Squilla il telefono, una voce promette un’offerta imperdibile “per conto di” una grande compagnia di luce o di telefonia. Non abbiamo chiesto di essere chiamati e non ricordiamo di aver dato consensi alla chiamata, magari siamo anche iscritti al Registro delle Opposizioni… il numero non è censito dall’AGCOM come legittimo telemarketing, magari nemmeno esiste o ha un prefisso estero.
Quando il caso arriva al Garante, la compagnia risponde, documenti alla mano, che quella telefonata non è sua e chi chiama millanta il suo nome e non è autorizzato a stipulare alcun contratto.
Eppure, sempre più spesso, è proprio la compagnia a pagare le sanzioni per violazione della privacy, mentre gli effettivi chiamanti spesso vanno impuniti. Questo tipo di tutela va a vantaggio del consumatore e delle imprese che operano legittimamente o, nei fatti, rende troppo complicato e rischioso il contatto telefonico a favore di più insidiose tecniche digitali di marketing?
Indice degli argomenti
La responsabilità dell’operatore nel telemarketing illegale
La linea del Garante è chiara: chi trae vantaggio economico dal telemarketing risponde dell’intera filiera del trattamento e non può rifugiarsi in un comodo “scaricabarile”, ad esempio, affidandosi a outsourcer che non seguono le regole e poi ribaltando su di loro la responsabilità. Questo è indiscutibile ed è l’architrave dell’attuale Codice di Condotta che regola la filiera “dal contatto al contratto”. Ma su un punto la costruzione è scivolata verso qualcosa che l’industria vive, non a torto, come responsabilità quasi oggettiva: è ugualmente punibile il grande operatore per telefonate fatte da abusivi che ne usurpano il nome, anche quando l’operatore dimostra di non averle mai commissionate, di non avervi guadagnato nulla e di non aver visto entrare nei propri sistemi alcun dato di quei contatti e nemmeno di aver mai avuto nei propri database i dati di chi è stato chiamato.
Telemarketing illegale, le sanzioni senza prova di contratti
Alcuni provvedimenti recenti — uno nell’energia, uno nelle telecomunicazioni — mostrano bene come le compagnie energetiche e telefoniche siano spesso considerate responsabili delle chiamate del telemarketing illegale, anche in assenza di prova che le chiamate moleste vengano effettivamente da loro.
Precedenti di questo tipo di rigore del Garante sono infatti il caso Enel Energia del 2021 (sanzione 26,5 milioni)[1], il caso Vodafone del 2020 (12,25 milioni)[2] e i casi TIM del 2023[3] e, (in parte), anche quello del 2026.
Nei casi menzionati, il Garante ha contestato contatti da numerazioni non appartenenti alla rete commerciale del sanzionato e, pur non rinvenendo – con pochissime eccezioni – contratti effettivamente stipulati a valle delle chiamate contestate, ha ritenuto “fortemente probabile” che i contatti indesiderati fossero in qualche modo “commissionati” dai sanzionati, senza però averne prova certa. I provvedimenti, in più punti, affermano – in sostanza – che l’impresa sanzionata aveva comunque il dovere di prevenire le chiamate a suo nome, anche se compiute da ignoti, rendendole impossibili. E’ come se si imputasse la Apple per la truffa dello smartphone scambiato con il mattone all’area di servizio perché non ha fatto abbastanza per prevenirla.
Nelle decisioni menzionate (e in altre successive) la prova che le chiamate che menzionano il nome dell’azienda indagata non hanno toccato i suoi sistemi né prodotto contratti non viene mai valorizzata come esimente, e le chiamate disconosciute finiscono per essere usate come corroborazione e “presuntivamente” ascritte all’impresa sanzionata, senza indagare effettivamente chi le faccia e come ottiene i dati e, in sostanza, lasciando impuniti gli effettivi disturbatori. È proprio questo residuo — il rifiuto di distinguere il trattamento proprio dall’abuso altrui — a spingere l’accountability verso una responsabilità oggettiva che il GDPR non conosce, lasciando l’effettivo “sottobosco” del telemarketing illegale indisturbato.
