Sanzione Wind Tre: 16,7 milioni di euro per violazioni GDPR e Telemarketing

Perché continuo a ricevere chiamate?

La domanda è ricorrente, quasi un mantra per milioni di utenti telefonici. Il fastidio di un telefono che squilla per l'ennesima proposta commerciale, nonostante l'iscrizione ai registri di opposizione o la revoca esplicita del consenso, non è più solo un'irritazione individuale, ma il sintomo di un malfunzionamento sistemico. Nel caso di Wind Tre S.p.A., questo scenario è diventato l'oggetto di un'indagine approfondita condotta dal Garante per la protezione dei dati personali.

L'autorità italiana ha agito a seguito di numerosi reclami e segnalazioni di singoli cittadini. Le lamentele non riguardavano solo il telemarketing insistente, ma qualcosa di più grave: l'attivazione di contratti e servizi di cui gli interessati non erano a conoscenza. Il cittadino si ritrovava cliente di un servizio mai richiesto, scoprendo l'esistenza di un vincolo contrattuale solo in fase di fatturazione o tramite comunicazioni formali.

Questa dinamica sposta il problema dalla semplice 'fastidiosità' del marketing alla violazione della volontà del consumatore. L'indagine ha confermato che molte persone continuavano a ricevere contatti promozionali nonostante avessero esercitato il proprio diritto di opposizione, oppure in totale assenza di un consenso valido. L'annuncio ufficiale dell'EDPB evidenzia come l'Autorità abbia esaminato specificamente le procedure utilizzate per concludere i contratti attraverso i partner di vendita.

16,7 milioni di euro

La cifra è netta: 16.700.000 euro. Non si tratta di una sanzione simbolica, ma di un provvedimento amministrativo che mira a colpire la struttura economica di un'operazione di marketing non conforme. La decisione finale, datata 5 giugno 2026, non si limita alla multa, ma impone un divieto definitivo di trattamento dei dati personali ottenuti senza consenso e un ordine di conformità per l'azienda.

Analisi strategica: Per un imprenditore, questo numero rappresenta il costo del rischio di compliance. Quando un'azienda scala i propri processi di acquisizione clienti delegandoli a terzi senza un controllo rigoroso, il risparmio operativo immediato viene annullato da sanzioni che seguono la logica del GDPR: proporzionalità al fatturato e gravità della violazione. Il rischio non è più solo legale, ma reputazionale e finanziario.

Il Garante ha individuato violazioni di molteplici articoli del Regolamento UE 2016/679. Tra questi, l'Articolo 5 sui principi di trattamento, l'Articolo 6 sulla liceità del trattamento e l'Articolo 21 relativo al diritto di opposizione. La sanzione è il risultato di una valutazione che incrocia la quantità di utenti colpiti e la persistenza delle condotte illecite nonostante le segnalazioni.

Contratti attivati nel silenzio

Il reportage dell'Autorità dipinge un quadro inquietante: l'attivazione di contratti a insaputa dell'utente. Questo fenomeno avviene tipicamente attraverso l'uso illecito di dati personali per simulare un'adesione che non è mai avvenuta. Il trattamento dei dati, in questo caso, non è solo non trasparente, ma è palesemente illegittimo.

L'indagine ha rivelato che Wind Tre non ha implementato misure sufficienti per garantire che i contratti fossero conclusi in modo trasparente. La mancanza di informazioni chiare e le modalità opache di comunicazione hanno impedito agli utenti di esercitare i propri diritti, inclusi il diritto di accesso (Articolo 15) e il diritto a ricevere informazioni trasparenti (Articolo 12).

Il problema non risiede solo nell'atto della vendita, ma nella gestione del dato a valle. Una volta attivato il contratto 'fantasma', il dato personale entra in un flusso di fatturazione e gestione che legittima, agli occhi dei sistemi interni, un trattamento che all'origine era illegale. I dettagli della sanzione confermano che l'azienda ha fallito nel prevenire tali pratiche.

Il buco nero della rete vendita

Per comprendere come sia possibile che un colosso delle telecomunicazioni attivi contratti senza consenso, bisogna guardare alla struttura della distribuzione. Wind Tre, come molti operatori, si avvale di una vasta rete di partner commerciali e agenti esterni. È proprio qui che si crea il buco nero della compliance.

