En bref
L'autorité italienne a sanctionné Altroconsumo Edizioni Srl à hauteur de 280 000 euros (décision du 18 juin 2026, doc. web 10269624). Deux volets : l'utilisation à des fins d'email marketing des données collectées sur le site www.altroconsumo.it, et le retard à répondre aux demandes d'exercice des droits. Sur ce second point la société avait déjà été sanctionnée par une décision antérieure.
Les faits
La procédure part de la réclamation d'un citoyen qui recevait des courriels promotionnels de la société d'édition, sans base de licéité et alors qu'il avait déjà demandé de ne plus en recevoir. Le réclamant n'avait jamais rempli le formulaire d'adhésion présent sur le site, et la société n'a pas été en mesure de démontrer la réalité de la relation contractuelle qu'elle invoquait comme fondement de l'envoi.
Le défaut technique, qui est le vrai motif de la sanction
L'instruction a établi que la procédure d'inscription au site n'était pas assortie de mesures techniques et organisationnelles propres à prévenir le risque de traitements illicites, en particulier lorsque l'inscription et la relation contractuelle ne se concrétisaient pas. En particulier : même lorsque l'utilisateur décidait de ne pas confirmer la création du compte — et donc de ne pas s'inscrire — la société considérait tout de même le contrat conclu et procédait à l'envoi de courriels promotionnels.
Pourquoi cela concerne presque tous vos clients
Le schéma est banal : un formulaire d'inscription, un courriel de confirmation, et une base qui écrit l'enregistrement à la première étape au lieu de la seconde. Personne ne le fait exprès. Mais le résultat est que l'adresse de celui qui a changé d'avis à mi-chemin — la part la plus élevée de tout entonnoir d'inscription — reste en liste avec une étiquette « utilisateur inscrit » que personne n'a jamais vérifiée.
Les questions à poser au client
- À quel moment l'enregistrement de l'utilisateur est-il écrit : à l'envoi du formulaire ou à la confirmation du lien reçu par courriel ?
- Si la confirmation n'arrive jamais, que devient cet enregistrement après 24 heures, 7 jours, 30 jours ? Existe-t-il une suppression automatique ?
- La base légale déclarée au registre est-elle le contrat ou le consentement ? Le système sait-il distinguer les deux populations ?
- L'opposition au marketing exercée sur un canal se propage-t-elle à tous les systèmes, ou reste-t-elle sur celui où elle a été recueillie ?
- Combien de temps s'écoule entre la demande d'exercice des droits et la réponse ? Est-ce mesuré, ou découvert à la réclamation ?
Les mesures imposées
- Amende de 280 000 euros
- Injonction de cesser le traitement des données de ceux qui n'ont pas confirmé la création de leur compte
- Injonction de mettre les procédures de traitement en conformité avec le RGPD
L'injonction la plus difficile à exécuter est la deuxième
Cesser de traiter ceux qui n'ont pas confirmé le compte suppose que l'entreprise sache isoler cette population. Si la base ne distingue pas les comptes confirmés de ceux jamais confirmés, l'exécution passe par un nettoyage avant même la suppression. C'est le genre de travail qu'il vaut mieux faire avant qu'une autorité ne le demande.
Le second volet mérite une note à part : l'absence de mesures propres à garantir l'exercice effectif des droits et une réponse sans retard injustifié. La société avait déjà été sanctionnée sur ce point. La récidive sur une obligation procédurale — répondre dans le mois — pèse plus que ne l'imaginent la plupart des responsables, car elle démontre que la première décision n'a produit aucun changement d'organisation.
Source officielle:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Source officielle:Garante privacy - Newsletter n. 550 del 29 luglio 2026Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
