VEDI ANCHE Newsletter del 29 luglio 2026

[doc. web n. 10269624]

Provvedimento del 18 giugno 2026

Registro dei provvedimenti
n. 464 del 18 giugno 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con nota del 4 novembre 2025, acquisita agli atti in pari data (prot. n. 146057), è pervenuto un reclamo a questa Autorità con il quale è stato rappresentato di aver ricevuto comunicazioni commerciali indesiderate via e-mail da parte di Altroconsumo Edizioni s.r.l., P.IVA 12581280158, in Viale Piero e Alberto Pirelli, 10 - 20126 Milano (“Società”), in qualità di titolare del trattamento dei dati personali trattati mediante il sito www.altroconsumo.it.

Nel merito, il reclamante ha negato di aver mai effettuato alcuna richiesta tramite form on-line della Società e, in ogni caso, non ha mai dato conferma del “proprio account” per completare il processo di registrazione ad Altroconsumo. Inoltre, a fronte della ricezione di numerose comunicazioni da parte della Società, il reclamante ha anche esercitato il proprio diritto di opposizione al trattamento (con note del 17 settembre 2025 e dell’11 ottobre 2025) a seguito della quale, comunque, ha dichiarato di aver ricevuto ulteriori email promozionali.

1.2. Attività svolta

Con la nota del 9 febbraio 2026 (prot. n. 18848), l’Ufficio del Garante ha formulato, ai sensi dell’art. 157 del Codice, una richiesta di informazioni alla Società in merito a quanto rappresentato nel predetto reclamo. La richiesta, che risulta regolarmente consegnata via PEC in pari data, è rimasta tuttavia priva riscontro.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base agli elementi sopra riportati e sulla base delle evidenze allegate al reclamo, con nota del 31 marzo 2026 (prot. n. 50043), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate hanno riguardato le seguenti norme:

- art. 6, par. 1, lett. b) del Regolamento, in quanto i trattamenti posti in essere dalla Società, in relazione alle comunicazioni inviate dopo la prima email e in relazione al contatto telefonico del responsabile del trattamento, non rientrano tra le misure precontrattuali adottate su richiesta dell’interessato;

- artt. 6 e 7 del Regolamento e 130 del Codice, in quanto la Società ha trattato i dati personali del reclamante per finalità di marketing senza alcuna idonea base di legittimità;

- artt. 21 del Regolamento, in quanto la Società non ha dato correttamente seguito al diritto di opposizione esercitato dal reclamante;

- art. 157 del Codice, in quanto la Società non ha fornito le informazioni richiesta dall’Ufficio procedente.

2.2. Difese della Parte (art. 166, comma 6, del Codice)

La Società ha fatto pervenire scritti difensivi in relazione al procedimento a suo carico e, dopo aver chiesto l’audizione avanti all’Autorità e averne ottenuto la fissazione, vi ha successivamente rinunciato.

In particolare, con memoria del 5 maggio 2026 (prot. n. 68431), il titolare del trattamento ha ricostruito, sotto un profilo generale, le circostanze fattuali che hanno caratterizzato il caso di specie, rappresentando di aver trattato i dati personali del reclamante (anche per finalità di marketing) a seguito di accessi, posti in essere dallo stesso reclamante, al sito www.altroconsumo.it.

Nel merito delle contestazioni formulate dall’Ufficio procedente, la Società ha affermato, in primo luogo, che il mancato riscontro alle richieste di informazioni era legato al passaggio di consegne tra il precedente DPO (interno) e il nuovo professionista esterno incaricato, a far data dal 1° gennaio 2026, della relativa funzione. Secondo la Società, la contingenza di tale situazione avrebbe impedito di fornire il riscontro richiesto “senza alcuna volontà di sottrarsi agli obblighi di cooperazione con l’Autorità”.

