Telemarketing, il Garante sanziona TIM per 9,5 milioni.

Chi affida le vendite a terzi risponde anche dei call center abusivi.

 

Nove milioni e cinquecentosedicimila euro. È l’importo della sanzione che il Garante per la protezione dei dati personali ha inflitto a TIM con il provvedimento del 23 luglio 2026, reso noto il 31 luglio, al termine di un’istruttoria nata da circa 7.000 reclami e segnalazioni arrivati nel solo 2025. Gli utenti lamentavano chiamate promozionali indesiderate effettuate per conto della società da numerazioni non censite al Registro degli operatori di comunicazione oppure alterate con la tecnica dello spoofing, spesso dirette a persone regolarmente iscritte al Registro pubblico delle opposizioni, che per legge non dovrebbero ricevere telefonate commerciali.

Le ispezioni hanno ricostruito uno schema tanto ingegnoso quanto illecito. La prima chiamata arrivava da un numero camuffato e serviva a proporre offerte e servizi TIM. Ai clienti che mostravano interesse veniva poi inviato un SMS con un link a una pagina web di un partner ufficiale della rete di vendita, dove un modulo invitava a formulare una autonoma richiesta di ricontatto, la cosiddetta lead. A quel punto il call center richiamava l’interessato da una numerazione regolarmente censita, sulla base di quella richiesta in realtà costruita ad arte. Il risultato era un flusso telefonico dall’apparenza lecita e un contratto formalmente regolare, fondati però su un contatto nato in modo illecito.

Il punto giuridicamente più rilevante del provvedimento riguarda la responsabilità del committente. TIM si era difesa richiamando la propria adesione al codice di condotta di settore, ma il Garante ha ritenuto insufficiente questa giustificazione e ha ribadito che l’adesione a un codice di condotta non esonera il titolare del trattamento dall’obbligo di vigilare sull’operato dei propri partner e di verificare l’effettiva applicazione delle misure di protezione dei dati lungo l’intera filiera del telemarketing. In altre parole, esternalizzare l’attività non significa esternalizzare la responsabilità.

L’Autorità ha inoltre accertato la sistematica inosservanza degli obblighi in materia di diritti degli interessati. Le istanze di accesso, cancellazione e opposizione ricevevano riscontri omessi o tardivi, mentre le procedure di disiscrizione risultavano eccessivamente complesse e in alcuni casi semplicemente non funzionanti. Oltre al pagamento della sanzione, la società dovrà quindi introdurre correttivi nella procedura di generazione delle lead, rafforzare i controlli sulla rete di vendita e adeguare le procedure per l’esercizio dei diritti.

Perché questa vicenda interessa anche chi non fa telemarketing? Perché il principio affermato dal Garante vale per qualunque organizzazione, pubblica o privata, che affidi a soggetti esterni attività comportanti il trattamento di dati personali. Vale per l’impresa che si appoggia ad agenzie commerciali, ma vale anche per l’ente pubblico che affida a fornitori o società partecipate la gestione di contatti con i cittadini, campagne informative o servizi esternalizzati. In tutti questi casi il titolare deve scegliere partner affidabili, disciplinare i rapporti per iscritto, vigilare nel tempo con controlli e audit e assicurarsi che i canali per l’esercizio dei diritti funzionino davvero. La tabella che segue riassume le contestazioni e le relative indicazioni operative.

 

Contestazione	Cosa è emerso	Indicazione operativa
Chiamate illecite dalla filiera	Call center abusivi con numerazioni camuffate (spoofing) o non censite al ROC, anche verso iscritti al Registro delle opposizioni	Censire e verificare tutti i soggetti che effettuano contatti per conto del titolare; controlli periodici sulle numerazioni utilizzate
Consensi acquisiti illecitamente	Finte richieste di ricontatto (lead) generate tramite moduli web per rendere lecito un flusso nato in modo illecito	Tracciare l’origine reale di ogni lead e scartare quelle di provenienza non verificabile
Vigilanza insufficiente sui partner	L’adesione al codice di condotta non esonera dalla vigilanza sull’intera filiera	Clausole contrattuali, audit e sanzioni interne verso la rete di vendita; documentare i controlli svolti
Diritti degli interessati ostacolati	Riscontri omessi o tardivi a istanze di accesso, cancellazione e opposizione; disiscrizioni complesse o non funzionanti	Testare periodicamente i canali di esercizio dei diritti e rispettare il termine di riscontro di un mese previsto dall’art. 12 GDPR
Fonte: Garante per la protezione dei dati personali, comunicato stampa del 31 luglio 2026 (doc. web n. 10277228) e provvedimento del 23 luglio 2026 (doc. web n. 10277005).

 

 

Per i titolari che vogliono trarre da questa vicenda un piano di lavoro concreto, ecco una breve checklist di fine estate.

 

Azione da mettere in calendario	Perché conviene farla ora
Mappare tutti i soggetti esterni che trattano dati per conto dell’organizzazione (agenzie, call center, fornitori, partecipate)	Senza una mappa aggiornata della filiera non è possibile alcuna vigilanza effettiva; è il primo elemento che gli ispettori chiedono
Verificare nomine ex art. 28 GDPR, clausole di controllo e potere di audit nei contratti	Il Garante valuta la responsabilità del titolare anche sulla base della qualità dei vincoli contrattuali imposti ai partner
Testare i canali con cui gli interessati esercitano i diritti (accesso, cancellazione, opposizione, disiscrizione)	Nel caso TIM le procedure complesse o non funzionanti hanno costituito una violazione autonoma, non un dettaglio
Documentare i controlli svolti sulla filiera e i correttivi adottati	La documentazione dei controlli è la prova dell’accountability e può ridurre sensibilmente l’esposizione sanzionatoria
Fonte: elaborazione iSimply sulle indicazioni del provvedimento del Garante del 23 luglio 2026.

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante per la protezione dei dati personali – comunicato stampa del 31 luglio 2026 (doc. web n. 10277228) e provvedimento del 23 luglio 2026 (doc. web n. 10277005)

 

Nota di trasparenza sull’uso dell’intelligenza artificiale (art. 50 del Regolamento (UE) 2024/1689). Questo contenuto è redatto con il supporto di strumenti di IA generativa (attualmente ChatGPT, NotebookLM, Claude). Ogni contenuto è sottoposto a revisione umana sostanziale, con notizie selezionate dalla redazione di iSimply, che verifica riferimenti, provvedimenti, importi, date e link sulle fonti ufficiali prima della pubblicazione. La responsabilità editoriale è di iSimply srl, nella persona del presidente Enrico Capirone. Ricorrendo revisione umana e responsabilità editoriale, il testo rientra nell’eccezione prevista dall’art. 50, par. 4, del Regolamento; rendiamo comunque nota questa informazione come scelta volontaria di trasparenza. La stessa chiarezza che dal 2 agosto 2026 la norma chiede a chi usa l’intelligenza artificiale è quella che vogliamo offrire per primi ai nostri lettori.