Con la decisione del 17 aprile 2026, divenuta definitiva dopo la scadenza del termine di ricorso, l’Incaricato federale della protezione dei dati e della trasparenza – IFPDT – ha concluso un’inchiesta nei confronti di Cream della Cream Switzerland GmbH e Philipp Plein International AG.
Il provvedimento è particolarmente interessante perché chiarisce, in termini molto concreti, come devono essere gestite le opposizioni al marketing e le richieste di cancellazione ai sensi della legge federale sulla protezione dei dati – LPD.
Dall’intervento informale all’inchiesta formale
Il procedimento era iniziato nel dicembre 2023, quando una persona aveva segnalato di continuare a ricevere numerosi messaggi pubblicitari nonostante la propria opposizione.
L’IFPDT era inizialmente intervenuto in maniera informale, ricordando alle imprese che l’utilizzo di indirizzi e-mail e numeri di telefono per inviare comunicazioni pubblicitarie costituisce un trattamento di dati personali e che l’opposizione dell’interessato deve essere effettivamente rispettata.
Non avendo ricevuto risposta, l’Autorità aveva successivamente inviato una comunicazione formale, chiedendo alle società di predisporre modalità semplici ed efficaci per disiscriversi dalle comunicazioni commerciali. Anche questa richiesta era rimasta senza riscontro.
Nel frattempo, l’IFPDT aveva ricevuto ulteriori segnalazioni da persone residenti in diversi Paesi europei. Alcuni SMS non indicavano una procedura per opporsi agli invii; in altri casi, il link contenuto nelle e-mail non consentiva una disiscrizione effettiva.
Nell’ottobre 2025 l’Autorità aveva quindi aperto un’inchiesta formale ai sensi dell’art. 49 LPD.
L’opposizione non richiede particolari formalità
L’IFPDT ricorda che, ai sensi dell’art. 30 cpv. 2 lett. b LPD, costituisce una lesione della personalità il trattamento effettuato contro la manifestazione espressa della volontà della persona interessata.
L’opposizione può essere formulata per e-mail, telefonicamente o attraverso un modulo di contatto. Non occorre utilizzare una formula giuridica particolare: deve semplicemente risultare chiaro che la persona non vuole più che i propri dati siano utilizzati per quella determinata finalità.
Dopo l’opposizione, la prosecuzione del marketing rappresenta una lesione della personalità. Spetta inoltre al Titolare del trattamento dimostrare l’esistenza di un eventuale motivo giustificativo ai sensi dell’art. 31 LPD.
Nel caso esaminato, le società non avevano indicato alcuna giustificazione.
Il diritto alla cancellazione nella LPD
Un ulteriore passaggio rilevante riguarda la cancellazione dei dati.
L’IFPDT ricostruisce il diritto alla cancellazione attraverso gli artt. 6 cpv. 3 e 4 e 30 cpv. 2 lett. b LPD. Quando i dati non sono più necessari per la finalità per cui sono stati raccolti, oppure quando l’interessato ne chiede la cancellazione, il Titolare deve eliminarli o anonimizzarli, salvo che sussista uno specifico motivo di conservazione, come un obbligo previsto dalla legge.
La decisione non afferma, quindi, che qualsiasi richiesta imponga necessariamente la cancellazione di tutti i dati del cliente. Potranno, ad esempio, essere conservati i dati necessari per obblighi contabili o contrattuali. Ciò che deve certamente cessare è il loro utilizzo per finalità pubblicitarie.
La violazione del principio di buona fede
In alcuni casi le società avevano confermato agli interessati che i dati erano stati cancellati, continuando tuttavia a inviare messaggi commerciali.
Per l’IFPDT questa condotta non viola soltanto il diritto di opposizione, ma anche il principio di buona fede previsto dall’art. 6 cpv. 2 LPD. Confermare una cancellazione mai realmente eseguita significa infatti trattare i dati in modo non leale e non affidabile.
Il caso dimostra che la gestione dei diritti non può limitarsi all’invio di una risposta standard. La risposta deve corrispondere a un’effettiva modifica dei sistemi, delle liste marketing e delle piattaforme utilizzate.
Le misure ordinate dall’IFPDT
L’Autorità ha ordinato alle due società di:
- cessare immediatamente ogni trattamento pubblicitario nei confronti delle persone che si siano opposte;
- cancellare, su richiesta, i dati personali, salvo l’esistenza di un motivo giustificativo;
- interrompere il trattamento dei dati delle persone che avevano già esercitato l’opposizione o richiesto la cancellazione.
Le misure dovevano essere attuate entro 30 giorni dall’entrata in vigore della decisione. Alle società sono stati inoltre addebitati CHF 5.500 di emolumenti procedurali.
Attenzione alla portata delle sanzioni
La decisione richiama anche l’art. 63 LPD, che prevede una multa fino a CHF 250.000 per chi, intenzionalmente, non rispetti una decisione dell’IFPDT notificata sotto comminatoria penale.
È importante precisare che tale importo non rappresenta una sanzione automaticamente applicata per l’invio delle comunicazioni pubblicitarie. Il rischio penale nasce dall’eventuale inosservanza intenzionale del provvedimento dell’Autorità.
In applicazione dell’art. 29 del Codice penale svizzero, la responsabilità può riguardare le persone fisiche che, all’interno dell’organizzazione, avrebbero dovuto assicurare il rispetto della decisione.
Le indicazioni operative per le imprese
Il provvedimento evidenzia che la conformità deve essere verificata sull’intera catena operativa: sito e-commerce, CRM, piattaforme di marketing automation, fornitori esterni, liste SMS e sistemi di assistenza clienti.
Non basta inserire un link “unsubscribe”. È necessario verificare che funzioni realmente e che l’opposizione sia propagata a tutti i sistemi utilizzati.
Il messaggio della decisione è semplice: un diritto formalmente riconosciuto, ma tecnicamente non eseguito, rimane un diritto violato.
