Cessione del ramo d'azienda e titolarità del trattamento: il caso CercanumeriPro

1. Il fatto

   Secondo quanto risulta dal provvedimento n. 593 del 9 ottobre 2025 (doc. web n. 10193723), il procedimento trae origine da una più ampia istruttoria condotta dall'Autorità nei confronti di Realmaps S.r.l., conclusasi con un autonomo provvedimento del 16 gennaio 2025 (doc. web n. 10110241). In data 2 agosto 2024 è inoltre pervenuto al Garante un reclamo riferito a Tedor S.r.l., avente ad oggetto la ricezione di telefonate indesiderate da parte di agenzie immobiliari che riferivano di aver acquisito i dati dal sito cercanumeripro.it. Con atto del 7 agosto 2024 la società Tempo dell'Oro S.r.l., già Tedor S.r.l., ha ceduto il ramo d'azienda relativo alla piattaforma CercanumeriPro a FT Solutions S.r.l.; quest'ultima, secondo quanto risulta da visura camerale, era stata costituita con atto del 7 maggio 2024, dunque prima del reclamo. Il Garante ha accertato che, per effetto della cessione, FT Solutions «è pertanto subentrata nella medesima posizione in precedenza rivestita dalla cedente, vale a dire Titolare del trattamento dei dati personali», e ha accertato violazioni riferite ai trattamenti effettuati da FT Solutions in tale qualità. Il procedimento si è concluso con un'ordinanza-ingiunzione di 5.000 euro, impugnabile dinanzi all'autorità giudiziaria ordinaria nei termini di legge.

2. 

   Che cosa il provvedimento non dice

   Per una corretta lettura del provvedimento è utile chiarire anche che cosa esso non contiene.

   1. Il provvedimento non imputa a FT Solutions la responsabilità di illeciti pregressi commessi dalla cedente: le violazioni accertate riguardano trattamenti effettuati dalla cessionaria nella propria qualità di titolare.
   2. Il provvedimento non ravvisa alcun intento elusivo nell'operazione di cessione, né qualifica la cessione come fraudolenta, simulata o artificiosa; la formula con cui descrive la società come «costituita appositamente per il prosieguo dei trattamenti» attiene alla prosecuzione dell'attività, non a un accertamento di elusione.
   3. Il provvedimento non utilizza la nozione di continuità economica come criterio di imputazione di illeciti o sanzioni pregressi, e non richiama né applica l'art. 2560 c.c. o l'art. 33 del D.Lgs. 231/2001.
   4. Quanto alla posizione di Tedor, il provvedimento ricostruisce il reclamo e la successiva cessione, ma il procedimento sanzionatorio si conclude nei soli confronti di FT Solutions.

3. Le norme in gioco

   Il provvedimento si fonda sulla disciplina in materia di protezione dei dati personali.

   1. Gli articoli 5 e 6 del GDPR (Regolamento UE 2016/679) in tema di principi e di liceità del trattamento.
   2. L'articolo 83 del GDPR sulle condizioni per l'irrogazione delle sanzioni amministrative pecuniarie.
   3. Il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), in particolare l'art. 152 sull'opposizione all'autorità giudiziaria, l'art. 157 sulle richieste di informazioni dell'Autorità e l'art. 166, comma 8, sulla definizione agevolata mediante pagamento della metà della sanzione. La misura della sanzione, 5.000 euro, è indicata dal Garante come pari allo 0,025% del massimo edittale, tenuto conto di fattori attenuanti quali l'assenza di precedenti provvedimenti correttivi o sanzionatori, la natura comune dei dati di contatto trattati e le limitate capacità economiche della società.

4. Il dibattito dottrinale, distinto dal caso

   Sul piano generale, e senza che ciò trovi riscontro nel provvedimento n. 593, la dottrina discute da tempo se e in quali limiti le vicende circolatorie dell'azienda incidano sulle sanzioni amministrative. Vengono richiamati in questo dibattito l'art. 2560 c.c. sui debiti dell'azienda ceduta e l'art. 33 del D.Lgs. 231/2001 sulla solidarietà del cessionario per le sanzioni pecuniarie inflitte all'ente cedente. In materia di GDPR, la giurisprudenza della Corte di giustizia dell'Unione europea, con le sentenze C-807/21 Deutsche Wohnen e C-383/23 ILVA, ha valorizzato la nozione di impresa di cui agli artt. 101 e 102 TFUE ai fini della determinazione dell'importo della sanzione, profilo distinto dalle condizioni per la sua imputazione. Si tratta di coordinate utili per inquadrare il tema in astratto: nel caso CercanumeriPro il Garante non ha fatto ricorso ad alcuna di queste costruzioni, avendo sanzionato la cessionaria per condotte proprie.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Chi acquisisce piattaforme o banche dati subentra nella titolarità del trattamento: la conformità dei propri trattamenti va garantita dal primo giorno, senza fare affidamento sullo stato in cui gli asset vengono consegnati.
   2. La due diligence sulla provenienza e sulle basi giuridiche dei dati resta essenziale: non perché le sanzioni della cedente si trasferiscano automaticamente, ma perché dati privi di idonea base giuridica non possono essere lecitamente utilizzati dal cessionario.
   3. Le clausole contrattuali di manleva hanno efficacia interna tra le parti e non incidono sulla responsabilità del titolare verso l'Autorità e gli interessati.
   4. In caso di contestazione, valutare tempestivamente l'alternativa tra opposizione giudiziale e definizione agevolata, tenendo conto dei termini di legge.

9. Nota di rettifica (17 settembre 2026)

   Una precedente versione di questo contributo, pubblicata il 12 settembre 2026 sulla base di fonti di stampa, attribuiva al provvedimento del Garante n. 593/2025 contenuti che non vi figurano: l'imputazione a FT Solutions S.r.l. di illeciti pregressi della cedente, l'accertamento di un intento elusivo nell'operazione di cessione, l'impiego della continuità economica quale criterio di imputazione e l'applicazione dell'art. 2560 c.c. e dell'art. 33 del D.Lgs. 231/2001. La precedente versione qualificava inoltre il provvedimento come definitivo, mentre si tratta di ordinanza-ingiunzione impugnabile nei termini di legge, e riferiva a Tedor S.r.l. un accertamento di trattamenti massivi privi di consenso che il provvedimento non contiene, avendo il procedimento riguardato la sola FT Solutions. Il contributo è stato integralmente riscritto sulla base del testo del provvedimento (doc. web n. 10193723), a seguito di segnalazione della società interessata ricevuta il 17 settembre 2026. La versione originaria è conservata agli atti della redazione.

Riferimenti: Regolamento UE 2016/679 (GDPR) artt. 5, 6, 83D.Lgs. 196/2003 artt. 152, 157, 166Provvedimento Garante n. 593 del 9 ottobre 2025 (doc. web n. 10193723)Provvedimento Garante del 16 gennaio 2025 (doc. web n. 10110241)CGUE C-807/21 Deutsche Wohnen; CGUE C-383/23 ILVA

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 17 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica