Le Garante italien inflige une amende de 16,7 M€ à Wind Tre pour du démarchage téléphonique et des activations de contrats à l'insu des personnes

Le 5 juin 2026, l'autorité italienne de protection des données, le Garante, a infligé à Wind Tre S.p.A. une amende de 16 700 000 € pour du démarchage téléphonique illicite et pour avoir activé des contrats à l'insu des personnes concernées, en invoquant les articles 5, 6, 12, 15, 21, 24, 25 et 32 du RGPD. Le CEPD a publié le résumé de l'autorité le 12 octobre 2026. Les enquêteurs, saisis de plaintes, ont constaté que des personnes continuaient de recevoir des sollicitations promotionnelles après avoir déposé des oppositions ou sans consentement valable, et que les systèmes ne parvenaient ni à arrêter ce traitement ni à donner rapidement suite aux demandes.

L'enquête a également examiné la manière dont les partenaires commerciaux de Wind Tre concluent les contrats : des activations ont eu lieu à l'insu des personnes concernées. Outre l'amende, le Garante a interdit tout traitement ultérieur des données acquises sans consentement et a ordonné une gestion effective des oppositions ainsi que des contrôles renforcés sur le réseau de vente — soulignant qu'un responsable du traitement qui recourt à un réseau de vente complexe reste responsable de ce traitement.

Une amende administrative de 16,7 millions d'euros, une interdiction de traiter les données acquises sans consentement, et des injonctions de corriger la gestion des oppositions et les contrôles du réseau de vente.

Les sollicitations promotionnelles se sont poursuivies après des oppositions ou sans consentement valable — des manquements aux articles 6 et 21 du RGPD que les systèmes de l'entreprise n'ont jamais détectés.

Des contrats ont été activés à l'insu des personnes concernées par des partenaires commerciaux, le responsable du traitement restant responsable du comportement du réseau.

Les demandes d'opposition et d'accès n'ont pas reçu de suite rapide, et les contrôles du réseau de vente au titre des articles 24, 25 et 32 du RGPD ont échoué.

Externaliser la vente ne revient pas à externaliser la responsabilité : un responsable du traitement qui laisse des partenaires et des centres d'appels activer des contrats reste responsable de chaque consentement qu'ils n'ont jamais vérifié.

La décision est définitive depuis le 5 juin 2026 : une amende de 16,7 M€, une interdiction de traiter les données acquises sans consentement, et des injonctions de mise en conformité concernant la gestion des oppositions et la supervision du réseau de vente. Le résumé du Garante a été publié via le CEPD le 12 octobre 2026 ; aucun résultat d'appel n'a été rapporté.