Итальянский Garante – один из самых агрессивных органов по защите данных в ЕС, и у его списка штрафов очень особая форма. Уберите знаменитые AI-дела – блокировку ChatGPT в 2023 году и AI-штрафы Garante – и оставшееся заполнено двумя темами, которых большинство других регуляторов едва касаются: непрошеный телемаркетинг и управление работниками через алгоритм.
Это реестр тех GDPR-штрафов: телеком- и энергогиганты, наказанные за телефонный маркетинг людям, которые не давали согласия, и платформы гиг-экономики, оштрафованные за то, что алгоритм оценивал, ранжировал и наказывал курьеров. Каждая цифра ведёт на регулятора или EU-зеркало его решения.
Почему в итальянском списке доминирует телемаркетинг
В Италии непрошеные маркетинговые звонки – настоящая социальная напасть, и Garante годами с ней борется: в годовом отчёте есть отдельные разделы про незаконный телемаркетинг в телеком-секторе, энергетике и за их пределами (Garante, Relazione 2024). Повторяющиеся нарушения одни и те же во всех делах:
- звонки людям, которые никогда не давали согласия или были в публичном реестре отказов (Registro Pubblico delle Opposizioni);
- покупка контакт-листов у третьих сторон без проверки, как было получено согласие;
- провал контроля над переданной на аутсорс сетью продаж, которая генерировала звонки – иногда с поддельных или незарегистрированных номеров, иногда по поддельным договорам.
Вторая итальянская специальность новее и смотрит дальше вперёд: Garante рано начал штрафовать за алгоритмическое управление – использование автоматической системы для оценки и наказания гиг-работников без прозрачности и права на человеческий пересмотр.
Краткий гид по положениям GDPR ниже:
- Ст. 5–6 – принципы и необходимость действительного правового основания (здесь почти всегда согласие на маркетинг).
- Ст. 13–14 – ясно сказать людям, как используются их данные.
- Ст. 22 – право не быть объектом чисто автоматизированных решений со значимыми последствиями – сердце дел о гиг-работниках.
- Ст. 25 – защита данных по умолчанию.
- Ст. 28 – обязанность контроллера контролировать своих обработчиков (переданные на аутсорс колл-центры и агентства продаж).
Реестр – решения 2026 года по сумме, затем крупнейшие прежние штрафы
1. Enel Energia – 79 100 000 € – 8 февраля 2024 – рекордный GDPR-штраф Италии
Крупнейший GDPR-штраф, который Garante когда-либо налагал. Четыре компании продвигали договоры на электричество и газ Enel без какого-либо разрешения от Enel, используя поддельные служебные удостоверения и настоящие бланки договоров Enel; затем Enel использовала персональные данные, привязанные минимум к 9 300 договорам, полученным так. Garante установил, что Enel не контролировала агентства, действовавшие от её имени.
Статьи. Статьи 5(1)(f) и 32 (безопасность платформы продаж «N.Eve» и общие учётные записи), статьи 5(2), 24(1) и 25 (подотчётность, защита данных по умолчанию) и статья 28 (провал контроля над обработчиками) (Garante – решение).
Статус. ПОДТВЕРЖДЁН В ПЕРВОЙ ИНСТАНЦИИ. Enel оспорила решение, и римский суд отклонил возражение, полностью подтвердив решение Garante № 81 от 8 февраля 2024 – решение № 12783/2025 (дело R.G. 14089/2025), опубликовано 18 сентября 2025. Дальнейшее обжалование решения продолжается. Точная сумма – 79 107 101 € (Garante).
Источник: DataGuidance – Garante штрафует Enel Energia на 79,10 млн €.
2. Intesa Sanpaolo – 31 800 000 € – 26 марта 2026 – ПРИОСТАНОВЛЕН СУДОМ
Что произошло. Garante нашёл серьёзные изъяны в том, как крупнейший банк Италии защищал персональные данные, и объяснил их неадекватностью принятых технических и организационных мер. Итальянская отраслевая пресса пишет, что сотрудник отделения тысячи раз без служебной надобности заходил в банковские данные клиентов на протяжении двух с лишним лет; эти подробности идут из прессы, а не из решения – его текст больше не опубликован.
Решение. 31 800 000 € – provvedimento № 208 от 26 марта 2026, объявлено 30 марта 2026.
