Telemarketing illecito, il Garante multa TIM per 9,5 milioni di euro

🛡️ Executive Summary

• Call center collegati alla rete commerciale TIM usavano numeri alterati e contattavano anche utenti iscritti al Registro pubblico delle opposizioni.
• Le chiamate abusive venivano trasformate in false richieste spontanee di ricontatto per far apparire regolari acquisizione dei dati e contratti.
• TIM dovrà pagare 9,516 milioni, rafforzare i controlli sui partner e semplificare accesso, cancellazione e opposizione degli utenti.

Il Garante per la protezione dei dati personali ha sanzionato TIM per 9 milioni e 516 mila euro al termine di un’istruttoria che ha ricostruito un sistema di telemarketing illecito sviluppato lungo la rete commerciale dell’operatore. Call center abusivi contattavano utenti anche iscritti al Registro pubblico delle opposizioni, utilizzavano numerazioni non registrate o alterate tramite spoofing e trasformavano successivamente quelle chiamate in richieste di ricontatto apparentemente spontanee. L’Autorità ha contestato a TIM controlli insufficienti sui partner, procedure inadeguate nella raccolta delle lead e ostacoli sistematici all’esercizio dei diritti di accesso, cancellazione e opposizione.

Le chiamate abusive diventavano contratti apparentemente regolari

Il procedimento descrive un meccanismo progettato per separare formalmente il primo contatto illecito dalla successiva attivazione commerciale. Gli operatori chiamavano gli utenti attraverso numerazioni non censite nel Registro degli operatori di comunicazione, oppure manipolate per nascondere l’origine reale della telefonata. Le chiamate raggiungevano anche persone regolarmente iscritte al Registro pubblico delle opposizioni e proponevano offerte o servizi attribuiti a TIM. Dopo avere ottenuto l’interesse dell’utente, il call center inviava tramite SMS o servizi di messaggistica un collegamento a una pagina appartenente a un partner ufficiale della rete di vendita. La persona veniva invitata a compilare il modulo, generando una cosiddetta lead, cioè una richiesta autonoma di ricontatto. Un secondo operatore chiamava quindi da una numerazione regolarmente registrata e completava il contratto. Nei sistemi aziendali rimaneva soltanto la parte finale del processo, apparentemente legittima, mentre spariva l’origine abusiva della relazione commerciale. Lo schema permetteva ai partner di presentare a TIM il contratto come conseguenza di una richiesta spontanea del cliente, “ripulendo” la provenienza dei dati raccolti senza consenso. Il provvedimento aggiorna un problema già emerso con le precedenti sanzioni per telemarketing selvaggio inflitte a TIM, Green Network e Sorgenia, mostrando come le irregolarità non fossero limitate a singoli operatori occasionali.

Settemila segnalazioni mostrano un problema strutturale

Nel solo 2025 il Garante ha ricevuto circa 7.000 segnalazioni e reclami riguardanti comunicazioni promozionali indesiderate effettuate per conto di TIM. L’Autorità ha quindi escluso che si trattasse di episodi marginali o completamente estranei alla filiera ufficiale. Le attività ispettive, condotte anche con il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, hanno individuato ordini inseriti nei sistemi TIM da partner commerciali riconosciuti dopo telefonate effettuate senza consenso. In alcuni casi gli utenti erano stati contattati da profili WhatsApp che utilizzavano il logo dell’operatore; in altri, le numerazioni erano state camuffate attraverso tecniche di manipolazione del caller ID. Un reclamante sarebbe stato persino indotto a migrare verso TIM da un soggetto che si era presentato falsamente come operatore di un concorrente e aveva fornito informazioni tecniche ingannevoli. Gli accertamenti hanno inoltre rilevato volumi che avrebbero dovuto attivare controlli immediati: una delle agenzie dichiarava 6.075 lead, ma risultava avere eseguito 16.102 contatti, oltre diecimila in più rispetto alle presunte richieste spontanee. Un’altra aveva effettuato più di 22.000 chiamate a fronte di 17.388 lead, con un tasso di attivazione inferiore al 4%. Per il Garante, discrepanze di questa portata rendevano evidente la presenza di liste non genuine, chiamate automatizzate o subappalti non autorizzati.

I controlli di TIM non intercettavano la fase illecita

Il punto centrale della decisione riguarda la responsabilità di TIM come titolare del trattamento. La società ha sostenuto di avere investito risorse nel contrasto alle chiamate disconosciute, di avere introdotto verifiche sulla rete di vendita e di avere aderito al codice di condotta del settore. Il Garante ha però stabilito che tali misure non erano sufficienti, perché i controlli esaminavano prevalentemente la fase finale della contrattualizzazione e non la provenienza iniziale dei dati. In questo modo, una telefonata abusiva poteva essere trasformata in una lead formalmente valida e superare i sistemi aziendali senza generare anomalie. In almeno un caso, un partner era già stato giudicato totalmente inadeguato durante una verifica di secondo livello nel 2023, anche per l’uso di un subfornitore non autorizzato e di lead reali in un ambiente di test. TIM avrebbe tuttavia continuato il rapporto dopo una diffida e un monitoraggio documentale che l’Autorità ha considerato inefficace. L’adesione al codice di condotta per le attività di telemarketing non solleva infatti l’azienda dall’obbligo di selezionare correttamente i partner, controllarne l’operato e impedire che dati acquisiti illegalmente entrino nei propri sistemi. Il principio di accountability richiede che il titolare sia in grado di dimostrare l’efficacia delle misure, non soltanto la loro esistenza formale.

