GDPR: focus sui form di registrazione non completati e sull’acquisizione occulta dei dati

Una registrazione mai completata, decine di email promozionali, un diritto di opposizione ignorato e una mancata risposta al Garante.

Il provvedimento con cui l’Autorità ha sanzionato Altroconsumo Edizioni per 280mila euro diventa l’occasione per ripassare alcuni dei principi più importanti del GDPR e riflettere su una prassi sempre più diffusa: l’utilizzo dei dati raccolti attraverso form di registrazione mai completati.

GDPR: i dati dai form di registrazione mai completati

A distanza di 10 anni dall’adozione del GDPR, il Garante per la protezione dei dati personali deve ancora dedicare pagine di motivazione a chiarire principi che dovrebbero ormai essere acquisiti da qualsiasi organizzazione che tratti dati personali.
È questa la sensazione che lascia la lettura del provvedimento con cui l’Autorità ha sanzionato Altroconsumo Edizioni srl con 280 mila euro per una serie di violazioni in materia di marketing, gestione dei diritti degli interessati e mancata collaborazione con il Garante.

Altroconsumo Edizioni è la società editoriale del gruppo Altroconsumo, la principale organizzazione italiana indipendente di tutela dei consumatori, che attraverso pubblicazioni, servizi informativi e campagne di sensibilizzazione promuove la difesa dei diritti dei cittadini e dei consumatori.
Il provvedimento assume il valore di un vero e proprio esercizio didascalico: attraverso la puntuale confutazione delle difese (giuridicamente poco convincenti e, a tratti, addirittura quasi maldestre) formulate dalla società, il Garante ricostruisce uno dopo l’altro alcuni dei principi e istituti cardine della disciplina privacy.

L’Autorità ribadisce ciò che dovrebbe ormai appartenere al bagaglio ordinario di qualsiasi titolare del trattamento. Ma, evidentemente, così non è.

Il caso: una registrazione mai completata che diventa marketing

L’istruttoria nasce dal reclamo di un utente che nega di essersi mai registrato sul sito di Altroconsumo e di aver mai richiesto informazioni commerciali.

Pur non avendo confermato l’account mediante il link ricevuto via email, l’interessato continuava a ricevere numerose comunicazioni promozionali e persino un contatto telefonico finalizzato alla sottoscrizione di un abbonamento.

Anche dopo aver esercitato il diritto di opposizione, le comunicazioni proseguivano per settimane.
A ciò si aggiunge il mancato riscontro da parte della società alla richiesta di informazioni formulata dal Garante durante la fase istruttoria e il fatto che la società fosse stata già in passato sanzionata dall’Autorità.
La difesa della società si è articolata sostenendo che il rapporto contrattuale fosse già perfezionato con la compilazione del form (di cui però non riusciva a produrre prova idonea); che la conferma dell’account costituisse un mero passaggio tecnico e non il perfezionamento del consenso; che il ritardo nella gestione del diritto di opposizione dipendesse da un errore nel cognome registrato; e, infine, che il mancato riscontro al Garante fosse dovuto all’avvicendamento del DPO (da interno ad esterno).

Il Garante respinge, uno dopo l’altro, con grande fermezza e chiarezza, tutti questi argomenti.

Il soft spam resta un’eccezione, non una base giuridica alternativa

Uno dei primi temi affrontati dal provvedimento è il cosiddetto soft spam.
L’Autorità ricorda che l’articolo 130, comma 4, del Codice Privacy rappresenta una deroga limitata al principio del consenso: può cioè essere utilizzato solo quando l’indirizzo email sia stato raccolto nel contesto di una precedente vendita e soltanto per promuovere prodotti o servizi analoghi.
Nel caso concreto, però, a mancare era proprio il presupposto della deroga. Il rapporto contrattuale che la società invocava non si è mai perfezionato perché l’utente non ha mai completato la registrazione confermando l’account.

Senza rapporto contrattuale, a venir meno è anche la possibilità di invocare il soft spam e ogni prassi estensiva è naturalmente da respingere.

L’informativa non è il consenso

Tra i passaggi più significativi del provvedimento vi è quello dedicato alla distinzione tra informativa e consenso.
Nel modulo di registrazione predisposto da Altroconsumo era presente soltanto una casella relativa alla presa visione dell’informativa privacy, ma nessun consenso veniva richiesto per l’invio di comunicazioni commerciali.
Un chiarimento che potrebbe apparire quasi scontato, e proprio per questo colpisce trovarlo al centro di un provvedimento sanzionatorio del 2026.
Il Garante ricorda che l’informativa è un obbligo di trasparenza gravante sul titolare del trattamento; il consenso costituisce invece una manifestazione di volontà dell’interessato.
Si tratta di due istituti distinti e non sovrapponibili;. Dunque, l’accettazione
dell’informativa non può essere utilizzata come presupposto per praticare attività di marketing.

