Il Garante Privacy ha inflitto a TIM una sanzione amministrativa di 9 milioni e 516 mila euro per una serie di violazioni nella gestione dei dati personali e delle attività promozionali telefoniche. Il provvedimento arriva al termine di un’istruttoria che ha esaminato il funzionamento della rete commerciale dell’operatore, le condotte di alcuni call center e il rispetto dei diritti riconosciuti agli utenti dalla normativa europea.
Il procedimento è stato alimentato da un volume consistente di reclami: nel solo 2025 sono state registrate circa 7.000 segnalazioni per chiamate promozionali indesiderate associate a campagne riferite a TIM. Diversi cittadini hanno dichiarato di essere stati contattati nonostante l’iscrizione al Registro Pubblico delle Opposizioni, lo strumento che consente di opporsi all’utilizzo dei propri recapiti per comunicazioni commerciali.
Gli accertamenti hanno fatto emergere anche telefonate provenienti da numerazioni non registrate al Registro degli Operatori di Comunicazione o alterate mediante tecniche di spoofing. Questa pratica permette di mascherare il numero effettivamente impiegato per la chiamata, rendendo più difficile ricostruire l’identità dell’operatore e la provenienza del contatto. Ispezioni e verifiche hanno quindi consentito all’Autorità di ricostruire un sistema articolato lungo più passaggi.
La prima telefonata veniva effettuata attraverso numerazioni alterate o non riconducibili ufficialmente alla rete di vendita autorizzata. Se l’utente mostrava interesse per l’offerta, riceveva un SMS con un collegamento alla pagina web di un partner commerciale ufficiale. La compilazione del modulo produceva una lead, cioè una richiesta di ricontatto apparentemente generata dall’iniziativa del potenziale cliente.
A quel punto seguiva una seconda chiamata, questa volta proveniente da una numerazione regolarmente registrata al ROC. Il percorso assumeva così una veste formalmente conforme, sebbene fosse nato da un contatto promozionale iniziale effettuato con modalità considerate illecite. Per il Garante, il meccanismo consentiva di “ripulire” il percorso commerciale, trasformando in una richiesta apparentemente spontanea l’interesse suscitato mediante una telefonata non conforme.
Il provvedimento concentra l’attenzione sul principio di responsabilizzazione previsto dal GDPR. Il titolare del trattamento non può affidare le attività promozionali a soggetti esterni senza controllare concretamente il rispetto delle regole lungo l’intera filiera. L’adesione a un codice di condotta può sostenere la conformità, ma non sostituisce gli obblighi di vigilanza su agenzie, partner commerciali e call center che operano per conto dell’azienda.
Le criticità non hanno riguardato soltanto l’origine delle chiamate. L’Autorità ha contestato ritardi o mancate risposte alle richieste di accesso ai dati, cancellazione delle informazioni e opposizione ai trattamenti promozionali. Anche le procedure destinate alla revoca del consenso e all’interruzione delle comunicazioni commerciali sono risultate eccessivamente articolate e, in alcuni casi, non funzionanti, aggravando il quadro valutato nel calcolo della sanzione.
Accanto al pagamento della multa, TIM dovrà adottare interventi organizzativi per rafforzare la protezione dei dati e prevenire il ripetersi delle violazioni. Il caso delimita con maggiore nettezza la responsabilità delle imprese che gestiscono reti commerciali estese: l’esternalizzazione delle campagne non trasferisce all’esterno gli obblighi del titolare. Controlli tracciabili, procedure semplici per esercitare i diritti privacy e una vigilanza effettiva sui partner diventano così elementi centrali della gestione del telemarketing.