Provvedimento Garante Altroconsumo: marketing digitale GDPR

Il Provvedimento 18 giugno 2026, n. 464 (testo in calce) emesso dal Garante per la protezione dei dati personali nei confronti di Altroconsumo Edizioni s.r.l. affronta temi centrali per chi si occupa di marketing e protezione dei dati: formazione del rapporto contrattuale, prova della registrazione al form, base giuridica delle comunicazioni promozionali, gestione dell’opposizione e dovere di cooperazione con l’Autorità. Ne emerge un principio netto: la compliance non coincide con la sola formalizzazione documentale, ma richiede processi realmente governati, sincronizzati e dimostrabili.

Il caso e il suo rilievo sistemico

Il provvedimento del Garante del 18 giugno 2026 presenta un interesse che va oltre il singolo episodio sanzionatorio. La vicenda prende le mosse da un reclamo con cui l’interessato ha dichiarato di aver ricevuto comunicazioni commerciali indesiderate via e-mail da parte di Altroconsumo Edizioni s.r.l., negando di aver mai effettuato alcuna richiesta tramite il form online della società e precisando, comunque, di non aver mai confermato il proprio account per completare la registrazione.

L’interessato ha inoltre rappresentato di aver esercitato il diritto di opposizione con note del 17 settembre 2025 e dell’11 ottobre 2025, lamentando però la ricezione di ulteriori e-mail promozionali anche successivamente.

Già da questi dati emerge il tratto più significativo della decisione: il Garante non analizza soltanto il singolo invio promozionale, ma l’intero processo che lo ha reso possibile. Raccolta del dato, registrazione al sito, conferma dell’account, qualificazione del rapporto, avvio dei flussi marketing, gestione delle opposizioni, conservazione delle evidenze e capacità di risposta all’Autorità vengono letti come parti di un unico sistema organizzativo.

È proprio su questo terreno che la decisione assume un valore paradigmatico per tutti i soggetti che operano nel digital marketing: la tenuta giuridica del trattamento dipende dalla serietà della sua governance.

Le violazioni accertate dal Garante

Il Garante ha confermato integralmente i rilievi mossi in sede di avvio del procedimento, accertando la violazione dell’art. 6, par. 1, lett. b) del Regolamento, per avere la società trattato i dati personali del reclamante sulla base di un asserito rapporto precontrattuale o contrattuale non dimostrato, la violazione degli artt. 6 e 7 del Regolamento e dell’art. 130 del Codice Privacy, per avere trattato i dati per finalità di marketing in assenza di idonea base giuridica, la violazione dell’art. 21 del Regolamento, per non avere dato corretto e tempestivo seguito al diritto di opposizione esercitato dall’interessato e la violazione dell’art. 157 del Codice Privacy, per non avere fornito riscontro alla richiesta di informazioni formulata dall’Ufficio.

L’Autorità ha quindi irrogato una sanzione amministrativa pecuniaria complessiva pari a euro 280.000, così ripartita: euro 180.000 per le violazioni degli artt. 6, 7 e 21 del Regolamento e dell’art. 130 del Codice; euro 100.000 per la violazione dell’art. 157 del Codice.

A ciò si aggiungono specifiche misure correttive e la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante.

Il punto decisivo: la società non prova il rapporto contrattuale

Uno dei passaggi più rilevanti del provvedimento riguarda il tentativo della società di ricondurre il trattamento all’art. 6, par. 1, lett. b) del Regolamento. Secondo la difesa, il rapporto precontrattuale o contrattuale con il reclamante si sarebbe validamente instaurato anche in mancanza della conferma dell’account, sicché il trattamento finalizzato al perfezionamento dell’acquisto di un abbonamento sarebbe stato legittimo.

Il Garante esclude, però, che tale ricostruzione trovi riscontro nelle evidenze prodotte.

La società aveva depositato un file Excel contenente dati di log, sostenendo che esso attestasse tre visite del reclamante al sito, due in data 11 agosto 2025 e una in data 5 settembre 2025, con compilazione del form, accettazione delle condizioni generali e presa visione dell’informativa privacy.

Secondo l’Autorità, tale file non offre adeguate garanzie di immodificabilità e integrità e, pertanto, non può essere considerato prova idonea in un contesto nel quale l’interessato contesta in modo espresso di aver mai visitato il sito o compilato alcun form.

Il provvedimento segnala inoltre alcune anomalie del dataset prodotto, ossia il cognome del reclamante risulta scritto in modo errato per tre volte, i tre indirizzi IP riportati nel file appaiono, secondo le verifiche richiamate nel provvedimento, canadesi, e l’unico dato direttamente riconducibile all’interessato resta, in sostanza, l’indirizzo e-mail inserito nel form.

