Registrazione mai completata, email promozionali partite lo stesso: 280mila euro

Un reclamo, una persona

Le sanzioni privacy che finiscono sui giornali di solito nascono da un evento: una violazione di dati, un'inchiesta d'ufficio, una segnalazione di massa. Questa no. Questa nasce da una persona che ha scritto all'Autorità dicendo, in sostanza: continuo a ricevere email promozionali, avevo già chiesto di non riceverne, e per di più non mi sono mai iscritta.

Il Garante ha sanzionato Altroconsumo Edizioni S.r.l. per 280.000 euro in relazione all'utilizzo, a fini di marketing via email, di dati raccolti attraverso il sito www.altroconsumo.it, e ai ritardi nel riscontro alle richieste di esercizio dei diritti.

Vale la pena notare chi è il destinatario, perché rende il caso più istruttivo e non meno: Altroconsumo è l'organizzazione italiana di riferimento per la tutela dei consumatori. Non un operatore di marketing aggressivo. Il che suggerisce che il problema accertato non sia una scelta commerciale spregiudicata, ma qualcosa di più banale e più diffuso — un difetto di processo rimasto lì.

Cosa è stato accertato

Il punto tecnico è il più interessante, e conviene enunciarlo con precisione perché è replicabile in migliaia di siti.

La reclamante non aveva mai compilato il modulo per diventare socia. L'azienda, dal canto suo, non è stata in grado di dimostrare la correttezza del rapporto contrattuale che avrebbe giustificato l'invio.

Dall'istruttoria è emerso che la procedura di registrazione degli utenti non prevedeva misure tecniche adeguate. Detto in termini operativi: chi iniziava l'iscrizione e la abbandonava a metà — senza confermare, senza completare — finiva comunque nel bacino su cui poi partivano le comunicazioni promozionali.

Oltre alla sanzione, il Garante ha ordinato di cessare il trattamento dei dati di chi non aveva confermato la creazione dell'account e di conformare le procedure al GDPR.

Perché è un caso di sicurezza, non solo di marketing

L'obiezione naturale è che questa sia una questione di compliance pubblicitaria, non di sicurezza informatica. È un'obiezione che vale la pena smontare, perché il confine è meno netto di quanto sembri.

Un dato raccolto senza base giuridica è un dato che non si sa custodire. Se nessuno sa che quelle persone sono in archivio, nessuno mette quell'archivio nel registro dei trattamenti, nessuno lo include nella valutazione dei rischi, nessuno decide per quanto tempo conservarlo. È un archivio invisibile all'organizzazione che lo possiede — e perfettamente visibile a chiunque entri.

La minimizzazione è una misura di sicurezza, non un adempimento formale. Il dato che non si raccoglie è il dato che non si può perdere. Un elenco di iscrizioni mai completate è, per definizione, un elenco che nessuno ha motivo di difendere.

I ritardi nel riscontro sono un sintomo. Il GDPR concede un mese per rispondere a chi esercita i propri diritti, prorogabile in casi complessi. Quando quel termine salta, di solito non è per malafede: è perché non esiste un processo che colleghi la richiesta ricevuta ai sistemi che contengono davvero i dati. Ed è la stessa capacità che serve in un incidente — sapere dove sono i dati e chi ci sta dentro. Chi non riesce a rispondere in un mese a una persona che chiede cosa avete su di me, in 72 ore non riuscirà a dire a un'autorità quante persone sono coinvolte in una violazione.

Il modulo lasciato a metà

1. 01
   L'utente

   inizia la registrazione sul sito
2. 02
   L'utente

   non conferma: chiude, cambia idea, si distrae
3. 03
   Il sistema

   conserva comunque il dato e lo rende disponibile al marketing
4. 04
   L'effetto

   comunicazioni promozionali a chi non ha mai completato niente

C'è un modo comodo di raccontare questa vicenda — un'azienda che manda email a chi non le vuole — e uno più utile: il consenso non è un momento, è uno stato, e il sistema deve saper distinguere fra un'iscrizione iniziata e una conclusa.

È una distinzione che quasi ogni modulo di registrazione online attraversa. L'utente inserisce l'email, poi arriva la telefonata, poi il treno, poi la giornata. Il dato però è già arrivato al server. Cosa succede a quel dato è una decisione tecnica, presa da qualcuno mesi o anni prima, spesso senza pensarci: conservarlo per permettere di riprendere l'iscrizione più tardi è ragionevole; considerarlo un'iscrizione non lo è.

La lezione operativa è la stessa per qualunque sito che raccolga contatti: serve un flag esplicito che dica se la registrazione è stata confermata, e tutto ciò che sta a valle — invii, profilazione, arricchimento — deve leggere quel flag. Se non esiste, la scelta implicita è già stata fatta, e non è quella giusta.

Cosa non sappiamo

Il testo integrale del provvedimento non è stato consultato direttamente in questa verifica: i contenuti qui riportati seguono la comunicazione del Garante del 29 luglio 2026 e la sua newsletter n. 550. Il portale dell'Autorità risponde in modo poco affidabile alle richieste automatiche, e questo è un limite dichiarato di questa ricostruzione.

Non sono pubblici — o comunque non li abbiamo verificati — il numero di persone coinvolte, il periodo esatto in cui il difetto è rimasto attivo, i criteri di quantificazione della sanzione e l'eventuale intenzione di impugnare il provvedimento. Il termine per il ricorso decorre dalla notifica, non dalla notizia.

Cosa portare a casa

Verificate cosa fa il vostro modulo di registrazione con le iscrizioni incomplete. Non è una domanda per l'ufficio legale: è una domanda per chi ha scritto il codice, e la risposta è quasi sempre nel database, non nella privacy policy.

Verificate che il consenso al marketing sia separato e tracciabile. Separato dall'adesione al servizio, e con una traccia che dica quando e tramite quale schermata è stato prestato. In caso di contestazione, l'onere della prova è di chi tratta.

Cronometrate il vostro riscontro alle richieste. Se non sapete quanto ci mettete a rispondere a una richiesta di accesso, ci mettete troppo.

Trattate il registro dei trattamenti come un inventario di sicurezza. È l'unico documento che, se tenuto onestamente, dice quali archivi esistono davvero. Vale in un'ispezione, e vale il giorno in cui serve sapere cosa è stato perso.

Il punto

Un modulo lasciato a metà non è un consenso. È un modulo a metà.

Sembra ovvio scritto così. Costa 280mila euro quando a scriverlo, nel sistema, non ci ha pensato nessuno.