Kort fortalt
Det italienske datatilsynet ila Altroconsumo Edizioni Srl et gebyr på 280 000 euro (vedtak av 18. juni 2026, doc. web 10269624). To spor: bruken til e-postmarkedsføring av opplysninger samlet inn på nettstedet www.altroconsumo.it, og forsinket svar på krav om utøvelse av rettigheter. På det siste punktet var selskapet allerede ilagt gebyr i et tidligere vedtak.
Faktum
Saken startet med klagen fra en borger som mottok reklame-e-poster fra forlaget uten nødvendig behandlingsgrunnlag, og til tross for at han allerede hadde bedt om å slippe. Klageren hadde aldri fylt ut medlemsskjemaet på nettstedet, og selskapet klarte ikke å dokumentere riktigheten av avtaleforholdet det påberopte seg som grunnlag for utsendelsen.
Den tekniske feilen, som er den egentlige grunnen til gebyret
Under saksbehandlingen kom det fram at registreringsprosedyren på nettstedet ikke var understøttet av tekniske og organisatoriske tiltak egnet til å hindre ulovlig behandling, særlig der registreringen og avtaleforholdet ikke ble fullført. Konkret: selv når brukerne valgte ikke å bekrefte kontoopprettelsen — altså ikke å melde seg inn — anså selskapet likevel avtalen som inngått og sendte reklame-e-poster.
Hvorfor dette gjelder nesten alle kundene dine
Mønsteret er dagligdags: et registreringsskjema, en bekreftelses-e-post, og en database som skriver posten i første steg i stedet for i andre. Ingen gjør det med vilje. Men resultatet er at adressen til den som snudde halvveis — den største andelen i enhver påmeldingstrakt — blir liggende i listen med merkelappen «registrert bruker» som ingen noen gang har kontrollert.
Spørsmålene å stille kunden
- Når skrives brukerposten: ved innsending av skjemaet, eller ved bekreftelse av lenken mottatt på e-post?
- Hvis bekreftelsen aldri kommer, hva skjer med posten etter 24 timer, 7 dager, 30 dager? Finnes automatisk sletting?
- Er behandlingsgrunnlaget i protokollen avtale eller samtykke? Og klarer systemet å skille de to gruppene?
- Sprer en innsigelse mot markedsføring i én kanal seg til alle systemer, eller blir den der den ble registrert?
- Hvor lang tid går fra kravet om utøvelse av rettigheter til svaret? Måles det, eller oppdages det når klagen kommer?
Påleggene
- Overtredelsesgebyr på 280 000 euro
- Pålegg om å stanse behandlingen av opplysninger om dem som ikke bekreftet opprettelsen av kontoen sin
- Pålegg om å bringe behandlingsrutinene i samsvar med personvernforordningen
Det vanskeligste pålegget å etterleve er det andre
Å stanse behandlingen av dem som ikke bekreftet kontoen forutsetter at virksomheten klarer å skille ut den gruppen. Skiller ikke databasen bekreftede fra aldri bekreftede kontoer, krever etterlevelsen en opprydding før selve slettingen. Det er den typen arbeid det lønner seg å gjøre før et tilsyn ber om det.
Det andre sporet fortjener en egen merknad: manglende tiltak for å sikre reell utøvelse av rettighetene og svar uten ugrunnet opphold. Selskapet var allerede ilagt gebyr for dette. Gjentakelse på en prosessuell plikt — svare innen en måned — veier tyngre enn de fleste behandlingsansvarlige tror, fordi den viser at det første vedtaket ikke førte til noen organisatorisk endring.
Official source:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Official source:Garante privacy - Newsletter n. 550 del 29 luglio 2026Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
