Se un utente inizia a compilare un modulo sul tuo sito ma non conclude la registrazione, quei dati non diventano automaticamente utilizzabili per email promozionali o telefonate commerciali. È il messaggio molto chiaro del provvedimento pubblicato il 31 luglio 2026 con cui il Garante Privacy ha sanzionato Altroconsumo Edizioni per 280 mila euro: avere tecnicamente un dato non significa poterlo trattare lecitamente.
Per un’azienda questo tema riguarda attività quotidiane come moduli di contatto, form di iscrizione, prove gratuite, preventivi online e campagne marketing. Il rischio non è solo la sanzione: ci sono anche reclami, danni reputazionali e processi interni da rivedere in fretta.
Che cosa è successo
Secondo quanto riportato nel provvedimento commentato da Cyber Security 360, l’istruttoria nasce dal reclamo di un utente che ha negato di essersi mai registrato sul sito di Altroconsumo e di aver richiesto comunicazioni commerciali. Pur non avendo completato la registrazione tramite il link di conferma ricevuto via email, la persona ha continuato a ricevere numerose comunicazioni promozionali e anche un contatto telefonico finalizzato alla sottoscrizione di un abbonamento.
Il caso si aggrava su due fronti. Da un lato, anche dopo l’esercizio del diritto di opposizione, le comunicazioni sarebbero proseguite per settimane. Dall’altro, la società non avrebbe risposto adeguatamente alla richiesta di informazioni del Garante nella fase istruttoria. Il risultato è una sanzione di 280 mila euro.
Al di là del singolo caso, il punto centrale è più ampio: i dati inseriti in un form non completato non possono essere “recuperati” e trasformati in base utile per attività commerciali, se manca un presupposto valido di liceità.
Il principio chiave: disponibilità del dato non vuol dire liceità
Molte aziende ragionano in modo intuitivo ma sbagliato: “Se il dato è arrivato nei nostri sistemi, allora possiamo usarlo”. Il GDPR segue una logica diversa. Un dato personale non si può trattare solo perché è stato raccolto tecnicamente; serve una base giuridica chiara e coerente con la finalità.
Nel caso in esame, il Garante ribadisce un principio essenziale: il fatto che un utente abbia digitato il proprio indirizzo email o altri dati in un modulo non equivale, da solo, né a una registrazione conclusa né a un consenso al marketing.
Questo vale soprattutto quando il processo di registrazione prevede un passaggio di conferma, come il click su un link inviato via email. Se quel passaggio non viene completato, l’organizzazione non può fingere che il rapporto si sia perfezionato comunque.
Form non completati: perché sono un punto critico
I form incompleti sono molto più comuni di quanto sembri. Succede con:
- iscrizioni a newsletter non confermate;
- creazione di account lasciata a metà;
- richieste di prova gratuita mai concluse;
- moduli commerciali salvati automaticamente dal sito o dal CRM;
- carrelli e checkout interrotti a metà.
Dal punto di vista commerciale questi dati possono sembrare preziosi, perché rappresentano persone che hanno mostrato un interesse iniziale. Ma dal punto di vista privacy sono delicati proprio per questo: l’interesse non basta a trasformare quel contatto in un destinatario legittimo di marketing.
Il provvedimento ricorda alle aziende che una procedura incompleta resta, appunto, incompleta. Se l’utente non ha terminato il percorso previsto, non si può presumere una volontà che non è stata manifestata fino in fondo.
Soft spam: eccezione limitata, non scorciatoia
Uno degli aspetti più importanti del caso riguarda il cosiddetto soft spam, cioè la possibilità prevista dall’articolo 130, comma 4, del Codice Privacy di inviare email commerciali senza un consenso separato in situazioni specifiche.
Il Garante ricorda però che si tratta di un’eccezione circoscritta. In base a quanto riportato dalla fonte, questa deroga può operare solo quando l’indirizzo email è stato raccolto nel contesto di una precedente vendita e solo per promuovere prodotti o servizi analoghi.
Nel caso contestato mancava il presupposto fondamentale: il rapporto contrattuale che la società invocava non si era perfezionato, perché l’utente non aveva completato la registrazione. Senza un rapporto validamente concluso, viene meno anche la possibilità di richiamare il soft spam.
Per le imprese il messaggio è semplice: il soft spam non è una base giuridica “di riserva” da usare ogni volta che manca il consenso. È una deroga limitata, da applicare con molta prudenza e solo quando ricorrono davvero tutti i requisiti.
Informativa e consenso non sono la stessa cosa
Un altro punto ribadito dal Garante riguarda una confusione ancora diffusissima: far leggere l’informativa privacy non equivale a raccogliere il consenso per il marketing.
Secondo la ricostruzione del caso, nel modulo di registrazione era presente una casella relativa alla presa visione dell’informativa privacy, ma non una richiesta di consenso specifico per l’invio di comunicazioni commerciali. È un errore molto frequente anche nei siti aziendali: si inserisce il link all’informativa e si considera il problema risolto.
Non è così. L’informativa serve a spiegare all’interessato chi tratta i dati, per quali finalità, con quali diritti e con quali modalità. Il consenso, quando necessario, è un atto distinto: deve essere libero, specifico, informato e inequivocabile.
