In the telemarketing “jungle”: the telephone spamming between regulation and repression
Sommario: 1. Introduzione. 2. Gli adempimenti a carico dell’impresa per l’effettuazione di campagne (lecite) di telemarketing. Il Registro degli Operatori di Comunicazione ed il relativo database di numerazioni. 3. (segue) La distribuzione dei compiti e dei ruoli relativi al trattamento dei dati personali. 4. (segue) L’individuazione delle utenze verso cui indirizzare le chiamate. 5. L’attività sanzionatoria del Garante per la privacy. 6. Conclusioni.
Index EN: 1. Introduction. 2. The fulfillments of the company for carrying out (lawful) telemarketing campaigns. The Register of Communication Operators and the relative database of phone numbers. 3. The allocation of roles relating to the processing of personal data. 4. The individuation of the phone numbers that can be called. 5. The Privacy Authority’s sanctioning activity. 6. Conclusions.
Abstract: il presente contributo analizza gli aspetti giuridici di maggiore interesse che caratterizzano il fenomeno del telemarketing. L’abuso di tale aggressiva pratica commerciale ha assunto in Italia, com’è noto, carattere sistematico. Da qui, i molteplici interventi del Garante della privacy e dello stesso legislatore, nel tentativo di arginare un fenomeno che, inevitabilmente, pone allarmanti quesiti in merito alle modalità di trattamento dei nostri dati personali.
Abstract EN: this paper analyses the main legal aspects that characterise the well-known phenomenon of telemarketing. The abuse of this aggressive business practice has assumed a systematic character in Italy. Therefore, there have been many interventions by the Privacy Authority (and by the legislator himself) to try to limit a phenomenon that, inevitably, raises alarming questions regarding the methods of processing our personal data.
Parole chiave: telemarketing, spamming telefonico, dati personali, privacy, call center, Garante per la privacy.
Keywords: telemarketing, telephone spamming, personal data, privacy, call center, Privacy Authority.
1. Introduzione.
Il c.d. telemarketing “selvaggio”[1] è un fenomeno ben noto a chiunque possieda un telefono. L’inaspettata ricezione di telefonate promozionali avviene con cadenza pressoché quotidiana, talvolta persino più volte al giorno. Le telefonate, sempre più frequentemente gestite da segreterie preregistrate e da chatbot, in molti casi si aprono con la segnalazione di fantomatici “guasti di zona” o “interruzioni sulla linea” (elettrica o telefonica), così da irretire e disorientare il destinatario, inducendolo a proseguire la chiamata sino all’inevitabile proposta commerciale.
L’incessante ripetersi di questo genere di spam[2] desta fastidio e frustrazione nell’ignaro utente, il quale, da un lato, ha la sensazione di non potersi efficacemente difendere, e, allo stesso tempo, comprende di non avere alcun concreto controllo sulla circolazione dei suoi dati personali (che pure dovrebbero essere tutelati da rigorose normative).
Si potrebbe essere portati a credere che tale abnorme proliferazione dello spam telefonico derivi da una normativa lacunosa (per cui, i call center si muoverebbero in una sorta di “cono d’ombra” normativo, favoriti cioè da regole scarse e poco chiare), oppure da una sostanziale assenza di repressione.
In verità, nessuno dei due assunti è corretto.
La materia è infatti disciplinata da una serie di norme che, seppur stratificate e non pienamente organiche, delineano un recinto di regole rigorose, all’interno del quale dovrebbe muoversi chi intenda – legittimamente – promuovere la propria attività attraverso il telefono.
Sul rispetto di tali norme vigila il Garante per la Protezione dei Dati Personali[3], che non è affatto inerte, ma anzi, al contrario, interviene spesso e volentieri con l’irrogazione di sanzioni milionarie.
Nel presente contributo si cercherà quindi di tracciare un sintetico quadro d’insieme, seguendo le due direttrici anzidette: dapprima, saranno delineati i principali adempimenti che un’impresa virtuosa dovrebbe svolgere per impostare e condurre una campagna di telemarketing rispettosa delle regole; poi, saranno analizzati alcuni tra i più significativi provvedimenti sanzionatori del Garante; e infine, senza pretesa di esaustività, si proverà a tracciare un bilancio, non senza menzionare le più recenti novità che potrebbero avere un rilevante impatto nel contrasto alle prassi abusive.
