Ordinanza ingiunzione o revoca n. 464 del 18/06/2026

Altroconsumo Edizioni s.r.l. - trattamento illecito per marketing via e-mail e mancato riscontro ai diritti dell’interessato

Il Garante per la protezione dei dati personali ha adottato nei confronti di Altroconsumo Edizioni s.r.l. un provvedimento correttivo e sanzionatorio, all’esito di un reclamo relativo all’invio di comunicazioni commerciali indesiderate via e-mail e alla mancata corretta gestione del diritto di opposizione. Nel corso dell’istruttoria è stata inoltre contestata e poi confermata l’omessa risposta alla richiesta di informazioni dell’Autorità ex art. 157 del Codice privacy.

Origine del reclamo e attività istruttoria

Il procedimento trae origine da un reclamo del 4 novembre 2025, nel quale l’interessato rappresentava di non aver mai compilato alcun form sul sito della società, di non aver mai confermato il proprio account e di aver comunque inviato richieste di opposizione al trattamento, alle quali sarebbero seguite ulteriori e-mail promozionali. L’Ufficio del Garante, con nota del 9 febbraio 2026, ha chiesto informazioni al titolare ai sensi dell’art. 157 del Codice, ma la richiesta è rimasta priva di riscontro.

Successivamente, con nota del 31 marzo 2026, il Garante ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del GDPR, contestando alla società:

• l’assenza di base giuridica ai sensi dell’art. 6, par. 1, lett. b) GDPR;
• l’illiceità del marketing ai sensi degli artt. 6 e 7 GDPR e dell’art. 130 Codice;
• la violazione dell’art. 21 GDPR;
• il mancato riscontro all’Autorità ex art. 157 Codice.

Difese della società

La società ha sostenuto che i dati del reclamante fossero stati raccolti a seguito di accessi al sito e di compilazione del form online, e che il trattamento fosse fondato su un rapporto precontrattuale/contrattuale legittimamente instaurato. Ha inoltre giustificato il mancato riscontro all’Ufficio con il passaggio di consegne tra il precedente DPO interno e il nuovo DPO esterno. Quanto all’opposizione, ha affermato di aver cessato le comunicazioni entro il 3 novembre 2025, ritenendo rispettato il termine di 30 giorni.

Valutazione del Garante sulla base giuridica del trattamento

Il Garante ha escluso che la società avesse dimostrato l’esistenza di un valido rapporto contrattuale o precontrattuale idoneo a fondare il trattamento ex art. 6, par. 1, lett. b) GDPR. In particolare, ha osservato che:

• il file Excel con i log prodotti non offriva garanzie sufficienti di immodificabilità e integrità;
• nel file comparivano elementi anomali, tra cui un cognome errato ripetuto e indirizzi IP apparentemente canadesi;
• il meccanismo di conferma account descritto nelle e-mail della società non era un mero passaggio tecnico, ma di fatto un vero e proprio sistema di double opt-in;
• in assenza di conferma dell’account, la registrazione doveva ritenersi non completata e il rapporto contrattuale non instaurato.

Il Garante ha quindi ritenuto illecito il trattamento fondato sull’asserito rapporto contrattuale, incluso il passaggio dei dati al responsabile del trattamento per finalità precontrattuali.

Marketing via e-mail e assenza di consenso

Venuta meno la base dell’art. 130, comma 4, Codice, il Garante ha verificato l’esistenza di un diverso presupposto di liceità per l’invio delle comunicazioni promozionali. Ha concluso che mancava anche il consenso dell’interessato, poiché nel form online era presente solo una casella per la presa visione dell’informativa privacy e non un consenso specifico al marketing.

Di conseguenza, è stata confermata la violazione:

• degli artt. 6 e 7 GDPR;
• dell’art. 130 Codice privacy.

Diritto di opposizione e ritardo nella cessazione delle comunicazioni

Il reclamante aveva esercitato il diritto di opposizione già il 17 settembre 2025, tramite un modulo inviato al responsabile del trattamento e poi comunicato al titolare nella medesima data. La società ne era quindi a conoscenza sin da quel momento. L’interessato aveva poi reiterato la richiesta l’11 ottobre 2025.

Il Garante ha stabilito che il termine di 30 giorni andava computato dal 17 settembre 2025 e che l’opposizione avrebbe dovuto essere soddisfatta entro il 17 ottobre 2025. La cessazione delle e-mail promozionali avvenuta solo dopo il 3 novembre 2025 è stata quindi considerata tardiva.

L’Autorità ha inoltre rilevato che non era corretto addossare all’interessato l’onere di reiterare la richiesta direttamente al titolare, quando il responsabile aveva già informato quest’ultimo dell’opposizione, e ha richiamato l’obbligo di supporto del responsabile ex art. 28, par. 3, lett. e), GDPR.

Ne è derivata la conferma della violazione dell’art. 21 GDPR.

Mancato riscontro alle richieste del Garante

Il Garante ha ritenuto non giustificato il mancato riscontro alla richiesta di informazioni del 9 febbraio 2026. Il cambio del DPO è stato ritenuto una causa interna non idonea a esonerare il titolare dall’obbligo di cooperazione. La società avrebbe dovuto comunicare tempestivamente le difficoltà organizzative e chiedere, se del caso, un termine per adempiere.

È stata quindi confermata la violazione dell’art. 157 del Codice, come condotta autonoma e distinta dalle altre contestazioni.

Misure correttive prescritte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR e dell’art. 157 Codice, il Garante ha prescritto alla società di:

• conformare i trattamenti al GDPR, utilizzando l’art. 6, par. 1, lett. b) solo quando l’interessato abbia effettivamente confermato il proprio account;
• cessare il trattamento nei confronti di coloro che non abbiano completato tale conferma, salvo altra idonea base giuridica;
• adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti degli interessati e a riscontrare senza ingiustificato ritardo le istanze, incluso il diritto di opposizione esercitabile in qualsiasi momento;
• comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese.

È stato anche avvertito che l’eventuale mancato adempimento potrebbe comportare l’applicazione della sanzione ex art. 83, par. 5, GDPR.

Sanzione amministrativa pecuniaria

Per le violazioni degli artt. 6, 7 e 21 GDPR e dell’art. 130 Codice, trattandosi di trattamenti collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, individuando una sanzione complessiva per tale blocco di illeciti. La quantificazione ha considerato:

• la natura e gravità del trattamento, consistente nell’invio di e-mail commerciali indesiderate;
• la colpa grave;
• il fatto che fosse coinvolta una sola tipologia di dati di contatto e un solo interessato;
• la presenza di precedenti provvedimenti pertinenti nei confronti della medesima società;
• l’assenza di cooperazione con l’Autorità;
• la circostanza che l’Autorità fosse venuta a conoscenza dei fatti tramite reclamo.

La sanzione per questo primo blocco è stata determinata in euro 180.000.

Per la violazione dell’art. 157 del Codice, il Garante ha valorizzato il mancato riscontro alla richiesta istruttoria e la condotta gravemente colposa, la mancanza di precedenti pertinenti e l’assenza di cooperazione, determinando una sanzione di euro 100.000.

L’importo complessivo dell’ordinanza-ingiunzione è stato quindi fissato in euro 280.000.

Dispositivo finale e rimedi

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Altroconsumo Edizioni s.r.l., ha imposto le misure correttive indicate, ha ordinato il pagamento di euro 280.000 e ha disposto la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito istituzionale.

È stato infine ricordato che avverso il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.