organizzativa e relativa alla protezione dei dati dell’intera procedura è rimasta di esclusiva competenza della società di vendita di indirizzi.
A questo proposito, è particolarmente importante una precisazione del tribunale: la definizione di caratteristiche generali del pubblico-target non costituisce, nel caso specifico, una partecipazione alle decisioni relative alle modalità di trattamento dei dati. Rientra piuttosto tra gli obiettivi economici della campagna pubblicitaria.
La giurisprudenza della Corte di giustizia dell'Unione europea non è applicabile
Il Tribunale amministrativo di Berlino ha esaminato in modo approfondito diverse sentenze della Corte di giustizia europea, tra cui quelle relative alle fanpage, ai plugin dei social media e ai sistemi pubblicitari digitali.
Dal punto di vista del tribunale, la differenza determinante è stata la seguente:
Nei casi finora esaminati dalla Corte di giustizia dell’Unione europea (ad esempio, la sentenza del 29 luglio 2019 – C-40/17 – Fashion ID), i soggetti coinvolti hanno regolarmente esercitato un’influenza non solo sulle finalità, ma anche sui mezzi tecnici o organizzativi del trattamento dei dati. In alcuni casi, erano proprio loro a rendere possibile la raccolta dei dati o a contribuire attivamente alla definizione dei processi di trattamento.
Nel caso della procedura "lettershop", la situazione era diversa.
La società di gestione degli indirizzi disponeva già del proprio database indipendentemente dall’incarico conferitole dalla ricorrente e poteva utilizzarlo in modo autonomo. La ricorrente, invece, non ha consentito l’accesso ai dati personali né ha creato un’infrastruttura tecnica per il loro Elaborazione. Si è limitata a sfruttare un modello di business già esistente.
Per il tribunale, il semplice fatto di aver dato il via alla campagna pubblicitaria non era quindi sufficiente a configurare una responsabilità congiunta.
La sentenza non costituisce un via libera alla pubblicità diretta
Non bisogna tuttavia sopravvalutare la rilevanza pratica della decisione.
Il tribunale ha espressamente omesso di verificare se la specifica iniziativa pubblicitaria fosse lecita ai sensi della normativa sulla protezione dei dati. Non è stato nemmeno stabilito se la società di vendita di indirizzi abbia trattato i dati personali in modo lecito.
In particolare, rimangono aperte le seguenti questioni:
- Può il Elaborazione ai sensi dell’art. 6, comma 1, lett. f GDPR essere sostenuti?
- Se la ponderazione degli interessi dovesse andare a favore della Pubblicità fuori?
- Se i Obbligo di informazione ai sensi dell'art. 14 GDPR soddisfatto?
- La procedura concreta di lettershop è nel complesso GDPRProgettato in conformità con...?
La sentenza risponde quindi esclusivamente alla questione della responsabilità in materia di protezione dei dati.
Dopo la sentenza sul "lettershop": cosa dovrebbero verificare ora le aziende
Per le aziende che collaborano con fornitori di indirizzi o con fornitori di servizi di lettere, questa decisione costituisce un importante punto di riferimento.
In particolare, occorre documentare,
- quale ruolo ricopre il fornitore di servizi,
- chi decide in merito ai metodi e alle procedure di selezione,
- se l'azienda che fa pubblicità abbia accesso a Dati personali riceve,
- quali possibilità di influenzare la Elaborazione esistano effettivamente,
- e chi definisce i processi di trattamento sia dal punto di vista tecnico che organizzativo.
Quanto più un committente è coinvolto nella definizione concreta delle modalità di trattamento dei dati, tanto più è probabile che sussista una responsabilità congiunta ai sensi dell’art. 26 GDPR possono essere presi in considerazione.
La decisione non esonera le imprese dall’obbligo di effettuare un’attenta verifica dei propri processi di marketing. In particolare, la base giuridica della Elaborazione, l'adempimento dei Obbligo di informazione ai sensi dell'art. 14 GDPR così come la qualificazione, ai fini della protezione dei dati, del rispettivo fornitore di servizi deve continuare a essere valutata in modo autonomo.
Importante sentenza sull’interpretazione della responsabilità congiunta
Il Tribunale amministrativo di Berlino traccia un confine importante nell’interpretazione della responsabilità congiunta ai sensi dell’art. 26 GDPR.
La semplice indicazione di una finalità pubblicitaria e di parametri generali relativi al pubblico di destinazione non è sufficiente per considerare un’impresa pubblicitaria responsabile insieme a un gestore di indirizzi. È invece necessario che vi sia un’effettiva influenza sui mezzi organizzativi, tecnici o metodologici del trattamento dei dati.
La sentenza chiarisce quindi la ripartizione delle responsabilità, ma non risponde alla domanda se tali pratiche pubblicitarie soddisfino sostanzialmente i requisiti della GDPR sono sufficienti. La questione rimane aperta.
