TL;DR
Par une décision définitive du 5 juin 2026, publiée par le CEPD le 12 octobre, le Garante italien a infligé à Wind Tre S.p.A. une amende de 16,7 millions d'euros. Appels promotionnels après opposition ou sans consentement valable, contrats activés à l'insu des personnes, mesures techniques et contrôles insuffisants sur le réseau de vente, demandes des personnes mal traitées. En plus de l'amende : interdiction définitive de traiter les données collectées sans consentement et injonction de renforcer les mesures. Articles violés : 5, 6, 12, 15, 21, 24, 25 et 32 du RGPD.
L'origine de l'affaire
L'enquête est partie de nombreuses plaintes et signalements : contacts promotionnels non désirés et activation de contrats et de services à l'insu des intéressés. Le Garante a examiné le télémarketing, les procédures de conclusion des contrats par les partenaires commerciaux et les mesures par lesquelles Wind Tre aurait dû empêcher les traitements illicites et donner suite aux demandes.
Ce que le Garante a constaté
- OPPOSITION IGNORÉE. Des personnes ayant exercé leur droit d'opposition, ou sans consentement valable, continuaient de recevoir des communications promotionnelles (art. 6 et 21).
- CONTRATS À L'INSU. Dans certains cas, des contrats étaient activés sans que la personne le sache, avec un traitement illicite de ses données.
- RÉSEAU DE VENTE. Mesures techniques et organisationnelles et contrôles des partenaires inadéquats : les systèmes n'empêchaient pas efficacement les traitements illicites.
- DROITS. Les demandes des personnes, y compris l'accès, n'étaient pas traitées avec la diligence requise (art. 12 et 15).
- RESPONSABILITÉ. Violation des principes de responsabilité, de protection dès la conception et de sécurité (art. 24, 25 et 32).
Le réseau de vente n'est pas un paravent
Le Garante le dit explicitement : qui vend par des réseaux commerciaux complexes reste responsable du respect du RGPD et doit adopter des mesures efficaces contre le marketing illicite et les activations non autorisées. Le contrat avec l'agence ne transfère pas la responsabilité du responsable.
Ce que cela signifie pour le DPO
Cinq contrôles
Un : l'opposition au marketing doit se propager à tous les systèmes et partenaires, avec une vérification périodique que la personne n'est plus contactée. Deux : pour chaque agence, un contrat article 28 avec des instructions écrites sur les listes et le consentement. Trois : des audits par échantillonnage des contrats conclus par le réseau, avec la preuve de la volonté du client. Quatre : délais et procédure pour les demandes des personnes, avec un registre daté. Cinq : documenter et réexaminer les mesures, premier élément demandé par l'autorité.
Ce n'est pas la première décision de 2026 visant Wind Tre : en juillet, le Garante l'avait déjà sanctionnée de 1,7 million pour une violation de données. Deux décisions distinctes, un fil commun : les mesures techniques et organisationnelles ne suivaient pas la taille du réseau.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
