L'autorité de contrôle italienne (Garante) a sanctionné une société pour avoir envoyé des communications commerciales sans base légale valide, en considérant à tort qu'un contrat était formé dès la soumission d'un formulaire en ligne, sans attendre la confirmation de l'adresse électronique par l'utilisateur.

Faits et contexte

L'autorité de contrôle italienne (Garante per la protezione dei dati personali, GPDP) a aujourd'hui publié une décision de sanction à l'encontre de Altroconsumo Edizioni s.r.l. (comprenant le prononcé d'une amende de 280 000 €) pour des manquements en lien avec la base légale du traitement, la prospection commerciale et le respect du droit d'opposition.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu des communications commerciales non sollicitées, alors qu'elle niait s'être inscrite et que sa demande d'opposition était restée sans effet.

Motifs de la décision

• Obligation de disposer d'une base légale pour le traitement (article 6 du RGPD) : La société soutenait qu'un rapport contractuel était né dès la soumission du formulaire en ligne par l'utilisateur, justifiant le traitement sur la base de l'exécution de mesures précontractuelles. L'autorité a rejeté cet argument, notant que le processus d'inscription lui-même exigeait un clic sur un lien de confirmation envoyé par courriel pour être finalisé. En l'absence de cette confirmation, qui s'apparente à un mécanisme de double confirmation, aucun rapport contractuel ne peut être considéré comme valablement formé. De plus, les preuves fournies par la société (un fichier tableur des journaux de connexion) ont été jugées insuffisantes pour garantir leur intégrité et leur immodifiabilité, d'autant que le plaignant niait toute inscription et que les données de connexion présentaient des anomalies (adresses IP canadiennes, nom de famille mal orthographié).
• Obligation d'obtenir un consentement pour la prospection électronique (articles 6 et 7 du RGPD et article 130 du Code de la protection des données italien) : Faute de rapport contractuel prouvé, la société ne pouvait se prévaloir de l'exception dite du "client existant" (soft opt-in) pour envoyer des communications commerciales. L'autorité a également constaté que le formulaire d'inscription ne comportait aucune case à cocher permettant de recueillir un consentement spécifique pour la prospection. Par conséquent, l'envoi de courriels promotionnels était dépourvu de toute base légale.
• Obligation de respecter le droit d'opposition (article 21 du RGPD) : Le plaignant a exercé son droit d'opposition le 17 septembre 2025 via un sous-traitant, qui a informé le responsable du traitement le jour même. La société n'a cessé les envois qu'après le 3 novembre 2025, soit bien au-delà du délai d'un mois. L'autorité a considéré que le délai courait à partir du 17 septembre, date à laquelle la société a eu connaissance de la demande, et non à partir d'une relance ultérieure du plaignant. Les difficultés d'identification invoquées par la société en raison d'une erreur dans le nom de famille ont été jugées non pertinentes.
• Obligation de coopération avec l'autorité (article 157 du Code de la protection des données italien) : La société n'a pas répondu à une demande d'informations de l'autorité. Elle a justifié son silence par un changement de délégué à la protection des données. L'autorité a estimé que des difficultés organisationnelles internes ne sauraient constituer un empêchement objectif et n'exonèrent pas le responsable du traitement de son obligation de coopérer, qui aurait au minimum requis d'informer l'autorité des difficultés rencontrées.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 280 000 € à Altroconsumo Edizioni s.r.l.

En outre, l'autorité a ordonné à la société de mettre ses traitements en conformité, notamment en ne se fondant sur la base légale contractuelle que si l'utilisateur a effectivement confirmé son compte, et d'adopter des mesures pour faciliter l'exercice des droits des personnes concernées et y répondre sans retard injustifié.

Enseignements

Cette décision confirme que :

• Un processus d'inscription qui requiert une confirmation par courriel pour être finalisé doit être considéré comme un mécanisme de double confirmation ; en l'absence de cette confirmation, aucun rapport contractuel n'est formé.
• La preuve de l'existence d'un rapport contractuel ou d'une inscription en ligne doit reposer sur des éléments techniques offrant des garanties d'intégrité et d'imodifiabilité, un simple fichier tableur étant jugé insuffisant.
• Le délai pour répondre à une demande d'opposition court à compter du moment où le responsable du traitement en a connaissance, même si la demande a été initialement adressée à un sous-traitant qui l'a ensuite transmise.
• Des difficultés organisationnelles internes, telles qu'un changement de délégué à la protection des données, ne constituent pas un motif légitime pour ne pas répondre à une demande d'information de l'autorité de contrôle.