Les faits
En l’espace de quatre jours, deux sanctions majeures ont été publiées par les autorités européennes de protection des données.
Le 12 octobre 2026, l’autorité italienne (Garante) a prononcé une amende de 16,7 millions d’euros contre Wind Tre S.p.A., l’un des principaux opérateurs télécoms italiens. La décision, rendue en juin 2026 après plusieurs années d’instruction, sanctionne des pratiques de télémarketing illicites à grande échelle : appels commerciaux passés sans base légale valide, données utilisées sans consentement conforme, et absence de procédure permettant aux personnes de s’opposer efficacement à être contactées.
Quatre jours plus tard, le 16 octobre, c’est l’autorité norvégienne (Datatilsynet) qui condamnait Xandr Inc., filiale de Microsoft spécialisée dans la publicité programmatique, à 8,6 millions d’euros. En cause : le traitement de données personnelles dans le cadre du Real-Time Bidding (RTB), ce mécanisme d’enchères en temps réel qui permet de cibler les internautes à la milliseconde. Les autorités ont établi que Xandr traitait des données sensibles à des fins publicitaires sans base légale valide et sans informer correctement les utilisateurs.
Les conséquences pour ces entreprises
Au-delà du montant des amendes, qui représentent respectivement environ 3 % du chiffre d’affaires annuel pour Wind Tre, ces décisions emportent des conséquences opérationnelles immédiates.
Les deux sociétés ont dû suspendre tout ou partie de leurs activités de traitement concernées, le temps de les mettre en conformité. Elles font face à des obligations de documentation et d’audit renforcées imposées par les autorités, ainsi qu’à des injonctions de modification de leurs processus internes dans des délais contraints. À cela s’ajoutent des effets indirects : atteinte à la réputation, perte de confiance des partenaires commerciaux, et risque de recours civils de la part des personnes concernées, notamment en Italie où l’action collective en matière de données personnelles est en plein développement.
Ces décisions s’inscrivent dans le cadre du CEF 2026, l’action coordonnée de l’EDPB sur la transparence, qui mobilise 25 autorités nationales à travers l’Europe cette année. Le signal est clair : le télémarketing et la publicité ciblée sont des priorités d’enforcement pour 2026.
Les leçons pour votre PME
Ces affaires peuvent sembler lointaines : un opérateur télécom de plusieurs milliards d’euros et une filiale de Microsoft. Mais les violations sanctionnées sont exactement celles que l’on retrouve dans des PME de toute taille.
La réalité est simple : si votre entreprise fait du télémarketing, de l’e-mailing commercial, ou utilise des outils de publicité en ligne, les mêmes règles s’appliquent à vous. Et les mêmes autorités coordonnent leurs contrôles cette année précisément sur ces sujets.
Quelques vérifications de base suffisent souvent à identifier les points de risque les plus courants. D’autres nécessitent un regard plus technique sur vos outils et vos processus internes.
Les bonnes pratiques concrètes, les points de contrôle à effectuer en priorité, et les erreurs les plus fréquemment sanctionnées dans ce domaine font l’objet d’un guide détaillé réservé aux abonnés de notre newsletter.
Chaque semaine, nos abonnés reçoivent ce type d’analyse pour garder une longueur d’avance sur les évolutions réglementaires qui concernent leur activité.
→ Abonnez-vous à la newsletter pour accéder aux conseils complets et aux guides pratiques.
