En resumen
La autoridad italiana ha sancionado a Altroconsumo Edizioni Srl con 280.000 euros (resolución de 18 de junio de 2026, doc. web 10269624). Dos frentes: el uso para email marketing de los datos recogidos en el sitio www.altroconsumo.it y el retraso en responder a las solicitudes de ejercicio de derechos. En este segundo punto la sociedad ya había sido sancionada por una resolución anterior.
Los hechos
El procedimiento nace de la reclamación de un ciudadano que recibía correos promocionales de la editorial sin las bases de legitimación necesarias y pese a haber pedido ya no recibir ese tipo de comunicaciones. El reclamante nunca había rellenado el formulario del sitio para hacerse socio, y la sociedad no fue capaz de demostrar la corrección de la relación contractual que invocaba como fundamento del envío.
El defecto técnico, que es el verdadero motivo de la sanción
En la instrucción se comprobó que el procedimiento de registro de usuarios en el sitio no contaba con medidas técnicas y organizativas idóneas para prevenir el riesgo de tratamientos ilícitos, sobre todo cuando el registro y la relación contractual no llegaban a perfeccionarse. En particular, incluso cuando el usuario decidía no confirmar la creación de la cuenta —y por tanto no inscribirse—, la sociedad consideraba igualmente perfeccionada la relación contractual y procedía al envío de correos promocionales.
Por qué afecta a casi todos tus clientes
El esquema es corriente: un formulario de registro, un correo de confirmación y una base de datos que escribe el registro en el primer paso en vez del segundo. Nadie lo hace a propósito. Pero el resultado es que la dirección de quien cambió de idea a mitad —la mayor cuota de cualquier embudo de alta— se queda en la lista con una etiqueta «usuario registrado» que nadie ha verificado nunca.
Las preguntas que hacer al cliente
- ¿En qué momento se escribe el registro del usuario: al enviar el formulario o al confirmar el enlace recibido por correo?
- Si la confirmación no llega nunca, ¿qué pasa con ese registro tras 24 horas, 7 días, 30 días? ¿Hay borrado automático o se queda ahí?
- ¿La base jurídica declarada en el registro es el contrato o el consentimiento? ¿Y el sistema sabe distinguir las dos poblaciones?
- ¿La oposición al marketing ejercida en un canal se propaga a todos los sistemas o se queda en aquel donde se recogió?
- ¿Cuánto tiempo pasa entre la solicitud de ejercicio de derechos y la respuesta? ¿Se mide o se descubre cuando llega la reclamación?
Las medidas impuestas
- Sanción pecuniaria de 280.000 euros
- Orden de cesar el tratamiento de los datos de quienes no confirmaron la creación de su cuenta
- Orden de adecuar al RGPD los procedimientos de tratamiento
La orden más difícil de ejecutar es la segunda
Cesar el tratamiento de quien no confirmó la cuenta presupone que la empresa sepa aislar esa población. Si la base de datos no distingue las cuentas confirmadas de las nunca confirmadas, el cumplimiento exige una depuración antes incluso del borrado. Es el tipo de trabajo que conviene hacer antes de que lo pida una autoridad.
El segundo frente merece nota aparte: la falta de medidas idóneas para garantizar el ejercicio efectivo de los derechos y responder sin dilación indebida. La sociedad ya había sido sancionada por ello. La reincidencia en una obligación procedimental —responder en un mes— pesa más de lo que la mayoría de responsables imagina, porque demuestra que la primera resolución no produjo ningún cambio organizativo.
Fuente oficial:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Fuente oficial:Garante privacy - Newsletter n. 550 del 29 luglio 2026¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
