TL;DR
Genom slutligt beslut av den 5 juni 2026, publicerat av EDPB den 12 oktober, ålade italienska Garante Wind Tre S.p.A. en sanktionsavgift på 16,7 miljoner euro. Reklamsamtal efter invändning eller utan giltigt samtycke, avtal aktiverade utan personernas vetskap, otillräckliga tekniska åtgärder och kontroller i säljnätet, begäranden från registrerade som inte hanterades effektivt. Därutöver: slutligt förbud mot behandling av uppgifter insamlade utan samtycke och föreläggande att stärka åtgärderna. Överträdda artiklar: 5, 6, 12, 15, 21, 24, 25 och 32 GDPR.
Hur ärendet började
Utredningen startade efter många klagomål och tips: oönskade reklamkontakter och avtal och tjänster som aktiverats utan att de registrerade visste om det. Garante granskade telemarketingen, de rutiner partnerna använder för att ingå avtal och de åtgärder Wind Tre borde ha haft för att förhindra olaglig behandling och hantera begäranden.
Vad Garante konstaterade
- INVÄNDNING IGNORERAD. Personer som invänt eller inte gett giltigt samtycke fick fortfarande reklam (art. 6 och 21).
- AVTAL UTAN VETSKAP. I vissa fall aktiverades avtal utan att personen visste om det, med olaglig behandling av uppgifterna.
- SÄLJNÄT. Otillräckliga tekniska och organisatoriska åtgärder och kontroller av partnerna: systemen förhindrade inte olaglig behandling effektivt.
- RÄTTIGHETER. Begäranden från registrerade, även om tillgång, hanterades inte med vederbörlig skyndsamhet (art. 12 och 15).
- ANSVARSSKYLDIGHET. Brott mot ansvarsskyldighet, inbyggt dataskydd och säkerhet (art. 24, 25 och 32).
Säljnätet är ingen sköld
Garante säger det uttryckligen: den som säljer via komplexa säljnät förblir ansvarig för att GDPR följs och måste vidta effektiva åtgärder mot olaglig marknadsföring och obehöriga aktiveringar. Avtalet med agenten överför inte personuppgiftsansvaret.
Vad det betyder för dataskyddsombudet
Fem kontroller
Ett: en invändning mot marknadsföring måste nå alla system och partner, med regelbunden kontroll att personen inte längre kontaktas. Två: för varje agent ett biträdesavtal enligt art. 28 med skriftliga instruktioner om listor och samtycke. Tre: stickprovsgranskningar av avtal som säljnätet ingått, med bevis på kundens vilja. Fyra: tidsfrister och rutin för begäranden, med daterad logg. Fem: dokumentera och se över åtgärderna — det är det myndigheten frågar efter först.
Det är inte det första beslutet 2026 mot Wind Tre: i juli hade Garante redan ålagt 1,7 miljoner för en personuppgiftsincident. Två olika beslut med en gemensam tråd: de tekniska och organisatoriska åtgärderna höll inte jämna steg med säljnätets storlek.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
