Il Garante per la protezione dei dati personali ha sanzionato TIM con una multa da 9.516.000 euro per telemarketing illecito. Il procedimento nasce da circa 7.000 reclami e segnalazioni arrivati nel corso del 2025.
La cifra è quella che fa notizia, ma non è la parte che riguarda una piccola impresa. La parte che riguarda una piccola impresa è il principio con cui il Garante è arrivato a quella cifra: le telefonate le facevano altri, la responsabilità è rimasta al committente.
I numeri del provvedimento del Garante
Cosa contesta davvero il Garante
Le contestazioni sono tre, e vale la pena leggerle una per una perché due su tre sono replicabili su un’azienda di qualunque dimensione.
La prima riguarda da dove arrivavano i contatti. Secondo il Garante, call center che operavano per conto della società chiamavano usando numerazioni non censite presso gli operatori, oppure alterate tramite spoofing, e contattavano anche persone iscritte al Registro pubblico delle opposizioni. Il meccanismo ricostruito è più sofisticato di una semplice chiamata a freddo: partiva un SMS con un link, l’utente veniva portato a compilare un modulo di richiesta contatto, e quel modulo diventava un “lead” apparentemente raccolto con il consenso dell’interessato. A quel punto la richiamata poteva arrivare da un numero legittimo e sembrare tutto in ordine.
La seconda riguarda le richieste degli utenti. Il Garante ha rilevato riscontri mancati o tardivi alle istanze di accesso, cancellazione e opposizione. Non è un dettaglio formale: sono i diritti che il GDPR riconosce a chiunque, e il termine di risposta non è negoziabile.
La terza riguarda la disiscrizione. Le procedure per uscire dalle comunicazioni promozionali sono state giudicate eccessivamente complesse e, in alcuni casi, non funzionanti.
Perché riguarda anche chi ha cinque dipendenti
Un’impresa piccola non ha una rete di vendita nazionale né decine di call center. Ma moltissime PMI fanno una di queste due cose: affidano a un’agenzia esterna la generazione dei contatti, oppure comprano pacchetti di lead già pronti da rivendere ai propri commerciali.
In entrambi i casi la posizione giuridica è la stessa di quella contestata qui. Chi decide finalità e modalità del trattamento è titolare, e il titolare risponde di come quei dati sono stati raccolti — anche se non li ha raccolti lui, anche se il fornitore gli ha assicurato per iscritto che erano a posto.
Dove si rompe la catena
Le misure correttive prescritte alla società lo dicono in modo esplicito: correggere la procedura di lead generation, rafforzare i controlli e la vigilanza sulla rete di vendita, sistemare la gestione dei diritti degli interessati.
Le tre cose da fare questa settimana
1. Chiedi la prova documentale dell’origine dei contatti. Se un’agenzia ti consegna una lista o ti gira dei lead, la domanda da fare per iscritto è: dove è stato raccolto questo consenso, quando, con quale informativa, e me ne mostri una copia. Se la risposta è vaga, quei contatti sono un rischio che ti stai portando in casa.
2. Prova tu stesso il tuo link di disiscrizione. Non chiederlo a chi l’ha costruito: aprilo, cliccalo, e verifica che dopo la disiscrizione la comunicazione successiva non arrivi davvero. È il controllo più veloce di tutti e, secondo questo provvedimento, è anche una contestazione autonoma.
3. Guarda quanto tempo ci metti a rispondere a chi chiede la cancellazione. Se le richieste finiscono in una casella che nessuno presidia ad agosto, quel silenzio è esattamente ciò che il Garante ha contestato.
Il contesto in cui arriva la sanzione è rilevante: è appena partito il Codice di condotta sul telemarketing, con un Organismo di monitoraggio accreditato. Il messaggio implicito del Garante è che il codice sarà uno strumento di controllo, non un salvacondotto.