Il double opt-in come garanzia per il titolare e per l’interessato

La società ha inoltre sostenuto che la conferma dell’account rappresentasse un semplice passaggio tecnico.
Il Garante arriva invece alla conclusione opposta: analizzando le comunicazioni inviate agli utenti, osserva come fosse la stessa società a qualificare la conferma dell’account quale momento necessario per completare la registrazione e accedere ai servizi.

Di conseguenza, la conferma non può essere ridotta a un mero adempimento tecnico, bensì assume le caratteristiche tipiche di un meccanismo di double opt-in.
L’Autorità valorizza la funzione sostanziale del double opt-in, cioè quella di evitare trattamenti effettuati sulla base di dati inseriti da terzi e, nello stesso tempo, fornire al titolare uno strumento probatorio idoneo a dimostrare la genuinità della registrazione e della volontà dell’interessato. In altri termini, il double opt-in, sebbene non sia specificamente imposto dal GDPR, diventa espressione concreta del principio di accountability.

Diritti dell’interessato: può esercitarli anche il responsabile

L’interessato aveva esercitato il diritto di opposizione rivolgendosi inizialmente al responsabile del trattamento, che aveva immediatamente trasmesso la richiesta al titolare.
Quest’ultimo sosteneva però che il termine per rispondere dovesse decorrere soltanto dalla successiva richiesta che l’interessato inviata direttamente alla società, dato il mancato riscontro al primo reclamo.
Il Garante respinge anche questa impostazione sulla base del fatto che il titolare era stato tempestivamente informato dal proprio responsabile e dunque il diritto doveva considerarsi validamente esercitato sin da quel momento.
Pretendere che l’interessato ripresenti la medesima istanza significherebbe introdurre un onere ulteriore non previsto dal GDPR e contrario al principio di agevolazione dell’esercizio dei diritti.

Il Garante ribadisce inoltre che, sebbene il responsabile possa costituire un punto di accesso per l’interessato, la responsabilità finale resta sempre in capo al titolare.

Il cambio del DPO non interrompe gli obblighi del titolare

Tra le difese più singolari vi è quella relativa al mancato riscontro alla richiesta istruttoria del Garante, giustificato con il passaggio di consegne tra il precedente DPO interno e il nuovo professionista esterno.
La risposta dell’Autorità è netta: il cambio del DPO rappresenta una scelta organizzativa interna e non può costituire un impedimento oggettivo idoneo tale da giustificare la mancata collaborazione con l’Autorità.

Se davvero esistevano difficoltà operative, la società avrebbe dovuto almeno informarne tempestivamente il Garante e chiedere un termine congruo per rispondere.
La figura del DPO svolge un ruolo fondamentale di consulenza e raccordo, ma la responsabilità del trattamento continua a gravare sul titolare, che deve necessariamente essere in grado di garantire continuità organizzativa anche durante gli avvicendamenti interni.

Una constatazione che sembra scontata, ma che evidentemente deve essere nuovamente ribadita.

La mancata collaborazione con il Garante è una violazione autonoma

Il provvedimento dedica particolare attenzione anche alla violazione dell’articolo 157 del Codice Privacy.
La mancata risposta alla richiesta di informazioni dell’Autorità viene considerata una violazione autonoma, sanzionata con 100 mila euro e valorizzata anche quale elemento aggravante nella determinazione della sanzione complessiva.
L’elevato importo irrogato per non aver risposto alla richiesta di informazioni via Pec del Garante chiarisce che ignorare l’Autorità o sottovalutare i suoi solleciti costa più della violazione sottostante.

Il Garante punisce infatti la mancanza di rispetto istituzionale e l’ostruzionismo con estrema rigidità, considerandoli indicatori di una totale assenza di governance dei dati.
La cooperazione con l’Autorità ciò costituisce infatti un preciso obbligo giuridico e non una facoltà rimessa alla discrezionalità del titolare.

Il peso della recidiva e il profilo del soggetto sanzionato

Nella determinazione della sanzione il Garante valorizza anche un elemento non secondario: Altroconsumo era già stata destinataria dei provvedimenti n. 29 del 15 dicembre 2022 e n. 823 del 19 dicembre 2024, con il quale era stata sanzionata per criticità nella gestione delle campagne promozionali, dell’accountability e, tra l’altro, anche del diritto di opposizione ex art. 21 GDPR.

La presenza di precedenti specifici ha dunque inciso sulla valutazione della gravità della condotta.

Il profilo reputazionale del sanzionato

Oltre a ciò, pur senza valorizzarlo espressamente ai fini della sanzione, il caso presenta anche un evidente profilo reputazionale, essendo Altroconsumo un’organizzazione che fonda la propria missione istituzionale sulla tutela dei diritti dei consumatori.
Proprio per questo ci si sarebbe attesi un livello particolarmente elevato di attenzione anche nella protezione dei dati personali, componente ormai imprescindibile dei diritti fondamentali dei cittadini.
Sotto il profilo reputazionale, la natura del titolare (un’associazione che fa della tutela dei diritti dei cittadini la propria missione) conferisce alle condotte accertate una dimensione anche etica: prima ancora della sanzione economica, colpisce la distanza tra i valori che l’organizzazione è chiamata a difendere e le prassi di trattamento censurate dal Garante.