La falsa lead aggirava consenso e Registro delle opposizioni

La registrazione al Registro pubblico delle opposizioni revoca i consensi al telemarketing precedentemente concessi, salvo quelli legati a rapporti contrattuali in corso o rilasciati successivamente. Il sistema individuato dal Garante cercava di aggirare questa protezione creando una nuova manifestazione di interesse attribuita all’utente. La compilazione del modulo non nasceva però da una ricerca autonoma dell’offerta, bensì da una chiamata vietata che aveva già utilizzato illecitamente numero telefonico e altri dati personali. Il click sul collegamento non poteva cancellare retroattivamente l’irregolarità avvenuta a monte. Il problema assume una portata particolare perché il Registro delle opposizioni era stato esteso proprio per contrastare il telemarketing aggressivo, ma la sua efficacia dipende dalla possibilità di identificare la numerazione chiamante e ricostruire la filiera commerciale. Lo spoofing e le richieste fittizie di ricontatto sfruttavano entrambe le debolezze: nascondevano l’origine della chiamata e creavano successivamente una giustificazione documentale. Il Garante ha contestato violazioni dei principi di liceità e responsabilizzazione, delle regole sul consenso e dell’articolo 130 del Codice privacy, oltre all’inadeguatezza delle misure tecniche, organizzative e di sicurezza previste dagli articoli 24, 25, 28 e 32 del GDPR.

Il sistema di verifica via SMS non garantiva un vero consenso

Durante l’istruttoria TIM ha introdotto un controllo automatizzato sulle lead attraverso l’integrazione con il proprio sistema centrale. Quando una numerazione viene inserita in un modulo, il presunto titolare riceve un SMS e dispone di cinque minuti per disconoscere il recapito o revocare il consenso. La società ha affiancato al meccanismo comunicazioni provenienti da alias certificati, collegamenti riconducibili al dominio ufficiale e controlli sugli indirizzi IP per bloccare richieste multiple generate dallo stesso punto. L’Autorità ha riconosciuto lo sforzo correttivo, ma ha giudicato strutturalmente inadeguato il modello di opt-out. Una persona il cui numero sia stato inserito da altri senza autorizzazione riceve comunque una comunicazione non richiesta e deve compiere un’azione entro un intervallo molto breve per evitare il ricontatto. La protezione dei dati fin dalla progettazione richiede invece un meccanismo di opt-in, nel quale il numero diventa utilizzabile soltanto dopo una conferma preventiva del suo effettivo titolare. La differenza è decisiva: nell’opt-out il silenzio viene trattato come accettazione, mentre nell’opt-in l’assenza di risposta impedisce l’attivazione della lead.

Cancellazioni e opposizioni diventavano percorsi a ostacoli

L’istruttoria non si è limitata alla raccolta dei contatti. Il Garante ha rilevato criticità sistemiche anche nella gestione dei diritti previsti dagli articoli 15-22 del GDPR. Alcuni utenti avrebbero continuato a ricevere promozioni per mesi dopo avere esercitato il diritto di opposizione; altri non avrebbero ottenuto risposta alle richieste di cancellazione inviate tramite PEC. In più casi, i collegamenti per disiscriversi risultavano malfunzionanti oppure subordinati a login, registrazioni e procedure tecniche considerate eccessivamente complesse. Un interessato avrebbe ricevuto comunicazioni per oltre quattro mesi perché il consenso era rimasto attivo nei sistemi e l’indirizzo non era stato inserito nella blacklist. Queste condotte mostrano come la tutela non possa esaurirsi nella presenza formale di un link “annulla iscrizione”. Il diritto di opposizione deve essere semplice, gratuito e operativo senza ritardi, mentre il titolare deve sincronizzare tempestivamente tutti i database utilizzati da partner, campagne e piattaforme commerciali. Il principio è analogo a quello richiamato nelle precedenti decisioni del Garante contro Enel, Bakeca e altri titolari sanzionati per trattamenti promozionali e controlli inadeguati: esternalizzare una parte del processo non trasferisce la responsabilità verso gli interessati.

TIM dovrà modificare l’intera filiera commerciale

Oltre alla sanzione da 9.516.000 euro, TIM dovrà introdurre correttivi nella generazione delle lead, rafforzare la vigilanza sui partner e adeguare le procedure per l’esercizio dei diritti. Il provvedimento impone quindi un intervento strutturale e non la semplice rimozione di alcune agenzie. L’operatore dovrà verificare la reale titolarità delle numerazioni, impedire il caricamento di richieste fittizie, analizzare le incongruenze nei volumi e bloccare i flussi quando i dati operativi indicano attività incompatibili con richieste spontanee. La decisione arriva dopo l’introduzione dei filtri di rete contro la falsificazione del numero chiamante, compreso il sistema anti-spoofing attivato per le numerazioni mobili e capace di bloccare 49,3 milioni di chiamate illecite nei primi undici giorni. I filtri tecnici riducono il traffico manipolato, ma non possono sostituire i controlli sulle banche dati, sui consensi e sui contratti generati dalla rete commerciale. Nel provvedimento del 23 luglio 2026, il Garante chiarisce che la casa madre resta responsabile quando il sistema aziendale accetta e monetizza dati raccolti illecitamente dai propri partner. La filiera del telemarketing non può essere considerata regolare soltanto perché l’ultimo passaggio del contratto avviene attraverso un numero autorizzato.