Статус. ПРИОСТАНОВЛЕН. Garante снял решение со своего сайта: 13 июля 2026 суд Турина обеспечительным определением приостановил его исполнительную силу на время рассмотрения спора.
Источник: Garante – уведомление о решении № 208/2026.
3. Intesa Sanpaolo (Isybank) – 17 628 000 € – 12 марта 2026 – ОСПАРИВАЕТСЯ
Что произошло. Банк без надлежащего правового основания профилировал клиентов, чтобы отобрать, кого автоматически перевести в Isybank – свой стопроцентный цифровой банк: брали клиентов не старше 65 лет, которые регулярно пользуются цифровыми каналами, без инвестиционных продуктов и с небольшими остатками. Затронуто около 2,4 миллиона человек. Перевод счетов означал одностороннее изменение условий договора, а извещали людей скверно – в основном летом, в раздел «архив» приложения Intesa Sanpaolo, без push-уведомлений и SMS.
Решение. 17 628 000 € – provvedimento № 163 от 12 марта 2026.
Статус. ОСПАРИВАЕТСЯ. Текст снят с сайта Garante, производство по возражению не завершено.
Источник: Garante – уведомление о решении № 163/2026.
4. TIM S.p.A. – 9 516 000 € – 23 июля 2026
Что произошло. Нелегальные телефонные центры обзванивали людей от имени TIM с номеров вне официальной сети продаж, подменяя номер, и собирали данные тех, кто думал, что говорит с уполномоченным представителем. За 2025 год пришло около 7 000 жалоб, многие – на звонки по номерам из реестра отказов. Отдельно орган установил, что компания систематически нарушала права людей: запросы доступа, удаления и возражения оставались без ответа или обрабатывались с опозданием, а отписаться было неоправданно трудно.
Статьи. Статьи 5, 6, 7, 12, 15–22, 24, 25, 28 и 32 GDPR плюс статья 130 итальянского Кодекса о защите данных.
Статус. Действует; предписано исправить порядок обратного звонка, усилить надзор за партнёрами и переделать процедуры реализации прав.
Источник: Garante – решение № 556 от 23 июля 2026.
5. Poste Italiane (6 624 000 €) и Postepay (5 877 000 €) – 17 апреля 2026 – ПРИОСТАНОВЛЕНЫ СУДОМ
Что произошло. Приложения BancoPosta и Postepay требовали от пользователя обязательно разрешить доступ к данным устройства «для выявления вредоносных программ», а при отказе блокировали работу. Разрешение открывало сведения о том, какие приложения установлены и запущены, как часто ими пользуются и какой оператор связи обслуживает устройство; обработку вёл противомошеннический механизм ThreatMetrix, оценивающий риск операции в реальном времени. Garante счёл такую настройку более навязчивой, чем требовала цель. Довод компаний, что этого требуют указания Европейского банковского управления и директива PSD2, принят не был.
Решение. 12 501 000 € на двоих – provvedimento № 237 от 17 апреля 2026.
Статус. ПРИОСТАНОВЛЕНЫ. Решение снято с сайта Garante по обеспечительному определению суда Рима от 17 июля 2026, приостановившему исполнительную силу.
Источник: Garante – уведомление о решении № 237/2026.
6. BBVA (итальянский филиал) – 5 508 000 € – 3 сентября 2026
Что произошло. Клиент отключил рекламные уведомления в приложении банка, потом повторил отказ в службе поддержки – и всё равно семь месяцев, с октября 2025 по май 2026, получал рекламу внутри приложения. Банк объяснил, что отключение его внутренние системы записали, но в отдел, который рассылает рекламу, оно так и не попало. А служба поддержки в декабре 2025 года ответила клиенту, что всплывающие уведомления убрать нельзя и их можно просто не замечать; Garante счёл, что этому противоречат действия самого банка: позже он отключил именно эти уведомления. Вывод Garante: мало записать «нет» клиента, нужно, чтобы его соблюдали все системы компании.
Статьи. Статьи 5(1)(a), 12, 21 и 24 GDPR.
Почему такая сумма. Тяжесть нарушения Garante оценил как низкую по руководству EDPB о расчёте штрафов, но учёл два отягчающих обстоятельства: служба поддержки не обучена работать с правами людей, а против того же банка уже было решение № 413 от 10 июля 2025 – за запоздалый ответ на запрос доступа. В пользу банка сыграло то, что он устранил нарушение ещё во время проверки.