Accountability nel telemarketing: obblighi e limiti del titolare
L’accountability richiesta dal GDPR non è una clausola di stile. L’articolo 5, paragrafo 2, stabilisce che il titolare del trattamento è “competente” per il rispetto dei principi che regolano il trattamento dei dati personali e deve essere “in grado di comprovarlo”. È un principio a due tempi: responsabilità più dimostrabilità. Non introduce nuovi obblighi sostanziali; impone di rendere documentabile, e proporzionato al rischio, l’adempimento di obblighi che restano quelli — liceità, correttezza, minimizzazione, sicurezza, e così via. Gli articoli 24 e 25 ne sono la proiezione operativa: misure tecniche e organizzative adeguate, protezione dei dati fin dalla progettazione e per impostazione predefinita.
C’è però un presupposto logico che troppo spesso si dà per scontato e che invece è il cuore del problema. L’accountability è un parametro relazionale: si riferisce ai trattamenti che il titolare effettivamente svolge. Non è (e non può essere) un dovere di vigilanza generale sul mondo, né una responsabilità per il fatto altrui. Lo dice la definizione stessa di titolare (articolo 4, punto 7: chi “determina le finalità e i mezzi” del trattamento) e lo confermano le linee guida 07/2020 dell’EDPB sui concetti di titolare e responsabile[4]: chi agisce per finalità proprie, al di fuori o contro le istruzioni di un committente, è un titolare autonomo — o, più semplicemente, un soggetto estraneo — non un anello della filiera del presunto titolare.
Un conto è se l’illecito viene fatto sulla base di dati forniti dal titolare a un proprio partner, un altro è se un’azienda, che non ha alcuna relazione con il titolare, decide di chiamare qualcuno fingendosi un agente del titolare.
Quando l’operatore diventa vittima dell’abuso altrui
La violazione del principio di accountability dovrebbe poter essere invocata solo dove esiste un trattamento che si prova essere stato effettuato dall’operatore o per suo conto. Se un truffatore, usando liste illecite proprie e falsificando il numero chiamante tramite spoofing, spende il nome di un operatore senza mai toccare i sistemi di quest’ultimo e senza che alcun contratto venga generato, non c’è alcun trattamento dell’operatore a cui agganciare un la contestazione della mancata accountability. C’è solo una vittima di usurpazione di marchio, esattamente come nel phishing… ed esattamente come succede con la truffa del mattone.
Diversamente, la banca che viene impersonata dal truffatore che manda l’email di phishing, dovrebbe essere imputata per non aver impedito l’invio della mail fraudolenta che porta il suo (falso) marchio. Essa invece è la vittima. I suoi obblighi riguardano semmai i propri sistemi — la sicurezza ex articolo 32 e la notifica del data breach ex articoli 33 e 34 se e quando vi sia stata un’esfiltrazione dai suoi database — e il dovere di informare la clientela. Non esiste, e non potrebbe esistere, una responsabilità della banca per non aver “impedito” che un truffatore ne spendesse il nome.
Il telemarketing abusivo, nella sua forma pura, è strutturalmente identico. Un call center che falsifica il numero, usa liste rubate o comprate sul dark web e recita il copione “chiamo da TIM” o “chiamo da Enel” per carpire la fiducia del chiamato. La differenza rispetto al phishing — quella che il Garante valorizza — emerge in un solo caso: quando si riesce a dimostrare che la chiamata riguarda un numero che è stato affidato ai propri fornitori per essere chiamato e/o dalla chiamata viene generato un contratto che l’operatore incamera nei propri sistemi. Fuori da questi due scenari, siamo nel territorio del phishing, e l’operatore va trattato come ciò che è: un soggetto danneggiato, non un responsabile delle malefatte altrui.
I limiti dell’accountability contro il telemarketing abusivo
Una corretta concezione dell’accountability impone all’operatore tre tipi di obblighi, tutti ancorati ai suoi trattamenti: mettere in sicurezza i propri sistemi (articoli 32 e 33), così che dalle sue banche dati non fuoriescano gli elenchi che alimentano il sottobosco; assicurarsi che i dati e i contratti che effettivamente acquisisce — comprese le lead che entrano nel proprio funnel — abbiano origine lecita, bloccando a monte il caricamento di ciò che non è tracciabile (articoli 5, 6, 7, 24, 25); governare la filiera che opera per suo conto, con audit e verifiche reali e non con clausole di stile (articolo 28). Sono obblighi puntualmente riflessi nel Codice di Condotta del Telemarketing e Teleselling approvato dal Garante e a cui molti dei principali operatori aderiscono (la lista completa è sul sito www.odmtelemarketing.it).