La Società ha, altresì, sostenuto che il rapporto precontrattuale/contrattuale con il reclamante fosse stato correttamente instaurato, anche in mancanza della conferma account da parte dell’utente, e che, pertanto, il trattamento finalizzato al perfezionamento dell’acquisto di un abbonamento ai propri servizi potesse legittimamente basarsi sull’art. 6, par. 1, lett. b) del Regolamento. 

A sostegno di quanto rappresentato, la Società ha richiamato le proprie Condizioni Generali relativamente alla definizione di “socio” e di “FAN”, affermando che la mancata conferma della email da parte del reclamante “rappresenta una fase meramente tecnica legata all’attivazione dell’accout”.

Da ultimo, in relazione alla possibile violazione dell’art. 21 del Regolamento, la Società ha sostenuto di aver dato seguito alla richiesta ricevuta l’11 ottobre 2025 predisponendo la cessazione delle comunicazioni il 3 novembre successivo, dunque rispettando asseritamente il termine di 30 giorni previsti dalla normativa. Inoltre, la circostanza che nel form di iscrizioni al sito fosse stato inserito un cognome errato (simile a quello del reclamante con la differenza di una doppia “n” mancante e con l’aggiunta di una doppia “c”) avrebbe determinato un allungamento dei tempi di evasione della richiesta.

Sotto un profilo procedurale, come anticipato, la Società aveva richiesto con le proprie memorie anche la fissazione dell’audizione salvo comunicare, successivamente alla indicazione della data da parte degli Ufficio, di rinunciarvi (con nota prot. n. 70838 dell’8 maggio 2026) “in considerazione del fatto che, successivamente al deposito della memoria, non sono emersi ulteriori elementi di novità o circostanze aggiuntive da rappresentare rispetto a quanto già compiutamente dedotto negli scritti difensivi, la Scrivente Società comunica di rinunciare all’audizione richiesta”.    

3. VALUTAZIONI DELL’AUTORITÀ

In base ai profili fattuali sopra evidenziati e alle affermazioni rese con la memoria difensiva, di cui la Società risponde ai sensi dell’art. 168 Codice, si ritiene di confermare le violazioni rilevate nell’atto di contestazione per i motivi di seguito esposti.

3.1 SULLA POSSIBILE VIOLAZIONE DELL’ART. 157 DEL CODICE

In primo luogo si rappresenta che le circostanze addotte dalla Società, che avrebbero impedito di fornire riscontro all’Ufficio, non appaiono essere caratterizzate da elementi (come es. caso fortuito e forza maggiore) idonei ad integrare impedimenti oggettivamente non superabili e comunque tali da poter esonerare la stessa dalla responsabilità per il mancato riscontro all’Autorità.

In particolare, pur comprendendo le difficoltà legate all’inserimento di un professionista esterno nel ruolo di DPO della società, la volontà di cooperazione con l’Autorità avrebbe richiesto, quantomeno, una tempestiva rappresentazione della stessa circostanza e delle difficoltà agli Uffici, accompagnata, se del caso, dalla richiesta di un tempo congruo per fornire il dovuto riscontro. Diversamente, nei fatti, la Società ha ritenuto di dover riportare la propria situazione interna solo all’esito della notifica dell’atto di avvio del procedimento di cui all’art. 166 del Codice, facendone discendere un presunto impedimento oggettivo. 

Ne consegue che la violazione dell’art. 157 del Codice, che qui si conferma, è dipesa da scelte interne della Società (quelle legate al cambio di DPO) e da un’organizzazione societaria che ha mostrato limiti nella gestione del rapporto con questa Autorità. 

3.2 SULLA COSTITUZIONE DEL RAPPORTO CONTRATTUALE CON IL RECLAMANTE

In merito alla costituzione del rapporto precontrattuale e contrattuale che avrebbe legittimato la Società a trattare i dati personali del reclamante ai sensi dell’art. 6, par. 1, lett. b) del Regolamento, preme rappresentare che le evidenze prodotte in atti e le argomentazioni proposte nella memoria difensiva non appaiono idonee a supportare quanto affermato dal titolare del trattamento.