Статус. Кроме штрафа, банку предписано наладить порядок, при котором запросы людей о своих правах обрабатываются правильно и в срок. Решение можно обжаловать в обычном суде.
Источник: Garante – решение № 613 от 3 сентября 2026 · рассылка Garante от 11 сентября 2026.
7. TIM – 27 802 946 € – 15 января 2020
С января 2017 по начало 2019 Garante получил сотни жалоб на непрошеные маркетинговые звонки TIM – сделанные без согласия или вопреки тому, что получатели были в публичном реестре отказов, плюс недействительные согласия и избыточное хранение.
Статьи. Статья 5, статьи 6/7 (согласие) и обязанности по прозрачности.
Источник: Garante – штраф TIM на 27,8 млн €.
8. Enel Energia – 26 500 000 € – 16 декабря 2021
Отдельное, более раннее дело Enel (не путать со штрафом 79,1 млн € 2024 года выше). После сотен жалоб на непрошеные звонки от имени Enel – часть с предзаписанными сообщениями – Garante оштрафовал Enel за агрессивный телемаркетинг и нарушение принципа подотчётности.
Статус. ОТМЕНА ОТМЕНЕНА – ДЕЛО СНОВА В СУДЕ. В 2023 году римский суд полностью отменил решение Garante № 443 (решение суда № 2615/2023). Основание процедурное, а не содержательное: Enel не оспаривала сами факты, но указала, что Garante пропустил 120-дневный срок уведомления о нарушениях, установленный его же Regolamento 2/2019, и суд счёл этот срок пресекательным (Portolano Cavallo). Garante обжаловал: 8 июля 2025 Кассационный суд (решение № 18583/2025) отменил решение об отмене и вернул дело на новое рассмотрение, которое ещё идёт (Garante). В сентябре 2026 года Garante сообщил ещё о трёх решениях кассации (№ 22791, 24861 и 24862/2026): 120 дней отсчитываются с момента, когда нарушение можно считать окончательно установленным, а не с первых полученных сведений (рассылка Garante от 11 сентября 2026).
Статьи. Статья 5 (подотчётность) и правила правового основания и согласия для маркетинга.
Источник: Garante – штраф Enel Energia на 26,5 млн €.
9. Clearview AI – 20 000 000 € – 2022
За сбор изображений лиц итальянцев без правового основания. Часть межрегуляторной истории, рассказанной целиком в реестре штрафов Clearview AI.
Статьи. Статьи 5, 6 и 9 (нет правового основания, данные особой категории) и права субъектов данных.
Источник: Реестр штрафов Clearview AI.
10. Wind Tre – 16 729 600 € – 9 июля 2020
Телеком-оператора оштрафовали за незаконный прямой маркетинг – пользователи получали непрошеные SMS, письма и автоматические звонки без согласия, – и Garante запретил дальнейшую обработку данных, собранных без согласия. (В тот же день Garante оштрафовал и Iliad на 0,8 млн € – за другое: за то, как её сотрудники получали доступ к данным о трафике.)
Статьи. Статья 5, статьи 6/7 (согласие) и статьи 13–14 (информирование).
Источник: Garante – штрафы Wind на 17 млн € и Iliad на 0,8 млн €.
11. Vodafone Italia – 12 250 000 € – 12 ноября 2020
За незаконную обработку данных миллионов пользователей ради телемаркетинга, после сотен жалоб на непрошеные звонки от Vodafone и её сети продаж. Поразительная находка: звонки шли с поддельных номеров, не зарегистрированных в ROC – официальном реестре операторов связи Италии.
Статьи. Статьи 5 и 25(1) (нет контроля над цепочкой сбора данных), статьи 6, 7 и 21 (согласие и возражение) и статьи 24 и 32 (безопасность).
Источник: Garante – Vodafone оштрафован более чем на 12 млн €.
12. Foodinho (Glovo) – 2 600 000 € – 10 июня 2021 – дело об алгоритме
Знаковое дело. Принадлежащую Glovo платформу доставки Foodinho оштрафовали за то, как её алгоритм управлял курьерами: он оценивал и ранжировал работников, не объясняя им, как работает система, не гарантировал точность этих алгоритмических оценок и не давал курьеру способа получить человеческий пересмотр или оспорить автоматическое решение. Это первое решение Garante о курьерах, и оно прицельно бьёт по управлению через алгоритм.
