In sintesi

Il Garante Privacy ha multato TIM con quasi 9,5 milioni di euro per pratiche di telemarketing scorrette e per non aver protetto a sufficienza i dati dei suoi clienti e potenziali clienti. L'azienda è stata trovata responsabile di aver permesso a call center esterni, anche abusivi, di contattare le persone senza consenso, usando spesso trucchi per far sembrare le chiamate legittime. Inoltre, TIM non ha reso facile per i cittadini cancellare i propri dati o bloccare le chiamate indesiderate. La decisione evidenzia che le grandi aziende devono controllare attentamente tutta la loro rete di vendita e assicurarsi che i dati siano gestiti correttamente fin dall'inizio, rispettando i diritti di tutti.

Cosa fare

Se ricevete chiamate promozionali, verificate sempre l'identità dell'operatore e la sua autorizzazione; Non cliccate su link sospetti o non richiesti; Iscrivetevi al Registro Pubblico delle Opposizioni per bloccare le chiamate indesiderate; Esercitate i vostri diritti alla cancellazione o all'opposizione in modo chiaro e, se necessario, tramite PEC; Segnalate al Garante Privacy pratiche di telemarketing scorrette o difficoltà nell'esercizio dei vostri diritti.

Cosa evitare

Non fornire dati personali a operatori non verificati; Non acconsentire a chiamate o comunicazioni promozionali senza aver ben compreso cosa si autorizza; Non ignorare la possibilità di revocare i consensi o di chiedere la cancellazione dei propri dati.

Contesto

L’Autorità ha avviato un’attività ispettiva nei confronti di TIM S.p.A. a seguito di numerosi reclami e segnalazioni riguardanti un fenomeno di telemarketing abusivo. Call center non autorizzati effettuavano chiamate promozionali per conto di TIM, utilizzando numerazioni esterne alla rete ufficiale o tecniche di camuffamento (spoofing), anche verso utenze iscritte al Registro Pubblico delle Opposizioni (RPO). Queste pratiche miravano alla raccolta illecita di dati personali, spesso attraverso l'invio di link via SMS che generavano false richieste di ricontatto (Lead), rendendo il processo di contrattualizzazione formalmente regolare. L'istruttoria ha rivelato carenze sistemiche nei controlli di TIM sui propri partner di vendita, la totale assenza di meccanismi di verifica dell'effettiva titolarità delle numerazioni nei form online e ostacoli complessi all'esercizio dei diritti degli interessati (es. procedure di opt-out farraginose, riscontri tardivi o inadeguati).

La decisione

Il Garante ha accertato la responsabilità di TIM S.p.A. per violazioni degli artt. 5, 6, 7, 12, da 15 a 22, 24, 25, 28, 32 del Regolamento e dell'art. 130 del Codice. Le violazioni riguardano principalmente la mancanza di una base giuridica valida per i contatti promozionali, la violazione del principio di accountability per l'inefficacia dei sistemi di controllo sulla rete di vendita, l'omessa adozione di misure tecniche e organizzative adeguate fin dalla progettazione (Data Protection by Design), l'insufficienza delle misure di sicurezza per la raccolta dei consensi e la gestione degli ordini, e la non agevolazione dell'esercizio dei diritti degli interessati. Il Garante ha ingiunto a TIM di introdurre correttivi nelle procedure di ricontatto, adottare adeguate misure di controllo sui partner e migliorare le procedure per l'esercizio dei diritti. È stata imposta una sanzione amministrativa pecuniaria di 9.516.000,00 euro, tenendo conto di aggravanti (negligenza, precedenti violazioni) e attenuanti (cooperazione, investimenti, non coinvolgimento dati sensibili, adesione a codice di condotta).