L’effetto di tali rilievi è pressoché netto: in mancanza di prova affidabile della registrazione e del perfezionamento del rapporto, cade la base giuridica invocata dalla società per fondare i trattamenti successivi.

Tale è un passaggio di particolare importanza applicativa: in materia di marketing digitale non basta “avere dei log” o “produrre un estratto”: il titolare deve essere in grado di dimostrare l’origine del dato, la genuinità dell’interazione, l’integrità delle evidenze e la coerenza dell’intero flusso documentale. La prova del trattamento è parte integrante della compliance.

Conferma dell’account e double opt-in: il significato sostanziale del flusso di registrazione

Altro snodo centrale del provvedimento è la qualificazione della conferma dell’account.

La società ha sostenuto che la conferma dell’e-mail costituisse una fase meramente tecnica legata all’attivazione dell’account e non un meccanismo di double opt-in. Il Garante, tuttavia, confronta questa tesi con il contenuto della prima comunicazione inviata all’utente che compila il form, avente ad oggetto “Ci sei quasi: conferma la tua registrazione”, nel cui corpo si legge: “Ti manca un solo clic per accedere ai vantaggi di Altroconsumo. Per completare la tua registrazione clicca su questo link: Conferma il tuo account”.

Il tenore del messaggio è considerato decisivo: è la stessa società a presentare la conferma dell’account come necessaria per completare la registrazione. Da ciò il Garante ricava che, in mancanza di conferma, la registrazione resta non completata e il rapporto contrattuale non può dirsi instaurato.

Il provvedimento aggiunge poi un elemento particolarmente significativo sul piano organizzativo. Dalle evidenze istruttorie emerge che, se l’utente non conferma il proprio account, la società invia due ulteriori e-mail di contenuto simile; se la mancata conferma persiste, il sistema inizia comunque a inviare e-mail promozionali come se la registrazione fosse stata confermata.

Qui il problema non è soltanto giuridico, ma anche di architettura del processo. Se il sistema comunica all’utente che la registrazione non è conclusa e, ciononostante, il motore di marketing tratta quel contatto come registrato e attivo, si produce un evidente scollamento tra dichiarazioni rese all’interessato, logica contrattuale dichiarata dalla società, e funzionamento effettivo dei sistemi di invio.

In questo senso, il provvedimento valorizza la funzione sostanziale del double opt-in come presidio di verifica della reale volontà dell’interessato e come misura idonea ad evitare trattamenti non autorizzati da parte di terzi.

Marketing via e-mail: la registrazione non equivale al consenso

Sul piano della disciplina privacy applicata al marketing, la decisione sembra essere molto chiara.

Il Garante ricorda che l’art. 130, comma 2, del Codice Privacy consente l’invio di comunicazioni elettroniche per finalità commerciali, tramite posta elettronica, solo con il consenso del contraente o utente. Nel caso esaminato, manca però sia la prova del rapporto contrattuale sia una diversa valida base giuridica.

Il provvedimento evidenzia, infatti, che nel form presente sul sito della società vi sarebbe soltanto una check-box relativa alla presa visione dell’informativa privacy. Non risulta invece raccolto alcun consenso per l’invio di comunicazioni commerciali.

La conclusione del Garante è quindi inevitabile: la semplice compilazione del form, a maggior ragione se non seguita dalla conferma dell’account, non consente di legittimare l’invio di comunicazioni promozionali.

Il punto è di rilievo generale: la registrazione ad un sito, la presa visione dell’informativa e l’eventuale apertura di un flusso di onboarding non coincidono, di per sé, con un consenso marketing validamente prestato. Né il consenso può essere ricavato in via implicita dal semplice inserimento di un indirizzo e-mail in un form generico.

Il provvedimento ribadisce così una linea ferma: per il marketing serve una base giuridica effettiva, specifica e dimostrabile; non è sufficiente una ricostruzione ex post del comportamento dell’utente, specie se priva di prove robuste.

Soft spam e limiti della deroga

La decisione affronta anche il tema della deroga prevista dall’art. 130, comma 4, del Codice, che consente in determinate condizioni l’utilizzo dell’indirizzo e-mail già acquisito nel contesto della vendita di beni o servizi analoghi, ferma la possibilità di opposizione in ogni momento.

Nel caso di specie, il Garante esclude la possibilità di fare applicazione di tale esimente perché manca proprio la prova del presupposto da cui essa dipende, cioè l’esistenza di un rapporto contrattuale valido e della conseguente acquisizione dell’indirizzo e-mail nel contesto di una vendita.

Il ragionamento dell’Autorità è lineare: se non è dimostrata la corretta instaurazione del rapporto contrattuale, non può nemmeno operare la deroga al consenso prevista per il soft spam.