GDPR, i dati raccolti nei form non completati

Il provvedimento offre anche lo spunto per una riflessione più ampia su una prassi sempre più diffusa nelle piattaforme digitali.
Oggi molti siti web memorizzano i dati inseriti nei moduli di registrazione già durante la compilazione, senza attendere il completamento della procedura o la conferma dell’account.

Si tratta di una funzionalità comune dei sistemi CRM e delle piattaforme di marketing automation, che conservano le cosiddette partial form submissions o abandoned sign-up per finalità statistiche, di recupero della registrazione o, talvolta, commerciali.

Un problema giuridico: l’acquisizione occulta dei dati

Il problema, tuttavia, non è tanto tecnico quanto giuridico. Il GDPR non vieta in assoluto che il titolare acquisisca i dati durante la compilazione del form, ma pretende che il trattamento sia trasparente, corretto e coerente con le aspettative legittimamente create nell’interessato.

Se il sito comunica all’utente che la registrazione sarà completata solo dopo la conferma dell’account, quest’ultimo è naturalmente portato a ritenere che, in mancanza di tale conferma, il rapporto non si perfezionerà e che i suoi dati non saranno utilizzati come quelli di un utente registrato.

Dati acquisiti in maniera occulta

L’acquisizione “occulta” dei dati (ossia la loro conservazione e il loro successivo utilizzo senza che l’utente ne sia pienamente consapevole) pone quindi anzitutto un problema di correttezza del trattamento.

Prima ancora della base giuridica, viene in rilievo il principio di trasparenza sancito dall’articolo 5 del GDPR: il titolare non può creare nell’interessato una determinata aspettativa sul funzionamento del processo di registrazione e poi comportarsi come se quella registrazione fosse comunque avvenuta.
Da questo punto di vista il provvedimento assume una portata che va oltre il caso concreto.

Nonostante vi sia la possibilità tecnica di raccogliere informazioni già durante la compilazione di un modulo, il loro successivo utilizzo potrà essere effettuato solo se l’utente ha perfezionato la sua registrazione o in presenza di una diversa idonea base giuridica.
Laddove il rapporto con l’interessato non si perfezioni (e non vi sia altra idonea base giuridica), quei dati non potranno essere automaticamente un patrimonio informativo liberamente sfruttabile per attività di marketing o di profilazione.

Infatti la disponibilità tecnica dell’informazione non coincide con la liceità del suo trattamento.

Un provvedimento come un vademecum: 6 errori da non ripetere

Il provvedimento rappresenta un utile “manuale degli errori da evitare”, sia per chi si occupa di privacy, che per chi progetta piattaforme digitali, gestisce attività di marketing o governa i processi di trattamento dei dati.
I sei errori da non ripetere:

• Pensare che la privacy sia una responsabilità del DPO. Il DPO supporta e consiglia il titolare, ma non ne assume le responsabilità. Il cambio del
  DPO non giustifica ritardi, omissioni o mancate risposte all’Autorità.
• Considerare il soft spam un “liberi tutti” per il marketing: L’eccezione prevista dall’art. 130 del Codice opera solo in presenza dei rigorosi
  presupposti di legge. Se il rapporto contrattuale non si è perfezionato, viene meno anche la possibilità di invocarla.
• Confondere l’informativa con il consenso. La presa visione dell’informativa privacy non equivale al consenso per finalità di marketing.
  Sono due istituti distinti e continuare a sovrapporli significa ignorare uno dei principi più consolidati del GDPR.
• Utilizzare i dati raccolti durante una registrazione mai completata come se il rapporto fosse già nato. Il semplice inserimento dei dati in un form non autorizza automaticamente il loro riutilizzo per finalità commerciali. Prima ancora della base giuridica, è il principio di trasparenza e correttezza a impedire che l’utente venga indotto a credere che, in assenza della conferma dell’account, la registrazione non produrrà alcun effetto, mentre i suoi dati continuano a essere trattati.
• Pensare che i diritti dell’interessato dipendano dall’organizzazione interna
  del titolare. Una richiesta validamente presentata al responsabile del trattamento e tempestivamente trasmessa al titolare produce i suoi effetti. L’organizzazione interna non può trasformarsi in ostacolo all’esercizio dei diritti.
• Ignorare le richieste del Garante. La cooperazione con l’Autorità è un preciso obbligo giuridico e il mancato riscontro alle richieste istruttorie costituisce una violazione autonoma che può incidere in maniera significativa sull’entità della sanzione.

In effetti, il provvedimento avrebbe potuto intitolarsi “GDPR per principianti”. E Il fatto che sia stato necessario scriverlo nel 2026 dice molto sul livello di maturità della compliance privacy nel nostro Paese.