Nella gestione delle liste di contatto convivono due logiche che spesso non si parlano. Da un lato quella commerciale, che misura il valore di un database dal numero di indirizzi raccolti e tende a considerare ogni interazione con il sito come un segnale di interesse. Dall’altro quella della protezione dei dati, che guarda al singolo trattamento e chiede, per ciascun invio, quale sia la base giuridica che lo legittima, cioè la ragione per cui quel trattamento è consentito. Quando la prima logica prevale sulla seconda, il costo emerge tardi e sotto forma di provvedimento.

Con il provvedimento n. 464 del 18 giugno 2026, reso noto con la newsletter del 29 luglio, il Garante per la protezione dei dati personali ha irrogato sanzioni per complessivi 280.000 euro a una società editoriale che inviava comunicazioni promozionali a persone che avevano avviato la registrazione sul sito senza mai confermarla, e che non aveva risposto a una richiesta di informazioni dell’Autorità. Il caso è istruttivo perché non riguarda una pratica aggressiva o un acquisto di liste da terzi, ma un’impostazione del flusso di iscrizione che molte imprese riconosceranno come propria.

Una registrazione avviata e mai confermata

Il procedimento nasce dal reclamo di un utente che riceveva messaggi promozionali senza averli richiesti. L’istruttoria ha accertato che la società considerava perfezionato il rapporto contrattuale anche quando l’utente non completava la creazione dell’account, cioè quando non cliccava sul collegamento di conferma inviato via email, e procedeva comunque all’invio di comunicazioni commerciali.

Il punto qualificante della decisione sta nella lettura che l’Autorità dà di quel collegamento. La società lo trattava come un mero passaggio tecnico. Il Garante ha osservato che era la stessa società a indicare la conferma come necessaria per completare la registrazione, e che in sua assenza la registrazione restava non confermata e non completata. Il flusso rappresentava quindi, nelle parole del provvedimento, più un meccanismo di double opt-in che un mero passaggio tecnico. A nostro giudizio la lezione è semplice. Se il sistema chiede una conferma, l’assenza di conferma è un dato significativo, non un rumore di fondo.

Le violazioni contestate e la composizione dell’importo

All’origine di tutto c’è un problema di base giuridica. La società fondava l’invio sull’esecuzione del contratto, ma l’Autorità ha rilevato che, restando la registrazione non confermata, mancavano evidenze idonee a dimostrare l’esistenza del rapporto contrattuale. Il modulo presente sul sito, inoltre, non raccoglieva alcun consenso per l’invio di comunicazioni commerciali, e il Garante ha escluso che si potesse applicare l’eccezione prevista per gli indirizzi forniti nel contesto di un acquisto. Il Regolamento (UE) 2016/679 risulta violato sotto tre profili, la liceità del trattamento, le condizioni per il consenso e il diritto di opposizione dell’interessato.

Al Regolamento europeo si affianca il Codice in materia di protezione dei dati personali, richiamato sia per l’invio di comunicazioni promozionali senza consenso, all’articolo 130, sia per il mancato riscontro alla richiesta di informazioni dell’Autorità, all’articolo 157.

La sanzione complessiva di 280.000 euro si compone di due parti. Centottantamila euro riguardano il trattamento illecito a fini promozionali e la gestione dell’opposizione, centomila il mancato riscontro alla richiesta di informazioni del Garante. Per la prima parte l’Autorità ha giudicato la gravità media, perché il trattamento lamentato riguardava un solo interessato e un solo tipo di dato, ma ha accertato la colpa grave e ha considerato due precedenti provvedimenti a carico della stessa società, del 2022 e del 2024, e l’assenza di cooperazione durante l’istruttoria. I precedenti hanno pesato solo su questa quota. La società può definire la controversia pagando la metà della sanzione, cioè 140.000 euro, entro il termine previsto per l’impugnazione, e il provvedimento può essere opposto davanti al tribunale ordinario entro trenta giorni.

Il ritardo nel riscontro all’interessato pesa sull’importo

Un secondo profilo, spesso sottovalutato, ha inciso sulla decisione. Una richiesta di opposizione è stata ricevuta il 17 settembre 2025 dal responsabile del trattamento che operava per conto della società, che ne ha informato il titolare lo stesso giorno, ma le comunicazioni promozionali sono proseguite fino al 3 novembre e la società vi ha dato seguito solo dopo quella data. Il Regolamento europeo prevede un riscontro entro un mese dal ricevimento della richiesta, prorogabile di due mesi se l’interessato ne viene informato entro il primo mese, e il Garante ha fatto decorrere il termine dal 17 settembre, per cui nel caso concreto scadeva il 17 ottobre 2025. La società non ha inoltre dato riscontro a una richiesta di informazioni formulata dall’Autorità il 9 febbraio 2026, adducendo un avvicendamento nel ruolo del responsabile della protezione dei dati, il DPO.

È un passaggio che merita attenzione perché la gestione delle richieste degli interessati è un processo, non un evento occasionale, e come tale va presidiato anche durante i cambi di persona e anche quando la richiesta arriva a un fornitore. Il solo mancato riscontro all’Autorità vale centomila euro dei 280.000 complessivi, più di un terzo della sanzione.

