TL;DR
Ved endelig vedtak av 5. juni 2026, publisert av EDPB 12. oktober, ila italienske Garante Wind Tre S.p.A. et gebyr på 16,7 millioner euro. Reklameoppringninger etter innsigelse eller uten gyldig samtykke, avtaler aktivert uten de registrertes viten, utilstrekkelige tekniske tiltak og kontroller i salgsnettet, henvendelser fra registrerte ikke behandlet effektivt. I tillegg: endelig forbud mot å behandle data samlet inn uten samtykke og pålegg om å styrke tiltakene. Brutte artikler: 5, 6, 12, 15, 21, 24, 25 og 32 GDPR.
Hvordan saken startet
Undersøkelsen startet med mange klager og tips: uønskede reklamehenvendelser og avtaler og tjenester aktivert uten at de registrerte visste om det. Garante undersøkte telemarketingen, prosedyrene partnerne bruker for å inngå avtaler og tiltakene Wind Tre skulle hatt for å hindre ulovlig behandling og følge opp henvendelser.
Hva Garante fant
- INNSIGELSE IGNORERT. Personer som hadde protestert eller ikke gitt gyldig samtykke, fikk fortsatt reklame (art. 6 og 21).
- AVTALER UTEN VITEN. I noen tilfeller ble avtaler aktivert uten at personen visste det, med ulovlig behandling av dataene.
- SALGSNETTVERK. Utilstrekkelige tekniske og organisatoriske tiltak og kontroll med partnerne: systemene hindret ikke ulovlig behandling effektivt.
- RETTIGHETER. Henvendelser fra registrerte, også innsyn, ble ikke behandlet med nødvendig hurtighet (art. 12 og 15).
- ANSVAR. Brudd på ansvarsprinsippet, innebygd personvern og sikkerhet (art. 24, 25 og 32).
Salgsnettet er ikke et skjold
Garante sier det uttrykkelig: den som selger gjennom komplekse salgsnettverk, er fortsatt ansvarlig for å etterleve GDPR og må ha effektive tiltak mot ulovlig markedsføring og uautoriserte aktiveringer. Avtalen med byrået overfører ikke behandlingsansvaret.
Hva det betyr for personvernombudet
Fem kontroller
Én: en innsigelse mot markedsføring må nå alle systemer og partnere, med jevnlig kontroll av at personen ikke lenger kontaktes. To: for hvert byrå en databehandleravtale etter art. 28 med skriftlige instrukser om lister og samtykke. Tre: stikkprøver av avtaler inngått av nettet, med bevis for kundens vilje. Fire: frister og prosedyre for henvendelser, med datert logg. Fem: dokumenter og gjennomgå tiltakene — det er det tilsynet spør om først.
Det er ikke det første vedtaket i 2026 mot Wind Tre: i juli ila Garante allerede 1,7 millioner for et avvik. To ulike vedtak med en felles tråd: de tekniske og organisatoriske tiltakene holdt ikke tritt med nettets størrelse.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