Sotto un primo profilo, si rappresenta che il reclamante ha contestato di aver mai visitato il sito del titolare del trattamento; a fronte di ciò, la Società ha dichiarato, al contrario, di aver registrato tre visite asseritamente riconducibili al reclamante (due in data 11 agosto 2025 e una in data 5 settembre 2025), producendo a supporto un file excel con i dati di log (doc. 1 della memoria difensiva). Secondo la ricostruzione della Società, durante tali visite al proprio sito, il reclamante avrebbe compilato il form presente sul sito, accettando le Condizioni Generali dei servizi offerti e prendendo visione dell’informativa privacy.

Alla luce di quanto presente in atti, mancano evidenze idonee a dimostrare l’esistenza del rapporto contrattuale.

Infatti, si ritiene opportuno rilevare come il formato del file excel prodotto a prova dell’accesso al sito da parte dell’interessato non fornisca garanzie di immodificabilità e di integrità che in contesti simili il Garante ha ritenuto necessari (cfr. Provv. 23 ottobre 2025, n. 654 - doc. web n. 10200530). Tale rigore probatorio si ritiene quantomai opportuno in casi, come quello di specie, in cui l’interessato contesti di aver mai visitato il sito del titolare, negando di aver mai compilato alcun form. 

Inoltre, anche da una verifica preliminare delle informazioni contenute nello stesso documento 1 prodotto in allegato alle memorie difensive, emergono elementi di singolarità; il primo, evidenziato dalla stessa Società, è il cognome (scritto in modo errato) del reclamante e il fatto che il medesimo errore sia risultato per ben tre volte. Il secondo elemento - che, a fronte della contestazione ricevuta, avrebbe potuto meritare un approfondimento - è legato ai tre IP riportati nel file excel che, da verifiche in rete, appaiono essere canadesi. Pertanto, l’unico dato che potrebbe ricondurre le visite al sito www.altroconsumo.it alla persona dell’interessato sarebbe legato alla email inserita nel form.  

Ne consegue che il citato documento 1 allegato alle memorie difensive non può essere considerato come idonea evidenza delle circostanze rappresentate dalla Società e ciò anche alla luce delle ulteriori singolarità sopra descritte che caratterizzano il caso di specie e a fronte del netto disconoscimento dell’interessato.  

Fermo il profilo della non idoneità probatoria della documentazione prodotta, anche le ulteriori argomentazioni proposte dalla Società non appaiono idonee a supportare quanto prospettato in merito alla sussistenza di un rapporto contrattuale con l’interessato.

Secondo la Società, infatti, l’acquisizione di status di FAN si sarebbe perfezionato con l’accettazione delle Condizioni Generali di servizio e con la conseguente registrazione sul proprio sito, precisando che la mancata conferma dell’email sarebbe da intendersi come mero passaggio tecnico e non come meccanismo di double opt-in. 

Eppure la ricostruzione offerta contrasta con quanto la stessa Società comunica agli utenti che hanno compilato il form sul sito. Infatti la prima comunicazione inviata ad un utente che ha appena compilato il form citato ha ad oggetto la dicitura “Ci sei quasi: conferma la tua registrazione” e nel corpo della email si rappresenta quanto segue: “Ti manca un solo clic per accedere ai vantaggi di Altroconsumo. Per completare la tua registrazione clicca su questo link: Conferma il tuo account”. 

Tale passaggio appare secondario visto che le Condizioni Generali predisposte del titolare definiscono “FAN: un consumatore che ha accettato le presenti Condizioni Generali dei Servizi registrandosi sul Sito Web di Altroconsumo attraverso l’apposito form di registrazione instaurando così un rapporto contrattuale con Altroconsumo al fine di supportarne la Missione”. 