Ciò che l’accountability non impone — perché nessuna norma lo prevede — è un dovere di impedire una truffa consistente nella mera spendita del proprio nome, quando quella truffa non genera alcun trattamento dell’operatore né alcuna esfiltrazione di dati dai suoi sistemi. Trasformare l’accountability in un obbligo di polizia del mercato, che renda l’operatore garante di tutto ciò che accade sotto il suo marchio ovunque nel mondo, significa svincolarla dal suo oggetto e attribuirle una funzione — la prevenzione generale dell’illecito altrui — che appartiene alle autorità pubbliche, non ai privati.
Responsabilità nel telemarketing e onere della prova in giudizio
Questa impostazione ha una ricaduta processuale precisa, che diventa importante nel caso l’operatore impugni la sanzione presso il Tribunale competente. Nel giudizio di opposizione a sanzione amministrativa vale la regola generale, costantemente ribadita dalla Cassazione, per cui è l’amministrazione a dover provare i fatti costitutivi della pretesa sanzionatoria[5], mentre l’opponente ha veste sostanziale di convenuto. L’articolo 5, paragrafo 2, del GDPR non ribalta questo assetto: inverte soltanto l’onere di dimostrare l’adeguatezza delle misure, e lo fa presupponendo che un trattamento riferibile al titolare sia stato accertato.
In altre parole, la sequenza probatoria corretta è a due gradini. Primo gradino, a carico del Garante: provare che un trattamento imputabile all’operatore c’è stato — un contratto è stato caricato nei suoi sistemi, una lead entrata nei suoi processi commerciali, un dato transitato nelle sue piattaforme, un’esfiltrazione dai suoi database. Solo una volta superato questo gradino scatta il secondo, a carico dell’operatore: dimostrare di aver adottato misure adeguate. Alcuni provvedimenti si fermano invece alla presunzione che qualsiasi chiamata che menziona il nome di un operatore vada a suo vantaggio.
L’esistenza di segnalazioni da qualche decina di utenti, che lamentano (ma non dimostrano) di essere stati chiamati da qualcuno che ha fatto il nome di quell’operatore — diventa la prova dell’incapacità di quell’operatore di controllare i propri canali di vendita mentre, in sede di giudizio, dovrebbe essere il Garante a provare i fatti costitutivi dell’accertamento.
Telemarketing e accountability in Regno Unito, Francia e Spagna
Il confronto europeo aiuta a mettere a fuoco dove la prassi italiana è in linea e dove eccede.
Il modello britannico tra caller e instigator
Nel Regno Unito, la disciplina delle chiamate promozionali (PECR) individua i responsabili nel caller e nell’instigator: la guida dell’ICO, il Garante privacy britannico, chiarisce che è “istigatore” chi incoraggia, incita, incentiva o chiede ad altri di veicolare il proprio messaggio promozionale, e che chi si avvale di terzi deve svolgere verifiche adeguate sulla loro affidabilità. La responsabilità, insomma, si àncora a un legame fattuale di istigazione o agenzia, non alla mera spendita del nome: se non hai istigato la chiamata, non ne rispondi. L’ICO persegue i call center abusivi e i lead generator, non il marchio imitato.[6]
La responsabilità del committente nel sistema francese
In Francia, la CNIL, il Garante francese, è severissima con il donneur d’ordre, ma sempre in relazione ai suoi trattamenti. Nel caso FORIOU (310.000 euro, gennaio 2024) ha sanzionato il riutilizzo di dati provenienti da data broker senza base giuridica, precisando che gli impegni contrattuali del broker non esonerano dall’obbligo di audit e verifica — la stessa ratio applicata al precedente EDF. Nel caso Futura Internationale (500.000 euro) ha colpito il committente per non aver garantito che i propri sous-traitants rispettassero le opposizioni.[7]
Su questo asse — governo della catena, divieto di scarico formale delle responsabilità — Francia e Italia convergono. Ma la CNIL sanziona il committente per la sua prospezione e i suoi dati, non per l’usurpazione compiuta da un estraneo.
La Spagna contro lo spoofing e le chiamate non attribuibili
La Spagna offre il contrappunto più istruttivo. Da un lato l’AEPD, il Garante spagnolo, come le altre, presidia la filiera: ha inflitto una multa da 8 milioni a un operatore telefonico per violazione degli articoli 28 e 24, e la LOPDGDD (articolo 33.2) qualifica come titolare — non come responsabile — chi “in nome proprio e senza che risulti che agisce per conto di altri” instaura rapporti con gli interessati. Dall’altro lato, e qui sta il punto, in un caso del 2024 l’AEPD ha archiviato il procedimento proprio perché il numero chiamante non aveva un intestatario, l’operatore di rete non registrava alcuna attività da quella numerazione e — data la possibilità tecnica dello spoofing — la telefonata non poteva essere collegata con certezza ad alcuna entità: in assenza di un soggetto identificabile a cui attribuire la responsabilità, il procedimento non poteva proseguire.[8] È l’esatto rovescio dell’approccio italiano.
