In breve
Il Garante ha sanzionato Altroconsumo Edizioni Srl per 280.000 euro (provvedimento del 18 giugno 2026, doc. web 10269624). Due filoni: l'uso per email marketing dei dati raccolti sul sito www.altroconsumo.it e il ritardo nel rispondere alle richieste di esercizio dei diritti. Su quest'ultimo punto la società era già stata sanzionata con un precedente provvedimento.
Il fatto
Il procedimento nasce dal reclamo di un cittadino che lamentava la ricezione di email promozionali dalla società editoriale, in assenza delle necessarie basi di legittimità e nonostante avesse già chiesto di non ricevere più questo tipo di comunicazioni. Il reclamante non aveva mai compilato il modulo presente sul sito per diventare socio, e la società non è stata in grado di dimostrare la correttezza del rapporto contrattuale che invocava come fondamento dell'invio.
Il difetto tecnico, che è il vero motivo della sanzione
Nel corso dell'istruttoria è emerso che la procedura di registrazione degli utenti al sito non era assistita da misure tecniche e organizzative idonee a prevenire il rischio di trattamenti illeciti, soprattutto nei casi in cui la registrazione e il rapporto contrattuale non si fossero perfezionati. In particolare, anche quando gli utenti decidevano di non confermare la creazione dell'account — e dunque di non iscriversi al sito — la società considerava comunque perfezionato il rapporto contrattuale e procedeva all'invio di email promozionali.
Perché riguarda quasi tutti i tuoi clienti
Lo schema è ordinario: un modulo di registrazione, una email di conferma, e un database che scrive il record al primo passaggio invece che al secondo. Nessuno lo fa apposta. Ma il risultato è che l'indirizzo di chi ha cambiato idea a metà — la quota più alta di qualunque imbuto di iscrizione — resta in lista con un'etichetta «utente registrato» che nessuno ha mai verificato.
Le domande da fare al cliente
- In quale momento viene scritto il record dell'utente: all'invio del modulo o alla conferma del link ricevuto via email?
- Se la conferma non arriva mai, che fine fa quel record dopo 24 ore, 7 giorni, 30 giorni? Esiste una cancellazione automatica o resta lì?
- La base giuridica dichiarata nel registro per l'invio è il contratto o il consenso? E il sistema sa distinguere le due popolazioni?
- L'opposizione al marketing esercitata su un canale si propaga a tutti i sistemi, o resta su quello dove è stata raccolta?
- Quanto tempo passa fra la richiesta di esercizio dei diritti e la risposta? È misurato, o lo si scopre quando arriva il reclamo?
Le misure imposte
- Sanzione pecuniaria di 280.000 euro
- Ordine di cessare il trattamento dei dati di coloro che non hanno confermato la creazione del proprio account
- Ordine di adeguare al GDPR le procedure di trattamento dei dati
L'ordine più difficile da eseguire è il secondo
Cessare il trattamento di chi non ha confermato l'account presuppone che l'azienda sappia isolare quella popolazione. Se il database non distingue gli account confermati da quelli mai confermati, l'adempimento richiede una bonifica prima ancora della cancellazione. È il tipo di lavoro che conviene fare prima che a chiederlo sia un'autorità.
Il secondo filone merita una nota a parte: la mancata adozione di misure idonee a garantire l'effettivo esercizio dei diritti e a dare riscontro senza ingiustificato ritardo. La società era già stata sanzionata su questo punto. La recidiva su un obbligo procedurale — rispondere entro un mese — pesa più di quanto la maggior parte dei titolari immagini, perché dimostra che il primo provvedimento non ha prodotto alcun cambiamento organizzativo.
Fonte ufficiale:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Fonte ufficiale:Garante privacy - Newsletter n. 550 del 29 luglio 2026Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