*
2. Gli adempimenti a carico dell’impresa per l’effettuazione di campagne (lecite) di telemarketing. Il Registro degli Operatori di Comunicazione ed il relativo database di numerazioni.
Com’è evidente, l’effettuazione di campagne di telemarketing implica l’utilizzo dei dati personali[4] di un numero indeterminato (e spesso elevatissimo) di soggetti. Tale attività comporta inoltre, come accennato, un’intrusione nella vita quotidiana di chi riceve le telefonate. Inutile dire che la ricezione di una chiamata costringe il destinatario a distrarsi (magari mentre si trova alla guida, o durante lo svolgimento di altre mansioni che richiedono piena attenzione) oppure a interrompere ciò che sta facendo; senza contare la sensazione di ansia e preoccupazione che può legittimamente destare, in taluni casi, la semplice visualizzazione di un numero sconosciuto (si pensi a chi, per qualsiasi ragione, è in attesa di una chiamata importante, ad esempio da parte del medico o dell’ospedale).
In ragione di ciò, il legislatore ha circondato il telemarketing di varie cautele, ciascuna delle quali si traduce in un adempimento a carico dell’operatore privato che vuole ricorrere a tale strategia di promozione e vendita.
Un primo adempimento fondamentale è rappresentato dall’iscrizione dell’impresa nel Registro degli Operatori di Comunicazione (c.d. ROC) tenuto dall’Autorità per le Garanzie nelle Comunicazioni (AGCOM). In base al Regolamento per l’organizzazione e la tenuta del ROC, infatti, sono tenuti all’iscrizione “gli operatori economici esercenti l’attività di call center”, definiti come “tutti gli operatori economici che svolgono attività di call center su numerazioni nazionali nonché i soggetti terzi affidatari dei servizi di call center”[5].
Si noti che l’obbligo di iscrizione vale per le imprese che svolgono attività di call center sia inbound che outbound, indipendentemente dal fatto che tale attività costituisca il core business dell’impresa. L’obbligo, per contro, non vale per l’impresa che abbia esternalizzato totalmente le suddette operazioni, affidandole a un soggetto terzo (ad esempio mediante un contratto d’appalto). Va da sé che, in questi casi, l’impresa appaltatrice dovrà, a sua volta, essere iscritta al ROC; è quindi buona prassi che, nel caso di esternalizzazione del servizio, l’impresa affidante verifichi che l’impresa affidataria abbia adempiuto a tale iscrizione.
L’art. 24 bis del d.l. 83/2012 prevede poi oneri particolari nel caso in cui l’attività di call center venga esternalizzata in un Paese che non è membro dell’Unione Europea. In tali casi, l’operatore economico è tenuto, almeno 30 giorni prima, a darne comunicazione al Garante, indicando le misure adottate per garantire il rispetto della normativa nazionale in tema di tutela dei dati personali e di iscrizione al Registro delle opposizioni (sul quale si tornerà infra).
La normativa tecnica prevede poi lo specifico obbligo, per i soggetti che effettuano attività di call center, di far confluire nel ROC tutte le numerazioni utilizzate per le telefonate. Sebbene la formulazione letterale della disposizione lasci spazio a qualche dubbio, la stessa è interpretabile nel senso di imporre l’indicazione nel Registro anche dei numeri utilizzati per le chiamate outbound, cioè per le chiamate finalizzate al telemarketing[6].
Quest’ultimo adempimento, all’evidenza, è dettato a tutela dei destinatari delle chiamate e del loro diritto a conoscere l’identità del chiamante.
L’inserimento dei numeri in un database pubblico, liberamente consultabile da chiunque, può infatti costituire uno strumento molto efficace per la tutela della privacy e dei diritti ad essa connessi. Premesso che, per espressa previsione legislativa[7], i call center non possono “nascondere” le numerazioni dalle quali partono le chiamate in uscita, la catalogazione di tali numeri nel database centralizzato consentirebbe al destinatario di una telefonata promozionale di risalire all’identità del chiamante mediante una semplice consultazione del database. In altri termini, il cittadino “tartassato” potrebbe scoprire chi lo sta chiamando e, conseguentemente, rivolgere direttamente a questi le proprie rimostranze, esercitando i vari diritti che gli sono attribuiti dalla normativa in materia di privacy (chiedere quali dati a sé riferibili siano conservati nei database dell’azienda, e quale sia la base giuridica del trattamento effettuato; chiedere copia di eventuali moduli di consenso e verificarne la genuinità e la rispondenza ai parametri normativi; revocare i consensi eventualmente espressi, ecc.[8]). Allo stesso modo, l’interessato potrebbe segnalare eventuali abusi al Garante in maniera più specifica ed efficace.