Ratio decidendi La decisione si fonda sul principio di responsabilizzazione (accountability, artt. 5 par. 2, 24 GDPR), che impone al titolare del trattamento (TIM) di garantire e dimostrare la conformità al GDPR per l'intera filiera del trattamento, inclusi i partner commerciali. La raccolta di dati personali tramite call center abusivi e tecniche di spoofing senza un consenso valido viola la liceità del trattamento (artt. 5 par. 1 lett. a, 6, 7 GDPR e 130 Codice Privacy), rendendo inefficaci le successive 'pulizie' tramite false Lead. Le carenze strutturali nei sistemi di controllo e vigilanza (artt. 25, 28, 32 GDPR) denotano l'inadeguatezza delle misure tecniche e organizzative fin dalla progettazione. Infine, la complessità e la tardività nella gestione delle richieste di esercizio dei diritti violano gli obblighi di trasparenza e facilitazione (artt. 12, 15-22 GDPR). La sanzione è proporzionata agli elementi previsti dall'art. 83 par. 2 del Regolamento, con il riferimento al fatturato mondiale del Gruppo TIM come massimo edittale.

Articoli GDPR violati

Articolo	Descrizione	Rilevanza
5 par.1 lett.a GDPR	Principio di liceità, correttezza e trasparenza del trattamento.	trattamento illecito di dati personali per finalità promozionali senza una base giuridica valida.
5 par.2 GDPR	Principio di responsabilizzazione (accountability), che impone al titolare di essere in grado di dimostrare l'osservanza del Regolamento.	mancata adozione di adeguati sistemi di controllo e vigilanza sulla rete di vendita per garantire la conformità al gdpr e la legittimità delle operazioni di marketing.
6 GDPR	Liceità del trattamento, che richiede una base giuridica valida (es. consenso, esecuzione di un contratto) per il trattamento dei dati personali.	effettuazione o consentito di contatti promozionali senza un valido presupposto giuridico, come il consenso libero e specifico, anche verso utenti iscritti al rpo.
7 GDPR	Condizioni per il consenso, che deve essere libero, specifico, informato e inequivocabile.	consenso non genuino per le attività di marketing, viziato da pratiche illecite di generazione lead e difficoltà nella revoca (non facile quanto la prestazione).
12 par.2 GDPR	Trasparenza delle comunicazioni e modalità per l'esercizio dei diritti dell'interessato, che devono essere facilitate.	non aver agevolato l'esercizio dei diritti degli interessati, rendendo le procedure di disiscrizione (opt-out) farraginose e complesse, con ostacoli come login obbligatori.
12 par.3 GDPR	Termini per il riscontro alle richieste dell'interessato, che deve avvenire senza ingiustificato ritardo e comunque entro un mese.	mancato, tardivo o inadeguato riscontro alle richieste di esercizio dei diritti degli interessati, superando i termini legali e utilizzando risposte interlocutorie in modo improprio.
15 GDPR	Diritto di accesso dell'interessato ai propri dati personali.	mancato o insufficiente riscontro alle richieste di accesso per conoscere l'origine e le modalità di trattamento dei dati personali.
16 GDPR	Diritto di rettifica dei dati personali inesatti.	violazione delle disposizioni sull'esercizio dei diritti degli interessati, non specificatamente dettagliata per questo articolo.
17 GDPR	Diritto alla cancellazione (diritto all'oblio) dei dati personali.	mancato o tardivo seguito alle istanze di cancellazione dei dati personali e procedure di opt-out inefficaci.
18 GDPR	Diritto di limitazione di trattamento dei dati personali.	violazione delle disposizioni sull'esercizio dei diritti degli interessati, non specificatamente dettagliata per questo articolo.
19 GDPR	Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento.	violazione delle disposizioni sull'esercizio dei diritti degli interessati, non specificatamente dettagliata per questo articolo.
20 GDPR	Diritto alla portabilità dei dati personali.	violazione delle disposizioni sull'esercizio dei diritti degli interessati, non specificatamente dettagliata per questo articolo.
21 GDPR	Diritto di opposizione al trattamento dei dati personali, incluso il marketing diretto.	mancato seguito alle istanze di opposizione al trattamento per finalità promozionali, con invii reiterati di comunicazioni indesiderate.
22 GDPR	Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione.	violazione delle disposizioni sull'esercizio dei diritti degli interessati, non specificatamente dettagliata per questo articolo.
24 GDPR	Responsabilità del titolare del trattamento nell'attuazione di misure tecniche e organizzative adeguate.	omessa adozione di idonee misure tecniche e organizzative per garantire la conformità dei trattamenti e prevenire violazioni da parte della filiera commerciale.
25 GDPR	Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita.	omessa adozione di misure tecniche e organizzative adeguate a garantire la protezione dei dati fin dalla progettazione dei sistemi di acquisizione lead e monitoraggio.
28 GDPR	Responsabile del trattamento, che richiede che il titolare si avvalga solo di responsabili che presentino garanzie sufficienti.	mancata verifica preliminare dei partner come responsabili del trattamento e omessa vigilanza sul rispetto della normativa da parte della rete di vendita.
32 GDPR	Sicurezza del trattamento, che richiede misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio.	insufficienza e inadeguatezza delle misure di sicurezza relative ai flussi di raccolta dei consensi e ai sistemi di caricamento degli ordini.
130 Codice Privacy	Comunicazioni indesiderate tramite sistemi automatizzati senza intervento umano o via e-mail.	invio di comunicazioni promozionali in assenza di preventivo e valido consenso, anche a utenti iscritti al rpo.