Appare dunque chiaro che la conferma dell’account sia indicata dalla Società come necessaria per completare la registrazione e per instaurare così un rapporto contrattuale con Altroconsumo e che, di contro, in caso di mancata conferma - come nel caso di specie - la registrazione rimanga non confermata e non completata e, di conseguenza, il rapporto contrattuale non istaurato. Ciò genera nell’ignaro interessato - che riceve l’email per la conferma di un account mai richiesto - anche l’aspettativa di non ritrovarsi inconsapevole parte contrattuale di un rapporto che non ha mai voluto, né cercato.  

Inoltre, dalle evidenze in atti è emerso che nel caso un utente non confermi il proprio account la Società invia due successive email di contenuto simile a quella sopra citata (richiedendo conferma dell’account per il completamento della registrazione). Se persiste la mancata conferma, il sistema predisposto dalla Società inizia comunque ad inviare email promozionali, come se la registrazione fosse stata confermata dall’utente.

A ben vedere, dal funzionamento del processo di conferma account e dal tenore dei messaggi inviati agli utenti, la comunicazione di conferma account rappresenta più un meccanismo di double opt-in, piuttosto che un mero passaggio tecnico, come invece ha cercato di sostenere la Società.

L’interpretazione del meccanismo di conferma account nei termini di cui sopra (i.e. come meccanismo di double opt-in), inoltre, rende non necessaria la comunicazione dei dati dell’interessato al responsabile del trattamento perché fornisca un (asserito) supporto per la conclusione di abbonamenti ai servizi della Società (profilo precontrattuale). Infatti, a fronte di tre comunicazioni non riscontrate dall’interessato, l’ulteriore contatto telefonico appare più simile ad un estremo tentativo di convincimento del malcapitato, piuttosto che una vera e propria disponibilità a fornire un supporto non richiesto.

Deve inoltre rilevarsi che, nel caso di specie, l’email era l’unico dato personale che, in modo diretto, poteva essere ricondotto all’utente (infatti il cognome, inserito tre volte, era errato e gli IP delle connessioni erano canadesi); l’eventuale conferma dell’account tramite proprio il contatto email dell’utente sarebbe stato, dunque, un elemento rilevante che avrebbe permesso di verificare, nel caso, la reale volontà dell’interessato e il conseguente corretto trattamento dei dati personali. 

D’altra parte, il meccanismo di double opt-in appare una misura importante per evitare un trattamento non autorizzato dei dati da parte di un terzo, così da poter 1), da un lato, tutelare i diritti degli interessati e 2), dall’altro, garantire il titolare del trattamento della genuinità delle attività poste sul proprio sito, soprattutto in circostanze caratterizzate dalle singolarità sopra riportate e dal disconoscimento della compilazione del form da parte dell’interessato. Inoltre, proprio in relazione al secondo profilo richiamato, come meglio si chiarirà nei successivi paragrafi, la determinazione della corretta instaurazione del rapporto contrattuale risulta ancora più importate per la Società che proprio sulla base dello stesso rapporto contrattuale dispone l’invio di circa 16/20 comunicazioni commerciali al mese a tali utenti, sulla base dell’art. 130, comma 4, del Codice. 

Pertanto, alla luce di evidenze non idonee, nel caso di specie, a dimostrare la sussistenza di un rapporto contrattuale e alla presenza delle ulteriori circostanze sopra riportate (in particolare la mancata conferma account e il disconoscimento della compilazione del form), i trattamenti dei dati personali del reclamante basati sull’asserito rapporto contrattuale (compresa la comunicazione dei dati al responsabile del trattamento per finalizzare l’acquisto di abbonamenti) si ritengono illeciti in quanto posti in violazione dell’art. 6, par. 1 lett. b) del Regolamento. 

3.3 SUL TRATTAMENTO DEI DATI PER FINALITÀ DI MARKETING

Da quanto rilevato sotto il profilo del rapporto contrattuale (non provato) e della asserita compilazione del form negata da parte del reclamante, discende anche l’assenza di legittime basi giuridiche per l’invio delle comunicazioni commerciali da parte della Società.

