TL;DR
Ostateczną decyzją z 5 czerwca 2026 r., opublikowaną przez EROD 12 października, włoski Garante nałożył na Wind Tre S.p.A. karę 16,7 mln euro. Połączenia promocyjne po sprzeciwie lub bez ważnej zgody, umowy aktywowane bez wiedzy osób, niewystarczające środki techniczne i kontrole sieci sprzedaży, nieskutecznie obsługiwane żądania. Oprócz kary: ostateczny zakaz przetwarzania danych zebranych bez zgody i nakaz wzmocnienia środków. Naruszone artykuły: 5, 6, 12, 15, 21, 24, 25 i 32 RODO.
Jak zaczęła się sprawa
Postępowanie wszczęto na podstawie licznych skarg i zgłoszeń: niechciane kontakty promocyjne oraz umowy i usługi aktywowane bez wiedzy zainteresowanych. Garante zbadał telemarketing, procedury zawierania umów przez partnerów handlowych oraz środki, którymi Wind Tre powinna była zapobiegać nielegalnemu przetwarzaniu i realizować żądania.
Co ustalił Garante
- ZIGNOROWANY SPRZECIW. Osoby, które wniosły sprzeciw lub nie wyraziły ważnej zgody, nadal otrzymywały komunikaty promocyjne (art. 6 i 21).
- UMOWY BEZ WIEDZY. W niektórych przypadkach umowy aktywowano bez wiedzy osoby, z nielegalnym przetwarzaniem jej danych.
- SIEĆ SPRZEDAŻY. Niewystarczające środki techniczne i organizacyjne oraz kontrole partnerów: systemy nie zapobiegały skutecznie nielegalnemu przetwarzaniu.
- PRAWA. Żądania osób, w tym dostępu, nie były obsługiwane z należytą szybkością (art. 12 i 15).
- ROZLICZALNOŚĆ. Naruszenie zasad rozliczalności, uwzględniania ochrony danych w fazie projektowania i bezpieczeństwa (art. 24, 25 i 32).
Sieć sprzedaży to nie parawan
Garante mówi to wprost: kto sprzedaje przez złożone sieci handlowe, pozostaje odpowiedzialny za przestrzeganie RODO i musi stosować skuteczne środki przeciw nielegalnemu marketingowi i nieuprawnionym aktywacjom. Umowa z agencją nie przenosi odpowiedzialności administratora.
Co to oznacza dla IOD
Pięć kontroli
Po pierwsze: sprzeciw wobec marketingu musi trafić do wszystkich systemów i partnerów, z okresową kontrolą, że osoba nie jest już kontaktowana. Po drugie: dla każdej agencji umowa z art. 28 z pisemnymi instrukcjami co do list i zgody. Po trzecie: wyrywkowe audyty umów zawieranych przez sieć, z dowodem woli klienta. Po czwarte: terminy i procedura dla żądań osób, z rejestrem dat. Po piąte: dokumentować i przeglądać środki — o nie organ pyta najpierw.
To nie pierwsza decyzja z 2026 r. wobec Wind Tre: w lipcu Garante nałożył już 1,7 mln euro za naruszenie ochrony danych. Dwie różne decyzje ze wspólnym wątkiem: środki techniczne i organizacyjne nie nadążały za wielkością sieci.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