Misure imposte

Introdurre correttivi nella procedura di ricontatto del cliente a seguito di richieste veicolate attraverso le pagine web della Società o dei propri partner, al fine di impedire l’introduzione massiva di numerazioni da sottoporre a ricontatto e di documentare che il consenso al ricontatto sia pervenuto dall’effettivo interessato; Adottare adeguate misure di controllo e di vigilanza dell’operato dei propri partner e garantire che la realizzazione di attività promozionale per conto della Società avvenga nel pieno rispetto della normativa in materia di protezione dei dati personali; Adeguare le procedure volte a garantire l’esercizio dei diritti ex artt. 15-22 del Regolamento, al fine di impedire o almeno ridurre considerevolmente gli episodi di mancato o ritardato riscontro e sistematica proroga dei termini; Comunicare all’Autorità, entro trenta giorni dalla notifica del provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte.

Sanzione

TIM S.p.A. è stata sanzionata con una multa di 9.516.000,00 euro per molteplici violazioni del GDPR e del Codice Privacy. Le violazioni accertate includono la gestione illecita del telemarketing (contatti promozionali senza consenso, anche a utenti RPO, mascherati da false richieste di ricontatto), la mancanza di adeguati sistemi di controllo e vigilanza sulla rete di vendita (violazione del principio di accountability), l'omessa adozione di misure tecniche e organizzative adeguate fin dalla progettazione (Data Protection by Design), l'insufficienza delle misure di sicurezza per la raccolta dei consensi e il caricamento degli ordini, e la non agevolazione dell'esercizio dei diritti degli interessati (mancato, tardivo o inadeguato riscontro alle richieste, procedure di opt-out farraginose). La sanzione è stata determinata considerando fattori aggravanti come il carattere significativamente negligente delle violazioni, il grado di responsabilità nel settore del telemarketing e le numerose precedenti violazioni, e fattori attenuanti quali la cooperazione dimostrata, le misure correttive adottate durante l'istruttoria, l'adesione a codici di condotta e gli ingenti investimenti in procedure di controllo.

Termini: Entro 30 giorni dalla notificazione del presente provvedimento per il pagamento della sanzione e per comunicare le iniziative intraprese per attuare le misure imposte.