Non si tratta di un passaggio di poco conto, considerato che, in base alla comune esperienza, una delle maggiori difficoltà nel difendersi e tutelarsi dal telemarketing consiste proprio nell’impossibilità di risalire all’identità del chiamante, il quale, assai spesso, o si qualifica con formule generiche, oppure afferma di chiamare per conto di un’altra società; o ancora, nei casi più gravi, addirittura spende illecitamente il nome di società terze, per confondere e irretire il potenziale cliente[9].
È appena il caso di evidenziare, tuttavia, che il quadro reale si discosta non poco da quello teorico e che pertanto, nella prassi, l’efficacia del ROC appare notevolmente ridotta rispetto agli auspici del legislatore. E ciò non solo e non tanto per le accennate ambiguità nella formulazione della disposizione, quanto piuttosto per la scarsa diligenza degli operatori nel rispettare gli obblighi loro imposti: il numero di chiamate pubblicitarie provenienti da numerazioni non risultanti nel database del ROC risulta ancora molto alto[10], a testimonianza della perdurante esistenza di campagne di telemarketing svolte nella più totale illegalità.
Inoltre, come è noto, le chiamate promozionali sempre più spesso provengono da numerazioni in tutto simili a comuni utenze mobili[11], le quali tuttavia, una volta ricontattate, si rivelano inesistenti. Si tratta di una tecnica illegale (nota come spoofing) rispetto alla quale le autorità regolatorie stanno provando ad approntare adeguate contromisure[12]; ma è chiaro come anche questa circostanza contribuisca a ridurre la concreta utilità del database detenuto dal ROC.
*
3. (segue) La distribuzione dei compiti e dei ruoli relativi al trattamento dei dati personali.
Un secondo “pacchetto” di adempimenti prodromici alla conduzione di una corretta campagna di telemarketing scaturisce dalla normativa sulla privacy, e quindi, fondamentalmente, dal Regolamento UE n. 679/2016 (GDPR) e dal d.lgs. 196/2003 (Codice della privacy).
È ad esempio fondamentale, sotto tale profilo, che si proceda ad una precisa identificazione dei ruoli nella filiera del trattamento dati, in conformità alle note figure tracciate dal GDPR: quindi, occorrerà individuare chiaramente il titolare del trattamento, il responsabile del trattamento e, laddove necessario, anche le singole persone fisiche autorizzate al trattamento.
Non è questa la sede per approfondire le suddette figure che, com’è noto, costituiscono un cardine della disciplina in materia[13]. Basti qui ricordare, in estrema sintesi, che il titolare del trattamento è colui che determina le finalità e le modalità del trattamento; il responsabile del trattamento è colui che tratta i dati per conto del titolare; mentre, per “soggetto autorizzato al trattamento”, si intende la persona fisica alla quale il titolare (o il responsabile) ha affidato singole operazioni di trattamento e che, pertanto, deve essere adeguatamente istruito e formato sul punto[14].
I rapporti tra il titolare ed il responsabile devono essere formalizzati in un contratto che definisca in maniera specifica le caratteristiche del trattamento (dati trattati, durata, soggetti interessati, modalità, finalità, obblighi del titolare e del responsabile)[15].
In alcuni casi, laddove il trattamento venga effettuato da due o più soggetti senza la possibilità di individuarne uno come dominus, occorrerà ricorrere all’istituto della contitolarità, che costituisce appunto la condizione in cui più soggetti determinano congiuntamente le finalità ed i mezzi del trattamento[16]. Anche il rapporto di contitolarità deve essere disciplinato in un accordo.
Occorre rammentare che, sulla base della giurisprudenza e della prassi applicativa del Garante[17], l’individuazione della titolarità e/o della responsabilità del trattamento avviene sempre in concreto, in maniera cioé indipendente dall’eventuale auto-attribuzione di ruoli effettuata nei contratti o accordi tra le imprese. In altri termini, il titolare del trattamento sarà sempre colui che in concreto ne ha determinato le finalità e le modalità, anche qualora, in ipotesi, lo stesso fosse stato qualificato quale (mero) responsabile in un accordo con il (teorico) titolare. È quindi molto importante che i contenuti e i confini delle rispettive attività siano attentamente individuati ex ante rispetto all’avvio dell’attività di trattamento[18].