Questo passaggio conferma un aspetto spesso sottovalutato (spesso) nella pratica: le “deroghe” in materia di marketing non possono essere invocate in via automatica o meramente nominale, ma richiedono una rigorosa prova dei loro presupposti.

Il diritto di opposizione e il dies a quo del termine di riscontro

Di particolare interesse è la parte della decisione dedicata all’esercizio del diritto di opposizione.

Il reclamante aveva inviato un primo modulo di accesso ai dati personali e di opposizione al responsabile del trattamento il 17 settembre 2025. Per stessa indicazione della società, tale modulo era stato comunicato al titolare in pari data. Successivamente, l’interessato aveva reiterato il medesimo modulo direttamente al titolare il giorno 11 ottobre 2025.

La società ha sostenuto di avere predisposto la cessazione delle comunicazioni il 3 novembre 2025 e di aver quindi rispettato il termine di trenta giorni, facendo decorrere tale termine dalla seconda comunicazione.

Il Garante respinge questa tesi. Richiamando l’art. 12 del Regolamento, l’Autorità rileva che il titolare è tenuto a dare seguito ai diritti dell’interessato senza ingiustificato ritardo e al più tardi entro trenta giorni dal ricevimento della richiesta. Nel caso concreto, la data rilevante è il 17 settembre 2025, perché da quel momento il titolare era già venuto a conoscenza dell’opposizione per il tramite del responsabile del trattamento.

L’Autorità attribuisce prevalenza alla circostanza fattuale della effettiva conoscenza della richiesta rispetto all’eventuale esistenza di canali formali interni o dedicati, osservando inoltre che tali canali non risultano essere stati debitamente portati a conoscenza dell’interessato.

Il principio affermato è importante: non può pretendersi che l’interessato reiteri l’esercizio del proprio diritto solo perché lo ha inizialmente veicolato attraverso un responsabile del trattamento, quando il titolare sia già pienamente consapevole del suo contenuto.

Sul piano della governance, il significato è evidente. Se un’opposizione raggiunge il titolare, anche tramite un soggetto che opera nel trattamento, il sistema interno deve essere strutturato per prendere in carico la richiesta immediatamente, sincronizzare i database e i canali di invio, arrestare senza ritardo i trattamenti promozionali e documentare il corretto adempimento.

Il mancato riscontro al Garante e l’irrilevanza del passaggio di consegne tra DPO

Sul versante procedurale, la società ha giustificato il mancato riscontro alla richiesta di informazioni dell’Ufficio con il passaggio di consegne tra il precedente DPO interno e il nuovo professionista esterno incaricato dal 1° gennaio 2026.

Il Garante considera questa difesa non idonea a escludere la responsabilità. Le difficoltà connesse all’avvicendamento nel ruolo di DPO non integrano un impedimento oggettivamente non superabile e, in ogni caso, una reale volontà di cooperazione avrebbe imposto almeno una tempestiva rappresentazione della situazione all’Autorità, eventualmente accompagnata dalla richiesta di un termine congruo per rispondere.

L’Autorità sottolinea che la violazione dell’art. 157 del Codice Privacy è dipesa da scelte interne della società e da un’organizzazione che ha mostrato limiti nella gestione del rapporto con il Garante.

Anche questo passaggio si presta a una lettura più ampia: nel 2026, il cambio di DPO non può essere assunto come alibi organizzativo. Se la compliance dipende dalla presenza o dall’assenza del singolo referente, il problema non è contingente ma strutturale: manca la continuità del presidio, manca una governance dei flussi informativi, manca un modello di accountability realmente funzionante.

Giustizia, algoritmi, intelligenza artificiale. profili socio-giuridico-economici della rivoluzione 4.0, Helzel Paola B., Ed. Cedam. Il volume è il risultato di un lavoro di ricerca durato quasi un anno che prende le mosse da un progetto GAIA. Scarica gratuitamente un estratto

Le misure correttive e la funzione conformativa del provvedimento

Il provvedimento non si limita alla sanzione economica. Il Garante impone alla società specifiche misure correttive.

In particolare, prescrive di conformare i trattamenti alle disposizioni del Regolamento, utilizzando la base di liceità dell’art. 6, par. 1, lett. b) solo nel caso in cui l’interessato abbia fornito conferma del proprio account, cessando il trattamento di coloro che non vi abbiano provveduto, salvo l’esistenza di ulteriori basi di legittimità, di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa e a soddisfare senza ingiustificato ritardo le relative istanze, compreso il diritto di opposizione esercitabile in qualsiasi momento, di comunicare all’Autorità, entro trenta giorni dalla notifica del provvedimento, le iniziative intraprese per dare attuazione alle misure imposte.

