Il Garante privacy, con provvedimento n. 556 del 23 luglio 2026, ha sanzionato una società di telecomunicazioni per differenti violazioni della normativa in materia di privacy.
L’istruttoria segue ad alcune segnalazioni per chiamate promozionali indesiderate realizzate per conto dell’operatore telefonico attraverso numerazioni non autorizzate o alterate mediante spoofing, anche verso utenze iscritte al Registro pubblico delle opposizioni (RPO).
Il meccanismo illecito prevedeva non solo le citate chiamate volte alla promozione dell’attivazione di offerte o servizi, ma anche il successivo invio agli utenti interessati di SMS contenenti link diretti a pagine web di partner dell’operatore telefonico, al cui interno vi era un modulo che l’utente era chiamato a compilare formulando false richieste di ricontatto.
Gli utenti venivano quindi richiamati da numerazioni regolarmente registrate, creando l’apparenza di un contatto commerciale legittimo.
Sulla governance societaria
Lo società di telefonia sottolineava di aver adottato un modello di governance il che, secondo la stessa, era sufficiente ad escludere la propria responsabilità. In particolare, riteneva che tale modello consistesse in una misura di accountability in grado di sollevare il titolare dall’onere di provare la propria responsabilità e la conformità delle misure adottate, ciò poiché il modello già realizza un bilanciamento degli interessi in gioco.
Al contrario, il Garante ha evidenziato come il mero adeguamento a detto codice non è sufficiente nell’ipotesi in cui le misure adottate risultino essere nel concreto inefficaci ovvero nel caso in cui il trattamento realizzato violi il GDPR.
Le Linee Guida 1/2019 di EDPB, infatti, chiariscono che l’adesione ad un codice non garantisce di per sé la conformità al GDPR e neppure l’immunità del titolare del trattamento o del responsabile del trattamento da sanzioni o responsabilità.
Al più tale adesione può fungere da elemento per misurare l’intensità della sanzione al fine di garantirne l’effettività, la proporzionalità e la dissuasività.
La società, altresì, escludeva la propria responsabilità alla luce dell’art. 28 par. 10 del GDPR ritenendo che quest’ultima gravasse sui responsabili del trattamento che hanno realizzato le chiamate prima e gli SMS con il citato link dopo.
Il Garante privacy, però, non condivide tale impostazione evidenziando che il titolare ha specifici obblighi di vigilanza e controllo dell’attività dei responsabili del trattamento. Il titolare, quindi, può rispondere per culpa in vigilando o culpa in eligendo.
In aggiunta, l’esternalizzazione delle attività di telemarketing è caratterizzata da un rischio sistemico e strutturale che impone al titolare di controllare la catena di fornitura del servizio.
L’Autorità, in aggiunta, riconosce come nello stesso codice di condotta sottoscritto dalla società preveda che il titolare del trattamento debba accertarsi della liceità dei passaggi che portano alla sottoscrizione del contatto, senza soffermarsi alla sola fase conclusiva della filiera.
Nel caso di specie, quindi, la società non avrebbe, secondo il Garante, neppure applicato correttamente uno dei principi base del codice di condotta eludendo, in questo modo, gli obblighi di accountability.
Sulle misure tecnico-organizzative societarie nella gestione delle anagrafiche
Sotto tale profilo il Garante ricorda che il principio di Data Protection by Design, imponga al titolare del trattamento un obbligo di prevenzione proattiva e non semplicemente reattiva.
L’assenza, quindi, di reclami formali nei primi giorni di sperimentazione della misura non sana l’inidoneità ab origine di un sistema.
In particolare, nel caso di specie, veniva concesso all’interessato di esercitare il c.d. diritto di ripensamento, ovvero di disconoscere la titolarità del recapito o revocare il consenso, entro il termine di cinque minuti dall’invio del relativo SMS. L’interessato veniva, quindi, costretto ad attivarsi per impedire un trattamento di cui non ha richiesto né autorizzato l’avvio.
Tale metodologia capovolge il modello legale che richiede per la manifestazione dell’assenso un atto positivo da parte dell’interessato e non la sua inerzia. Ciò è previsto anche dal considerando 32 del GDPR secondo cui “non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle”.
Deve, altresì, escludersi che il consenso consapevole, raccolto in fase di conclusione del contratto, abbia un’efficacia sanante rispetto all’eventuale vizio nell’acquisizione originaria dei dati. Un contatto telefonico non desiderato sulla base di una richiesta di ricontatto fasulla è di per sé in grado di integrare un illecito trattamento di dati personali.
Sulla sistematicità delle violazioni e sull’invalidità del consenso
Dall’istruttoria condotta l’interessato era indotto dall’operatore telefonico nel corso del primo contatto illecito a cliccare sul link ricevuto tramite SMS. Tale consenso al trattamento del propri dati non poteva quindi essere ritenuto validamente prestato in quanto non autonomo, spontaneo e consapevole.