Al fine di rafforzare la tutela degli utenti e di evitare, allo stesso tempo, comportamenti opportunistici da parte delle imprese, l’art. 24 bis, comma 8 del d.l. 83/2012 si premura di precisare che, nel caso di esternalizzazione del servizio di call center, l’affidante debba essere sempre considerato titolare del trattamento in solido con il gestore del call center stesso: un ulteriore tassello volto a prevenire lo sviluppo di filiere di gestione dati intricate e scarsamente trasparenti, che purtroppo connotano (lo si vedrà infra) molti dei casi sanzionati dal Garante.
*
4. (segue) L’individuazione delle utenze verso cui indirizzare le chiamate.
Infine, un ultimo aspetto fondamentale è rappresentato dall’individuazione delle numerazioni verso le quali possano essere legittimamente indirizzate le chiamate promozionali.
Sul punto, il quadro normativo appare piuttosto farraginoso.
Gli artt. 129 e 130 del Codice della privacy, ad esempio, continuano a fare riferimento alla nozione di “elenchi di contraenti”. Così, l’art. 129 affida al Garante il compito di disciplinare l’inserimento dei dati degli utenti in tali elenchi, disponendo altresì che siano individuate le modalità per la manifestazione del consenso all’utilizzo delle numerazioni per le comunicazioni promozionali. L’art. 130, invece, distingue tra telefonate senza operatore e con operatore: le prime sono possibili solo previo espresso consenso dell’utente; le seconde, invece, possono essere effettuate verso qualsiasi numerazione, purché risultante da uno dei citati elenchi.
Appare quindi lecito, in prima battuta, domandarsi a quali elenchi si riferisca il legislatore, considerato che, come è noto, il “vecchio” elenco telefonico cartaceo è caduto in totale desuetudine, trattandosi di una pubblicazione legata ad un contesto tecnologico e di mercato ormai superato da molto tempo (anche se, per la verità, continuano a circolare pubblicazioni simili, sebbene sempre più rare)[19]. Sul punto, la normativa tecnica stabilisce che per “pubblici elenchi” debbano intendersi soltanto quelli formati mediante estrapolazione di dati dal database unico nazionale, ossia dalla banca dati centrale alimentata dagli stessi operatori di telefonia, che contiene tutte le numerazioni nazionali[20]. Tanto è vero che, come si evince da taluni provvedimenti del Garante[21], non tutti i siti internet che offrono generici elenchi di utenze telefoniche rientrano nella nozione di “pubblici elenchi” cui si è fatto cenno; al contrario, si tratta spesso di database formati in maniera illecita, con plurime e gravi violazioni della normativa in materia di privacy. Questa tipologia di elenchi, com’è ovvio, non può essere utilizzata per finalità di telemarketing.
Ciò posto, il cardine della disciplina pare oggi costituito non tanto dai suddetti elenchi, quanto invece dal Registro Pubblico delle Opposizioni[22], a cui può iscriversi qualsiasi intestatario di utenze telefoniche, fisse o mobili (per l’appunto, indipendentemente dall’inclusione delle relative numerazioni in elenchi pubblici[23]). L’iscrizione al Registro, infatti, vale sia quale opposizione, pro futuro, al trattamento dei dati per finalità promozionali o di marketing[24], sia quale revoca (per così dire, retroattiva) di qualunque consenso precedentemente reso per dette finalità.
In buona sostanza, quindi, mediante l’iscrizione l’utente manifesta inequivocabilmente la volontà di non ricevere più alcuna chiamata di telemarketing.
Rimane ovviamente aperta la possibilità che il medesimo soggetto, dopo essersi iscritto al Registro, decida di revocare la propria iscrizione/opposizione, anche solo nei confronti di uno o più operatori specificamente individuati. È infatti possibile che il contraente cambi idea e decida di “riaprire” la sua utenza al telemarketing. Ma, al di là di tale ipotesi (in concreto poco verosimile), la normativa consente anche di esprimere validi consensi al trattamento dopo essersi iscritti al Registro. In altri termini, se l’utente si iscrive al Registro, e successivamente fornisce a un’impresa il proprio consenso al trattamento del numero di telefono per finalità promozionali, l’impresa potrà utilizzare detto consenso quale valida base del trattamento.
