W skrócie
Włoski organ nadzorczy nałożył na Altroconsumo Edizioni Srl karę 280 000 euro (decyzja z 18 czerwca 2026 r., doc. web 10269624). Dwa wątki: wykorzystanie do e-mail marketingu danych zebranych na stronie www.altroconsumo.it oraz opóźnienie w odpowiadaniu na żądania realizacji praw. W tym drugim punkcie spółka była już wcześniej ukarana.
Stan faktyczny
Postępowanie zaczęło się od skargi obywatela, który otrzymywał e-maile promocyjne od wydawnictwa bez wymaganej podstawy prawnej i mimo że już wcześniej prosił o zaprzestanie. Skarżący nigdy nie wypełnił formularza członkowskiego na stronie, a spółka nie była w stanie wykazać prawidłowości stosunku umownego, na który powoływała się jako na podstawę wysyłki.
Wada techniczna, czyli prawdziwy powód kary
W toku postępowania ustalono, że procedura rejestracji użytkowników nie była wsparta środkami technicznymi i organizacyjnymi zdolnymi zapobiec ryzyku bezprawnego przetwarzania, zwłaszcza gdy rejestracja i stosunek umowny nie dochodziły do skutku. W szczególności: nawet gdy użytkownik postanawiał nie potwierdzać utworzenia konta — a więc nie zapisywać się — spółka i tak uznawała umowę za zawartą i wysyłała e-maile promocyjne.
Dlaczego dotyczy to prawie wszystkich twoich klientów
Schemat jest zwyczajny: formularz rejestracji, e-mail potwierdzający i baza, która zapisuje rekord w pierwszym kroku zamiast w drugim. Nikt nie robi tego celowo. Efekt jest jednak taki, że adres osoby, która zmieniła zdanie w połowie — największy odsetek każdego lejka rejestracji — zostaje na liście z etykietą „użytkownik zarejestrowany", której nikt nigdy nie sprawdził.
Pytania do klienta
- W którym momencie zapisywany jest rekord użytkownika: przy wysłaniu formularza czy przy potwierdzeniu linku z e-maila?
- Jeśli potwierdzenie nigdy nie przychodzi, co dzieje się z rekordem po 24 godzinach, 7 dniach, 30 dniach? Czy istnieje automatyczne usuwanie?
- Czy podstawa prawna wskazana w rejestrze to umowa czy zgoda? Czy system odróżnia obie populacje?
- Czy sprzeciw wobec marketingu zgłoszony w jednym kanale przenosi się na wszystkie systemy, czy zostaje tam, gdzie go zebrano?
- Ile czasu mija między żądaniem realizacji praw a odpowiedzią? Czy jest to mierzone, czy odkrywane dopiero przy skardze?
Nałożone środki
- Kara pieniężna 280 000 euro
- Nakaz zaprzestania przetwarzania danych osób, które nie potwierdziły utworzenia konta
- Nakaz dostosowania procedur przetwarzania do RODO
Trudniejszy do wykonania jest drugi nakaz
Zaprzestanie przetwarzania danych osób, które nie potwierdziły konta, zakłada, że firma potrafi tę grupę wyodrębnić. Jeśli baza nie odróżnia kont potwierdzonych od nigdy niepotwierdzonych, wykonanie wymaga porządkowania jeszcze przed usunięciem. To praca, którą lepiej wykonać, zanim poprosi o nią organ.
Drugi wątek zasługuje na osobną uwagę: brak środków zapewniających skuteczne wykonywanie praw i odpowiedź bez zbędnej zwłoki. Spółka była już za to karana. Powrót do naruszenia obowiązku proceduralnego — odpowiedzieć w miesiąc — waży więcej, niż większość administratorów sądzi, bo dowodzi, że pierwsza decyzja nie przyniosła żadnej zmiany organizacyjnej.
Źródło urzędowe:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Źródło urzędowe:Garante privacy - Newsletter n. 550 del 29 luglio 2026Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