Appare opportuno ricordare, infatti, che l’art. 130, comma 2 del Codice prevede che l’invio di comunicazioni elettroniche per finalità commerciali tramite (tra gli altri mezzi) la posta elettronica è consentito solo con il consenso del contraente o utente, potendosi ammettere una deroga unicamente (al successivo comma 4) nel caso in cui l’indirizzo e-mail - e solo l’indirizzo e-mail - sia stato rilasciato dall’interessato nel contesto di una vendita di beni o servizi analoghi e ferma, in tale caso, la possibilità per l’interessato di opporsi in ogni momento alla ricezione di tali comunicazioni. 

Si precisa che, nel corpo delle memorie depositate dalla Società, non risultano articolate specifiche argomentazioni in merito a quanto contestato sul punto dall’Ufficio procedente.

Nel caso di specie, in assenza di prova del rapporto contrattuale e della conferma dell’account - e della conseguente finalizzazione del procedimento di registrazione - da parte dell’interessato, non è possibile legittimare l’invio di comunicazioni commerciali richiamando, quale presupposto giuridico, l’esimente disciplinata dal citato art. 130, comma 4, del Regolamento.

Pertanto, è necessario verificare la sussistenza di una diversa base di legittimità del trattamento da parte della Società per la finalità di invio di comunicazioni commerciali; a ben vedere, nel caso di specie, manca anche il requisito del consenso dell’interessato, ai sensi del comma 2 dell’art. 130 del Codice, sopra citato. 

Infatti, quanto al consenso per finalità di marketing, la stessa Società ha rappresentato che in calce al form presente sul proprio sito vi è solo una check-box relativa alla “presa visione dell’informativa privacy”. Pertanto, con il form presente sul sito la Società non risulta raccogliere alcun consenso per l’invio di comunicazioni commerciali. 

Nel caso di specie deve quindi rilevarsi l’assenza di una valida base giuridica che garantisca la liceità dei trattamenti legati all’invio di comunicazioni commerciali da parte della Società. Si conferma, pertanto, la violazione degli artt. 6 e 7 del Regolamento e dell’art. 130 del Codice.

3.4 SULL’ESERCIZIO DEL DIRITTO DI OPPOSIZIONE DA PARTE DELL’INTERESSATO

In relazione all’opposizione alla ricezione di ulteriori messaggi promozionali, il reclamante ha inviato un primo modulo di accesso ai dati personali e di opposizione al responsabile del trattamento della Società in data 17 settembre 2025. In pari data, per stessa indicazione della Società, tale modulo le veniva comunicato prendendo così atto di quanto rappresentato dal reclamante.

Nel modulo si legge:

“2. Opposizione al trattamento per fini di marketing diretto

(art. 21, paragrafo 2 del Regolamento (UE) 2016/679)

Il sottoscritto si oppone al trattamento dei dati effettuato a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.
[…]

Un’operatrice ha riferito di chiamare per conto di “Altroconsumo” e ha chiesto se fosse interessato ad iscriversi all’Associazione Altroconsumo.

Lo scrivente ha riferito di on essere interessato e ha chiesto in che modo fosse stato reperito il dato relativo alla propria utenza telefonica. La donna ha riferito che il sottoscritto aveva lasciato il proprio numero telefonico e l’indirizzo di posta elettronica sul loro sito internet, chiedendo di essere ricontattato.
[…]

Lo scrivente ha confermato la correttezza dell’indirizzo di posta elettronica ed ha ribadito di non essere interessato alla sua proposta”.

Dalla lettura di quanto riportato nel modulo, appare chiara dunque la volontà del reclamante di non voler ricevere comunicazione commerciali di prodotti e servizi della Società.

Successivamente, il reclamante risulta aver reiterato l’invio dello stesso modulo anche direttamente al titolare del trattamento in data 11 ottobre 2025.