Il peso della conferma nel caso deciso

Il provvedimento è una decisione su un caso concreto e non modifica alcuna norma. Il testo del Regolamento europeo e quello del Codice restano quelli in vigore, e le misure correttive vincolano solo la società sanzionata.

Nelle linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013 il Garante indicava l’invio di un’email con un collegamento di conferma come un sistema utile a verificare l’identità di chi si registra a un sito per ricevere offerte promozionali, nell’ambito della documentazione del consenso. Nel caso deciso la conferma assume un peso ulteriore, perché era la stessa società a chiederla come passaggio per completare la registrazione e poi a fondare gli invii sul contratto. Senza conferma quel contratto non era dimostrato, e con esso veniva meno la base giuridica invocata.

Vale però una precisazione. Nessuna norma impone espressamente il doppio opt-in, cioè la conferma dell’iscrizione attraverso un secondo passaggio successivo alla registrazione. Resta una prassi e non un obbligo di legge, ma quando il titolare la adotta deve trarne le conseguenze, e i contatti che non confermano non possono essere trattati come se lo avessero fatto.

La conferma, inoltre, non basta da sola. Il doppio opt-in serve a dimostrare che l’iscrizione è stata voluta da chi controlla l’indirizzo, ma per le email promozionali serve comunque un consenso specifico e documentato, previsto dall’articolo 130 del Codice, oppure i presupposti dell’eccezione per gli indirizzi forniti nel contesto di un acquisto, limitata alla promozione di prodotti o servizi analoghi.

Le misure correttive ordinate

Oltre alla sanzione pecuniaria il Garante ha ordinato di conformare il trattamento, invocando la base giuridica contrattuale solo per gli utenti che hanno confermato l’account e cessando il trattamento di quelli che non lo hanno fatto, salvo che sussistano altre basi di legittimità, di adottare misure tecniche e organizzative adeguate ad agevolare l’esercizio dei diritti degli interessati e a dare seguito alle loro istanze senza ingiustificato ritardo, e di comunicare all’Autorità entro trenta giorni dalla notifica le iniziative intraprese. Ha disposto inoltre la pubblicazione del provvedimento e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

La prima misura è la più significativa per chi gestisce campagne di email marketing. Nel caso deciso la conferma dell’iscrizione era la condizione per poter invocare il contratto, e senza di essa, in assenza di altre basi di legittimità, il trattamento andava cessato.

Cosa verificare nei propri flussi di iscrizione

La lezione del provvedimento si traduce in una revisione mirata dei processi, che riguarda tanto la piattaforma di invio quanto le procedure interne.

• Verificare che i contatti che non hanno completato la conferma siano esclusi dalle liste di invio, e non semplicemente marcati come inattivi.
• Verificare che per ogni contatto usato a fini promozionali esista un consenso specifico al marketing, distinto dall’accettazione delle condizioni del servizio, oppure che ricorrano i presupposti dell’eccezione per chi ha già acquistato.
• Distinguere con chiarezza, nel registro dei trattamenti, la base giuridica dell’invio di comunicazioni di servizio da quella delle comunicazioni promozionali.
• Conservare la prova della conferma e del consenso per ciascun contatto, con data, ora e modalità di acquisizione, in modo da poterla esibire su richiesta.
• Definire un processo di gestione delle richieste degli interessati che regga anche in caso di assenza o avvicendamento delle persone incaricate, con l’obbligo per fornitori e responsabili del trattamento di inoltrare subito le richieste ricevute, perché il termine può decorrere dalla loro ricezione.

Al termine della verifica la lista si trova in una di due situazioni. Nella prima ogni indirizzo usato per il marketing è accompagnato da una conferma e da un consenso tracciati e recuperabili, o rientra nell’eccezione per chi ha già acquistato, e la lista è utilizzabile. Nella seconda emergono contatti privi di conferma o di consenso, e il loro trattamento a fini promozionali va cessato, come il Garante ha ordinato nel caso deciso. A nostro giudizio anche ricontattarli per sollecitare l’iscrizione è un trattamento dei loro dati, da valutare solo se esiste una base giuridica autonoma.

Una lista più piccola e difendibile vale più di una grande e contestabile

La sanzione da 280.000 euro va letta per quello che è. La violazione principale è stata giudicata di gravità media, e sull’importo hanno pesato i precedenti, la mancata cooperazione e la sanzione autonoma per il silenzio verso il Garante. La cifra dipende quindi anche dalla storia della società sanzionata, mentre il principio vale per tutti. L’Autorità non guarda al volume del database, guarda alla base giuridica che sostiene ogni invio.

Per l’imprenditore questo significa che la dimensione di una lista di contatti non è di per sé un indicatore di valore. Lo diventa quando ogni indirizzo è accompagnato da una prova di consenso ricostruibile, perché solo in quel caso la lista è realmente utilizzabile per il marketing, mentre la sua cessione a terzi richiede un consenso specifico ulteriore. Affianchiamo le aziende nella revisione dei flussi di acquisizione dei contatti, nella verifica delle basi giuridiche delle campagne e nella costruzione di procedure di riscontro agli interessati sostenibili nel tempo, perché a nostro giudizio un database costruito bene è una leva commerciale, e uno costruito male è una passività latente.