Il meccanismo appare, nel complesso, coerente ed intuitivo perché, così facendo, si permette all’utente di fornire dei consensi “mirati” a favore di singole imprese, senza appunto dover revocare la propria iscrizione al Registro.
Si rammenta poi che, com’è noto, il consenso può fungere da idonea base del trattamento solo se munito di determinate caratteristiche, delineate in nuce dal GDPR ed ulteriormente precisate nei successivi atti di prassi. Il tema meriterebbe una trattazione a sé stante ma, in questa sede, è sufficiente sottolineare come il consenso debba costituire una manifestazione di volontà libera, specifica, informata ed inequivocabile[25]. Tali caratteristiche contribuiscono (o dovrebbero contribuire) a conformare i contenuti delle informative che il titolare del trattamento è tenuto a sottoporre agli interessati allorquando raccoglie il loro consenso[26]. Pertanto, di fatto, gli eventuali vizi dell’informativa sono destinati a ripercuotersi sulla validità del consenso e, a cascata, sulla legittimità del trattamento stesso: se il consenso non è valido – ad esempio, perché è stato carpito all’utente senza prospettargli chiaramente la tipologia di dati trattati o le modalità e finalità del trattamento, cioè sottoponendo all’ignaro cliente un’informativa insufficiente o fuorviante – ciò inficerà il conseguente trattamento, determinandone l’illegittimità.
La giurisprudenza ha ulteriormente precisato che l’operatore economico non può effettuare chiamate al fine di ottenere un consenso per future campagne di telemarketing; quindi, nel caso di dissenso già manifestato dall’utente rispetto all’utilizzo della sua numerazione, all’operatore è preclusa l’effettuazione di campagne di “recupero del consenso” finalizzate a verificare se tale dissenso sia ancora valido[27].
In somma sintesi: le sole numerazioni che possono essere utilizzate da un’impresa per le campagne di telemarketing sono quelle che rientrano in una delle seguenti categorie: (1) numerazioni risultanti da pubblici elenchi, e non iscritte al Registro Pubblico delle Opposizioni; (2) numerazioni non risultanti da pubblici elenchi e non iscritte al Registro Pubblico delle Opposizioni, per le quali risulti un valido consenso; (3) numerazioni iscritte al Registro Pubblico delle Opposizioni, purché risulti un valido consenso espresso dopo l’iscrizione al registro (e dopo l’ultimo rinnovo dell’iscrizione, se presente).
È pertanto evidente che una buona parte dell’enorme numero di utenze italiane[28] sono – o dovrebbero essere – del tutto escluse dal fenomeno del telemarketing, anche perché le imprese, mensilmente o comunque prima di avviare una campagna promozionale, sono tenute a consultare il Registro e ad aggiornare le proprie liste di contatti[29].
*
5. L’attività sanzionatoria del Garante per la privacy.
Fatte tutte le suesposte premesse, sorge spontaneo domandarsi – a fronte della quotidiana ricezione di chiamate moleste – se e quanto il quadro reale si discosti rispetto a quello (sulla carta, molto rigoroso) tracciato dal legislatore.
Una risposta in tal senso si può ricavare dall’analisi dei provvedimenti sanzionatori del Garante in materia di telemarketing, i quali, per numero e frequenza nel tempo, rappresentano un vero e proprio “filone”, di per sé rappresentativo delle dimensioni del fenomeno. È sorprendente rilevare come la gran parte dei principali players di alcuni settori siano stati coinvolti, nel tempo, nelle attività istruttorie del Garante, spesso originate da segnalazioni e reclami[30] di utenti tartassati dallo spam telefonico, ed altrettanto spesso scaturite, appunto, in pesanti sanzioni pecuniarie[31].
Vale quindi la pena effettuare una breve disamina di tre provvedimenti che, tra i tanti, appaiono emblematici delle problematiche e delle criticità del settore.
Con il provvedimento n. 205 dell’11 aprile 2024, ad esempio, il Garante ha sanzionato un fornitore di energia elettrica per l’effettuazione di un numero consistente di chiamate verso soggetti che non avevano mai espresso un consenso, o che erano iscritti al Registro delle opposizioni.
