Il 12 ottobre 2026 il Comitato europeo per la protezione dei dati ha pubblicato la sintesi della decisione definitiva del Garante per la protezione dei dati personali del 5 giugno 2026: una sanzione amministrativa di 16.700.000 EUR a carico di Wind Tre S.p.A. per telemarketing illecito e per l'attivazione di contratti all'insaputa degli interessati, con richiamo agli articoli 5, 6, 12, 15, 21, 24, 25 e 32 del Regolamento (UE) 2016/679 (GDPR). I titolari che svolgono telemarketing e attivazione contrattuale attraverso una rete di vendita sul mercato italiano, e i partner di vendita e i call centre che collocano quei contratti, devono immediatamente verificare le registrazioni del consenso e delle opposizioni al telemarketing, e i controlli sui partner di vendita che attivano i contratti, rispetto agli articoli 5, 6, 21, 24, 25 e 32 del GDPR, oppure esporsi allo stesso esito disposto per Wind Tre: una sanzione amministrativa, il divieto di trattare dati acquisiti senza consenso e un ordine di correggere i controlli sulla rete di vendita.
Wind Tre deve anche rendere effettivo il diritto di opposizione al marketing diretto e rafforzare le misure sulla rete di vendita. Il link di ulteriori informazioni dell'EDPB rimanda a una pagina diversa del Garante, non a questa decisione sul telemarketing.
- Autorità : Garante per la protezione dei dati personali
- Soggetto : Wind Tre S.p.A.
- Misura e importo : sanzione di 16.700.000 EUR, divieto di trattare dati acquisiti senza consenso, ordine di conformità sui controlli della rete di vendita
- Base giuridica : articoli 5, 6, 12, 15, 21, 24, 25 e 32 del GDPR
- Data della decisione : 5 giugno 2026 (pubblicazione EDPB 12 ottobre 2026)
- Fonte ufficiale : Notizia nazionale EDPB, sanzione del Garante italiano a Wind Tre di 16.700.000 EUR
Che cosa è accaduto
Il Garante ha istruito reclami su contatti promozionali non richiesti e su contratti attivati all'insaputa degli interessati, comprese le modalità con cui i partner concludono i contratti. Le persone continuavano a ricevere promozioni dopo un'opposizione o senza consenso valido. I sistemi non fermavano quel trattamento né davano seguito tempestivo alle richieste. Oltre alla sanzione, l'autorità ha vietato l'ulteriore trattamento dei dati acquisiti senza consenso e ha ordinato un'opposizione effettiva e controlli più stretti sulla rete di vendita. Il titolare che si avvale di una rete di vendita complessa resta responsabile di quel trattamento.
La violazione
La sintesi elenca gli articoli 5, 6, 12, 15, 21, 24, 25 e 32 del GDPR e non cita un passaggio dispositivo. Il contatto dopo un'opposizione o senza consenso valido ricade sugli articoli 6 e 21. L'attivazione all'insaputa dell'interessato ricade sugli articoli 5 e 6. Le richieste senza seguito tempestivo ricadono sugli articoli 12 e 15. I controlli sulla rete di vendita che non hanno fermato il trattamento ricadono sugli articoli 24, 25 e 32. Il testo è la versione della Gazzetta ufficiale del Regolamento (UE) 2016/679.
Chi altro è nello stesso regime
Wind Tre è il titolare sanzionato. I titolari che svolgono telemarketing e attivazione contrattuale attraverso una rete di vendita sul mercato italiano, e i partner di vendita e i call centre che collocano quei contratti, trattano dati per le stesse finalità, sotto gli stessi articoli e lo stesso Garante. Un partner che raccoglie il consenso o inserisce il contratto rientra in quel controllo.
Che cosa verificare
- Confermare un consenso valido prima di ogni contatto di telemarketing (articolo 6).
- Interrompere le campagne per le quali risulta un'opposizione ai sensi dell'articolo 21.
- Cessare il trattamento di dati personali acquisiti senza consenso.
- Confermare che l'interessato conosca ogni attivazione contrattuale del partner di vendita.
- Verificare che accessi e opposizioni abbiano seguito tempestivo (articoli 12 e 15).
- Documentare le misure sulla rete di vendita per gli articoli 24, 25 e 32.
Il monitoraggio di Obsidian fa emergere una sanzione nazionale quando la sintesi dell'autorità è pubblicata.
