TL;DR
Con decisione definitiva del 5 giugno 2026, pubblicata dall'EDPB il 12 ottobre, il Garante ha inflitto a Wind Tre S.p.A. una sanzione di 16,7 milioni di euro. Telefonate promozionali dopo l'opposizione o senza consenso valido, contratti attivati a insaputa delle persone, misure tecniche e controlli sulla rete di vendita insufficienti, richieste degli interessati non gestite in modo efficace. Oltre alla sanzione: divieto definitivo di trattare i dati raccolti senza consenso e ordine di rafforzare le misure. Articoli violati: 5, 6, 12, 15, 21, 24, 25 e 32 GDPR.
Come nasce il caso
L'istruttoria è partita da numerosi reclami e segnalazioni: contatti promozionali indesiderati e attivazione di contratti e servizi senza che gli interessati ne fossero al corrente. Il Garante ha esaminato i trattamenti per telemarketing, le procedure con cui i partner commerciali concludono i contratti e le misure con cui Wind Tre avrebbe dovuto impedire i trattamenti illeciti e dare seguito alle richieste degli interessati.
Che cosa ha accertato il Garante
- OPPOSIZIONE IGNORATA. Persone che avevano esercitato il diritto di opposizione, o che non avevano dato un consenso valido, continuavano a ricevere comunicazioni promozionali (artt. 6 e 21).
- CONTRATTI A INSAPUTA. In alcuni casi i contratti risultavano attivati senza che l'interessato lo sapesse, con un trattamento illecito dei suoi dati.
- RETE DI VENDITA. Misure tecniche e organizzative e controlli sui partner commerciali inadeguati: i sistemi non impedivano in modo efficace i trattamenti illeciti.
- DIRITTI. Le richieste degli interessati, compreso l'accesso, non venivano gestite con la tempestività dovuta (artt. 12 e 15).
- ACCOUNTABILITY. Violazione dei principi di responsabilizzazione, protezione dei dati fin dalla progettazione e sicurezza (artt. 24, 25 e 32).
La rete di vendita non è un paravento
Il Garante lo dice in modo esplicito: chi vende attraverso reti commerciali complesse resta responsabile del rispetto del GDPR e deve adottare misure efficaci per impedire marketing illecito e attivazioni non autorizzate. Il contratto con l'agenzia non trasferisce la responsabilità del titolare.
Che cosa vuol dire per il DPO
Cinque controlli
Uno: l'opposizione al marketing deve propagarsi a tutti i sistemi e a tutti i partner, con una verifica periodica che una persona opposta non venga più contattata. Due: per ogni agenzia, un contratto art. 28 con istruzioni scritte sulle liste da usare e sul consenso da raccogliere. Tre: audit a campione sui contratti conclusi dalla rete, con prova della volontà del cliente. Quattro: tempi e procedura per le richieste degli interessati, con un registro che mostri le date. Cinque: le misure vanno documentate e riesaminate, perché sono quelle che l'autorità chiede per prime.
Non è la prima decisione del 2026 su Wind Tre: a luglio il Garante l'aveva già sanzionata per 1,7 milioni per una violazione di dati. Due provvedimenti diversi, con un filo comune: le misure tecniche e organizzative non tenevano il passo con la dimensione della rete.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