I fatti alla base del provvedimento sanzionatorio, per come ricostruiti nella parte motiva, restituiscono un quadro allarmante delle modalità di svolgimento di alcune campagne di telemarketing. Molti utenti, il cui numero era stato utilizzato illecitamente, denunciavano infatti l’avvenuta attivazione di contratti di fornitura a loro insaputa; in alcuni casi, addirittura, tali contratti risultavano stipulati a distanza mediante ordini vocali contraffatti. Con il che, l’utente lamentava non solo il disturbo della telefonata di telemarketing non richiesta (e vietata), ma anche la beffa di essersi visto recapitare bollette (spesso di esorbitante ammontare) per forniture mai attivate. In questi casi, il danno patito dall’utente risulta tutt’altro che irrilevante: un danno economico, in primis, ma anche un danno derivante dallo stress e dall’ansia per l’aver subito un raggiro. Senza contare il tempo perso per cercare di svincolarsi dal contratto, con il legittimo timore di subire distacchi o interruzioni nella fornitura di energia elettrica.
Quanto alle dimensioni delle pratiche illegittime, nel suddetto provv. 205/2024 si legge che, nel giro di una sola settimana, i contatti illeciti (cioé quelli effettuati verso numerazioni iscritte nel Registro delle opposizioni) avevano condotto alla stipulazione di ben 106 contratti di fornitura. Proiettando questo dato su un lasso di tempo annuale, si può stimare che il telemarketing illecito (cioè indirizzato verso numerazioni non contattabili) avesse fruttato all’impresa circa 5.000 contratti/anno in più rispetto a quelli che sarebbero stati stipulati ricorrendo solo a modalità di contatto lecite: un numero dal quale si evincono i rilevanti interessi economici sottostanti a tali prassi commerciali scorrette.
Un altro provvedimento sanzionatorio interessante è il n. 184/2023, che si concentra invece sul fenomeno definito dallo stesso Garante come “sottobosco” del telemarketing. Si tratta di quell’insieme di società, agenti, procacciatori e list-providers la cui attività (più o meno coordinata e stratificata) permette alle grandi imprese di fare telemarketing “a tappeto”, esternalizzando ogni singolo passaggio della filiera: dall’acquisizione delle numerazioni da chiamare sino alla registrazione, all’interno dei database informatici, dei contratti stipulati.
L’Autorità evidenzia come i rapporti tra i soggetti della filiera siano spesso opachi, non formalizzati o regolati da mere prassi. Da qui nasce l’utilizzo della metafora del “sottobosco”, che restituisce con efficacia l’immagine di un groviglio di soggetti e rapporti giuridici difficile da districare, all’interno del quale proliferano, per così dire, attività di trattamento dati effettuate in grave violazione delle più basilari regole.
Nel caso all’attenzione del Garante, il c.d. sottobosco era costituito da quattro aziende. Le prime due imprese, collegate tra loro, si occupavano direttamente dell’attività di telemarketing, dapprima contattando telefonicamente i potenziali clienti per offrire contratti di fornitura di energia elettrica, poi recandosi fisicamente al domicilio dei soggetti interessati per raccogliere la sottoscrizione fisica dei contratti di fornitura. Stando a quel che è stato accertato dal Garante, tali imprese agivano in assenza di contratti di mandato con il fornitore di energia elettrica, per il quale pure procacciavano clienti. La terza impresa (che invece risultava sub-mandataria del fornitore) riceveva le proposte di contratto dalle prime due imprese, delegando poi a una quarta azienda l’inserimento delle proposte nei database informatici del fornitore, ai quali accedeva tramite credenziali che la terza impresa aveva ottenuto dalla propria mandante.
Tutte le suddette attività venivano realizzate senza alcuna individuazione dei ruoli ai sensi del GDPR, ossia senza che i soggetti coinvolti venissero, di volta in volta, designati quali responsabili del trattamento da parte dei rispettivi committenti. Il descritto meccanismo di parcellizzazione/scomposizione delle singole attività di filiera conduceva a una circolazione totalmente deregolamentata dei dati personali degli utenti: dati, si badi, non limitati al solo nominativo e numero di telefono, ma comprendenti anche l’indirizzo di residenza e il nominativo del fornitore attivo.