All’esito della richiesta di opposizione, la Società ha dato seguito in data successiva al 3 novembre 2025, data dell’ultima comunicazione commerciale ricevuta dal reclamante di cui l’Ufficio del Garante ha avuto evidenza nell’ambito dell’istruttoria.

Le disposizioni del Regolamento in merito all’esercizio dei diritti prevedono che sia il titolare del trattamento a dover fornire il relativo riscontro e a darvi esecuzione, agevolandone il relativo esercizio e garantendone il rispetto “senza ingiustificato motivo” e, al più tardi entro trenta giorni dal ricevimento della richiesta. (art. 12 del Regolamento).

Nel caso di specie non è contestato che il reclamante abbia esercitato i suoi diritti e, in particolare, quello di opposizione al trattamento per finalità di marketing nei confronti della Società e che lo abbia fatto, in un primo tempo, per il tramite del responsabile del trattamento in data 17 settembre 2025; infatti, come accennato in precedenza, proprio il responsabile ha informato di tale esercizio  il titolare del trattamento in pari data. Sul punto, le memorie difensive della Società confermano che “in data 17.09.2025 […] segnalava ad Altroconsumo la ricezione di una mail da parte di […], il quale formulava richiesta di accesso e di opposizione al trattamento dei dati a fini di marketing (doc. 3)”. Le attività di marketing in questione erano chiaramente riferite ai servizi offerti dal titolare del trattamento.

La Società, sotto un profilo fattuale dunque, ha confermato la circostanza sopra riportata dimostrando anche una consapevolezza in merito all’oggetto dell’opposizione (i.e. informazioni commerciali sui servizi di Altroconsumo) esercitata dall’interessato. Nel caso di specie, ci si trova di fronte ad un esercizio del diritto di opposizione esercitato per il tramite del responsabile che ha comunque raggiunto e reso edotto della richiesta il titolare del trattamento; questa appena indicata è una circostanza fattuale preponderante rispetto alla predisposizione di eventuali e diversi canali dedicati predisposti dalla Società che, dalle risultanze delle evidenze in atti, comunque non risultano essere stati messi debitamente a conoscenza dell’interessato. 

Sotto un profilo procedurale, inoltre, preme rappresentare che la circostanza che la Società sia venuta a conoscenza dell’esercizio del diritto di opposizione dell’interessato in data 17 settembre 2025 è un elemento emerso solo nella parte finale delle attività istruttorie, attesa l’assenza di una interlocuzione preliminare con il titolare del trattamento.

Pertanto il termine da considerare per il titolare del trattamento è proprio la data del 17 settembre 2025, non rilevando la successiva reiterazione della stessa richiesta da parte del reclamante. La richiesta di opposizione del reclamante avrebbe, dunque, dovuto essere evasa al più tardi entro trenta giorni dal ricevimento della richiesta, quindi entro il 17 ottobre 2025. 

Infatti, il secondo invio della richiesta di opposizione risulta ridondante e non necessario per considerare correttamente azionato - sin dal settembre 2025 - il relativo diritto del reclamante e, in ogni caso, sarebbe stato dovere della Società agevolare l’esercizio del diritto in questione prendendo in carico la richiesta di opposizione quando comunicata dal responsabile del trattamento. Tanto più che l’interessato non aveva neanche confermato il proprio account.  

Se così non fosse, ci troveremmo a dover richiedere ad un interessato, che ha esercitato i propri diritti per il tramite di un responsabile del trattamento, di ripetere sempre tale esercizio anche nei confronti del relativo titolare del trattamento, e ciò anche quando questi abbia dimostrato di essere stato consapevole del diritto di opposizione esercitato nei proprio confronti. Così facendo, però, si individuerebbe un ulteriore onere in capo al medesimo interessato (non previsto dalla normativa e che non ne agevola l’esercizio del diritto), tradendo, da ultimo, lo spirito delle tutele predisposte dal Regolamento che, in tale ottica, prevede espressamente anche l’obbligo del responsabile del trattamento di supportare il titolare nel dare seguito alle richieste relative al Capo III del Regolamento (art. 28, par. 3, lett. e del Regolamento). 

