I korthet
Den italienska tillsynsmyndigheten har påfört Altroconsumo Edizioni Srl en sanktionsavgift på 280 000 euro (beslut av den 18 juni 2026, doc. web 10269624). Två spår: användningen för e-postmarknadsföring av uppgifter insamlade på webbplatsen www.altroconsumo.it, och dröjsmålet med att besvara begäranden om utövande av rättigheter. På den senare punkten hade bolaget redan sanktionerats i ett tidigare beslut.
Omständigheterna
Ärendet inleddes med klagomålet från en medborgare som fick reklamutskick från förlaget utan nödvändig rättslig grund och trots att han redan bett att slippa dem. Klaganden hade aldrig fyllt i medlemsformuläret på webbplatsen, och bolaget kunde inte visa att det avtalsförhållande det åberopade som grund för utskicken faktiskt förelåg.
Det tekniska felet, som är det verkliga skälet till avgiften
Under utredningen framkom att registreringsförfarandet på webbplatsen inte åtföljdes av tekniska och organisatoriska åtgärder lämpade att förebygga risken för olaglig behandling, särskilt inte i de fall där registreringen och avtalsförhållandet inte fullbordades. Närmare bestämt: även när användarna valde att inte bekräfta kontoskapandet — och alltså inte registrera sig — betraktade bolaget ändå avtalet som slutet och skickade reklamutskick.
Varför det rör nästan alla dina kunder
Mönstret är vardagligt: ett registreringsformulär, ett bekräftelsemejl, och en databas som skriver posten i första steget i stället för i det andra. Ingen gör det med flit. Men resultatet är att adressen till den som ändrade sig halvvägs — den största andelen i varje registreringstratt — blir kvar i listan med etiketten ”registrerad användare” som ingen någonsin kontrollerat.
Frågorna att ställa till kunden
- När skrivs användarposten: vid formulärets inskickande eller vid bekräftelse av länken i mejlet?
- Om bekräftelsen aldrig kommer, vad händer med posten efter 24 timmar, 7 dagar, 30 dagar? Finns automatisk radering?
- Är den rättsliga grund som anges i registret avtal eller samtycke? Och kan systemet skilja de två grupperna åt?
- Sprider sig en invändning mot marknadsföring i en kanal till alla system, eller stannar den där den samlades in?
- Hur lång tid går mellan begäran om utövande av rättigheter och svaret? Mäts det, eller upptäcks det när klagomålet kommer?
De ålagda åtgärderna
- Sanktionsavgift på 280 000 euro
- Föreläggande att upphöra med behandlingen av uppgifter om dem som inte bekräftat skapandet av sitt konto
- Föreläggande att anpassa behandlingsrutinerna till dataskyddsförordningen
Det svåraste föreläggandet att verkställa är det andra
Att upphöra med behandlingen av dem som inte bekräftat kontot förutsätter att bolaget kan isolera den gruppen. Skiljer databasen inte bekräftade från aldrig bekräftade konton kräver efterlevnaden en uppstädning redan före raderingen. Det är den sortens arbete som lönar sig att göra innan en myndighet ber om det.
Det andra spåret förtjänar en egen anmärkning: avsaknaden av åtgärder för att säkerställa ett verkligt utövande av rättigheterna och svar utan onödigt dröjsmål. Bolaget hade redan sanktionerats på den punkten. Återfall i en processuell skyldighet — att svara inom en månad — väger tyngre än de flesta personuppgiftsansvariga tror, eftersom det visar att det första beslutet inte ledde till någon organisatorisk förändring.
Official source:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Official source:Garante privacy - Newsletter n. 550 del 29 luglio 2026Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