Non solo. La Spagna ha scelto di aggredire lo spoofing dove va aggredito — al livello di rete. Un’apposita disciplina impone agli operatori di bloccare, dal 2025, le chiamate provenienti da numerazioni non assegnate, le chiamate commerciali con numerazione mobile e quelle internazionali che si mascherano da numeri spagnoli.[9] È la traduzione, per il telefono, di ciò che per la posta elettronica sono i protocolli di autenticazione anti-phishing: si mette in sicurezza l’infrastruttura, non si multa il marchio impersonato. La stessa strada che l’Italia ha iniziato a percorrere con il filtro anti-spoofing imposto dall’AGCOM che blocca le chiamate dall’estero che “simulano” numeri nazionali fissi e mobili (mentre è ancora in corso il lavoro per bloccare le chiamate nazionali con numeri falsi o non richiamabili).
Il lavoro su questo fronte è il principale presidio contro il telemarketing abusivo ed illegale e deve continuare, sino a costruire un sistema di filtri in grado di bloccare anche le chiamate nazionali con numerazione falsa o non richiamabile.
Responsabilità nel telemarketing: effetti su imprese e consumatori
Per gli operatori e per le imprese del comparto telemarketing, la responsabilità quasi oggettiva imposta dal Garante produce effetti concreti oltre l’importo delle multe — che nel comparto sono ormai ingenti: 27,8 milioni a TIM nel 2020 per i trattamenti propri, 12,25 a Vodafone e 4,5 a Fastweb[10], 26,5 e poi 79,1 a Enel Energia, di nuovo 7,6 e 9,5 a TIM nel 2023 e nel 2026. Queste sanzioni monstre portano le imprese sanzionate a irrigidire oltre modo i contratti dei propri partner, sino a rendere antieconomico svolgere l’attività e rendere rocambolesco il processo di vendita per cui il consumatore, per poter acquistare al telefono, dovrebbe fare e comprovare la propria identità e consenso innumerevoli volte.
La vendita telefonica (settore che, è bene ricordarlo, genera oltre 2 miliardi di PIL e ha poco meno di 100.000 addetti a livello nazionale) diventa anti-economica, a causa dei numerosi controlli e si decide quindi di affidare al marketing digitale, ai motori di ricerca e all’intelligenza artificiale le vendite, consegnando alle big tech anche questo comparto e provocando licenziamenti e crisi aziendali.
La maggiore sicurezza del processo di acquisizione lead e vendita, con gli obblighi tracciati dal Codice di Condotta, è sacrosanta ma diventa sproporzionata se l’obiettivo è trasformare l’operatore nel poliziotto del proprio marchio. Introduce infatti un’asimmetria competitiva, perché a pagare di più è chi ha il nome più forte e più imitato. E lascia le imprese strette tra due responsabilità opposte: verso l’Autorità se attivano un contratto di origine dubbia, verso il cliente (che vorrebbe attivare il servizio) se lo rifiutano.
Gli effetti sui consumatori e sulle tariffe
Per i consumatori il bilancio è più ambivalente di quanto suggerisca la retorica del pugno duro. Prosciugare la domanda di contratti illeciti è, in sé, la strategia giusta: se il contratto stipulato in violazione delle norme non entra nei sistemi, il procacciatore perde la provvigione e la ragione di chiamare. Ma le telefonate, quando partono da fuori e con numeri falsificati, non cessano — lo ha riconosciuto lo stesso Garante osservando che perfino i sistemi centralizzati non le avevano fermate — e i costi della compliance, prima o poi, si riversano sulle tariffe. Soprattutto, colpire il marchio usurpato mentre i truffatori restano nell’ombra rischia di additare all’opinione pubblica i grandi marchi come inaffidabili.