Il provvedimento si conclude con l’irrogazione di sanzioni economiche di notevole ammontare per tutte e quattro le imprese coinvolte, nonché – ed è un dato rilevante – con la sanzione accessoria del sequestro delle liste di numerazioni illecitamente acquisite ed utilizzate per le campagne promozionali.
Occorre aggiungere che, a valle del provvedimento n. 184/2023 – il quale, come detto, ha colpito soltanto le società del c.d. sottobosco – è stato adottato anche il provvedimento n. 81/2024, con il quale è stata irrogata una pesantissima sanzione pecuniaria anche alla società fornitrice di energia che si era giovata dei contratti stipulati dalle suddette imprese[32].
Infine, venendo a tempi ancor più recenti, si segnala il provvedimento n. 228 del 10 aprile 2025, scaturito (curiosamente) dalla segnalazione di una nota trasmissione televisiva. Il quadro è, anche qui, connotato dagli elementi ormai consueti: presenza di un “sottobosco” di gestione dei dati e delle telefonate; chiamate indirizzate verso utenti che non avevano mai espresso alcun consenso, su numerazioni estratte da liste di provenienza ignota; negligenza della società “madre” rispetto al doveroso controllo dei fornitori di servizi; errata o inesistente individuazione dei responsabili o sub-responsabili del trattamento; utilizzo di telefonate aggressive (finanche con insulti e toni minatori) finalizzate alla stipula di nuovi contratti; utenti ingannati e confusi da informazioni fittizie e non veritiere circa presunti aumenti e disservizi.
Sotto quest’ultimo profilo, è molto interessante la ricostruzione dello “schema operativo-tipo” utilizzato dai procacciatori, strutturato in quattro passaggi: chiamate indirizzate a utenti che avevano recentemente cambiato fornitore di luce/gas; prospettazione di falsi disguidi tecnici e/o presunti rischi di doppia fatturazione, connessi al passaggio dal fornitore uscente a quello entrante; presentazione della soluzione al problema (in realtà inesistente), consistente nel “rientro tecnico”, ossia, in sostanza, nella stipula di un nuovo contratto di fornitura a prezzi (asseritamente) molto vantaggiosi; invio di un agente porta-a-porta (c.d. runner) presso l’abitazione dell’utente per la stipula del contratto.
Si noti che, prima del quarto ed ultimo passaggio, il runner riceveva dall’operatore di call center un breve rapporto ove si spiegavano le ragioni fittizie con le quali l’utente era stato convinto a firmare il contratto, così da evitare contraddizioni. Un meccanismo opaco (a dir poco) ma, allo stesso tempo, assai efficace, capace di fruttare all’impresa sanzionata ben 27.000 contratti in un triennio.
*
6. Conclusioni.
Dalla disamina appena effettuata, dovrebbe emergere con chiarezza l’assenza, ad oggi, di soluzioni davvero efficaci rispetto a un fenomeno radicato e ben noto. D’altronde, come già ricordato, è la stessa esperienza quotidiana a suggerire una proliferazione delle campagne di telemarketing illecite, nonostante l’attività ispettiva e repressiva pur messa in campo dal Garante per la privacy.
Se, da un lato, è difficile immaginare delle “facili” soluzioni al problema, dall’altro lato non pare neppure accettabile arrendersi di fronte allo stesso, ossia considerare lo spam telefonico alla stregua di una stortura inevitabile, quasi fisiologica, nel contesto di un sistema globale dove i dati personali transitano da un soggetto all’altro (e spesso da un Paese all’altro) in maniera sempre più rapida, vorticosa e incontrollata. Occorre rammentare ancora una volta che, se lo spam si traduce, in molti casi, in un “semplice” disturbo, in altri casi rappresenta un mezzo per perpetrare vere e proprie truffe, spesso ai danni delle fasce più deboli della popolazione. E non si può ignorare la presenza persino di imprese pubbliche tra i soggetti sanzionati dal Garante, in una sorta di “corto circuito” che, purtroppo, conferma plasticamente il forte radicamento delle filiere illecite di gestione dei dati, sulle quali il telemarketing abusivo può svilupparsi imperterrito.
Servirebbe quindi un seria riflessione, prima di tutto economica, sulle leve che spingono aziende dai fatturati colossali a ricorrere (o comunque a giovarsi) di simili tecniche aggressive pur di aumentare il numero di utenze ed i relativi profitti, in un mercato che, a tratti, volendo parafrasare il Garante, più che a un “sottobosco” assomiglia a una vera e propria giungla.