Secondo la Società, invece,  aver cessato l’invio di comunicazione di marketing con l’email del 3 novembre 2025 le avrebbe garantito un corretto adempimento dei propri obblighi.

Per i motivi sopra puntualmente rappresentati, invece, non è possibile ritenere valide le difese formulate sul punto dal titolare del trattamento.

Inoltre, non appaiono conferenti neanche le circostanze rappresentate dalla Società in merito alla difficoltà di identificare il reclamante a causa dell’errata indicazione del cognome nel proprio database. Infatti, il responsabile del trattamento non ha rilevato alcuna difficoltà ad identificare l’interessato sulla base proprio delle indicazioni del titolare e, in ogni caso, il titolare avrebbe potuto avvalersi del proprio responsabile per risolvere velocemente la richiesta. 

Ne consegue, pertanto, l’accertata violazione anche dell’art. 21 del Regolamento.

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria, le difese prospettate e le evidenze depositate in atti non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per a) aver trattato i dati personali del reclamante in assenza di idonea base di legittimità, b) per aver inviato al reclamante comunicazioni promozionali via e-mail in assenza delle condizioni di liceità previste dalla normativa applicabile, c) per non aver dato seguito alla richiesta di opposizione nei termini previsti dal Regolamento e d) per il mancato riscontro alla richiesta di informazioni del 31 marzo 2026 dell’Ufficio, tutto ciò in violazione rispettivamente 

a) dell’art. 6, par. 1 lett. b) del Regolamento, 

b) artt. 6 e 7 del Regolamento nonché art. 130 del Codice;

c) art. 21 del Regolamento; e

d) art. 157 del Codice.

5. MISURE CORRETTIVE 

Accertata nei predetti termini l’illiceità dei trattamenti presi in esame, si rende necessario prescrivere alla Società:

a) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di conformare i trattamenti alle disposizioni del Regolamento, utilizzando la base di liceità dell’art. 6, par. 1 lett. b) solo nel caso in cui l’interessato abbia fornito conferma del proprio account, cessando il trattamento di coloro che non hanno provveduto in tal senso e sempre che non sussistano ulteriori basi di legittimità;  

b) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze, compreso il diritto di opposizione che può essere avanzato “in qualsiasi momento” dall’interessato;

c) ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione degli articoli degli artt. 6, 7 e 21 del Regolamento e dell’art. 130 del Codice ha avuto luogo in conseguenza di trattamenti tra loro collegati, limitatamente a tali illeciti, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono tutte soggette alla sanzione prevista dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

La violazione dell’art. 157 del Codice costituisce, invece, una condotta distinta imputabile al medesimo titolare da considerarsi separatamente ai fini della quantificazione della sanzione amministrativa, il cui importo è da quantificarsi parimenti fino a euro 20.000.000 ai sensi dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice.

L’ammontare della sanzione da comminarsi al titolare del trattamento è quindi quantificato in base alla somma dell’importo corrispondente alle sanzioni considerate effettive, proporzionate e dissuasive per le predette violazioni secondo quanto di seguito più dettagliatamente motivato.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Al riguardo assumono rilevanza le condizioni economiche del titolare del trattamento, determinate in base all’ultimo bilancio di esercizio disponibile (anno 2024), dalle quali risulta che il titolare del trattamento è un soggetto con un volume di affari inferiore a 500 milioni di euro.

a) Ciò premesso, con riferimento alla violazione delle disposizioni di cui agli artt. 6, 7 e 21 del Regolamento e dell’artt. 130 del Codice tenuto conto:

- della natura e gravità del trattamento, consistito nell’invio di comunicazioni commerciali indesiderate via e-mail senza un consistente danno conseguente per l’interessato, oltre al mero fastidio, e lamentato allo stato dal solo reclamante, non essendo pervenute all’Autorità altre analoghe doglianze nei confronti della medesima Società (art. 83, par. 2, lett. a), del Regolamento);

