4.5 מיליון אנשי קשר, בלי הסכמה

ב-12 בנובמבר 2020 הטילה רשות הגנת המידע האיטלקית (Garante per la protezione dei dati personali) על Vodafone Italia קנס של 12,251,601 אירו.

מה מצאה הרשות?

רשימות של כ-4.5 מיליון אנשי קשר הגיעו לחברה מספקי רשימות ומשותפים, בלי הסכמה שמאפשרת להעביר אותן. רשת המכירות ביצעה עשרות מיליוני שיחות שיווק. הרשות מצאה מספר גדול מאוד של שיחות ממספרים שאינם שייכים לרשת המכירות של החברה, כמעט תמיד לא רשומים כחוק ולעתים קרובות עם קידומת זרה, וחלקן לאנשים שכבר התנגדו. היו גישות לא מורשות למאגרי החברה, בין היתר על ידי עובדים של מוקדים חיצוניים שעבדו עבורה, והחברה לא נקטה אמצעי אבטחה מתאימים כדי למנוע אותן. החברה לא דיווחה לרשות על אירוע אבטחה, ובקשות עיון ותיקון של לקוחות לא טופלו עד הסוף.

את חלק מהפניות הסבירה החברה כ"טעות אנוש" או כתקלה במערכת.

הפער

על הנייר היו רשימות חסימה, הסכמות ונהלים. בשטח הייתה שרשרת של שותפים, מוקדים וקבלני משנה, ואף אחד לא בדק שהנהלים עוברים דרכה.

כאן נכנס תפעול הגנת הפרטיות (Data Protection Operations, DPOps): לבדוק שהבקרה עובדת לכל אורך השרשרת, ולא רק במשרד הראשי.

שלוש בקרות

👈 אין הסכמה, אין רשימה. לפני שמשתמשים ברשימה מספק או משותף, בודקים מאיפה היא הגיעה ועל איזו הסכמה היא נשענת. רשימה בלי תיעוד לא נכנסת למערכת.

👈 אין חוזה מפנייה פסולה. מערכת המכירות לא מאפשרת להפעיל שירות או לרשום חוזה שמקורו בשיחה ממספר לא רשום, או בפנייה לאדם שהתנגד.

👈 גישה של ספקים, מבוקרת. כל מוקד וספק ניגש רק למה שהוא צריך, וכל גישה למאגר נרשמת ונבדקת, כך שגישה חריגה מתגלה מהר.

גם Wind Tre

ביולי 2020 קנסה הרשות האיטלקית גם את Wind Tre ב-16.7 מיליון אירו, על כשל דומה מאוד: פניות שיווקיות אחרי התנגדות, וחוזים שהופעלו בלי ידיעת הלקוחות, דרך רשת שותפי המכירות. ההחלטה בעניינה נעשתה סופית רק ביוני 2026, וב-12 באוקטובר 2026 פרסמה המועצה האירופית להגנת מידע (EDPB) את תמציתה.

אותה שנה, אותו כשל, בשתי חברות תקשורת גדולות. הפער בין הנהלים לשרשרת השותפים הוא לא מקרה, הוא דפוס.

מקור

ההחלטה המלאה של רשות הגנת המידע האיטלקית, 12 בנובמבר 2020

חשוב לדייק: ההחלטה איטלקית ואינה חלה בישראל. השיקולים בה רלוונטיים לכל ארגון שמשווק דרך שותפים.