Fonte: Tribunale amministrativo di Berlino, sentenza del 14 ottobre 2025 (n. di registro: 1 K 74/24)
Supporto per processi di marketing conformi alle norme sulla protezione dei dati
La sentenza del Tribunale amministrativo di Berlino dimostra che occorre esaminare attentamente la ripartizione dei ruoli, ai fini della protezione dei dati, tra l’azienda pubblicitaria, il fornitore di indirizzi e gli altri prestatori di servizi. Allo stesso tempo, rimangono aperte alcune questioni fondamentali relative alla base giuridica della Elaborazione, tra cui Obbligo di informazione non sono ancora state chiarite le modalità per garantire che le iniziative di marketing diretto siano conformi alla normativa sulla protezione dei dati.
2B Advice supporta le aziende nella definizione, nel rispetto della normativa vigente, di Marketing- e dei processi di vendita: dalla classificazione delle parti coinvolte ai fini della protezione dei dati alla verifica di Base giuridica fino all’adempimento degli obblighi in materia di informazione e documentazione ai sensi di GDPR.
Desiderate far verificare la conformità dei vostri processi di marketing diretto alle norme sulla protezione dei dati? Il nostro reparto di protezione dei dati e Conformità-Gli esperti saranno lieti di fornirvi consulenza
Domande frequenti
Cosa comporta la sentenza del Tribunale amministrativo di Berlino per le procedure di lettershop ai sensi del GDPR?
La sentenza del Tribunale amministrativo di Berlino dimostra che un’azienda pubblicitaria non è automaticamente responsabile insieme a un fornitore di indirizzi solo perché definisce un gruppo target per una campagna di marketing diretto. È determinante chi detiene effettivamente il controllo sui mezzi organizzativi, tecnici e metodologici del trattamento dei dati. Nel caso in esame, tale decisione spettava interamente al fornitore di indirizzi.
In quali casi, nell’ambito di una procedura di lettershop, sussiste una responsabilità congiunta ai sensi dell’articolo 26 del GDPR?
Una responsabilità congiunta ai sensi dell'art. 26 GDPR è da prendere in considerazione quando più soggetti coinvolti decidono congiuntamente in merito agli obiettivi e ai mezzi di una Elaborazione decidere. Nel caso di una procedura di lettershop, la decisione economica relativa a una campagna pubblicitaria non è di per sé sufficiente. È rilevante stabilire se il committente abbia influenza sui metodi di selezione, sulle fonti dei dati, sugli aspetti tecnici Elaborazione, l'organizzazione della spedizione o la selezione concreta dei destinatari.
È sufficiente la definizione di un gruppo target per essere considerati corresponsabili?
No, secondo la sentenza del Tribunale amministrativo di Berlino, nel caso specifico non è sufficiente limitarsi a definire caratteristiche generali del gruppo target. Se un’azienda definisce solo un gruppo target in base a criteri quali la regione, il potere d’acquisto o il segmento di clientela, ma non ottiene l’accesso ai dati relativi agli indirizzi e la selezione concreta nonché Elaborazione se i dati sono interamente in possesso del fornitore di indirizzi, ciò esclude la responsabilità congiunta.
In base alla sentenza, il marketing diretto effettuato tramite fornitori di indirizzi è automaticamente conforme al GDPR?
No. La sentenza chiarisce solo la questione della responsabilità in materia di protezione dei dati tra l’azienda pubblicitaria e il fornitore di indirizzi. Non risponde in modo definitivo alla domanda se la specifica azione pubblicitaria stessa GDPR-conforme. Le imprese devono continuare a rispettare la base giuridica, la ponderazione degli interessi, Obbligo di informazione ai sensi dell'art. 14 GDPR e verificare l'effettivo svolgimento del procedimento.
Cosa dovrebbero documentare le aziende prima di avvalersi dei servizi di un’agenzia di mailing?
Le aziende dovrebbero documentare quale ruolo riveste il fornitore di servizi di lettershop, chi decide in merito ai criteri di selezione e se l’azienda ha accesso a Dati personali riceve, quali possibilità di influenzare la Elaborazione chi ne fa parte e chi gestisce i processi tecnici e organizzativi. Questi Documentazione aiuta a definire la ripartizione dei ruoli in base a GDPR valutare in modo comprensibile.
Chi assiste le aziende nella verifica della conformità al GDPR in materia di marketing diretto, fornitori di indirizzi e procedure di lettershop?
2B Advice assiste le aziende nella verifica della conformità alla normativa sulla protezione dei dati dei processi di marketing diretto e di vendita. Ciò comprende la classificazione dei soggetti coinvolti, la valutazione della responsabilità o della responsabilità congiunta, la verifica di Base giuridica, Obbligo di informazione e gli obblighi di documentazione, nonché l'organizzazione dei processi di marketing nel rispetto della normativa vigente secondo GDPR.
German 
English 
Italian 
French