TL;DR
Por decisão definitiva de 5 de junho de 2026, publicada pelo CEPD a 12 de outubro, o Garante italiano aplicou à Wind Tre S.p.A. uma coima de 16,7 milhões de euros. Chamadas promocionais após oposição ou sem consentimento válido, contratos ativados sem o conhecimento das pessoas, medidas técnicas e controlos insuficientes sobre a rede de vendas, pedidos dos titulares não tratados de forma eficaz. Além da coima: proibição definitiva de tratar os dados recolhidos sem consentimento e ordem para reforçar as medidas. Artigos violados: 5.º, 6.º, 12.º, 15.º, 21.º, 24.º, 25.º e 32.º do RGPD.
Como começou o caso
A investigação partiu de numerosas reclamações e denúncias: contactos promocionais indesejados e contratos e serviços ativados sem que os titulares o soubessem. O Garante analisou o telemarketing, os procedimentos com que os parceiros comerciais celebram contratos e as medidas com que a Wind Tre deveria impedir tratamentos ilícitos e dar seguimento aos pedidos dos titulares.
O que o Garante apurou
- OPOSIÇÃO IGNORADA. Pessoas que tinham exercido o direito de oposição, ou sem consentimento válido, continuavam a receber comunicações promocionais (arts. 6.º e 21.º).
- CONTRATOS SEM CONHECIMENTO. Em alguns casos, os contratos eram ativados sem que a pessoa soubesse, com tratamento ilícito dos seus dados.
- REDE DE VENDAS. Medidas técnicas e organizativas e controlos sobre os parceiros inadequados: os sistemas não impediam eficazmente os tratamentos ilícitos.
- DIREITOS. Os pedidos dos titulares, incluindo o acesso, não eram tratados com a rapidez devida (arts. 12.º e 15.º).
- RESPONSABILIDADE. Violação dos princípios de responsabilidade, proteção de dados desde a conceção e segurança (arts. 24.º, 25.º e 32.º).
A rede de vendas não é um escudo
O Garante di-lo expressamente: quem vende através de redes comerciais complexas continua responsável pelo cumprimento do RGPD e tem de adotar medidas eficazes para impedir o marketing ilícito e as ativações não autorizadas. O contrato com a agência não transfere a responsabilidade do responsável pelo tratamento.
O que significa para o EPD
Cinco verificações
Um: a oposição ao marketing tem de chegar a todos os sistemas e parceiros, com verificação periódica de que a pessoa já não é contactada. Dois: para cada agência, um contrato do art. 28.º com instruções escritas sobre as listas e o consentimento. Três: auditorias por amostragem aos contratos celebrados pela rede, com prova da vontade do cliente. Quatro: prazos e procedimento para os pedidos dos titulares, com registo das datas. Cinco: documentar e rever as medidas, porque são a primeira coisa que a autoridade pede.
Não é a primeira decisão de 2026 sobre a Wind Tre: em julho, o Garante já lhe tinha aplicado 1,7 milhões por uma violação de dados. Duas decisões diferentes com um fio comum: as medidas técnicas e organizativas não acompanhavam a dimensão da rede.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
