TL;DR
Por resolución firme de 5 de junio de 2026, publicada por el CEPD el 12 de octubre, el Garante italiano impuso a Wind Tre S.p.A. una multa de 16,7 millones de euros. Llamadas promocionales tras la oposición o sin consentimiento válido, contratos activados sin conocimiento de las personas, medidas técnicas y controles insuficientes sobre la red de ventas, solicitudes de los interesados no atendidas con eficacia. Además de la multa: prohibición definitiva de tratar los datos recogidos sin consentimiento y orden de reforzar las medidas. Artículos infringidos: 5, 6, 12, 15, 21, 24, 25 y 32 RGPD.
Cómo empezó el caso
La investigación partió de numerosas reclamaciones y denuncias: contactos promocionales no deseados y contratos y servicios activados sin que los interesados lo supieran. El Garante examinó el telemarketing, los procedimientos con los que los socios comerciales celebran contratos y las medidas con las que Wind Tre debía impedir tratamientos ilícitos y atender las solicitudes de los interesados.
Qué constató el Garante
- OPOSICIÓN IGNORADA. Personas que habían ejercido su derecho de oposición, o que no habían dado un consentimiento válido, seguían recibiendo comunicaciones promocionales (arts. 6 y 21).
- CONTRATOS SIN CONOCIMIENTO. En algunos casos se activaban contratos sin que la persona lo supiera, con un tratamiento ilícito de sus datos.
- RED DE VENTAS. Medidas técnicas y organizativas y controles sobre los socios comerciales inadecuados: los sistemas no impedían eficazmente los tratamientos ilícitos.
- DERECHOS. Las solicitudes de los interesados, incluido el acceso, no se atendían con la debida rapidez (arts. 12 y 15).
- RESPONSABILIDAD PROACTIVA. Infracción de los principios de responsabilidad proactiva, protección desde el diseño y seguridad (arts. 24, 25 y 32).
La red de ventas no es un escudo
El Garante lo dice expresamente: quien vende a través de redes comerciales complejas sigue siendo responsable del cumplimiento del RGPD y debe adoptar medidas eficaces para impedir el marketing ilícito y las activaciones no autorizadas. El contrato con la agencia no traslada la responsabilidad del responsable.
Qué significa para el DPD
Cinco controles
Uno: la oposición al marketing debe propagarse a todos los sistemas y socios, con una comprobación periódica de que la persona ya no es contactada. Dos: para cada agencia, un contrato del art. 28 con instrucciones escritas sobre las listas y el consentimiento. Tres: auditorías por muestreo de los contratos de la red, con prueba de la voluntad del cliente. Cuatro: plazos y procedimiento para las solicitudes de los interesados, con un registro de fechas. Cinco: documentar y revisar las medidas, que es lo primero que pide la autoridad.
No es la primera resolución de 2026 sobre Wind Tre: en julio el Garante ya la había sancionado con 1,7 millones por una brecha de datos. Dos resoluciones distintas con un hilo común: las medidas técnicas y organizativas no seguían el ritmo del tamaño de la red.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