Il Garante ha riscontrato gravi carenze nelle misure tecniche e organizzative implementate per controllare i partner di vendita. In sostanza, l'azienda ha delegato l'acquisizione del cliente senza delegare (o monitorare) l'obbligo di protezione dei dati. I sistemi di Wind Tre non erano in grado di prevenire efficacemente i trattamenti illeciti effettuati dai suoi agenti o partner.

Questo scenario configura una violazione dell'Articolo 24 (Responsabilità del titolare) e dell'Articolo 25 (Data protection by design and by default). Se il sistema di vendita è progettato per premiare l'acquisizione rapida del contratto senza verifiche rigorose sul consenso, il 'design' stesso del processo è non conforme al GDPR. La sicurezza del trattamento (Articolo 32) non riguarda solo i cyber-attacchi, ma anche la protezione dei dati da usi impropri all'interno della catena del valore aziendale.

Chi controlla i partner commerciali?

La lettura critica del caso Wind Tre solleva un problema di governance aziendale. La responsabilità del Titolare del trattamento (Wind Tre S.p.A.) non scompare quando il dato viene gestito da un partner commerciale. Al contrario, il Titolare deve garantire che ogni soggetto che agisce per suo conto rispetti le norme sulla privacy.

Nel caso in esame, l'Autorità ha evidenziato che i controlli sulla rete vendita erano insufficienti. Questo suggerisce un gap tra le policy scritte (la compliance formale) e l'operatività reale (la compliance sostanziale). Quando gli incentivi economici per i venditori spingono verso l'aggressività commerciale, le procedure di controllo diventano spesso un mero formalismo se non sono supportate da blocchi tecnici nei sistemi di attivazione.

L'implicazione per ogni impresa che utilizzi agenti esterni è chiara: non basta un contratto che obblighi il partner a rispettare il GDPR. È necessario un sistema di audit continuo e, soprattutto, un'architettura tecnica che impedisca l'inserimento di un contratto se non è allegata o verificata una prova certa del consenso. L'analisi di Verisq sottolinea come questa sanzione ribadisca l'accountability degli operatori per le pratiche di marketing e vendita.

Le violazioni del GDPR

Per chiarezza analitica, è possibile sintetizzare le violazioni riscontrate dal Garante attraverso il seguente schema di riferimento normativo:

Telecomunicazioni tra Garante e mercato UE

Il caso Wind Tre non è un episodio isolato, ma si inserisce in un trend europeo di repressione del telemarketing aggressivo. Il Garante italiano si conferma uno dei regolatori più attivi e severi nell'applicazione del GDPR, specialmente nel settore delle telecomunicazioni, dove il volume di dati trattati è immenso e le pressioni commerciali sono elevate.

Per le imprese italiane, questo significa che la tolleranza verso le 'zone grigie' del marketing è terminata. L'integrazione tra GDPR e nuove normative europee, come l'AI Act (per quanto riguarda l'automazione dei contatti) e la NIS2 (per la resilienza delle infrastrutture), impone un cambio di paradigma: la privacy non è più un ufficio legale che firma documenti, ma una funzione tecnica che deve essere integrata nel software di vendita.

Guardando al futuro, possiamo ipotizzare due scenari per il mercato telco:

• Scenario A: Automazione della Compliance. Le aziende implementano sistemi di verifica del consenso in tempo reale collegati ai registri nazionali. Indicatore verificabile: Adozione di API di verifica automatica del consenso integrate nei CRM di vendita entro i prossimi 24 mesi.
• Scenario B: Contrazione della rete di vendita esterna. Per ridurre il rischio sanzionatorio, gli operatori riportano l'acquisizione clienti in-house o verso partner certificati con standard di auditing rigorosi. Indicatore verificabile: Riduzione del numero di partner di vendita terzi nei report annuali di sostenibilità/governance.

In definitiva, la sanzione a Wind Tre invia un messaggio chiaro a tutto il mercato UE: l'accountability non è delegabile. Chi trae profitto dall'acquisizione di un cliente ne assume l'intera responsabilità legale, indipendentemente da chi ha materialmente effettuato la chiamata o firmato il contratto.

Domande frequenti

Fonti: Edpb, Europrivacy, Verisq ·