In aggiunta, l’assenza del successivo perfezionamento del rapporto contrattuale con la società è del tutto irrilevante poiché:
- frutto della volontà espressa dall’utente di non confermare o richiedere l’annullamento dell’ordine e non di un’iniziativa della società alla luce di una precedente attività di monitoraggio
- l’ordine di attivazione è elemento sufficiente a provare l’illecita acquisizione dei dati personali degli utenti.
Il Garante privacy ha quindi ritenuto violati:
- gli artt. 5, par. 1, 6 e 7 del GDPR e l’ 130 del Codice Privacy, per non aver impedito l’effettuazione di contatti promozionali abusivi – mascherati da richieste di ricontatto – senza un preventivo, libero e specifico consenso.
- l’art. 5, par. 2, del GDPR per la violazione del principio di accountability, non avendo adottato sistemi di controllo in grado di garantire e provare la vigilanza sulla legittimità dell’attività della rete di vendita
- gli artt. 24, 25 e 28 del GDPR per la violazione del principio di Data Protection by Design e quindi non aver adottato idonee misure tecniche e organizzative sin dalla fase di progettazione del trattamento, volte ad impedire il caricamento di contratti originati da numerazioni non censite e a garantire il rispetto delle istruzioni impartite ai collaboratori
- l’art. 32 del GDPR per l’inadeguatezza delle misure di sicurezza concernenti la raccolta dei consensi e le modalità di caricamento degli ordini.
Sull’inidoneità delle misure di disiscrizione e sugli ostacoli all’esercizio dei diritti
Il Garante ha rilevato delle criticità nella gestione delle istanze degli interessati relative all’esercizio dei propri diritti in ambito di tutela dei propri dati personali.
In particolare, la società non aveva dato seguito ad alcune istanze di esercizio dei diritti degli interessati adducendo in un caso la necessarietà di tempi tecnici – durante i quale è perdurato l’invio di comunicazioni promozionali per oltre quattro mesi. Il mero riscontro formale entro 30 giorni, precisa l’Autorità, non è sufficiente se non accompagnato dall’interruzione del trattamento.
Dall’istruttoria è emerso, inoltre, che alcuni interessati avevano presentato la propria istanza tramite canali di comunicazione ritenuti inidonei (quali l’email del DPO in via di dismissione). Tale citata caratteristica del canale utilizzato, si evidenzia, non priva di validità l’istanza, dovendo il titolare dotarsi di idonei flussi di comunicazione interni.
Il Garante privacy ha quindi rilevato la violazione:
- del diritto alla cancellazione (art. 17 GDPR) e di quello di opposizione (art. 21 GDPR) per non aver dato seguito alle istanze degli interessati
- degli artt. 6, par. 1, lett. a) del GDPR e 130, co. 2, del Codice Privacy, alla luce dell’invio di ulteriori comunicazioni promozionali, a seguito dell’opposizione o della richiesta di cancellazione, poiché privo di un valido consenso.
Per quanto concerne, invece, le procedure di disiscrizione (opt-out), la società richiedeva il login all’area riservata o l’utilizzo di specifiche applicazioni per il suo esercizio.
Tali modalità sono in contrasto con l’art. 7, par. 3, del GDPR, secondo cui la revoca del consenso deve essere facile tanto quanto la sua prestazione.
In tale contesto, è del tutto irrilevante la necessità richiamata dalla società di verificare l’identità del richiedente, ex. art. 12, par. 6, del GDPR, in quanto l’autenticazione non può tradursi in un onere sproporzionato che concretamente preclude o disincentiva l’esercizio del diritto, poiché in violazione dell’art. 12, par. 2, del GDPR.
Il Garante ha altresì rilevato la violazione degli artt. da 15 a 22 del GDPR per la violazione delle norme concernenti l’esercizio dei diritti degli interessarsi rendendo inefficace la richiesta di opposizione o cancellazione, nonché dell’art. 24 del GDPR, per non aver adottato misure tecniche e organizzative idonee a recepire tempestivamente ed efficacemente la volontà degli interessati.
Sul mancato, tardivo o inidoneo riscontro alle istanze
Il Garante evidenzia che il carattere residuale dei ritardi nei riscontri delle istanze (eccepito dalla società) non priva di antigiuridicità le violazioni contestate.
L’efficienza statistica del sistema non costituisce una scriminante per le violazioni, al più può rilevare per la quantificazione della sanzione quale elemento sintomatico dell’adeguatezza complessiva dell’assetto organizzativo.
L’Autorità rileva altresì un utilizzo distorto delle c.d. risposte interlocutorie. L’art. 12, par. 3, del GDPR consente, infatti, la proroga del termine di 30 giorni fino ad altri due mesi solo in presenza di una particolare complessità. Il Titolare deve, però, informare l’interessato di tale proroga e dei motivi entro un mese dal ricevimento dell’istanza.
Dall’istruttoria emerge come in alcuni casi la società non avesse giustificato la proroga tramite i requisiti formali e sostanziali richiesti ed in altri casi era inoltre stato superato il termine massimo di cui all’art. 12, par. 3, del GDPR.
Alla luce di quanto sopra il Garante privacy ha evidenziato la violazione degli artt. 5, par. 1, lett. a) e par. 2 e artt. 12, 15, 17 e 21 del GDPR.