Come contrastare il telemarketing illegale senza responsabilità oggettiva
La direzione utile non è abbandonare la responsabilizzazione dei titolari ma restituirle il suo perimetro, evitando che sconfini in responsabilità oggettiva anche per le telefonate e trattamenti di cui non sanno nulla. Occorre anzitutto ancorare la sanzione ai trattamenti dell’operatore, cioè all’ingresso di dati, lead o contratti nei suoi sistemi o all’esfiltrazione da essi, e distinguere apertamente questi casi dall’imputazione presuntiva senza alcuna prova. Occorre, come si è detto, aggredire lo spoofing dove nasce, con il blocco delle numerazioni irregolari a livello di rete —e con l’azione penale contro i call center abusivi, anziché delegare di fatto agli operatori un’attività di intelligence che spetta alle autorità.
Occorre poi che non accettare i reclami generici degli utenti, non circostanziati e non corredati di prova che sia stato effettivamente stipulato o tentato di stipulare un contratto. Occorre infine rendere pienamente operativo il Codice di condotta sul telemarketing, che già fissa gli standard di condotta degli operatori[11], e coordinare le competenze — protezione dati, comunicazioni, concorrenza, forze di polizia — invece di scaricarle su un solo anello della catena.
Perché una responsabilità che somiglia troppo a quella oggettiva ottiene, alla lunga, il peggiore dei risultati possibili: imprese che pagano (e rincarano i prezzi), maggiore complessità per stipulare i contratti e, al contempo, consumatori che continuano a essere chiamati, e truffatori che continuano, indisturbati, a spendere il nome altrui.
Ne è prova la recente, contestatissima, norma del Decreto Bollette: non è vietando per Legge che si bloccano gli abusivi, ma intervenendo sulle reali cause.
Note e riferimenti sul telemarketing
[1] GPDP, provv. n. 443 del 16 dicembre 2021, doc. web n. 9735672. Sul caso è pendente contenzioso. ↩
[2] GPDP, provv. n. 224 del 12 novembre 2020, doc. web n. 9485681 e provv. n. 379 del 10 novembre 2022, doc. web n. 9826417. ↩
[3] GPDP, provv. n. 183 del 13 aprile 2023, doc. web n. 9894662 e provv. 556 del 23 luglio 2026, doc. web n. 1027705 ↩
[4] EDPB, Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento nel GDPR, versione 2.1, adottata il 7 luglio 2021. ↩
[5] In tema di opposizione a ordinanza-ingiunzione (art. 6 d.lgs. n. 150/2011; artt. 22-23 l. n. 689/1981) l’onere di allegazione grava sull’opponente, ma quello probatorio resta regolato dall’art. 2697 c.c.: la P.A., attore in senso sostanziale, deve provare gli elementi costitutivi, oggettivi e soggettivi, dell’illecito (Cass. civ., Sez. II, 8 ottobre 2018, n. 24691; da ultimo Cass., ord. 25 giugno 2025, n. 17041, che precisa come l’inerzia processuale dell’amministrazione non comporti l’automatico annullamento, potendo il giudice ricostruire d’ufficio l’intero rapporto sanzionatorio). ↩
[6] ICO, Direct marketing guidance e guida al PECR: la responsabilità per le chiamate promozionali ricade sul “caller” e sull'”instigator”, cioè chi incoraggia, incita o incarica altri di effettuarle. ↩
[7] CNIL, formation restreinte: sanzione FORIOU, 31 gennaio 2024 (310.000 €), per il riutilizzo di dati di data broker senza base giuridica e senza audit; v. anche i casi EDF (2023) e Futura Internationale (500.000 €). ↩
[8] AEPD, archiviazione del proc. AI/00562-2024 (impossibilità di collegare la chiamata a un soggetto determinato, in ragione dello spoofing). Cfr. art. 33.2 LOPDGDD sulla qualifica di titolare del distributore che agisce in nome proprio. ↩
[9] Spagna, Orden TDF/149/2025: obbligo per gli operatori di bloccare, dal 2025, le chiamate da numerazioni non assegnate, quelle commerciali con numerazione mobile e quelle internazionali che simulano numeri nazionali. ↩
[10] TIM: Garante, provv. n. 7 del 15 gennaio 2020, doc. web n. 9256486 (27.802.946 €), su trattamenti propri (campagne, gestione black list e dinieghi, data breach). Fastweb: provv. n. 112 del 25 marzo 2021, doc. web n. 9570997 (4.500.000 €). ↩
[11] Codice di condotta per le attività di telemarketing e teleselling, approvato con provv. n. 70 del 9 marzo 2023 (art. 40 GDPR); organismo di monitoraggio accreditato con provv. n. 148 del 7 marzo 2024. ↩
Partecipa alla community