In pratica, un box “ho letto l’informativa” non autorizza da solo newsletter, promozioni, telefonate o campagne commerciali.
Anche la gestione dei diritti degli interessati pesa molto
Nel caso citato non c’è solo il tema dell’acquisizione dei dati. C’è anche quello, altrettanto serio, della mancata gestione del diritto di opposizione. Se un utente chiede di non ricevere più comunicazioni, l’azienda deve essere in grado di registrare la richiesta e bloccare rapidamente gli invii.
Le giustificazioni organizzative o tecniche pesano poco se il risultato finale è che il destinatario continua a ricevere messaggi indesiderati. Ancora meno regge una difesa basata su errori anagrafici o disallineamenti nei sistemi, se questi impediscono di dare seguito a un diritto previsto dalla normativa.
Lo stesso vale per il rapporto con l’Autorità. La mancata collaborazione con il Garante è un elemento che aggrava la posizione dell’organizzazione. Cambi di personale, passaggi di consegne o sostituzioni del DPO non eliminano la responsabilità del titolare del trattamento.
Cosa significa per la tua azienda
Per una PMI italiana questa vicenda è un promemoria molto concreto: i problemi privacy non nascono solo da cyber attacchi o fughe di dati, ma anche da processi marketing progettati male o lasciati crescere senza controlli.
Ecco le verifiche più utili da fare subito.
1. Mappa tutti i form del sito e del CRM
Controlla dove finiscono i dati inseriti dagli utenti: moduli contatto, richiesta demo, newsletter, ecommerce, landing page, chatbot. Devi sapere quali dati vengono salvati anche quando il processo non è concluso.
2. Distingui chiaramente le finalità
Richiesta di informazioni, creazione account, esecuzione di un contratto e marketing sono attività diverse. Non vanno mescolate nello stesso flusso in modo ambiguo.
3. Verifica come raccogli il consenso
Se invii comunicazioni promozionali, assicurati che il consenso sia richiesto in modo specifico quando serve. La sola presa visione dell’informativa non basta. Se hai dubbi, è opportuno rivedere moduli e basi giuridiche con un supporto specializzato in /servizi/gdpr-2016-679/.
4. Blocca l’uso automatico dei dati incompleti
Molti strumenti marketing e CRM attivano automazioni non appena un dato entra nel sistema. Va evitato che un form abbandonato faccia partire email, retargeting interno o chiamate commerciali.
5. Gestisci bene opposizioni e disiscrizioni
Una richiesta di stop deve propagarsi rapidamente su tutti i canali: newsletter, CRM, call center, campagne commerciali. Se i sistemi sono frammentati, il rischio di errore aumenta.
6. Conserva prove e log utili
In caso di contestazione devi poter dimostrare che cosa è successo: quando il consenso è stato raccolto, se la conferma è arrivata, quando è stata registrata un’opposizione. Senza evidenze, difendersi diventa difficile.
7. Rivedi le integrazioni tecniche
Siti web, piattaforme email e gestionali spesso scambiano dati in modo silenzioso. Una verifica di configurazioni, automazioni e procedure rientra pienamente anche in un percorso di /servizi/desktop-it-management/ o di revisione più ampia della sicurezza e della governance dei dati.
8. Prepara una risposta organizzata ai reclami
Quando arriva una richiesta di accesso, opposizione o chiarimento, non dovrebbe finire in una casella email personale o restare bloccata per ferie, cambi di ruolo o turnover. Servono responsabilità chiare e tempi certi.
In sintesi: il marketing efficace non è quello che sfrutta ogni dato disponibile, ma quello che usa solo dati raccolti in modo corretto, tracciabile e difendibile.
Perché questa decisione conta anche oltre il caso specifico
Il provvedimento è importante perché colpisce una prassi diffusa ma spesso sottovalutata: trasformare un contatto “abbozzato” in un lead commerciale pienamente utilizzabile. Dal punto di vista operativo è comodo; dal punto di vista giuridico può essere insostenibile.
Per questo la lezione va oltre il singolo nome coinvolto. Ogni azienda che usa funnel digitali, automazioni commerciali e campagne email dovrebbe leggere questo caso come un controllo realtà: se il processo di raccolta non è solido, anche un database apparentemente ricco può diventare una fonte di rischio.
Un’ultima conseguenza pratica riguarda la reputazione. Quando un utente percepisce di essere stato “agganciato” senza aver davvero dato il via libera, la fiducia cala subito. E oggi, per molte aziende, la fiducia vale quanto il dato stesso.
Domande frequenti
Posso usare per il marketing l’email inserita in un form non completato?
In linea generale no, se manca una base giuridica valida. Il fatto che il dato sia stato digitato nel form non basta da solo a legittimare l’invio di comunicazioni promozionali.
Se l’utente ha letto l’informativa privacy, posso scrivergli offerte commerciali?
No. L’informativa e il consenso sono cose diverse. La presa visione dell’informativa non sostituisce il consenso al marketing quando questo è richiesto.
Il soft spam copre anche chi ha iniziato una registrazione o una richiesta di contatto?
No, non automaticamente. Da quanto emerge dal caso, il soft spam resta un’eccezione limitata e richiede presupposti precisi, tra cui una precedente vendita.