Статьи. Статья 5, статья 13 (прозрачность) и статья 22 (автоматизированное принятие решений).
Источник: Garante – нет алгоритмам, порождающим дискриминацию; платформа группы Glovo оштрафована на 2,6 млн €.
13. Deliveroo Italy – 2 500 000 € – 2021
Вынесен в той же волне внимания к платформам гиг-экономики. Итальянское подразделение Deliveroo оштрафовали на 2,5 млн € за то, как оно обращалось с данными курьеров и алгоритмом, которым ими управляли, – недостаточная прозрачность об автоматических системах, управлявших их работой.
Статьи. Статья 5, статья 13 (прозрачность) и статья 22 (автоматизированное принятие решений).
Источник: рассылка Garante от 2 августа 2021 – штраф Deliveroo Italy на 2,5 млн €.
Две закономерности, один регулятор
Список Garante говорит, что итальянского регулятора на деле волнует:
- Телемаркетинг – основная масса денег. Enel (дважды, включая рекорд 79,1 млн €), TIM, Wind Tre, Vodafone – крупнейшие итальянские штрафы в подавляющем большинстве про звонки людям, которые не давали согласия, и про компании, не уследившие за переданными на аутсорс агентствами и колл-центрами, действующими от их имени. Если вы ведёте любой исходящий маркетинг в Италию – это та практика, которая применима к вам.
- Алгоритмическое управление зародилось здесь. Штрафами Foodinho и Deliveroo в 2021 году Garante одним из первых заявил, что автоматическая система, оценивающая и наказывающая работников, – это вопрос GDPR: ей нужны прозрачность, точность и человек, которому работник может пожаловаться. По мере того как AI входит в HR и найм, эти дела – шаблон.
Отдельную, столь же пионерскую AI-линию Garante – блокировку ChatGPT и штрафы OpenAI и Replika – смотрите в специальном реестре AI-штрафов Garante.
Что это значит, если вы работаете в Италии
- Не звоните и не пишите без доказуемого согласия – и сверяйтесь с реестром отказов. Каждый телеком- и энергоштраф выше сводится к этому. Согласие должно быть конкретным, задокументированным и соблюдаемым против Registro Pubblico delle Opposizioni.
- Вы отвечаете за свою сеть продаж. Штраф Enel 79,1 млн € по сути был за то, что она не контролировала агентства, генерировавшие договоры от её имени. «Это сделали наши партнёры» – противоположность защите по статье 28.
- Если алгоритм оценивает, ранжирует или наказывает людей, относитесь к нему как к статье 22. Работники (и клиенты) имеют право знать логику, иметь точные входные данные и человека, который может пересмотреть решение. Построить систему автоматической оценки без этого – ровно то, что стоило денег Foodinho и Deliveroo.
Структурное лечение неэффектно: чистое, задокументированное согласие; реальный надзор за третьими сторонами, действующими за вас; и человеческий пересмотр, встроенный в любое автоматическое решение, которое существенно затрагивает человека.
Источники для независимой проверки
- Garante – Relazione 2024 (официальный годовой отчёт) – отдельные разделы про незаконный телемаркетинг в телекоме, энергетике и других секторах.
- Garante – newsroom (английский) – собственные решения и пресс-релизы регулятора.
- Новости национальных органов EDPB – краткие изложения национальных решений на уровне ЕС, в том числе итальянских.
- enforcementtracker.com – реестр CMS Law с фильтром по Италии.
Короткий вывод
Garante штрафует за две вещи, из-за которых почти никто больше не попадает в заголовки: непрошеные маркетинговые звонки и управление через алгоритм. Телемаркетинг-штрафы – во главе с рекордом Enel в 79,1 млн € – наказывают компании за звонки людям, которые не давали согласия, и за неконтроль над агентствами, которые это делают; дела Foodinho и Deliveroo сделали алгоритмы оценки работников вопросом GDPR раньше, чем большинство регуляторов это заметили. Если вы ведёте маркетинг в Италию или автоматизируете решения о людях там – это список, который читают до, а не после.