- che è stato possibile accertare la natura di colpa grave per i trattamenti illeciti occorsi (art. 83, par. 2, lett. b), del Regolamento);

- che la violazione ha riguardato il trattamento di una sola tipologia di dato personale, -dati di contatto - riferito ad un solo interessato (cfr. art. 83, par. 2, lett. g), del Regolamento); 

si ritiene che, nel caso di specie, il livello di gravità delle violazioni commesse dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò posto, si ritiene che, ai fini della quantificazione della sanzione per le predette violazioni, debbano essere prese in considerazione le seguenti circostanze

- l’adozione di due precedenti provvedimenti (provv. n. 429 del 15 dicembre 2022 e provv. n. 823 del 19 dicembre 2024) aventi ad oggetto violazioni pertinenti commesse dal medesimo titolare e, nel caso dell’art. 21 del Regolamento, con il provv. n. 823 del 19 dicembre 2024 il Garante ha sanzionato anche la medesima violazione (cfr. art. 83, par. 2, lett. e), del Regolamento); 

- l’assenza di ogni tipo di cooperazione con l’Autorità durante l’attività istruttoria svolta (cfr. art. 83, par. 2, lett. f), del Regolamento);

- la circostanza che l’Autorità sia venuta a conoscenza degli illeciti in conseguenza di un reclamo dell’interessato (cfr. art. 83, par. 2, lett. h), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, per la violazione delle disposizioni di cui agli artt. 6, 7 e 21 del Regolamento e dell’artt. 130 del Codice si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 180.000 (centoottantamila/00).

b) Con riferimento alla violazione della disposizione di cui all’art. 157 del Codice, tenuto conto:

- della natura e gravità del trattamento, consistito nel mancato riscontro alla richiesta di informazioni dell’Ufficio (art. 83, par. 2, lett. a), del Regolamento);

- della natura gravemente colposa della relativa condotta del titolare (art. 83, par. 2, lett. b), del Regolamento);
si ritiene che, anche nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò posto, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- l’assenza di precedenti violazioni pertinenti commesse dal medesimo titolare (cfr. art. 83, par. 2, lett. e), del Regolamento); 

- l’assenza di ogni tipo di cooperazione con l’Autorità durante l’attività istruttoria svolta (cfr. art. 83, par. 2, lett. f), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, per la violazione dell’art. 157 del Codice, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 100.000 (centomila/00).

In conclusione, per effetto della somma delle sanzioni sopra quantificate si ritiene di determinare l’ammontare della sanzione pecuniaria comminata al titolare nella misura di euro 280.000 (duecentoottantamila/00).

Infine, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione particolare disvalore delle violazioni rilevate. 

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato da Altroconsumo Edizioni s.r.l., con sede legale in Viale Piero e Alberto Pirelli, 10 - 20126 Milano, P.IVA 12581280158, per la violazione degli artt. 6, 7 e 21 del Regolamento e degli artt. 130 e 157 del Codice, nei termini di cui in motivazione;

a) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive di conformare i trattamenti alle disposizioni del Regolamento, utilizzando la base di liceità dell’art. 6, par. 1 lett. b) solo nel caso in cui l’interessato abbia fornito conferma del proprio account, cessando il trattamento di coloro che non hanno provveduto in tal senso e sempre che non sussistano ulteriori basi di legittimità;  

b) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze, compreso il diritto di opposizione che può essere avanzato “in qualsiasi momento” dall’interessato;

c) ai sensi dell’art. 157 del Codice, si prescrive di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare del trattamento, di pagare la complessiva somma di euro 280.000 (duecentoottantamila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

al predetto titolare del trattamento, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la complessiva somma di euro 280.000 (duecentoottantamila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice sopra citato, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n.1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione della/e violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 18 giugno 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori