Em resumo
A autoridade italiana aplicou à Altroconsumo Edizioni Srl uma coima de 280.000 euros (decisão de 18 de junho de 2026, doc. web 10269624). Duas linhas: o uso para e-mail marketing dos dados recolhidos no sítio www.altroconsumo.it e o atraso em responder aos pedidos de exercício de direitos. Neste segundo ponto a sociedade já tinha sido sancionada por decisão anterior.
Os factos
O procedimento nasce da reclamação de um cidadão que recebia e-mails promocionais da editora sem os necessários fundamentos de licitude e apesar de já ter pedido para deixar de os receber. O reclamante nunca tinha preenchido o formulário existente no sítio para se tornar sócio, e a sociedade não conseguiu demonstrar a correção da relação contratual que invocava como fundamento do envio.
O defeito técnico, que é a verdadeira razão da coima
Na instrução apurou-se que o procedimento de registo dos utilizadores no sítio não estava acompanhado de medidas técnicas e organizativas idóneas a prevenir o risco de tratamentos ilícitos, sobretudo nos casos em que o registo e a relação contratual não se concretizavam. Em particular: mesmo quando os utilizadores decidiam não confirmar a criação da conta — e portanto não se inscrever — a sociedade considerava na mesma concluída a relação contratual e procedia ao envio de e-mails promocionais.
Porque isto toca quase todos os seus clientes
O esquema é corrente: um formulário de registo, um e-mail de confirmação, e uma base de dados que escreve o registo no primeiro passo em vez do segundo. Ninguém o faz de propósito. Mas o resultado é que o endereço de quem mudou de ideias a meio — a maior fatia de qualquer funil de inscrição — fica na lista com uma etiqueta «utilizador registado» que ninguém alguma vez verificou.
As perguntas a fazer ao cliente
- Em que momento é escrito o registo do utilizador: no envio do formulário ou na confirmação da ligação recebida por e-mail?
- Se a confirmação nunca chega, o que acontece a esse registo passadas 24 horas, 7 dias, 30 dias? Existe eliminação automática ou fica ali?
- O fundamento declarado no registo para o envio é o contrato ou o consentimento? E o sistema sabe distinguir as duas populações?
- A oposição ao marketing exercida num canal propaga-se a todos os sistemas, ou fica no canal onde foi recolhida?
- Quanto tempo passa entre o pedido de exercício de direitos e a resposta? É medido, ou descobre-se quando chega a reclamação?
As medidas impostas
- Coima de 280.000 euros
- Ordem de cessar o tratamento dos dados de quem não confirmou a criação da própria conta
- Ordem de adequar ao RGPD os procedimentos de tratamento
A ordem mais difícil de executar é a segunda
Cessar o tratamento de quem não confirmou a conta pressupõe que a empresa saiba isolar essa população. Se a base de dados não distingue contas confirmadas de contas nunca confirmadas, o cumprimento exige uma limpeza antes mesmo da eliminação. É o tipo de trabalho que convém fazer antes de ser uma autoridade a pedi-lo.
A segunda linha merece nota própria: a falta de medidas idóneas a garantir o exercício efetivo dos direitos e a resposta sem atraso injustificado. A sociedade já tinha sido sancionada neste ponto. A reincidência numa obrigação processual — responder no prazo de um mês — pesa mais do que a maioria dos responsáveis imagina, porque demonstra que a primeira decisão não produziu qualquer mudança organizativa.
Official source:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Official source:Garante privacy - Newsletter n. 550 del 29 luglio 2026Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