Implicazioni pratiche

Questo provvedimento sottolinea l'importanza cruciale per le aziende, specialmente quelle con ampie reti di vendita e partner esterni, di implementare sistemi robusti di governance e controllo sulla gestione dei dati personali. La responsabilità del titolare (Accountability) si estende all'intera filiera del trattamento, anche quando i dati sono raccolti da terzi o attraverso processi che combinano canali digitali e telefonici. È fondamentale che le procedure di raccolta del consenso siano inequivocabili e verificate, e che i meccanismi di esercizio dei diritti degli interessati (come l'opt-out o la cancellazione) siano semplici, immediati e realmente efficaci. La progettazione dei sistemi (Data Protection by Design) deve prevenire abusi fin dall'origine, e le misure di sicurezza devono essere adeguate a proteggere i flussi di dati in tutte le fasi. La mera interruzione dei rapporti con partner fraudolenti, sebbene necessaria, non sana le violazioni pregresse né sostituisce un'adeguata vigilanza preventiva e un monitoraggio costante.

Azioni da fare

Implementare meccanismi di verifica dell'effettiva titolarità delle numerazioni inserite in form online; Adottare procedure di conferma preventiva del consenso (opt-in) per i ricontatti promozionali; Potenziare i sistemi di controllo e vigilanza sull'intera filiera di raccolta dati e sull'operato dei partner commerciali; Sottoscrivere contratti di responsabile del trattamento (Art. 28 GDPR) con i partner, includendo clausole di audit e penali stringenti; Garantire che le comunicazioni promozionali siano basate su un consenso valido e documentato, evitando contatti con utenti iscritti al RPO; Semplificare e rendere immediate le procedure di esercizio dei diritti (es. opt-out, cancellazione), evitando ostacoli come login complessi o app dedicate; Assicurare risposte tempestive ed efficaci alle richieste degli interessati, rispettando i termini del GDPR; Implementare misure tecniche e organizzative adeguate (come blocco IP o sistemi anti-spoofing) per prevenire condotte illecite dei partner.

Errori da evitare

Affidarsi a partner commerciali senza adeguate verifiche preliminari e senza un monitoraggio costante; Non implementare misure di Data Protection by Design fin dalla progettazione dei sistemi di raccolta dati; Ignorare le segnalazioni di anomalie statistiche sui volumi di contatto e i tassi di conversione; Rendere complessa la revoca del consenso o l'esercizio dei diritti degli interessati; Non rispondere o rispondere tardivamente alle richieste degli interessati; Utilizzare la proroga dei termini per il riscontro in modo improprio o senza adeguata motivazione; Qualificare comunicazioni commerciali come 'comunicazioni di servizio' per eludere l'obbligo di consenso; Non considerare l'impatto di precedenti violazioni nel valutare la propria compliance.

Domande di self-assessment

Abbiamo una governance chiara e documentata per la gestione dei dati personali che coinvolge partner esterni?; I nostri sistemi di acquisizione Lead garantiscono la validità e l'autenticità delle richieste di ricontatto?; Le nostre procedure di telemarketing sono pienamente conformi alle normative sul consenso e sul RPO?; Abbiamo contratti di responsabile del trattamento aggiornati con tutti i nostri partner e sub-fornitori che gestiscono dati personali per nostro conto?; Le nostre misure tecniche e organizzative prevengono l'uso di tecniche illecite (es. spoofing) da parte dei partner?; I nostri processi per l'esercizio dei diritti degli interessati sono semplici, accessibili e garantiscono un riscontro tempestivo?; Monitoriamo costantemente l'efficacia delle nostre misure di compliance e l'operato dei nostri partner, anche con audit o mystery shopping?; I nostri investimenti in privacy e sicurezza sono adeguati alla complessità dei nostri trattamenti e ai rischi associati?

Riferimenti

Linee guida EDPB: Linee guida EDPB 1/2019 sui codici di condotta e sugli organismi di monitoraggio a norma del Regolamento

Normativa nazionale: D.Lgs. 196/2003 · L. 24 novembre 1981, n. 689

Note

Il provvedimento si riferisce al Codice di condotta per le attività di telemarketing e teleselling approvato definitivamente dal Garante il 7 marzo 2024. Il Garante ha archiviato i fascicoli nn. 519239 e 500303 per specifiche motivazioni indicate.