La funzione del provvedimento, dunque, è anche conformativa: il Garante impone una riprogettazione del processo, non soltanto il pagamento di una sanzione. Il messaggio è dunque chiaro: la violazione nel contesto del marketing digitale non è quasi mai un fatto puntiforme, ma il sintomo di un difetto organizzativo che deve essere corretto alla radice.

Il raccordo con le Linee guida sui tracking pixel

La decisione del 18 giugno 2026 si inserisce in un contesto regolatorio più ampio, nel quale assume rilievo il provvedimento del 17 aprile 2026 recante le Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica.

In quelle Linee guida, il Garante qualifica i tracking pixel come strumenti di tracciamento particolarmente invasivi, spesso non percepibili dall’interessato, idonei a consentire al mittente o ai suoi partner di ottenere informazioni relative all’apertura del messaggio, alle aperture successive, al dispositivo utilizzato e ad altri dati tecnici del destinatario.

L’Autorità chiarisce inoltre che l’impiego dei tracking pixel nelle e-mail rientra nell’ambito dell’art. 122 del Codice e che, salvo specifiche ipotesi derogatorie, richiede adeguata informativa agli interessati, il consenso, quando necessario, la possibilità di revoca anche granulare, e l’adozione di misure di privacy by design e by default.

Il collegamento con il provvedimento su Altroconsumo è evidente. Entrambi i testi mostrano che il marketing digitale è un terreno tecnicamente complesso, ma proprio per questo non può essere gestito con approssimazione. La complessità degli strumenti — registrazioni online, sistemi CRM, piattaforme di invio, log di prova, strumenti di tracciamento, canali di revoca e opposizione — impone un governo serio dei processi, una chiara ripartizione dei ruoli e un monitoraggio effettivo della loro tenuta.

Le Linee guida sui tracking pixel, inoltre, insistono sul principio di trasparenza e sulla necessità che l’interessato acquisisca piena consapevolezza dei meccanismi di tracciamento implementati nelle comunicazioni. Letto insieme al provvedimento del 18 giugno, ciò rafforza un’idea di fondo: la legittimità del marketing non si esaurisce nella presenza di una base giuridica astratta, ma richiede che ogni fase del trattamento sia coerente, comprensibile, verificabile e revocabile.

Considerazioni conclusive: accountability come governo dei processi

Il dato forse più significativo che emerge dal provvedimento è che la non conformità non dipende soltanto dall’errata individuazione della base giuridica, ma dalla debolezza complessiva della macchina organizzativa che avrebbe dovuto presidiare il marketing.

La decisione restituisce l’immagine di un sistema nel quale: non è adeguatamente provata l’origine del dato, la conferma dell’account è presentata come necessaria, ma il processo prosegue comunque anche in sua assenza, il consenso marketing non risulta validamente raccolto, l’opposizione non viene gestita nei tempi dovuti, il rapporto con l’Autorità si arresta dinanzi a un avvicendamento interno.

Tutto ciò rende evidente un punto: essere compliant e aderire al principio di accountability non significa solo dotarsi di misure di sicurezza o formalizzare policy e ruoli. Significa saper dimostrare di aver adottato processi adeguati, di monitorarli in modo costante e di verificare se funzionino davvero alla prova dei fatti.

Il provvedimento sembra così richiamare, in filigrana, alcuni temi classici ma sempre attuali della compliance nel marketing digitale: la necessità di flussi chiari tra front-end, form di registrazione, sistemi CRM e piattaforme di invio; la sincronizzazione tempestiva tra esercizio dei diritti e blocco operativo delle campagne; la conservazione delle evidenze in formati idonei a garantire affidabilità probatoria; il superamento di audit solo formali, incapaci di intercettare le frizioni reali del processo; la costruzione di una governance che non dipenda dalla singola funzione o dal singolo soggetto, ma sia incorporata nell’organizzazione.

In questa prospettiva, la vicenda conferma che il marketing resta certamente un’area complessa, anche alla luce dell’evoluzione degli strumenti tecnici, ma che la complessità non può comunque essere invocata come scusa. Al contrario, deve tradursi in una governance più seria e ragionevole.

Il provvedimento del 18 giugno 2026 vuole consegnare, dunque, agli operatori un messaggio netto: la compliance non è un apparato difensivo da attivare quando arriva il reclamo o l’istruttoria; è un insieme di processi quotidiani che devono essere progettati, coordinati, documentati e verificati. Solo così la base giuridica del marketing smette di essere un’affermazione teorica e diventa una realtà dimostrabile.

IN COLLABORAZIONE CON

>> Scopri il Corso online il trattamento dei dati personali nell’utilizzo dell’intelligenza artificiale di Altalex!

Garante Privacy, Provvedimento n. 464/2026