Ad ogni modo, le autorità non rimangono inerti: anche in tempi recenti, sono state messe in campo specifiche iniziative regolatorie nel tentativo di porre un argine al problema. Certamente rilevante, ad esempio, è il “Codice di condotta per le attività di telemarketing e teleselling”, proposto congiuntamente dalle associazioni rappresentative delle società di comunicazione e delle imprese di call center, nonché dalle associazioni dei consumatori, ed approvato dal Garante, nella sua versione definitiva, con provvedimento del 7 marzo 2024[33]. Un provvedimento mediante il quale gli operatori si sono vincolati al rispetto di buone prassi nella formazione e reperimento delle liste di contatti, nella distribuzione delle responsabilità del trattamento, nel costante coordinamento con il Registro delle Opposizioni e con il ROC, nella verifica delle filiere, nel rispetto dei diritti degli utenti e così via.
Sul versante più propriamente “tecnico”, invece, va ricordata la recentissima delibera dell’AGCOM n. 106/25/CONS del 19 maggio 2025, con la quale è stato approvato il “Regolamento recante disposizioni a tutela degli utenti finali in materia di trasparenza nell’offerta di servizi di comunicazioni elettroniche e nella presentazione del numero chiamante (CLI)”. L’art. 7, infatti, impone agli operatori l’adozione di adeguate misure tecniche per contrastare lo spoofing, mediante sistemi di riconoscimento e blocco automatico delle chiamate provenienti dall’estero con numerazioni nazionali “taroccate”.
Si tratta di misure che vanno viste con favore, ma la cui efficacia dovrà essere verificata sul medio periodo. E, per una volta, tale verifica non necessiterà di complesse ricerche: potrà essere effettuata da ciascuno, in maniera empirica, semplicemente monitorando il proprio smartphone ed il relativo filtro antispam.
[1] Sotto il profilo terminologico, occorre precisare che il telemarketing andrebbe distinto dal c.d. teleselling. Infatti, propriamente, il telemarketing è l’attività che consiste nel contattare telefonicamente i potenziali clienti al fine di pubblicizzare un determinato prodotto o servizio, con l’obiettivo di fissare un appuntamento (al domicilio del cliente oppure presso la sede dell’azienda) nel corso del quale verrà stipulato il relativo contratto per iscritto; il teleselling, invece, presuppone un contatto telefonico finalizzato a stipulare immediatamente il contratto, tramite modalità “a distanza”, ad esempio mediante la registrazione vocale della conversazione tra l’operatore ed il cliente, durante la quale quest’ultimo esprime il proprio consenso alla stipulazione (il contratto stipulato al telefono è una fattispecie espressamente prevista dall’art. 51, comma 6 del d.lgs. 206/2005 – Codice del consumo). La distinzione concettuale è ora cristallizzata nelle rispettive definizioni di cui all’art. 2 del “Codice di condotta per le attività di telemarketing e teleselling”, approvato con il provvedimento del Garante per la Protezione dei Dati Personali n. 148 del 7 marzo 2024. Tuttavia, poiché tale differenza lessicale e concettuale non riveste particolare interesse per i profili che saranno di seguito trattati, il termine “telemarketing” sarà utilizzato in accezione più generica, con riferimento cioè tutte le chiamate commerciali con finalità di vendita di un bene o servizio.
[2] Le dimensioni del fenomeno possono essere facilmente percepite da chiunque, sulla base della semplice esperienza quotidiana; è tuttavia lo stesso Garante per la Protezione dei Dati Personali che, in più occasioni, ha evidenziato la pervasività del telemarketing. Ad esempio, nel provvedimento n. 184 del 13 aprile 2023, si segnala “il dilagare del fenomeno del telemarketing selvaggio che quotidianamente coinvolge una vasta parte della popolazione italiana”.
[3] Da qui in avanti, per brevità, ci si riferirà al Garante per la Protezione dei Dati Personali semplicemente come “il Garante” oppure “il Garante per la privacy”.
[4] Ai sensi dell’art. 4 del Regolamento UE 27 aprile 2016, n. 679 (General Data Protection Regulation o GDPR), per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.
[5] Il Registro degli Operatori di Comunicazione è stato previsto dall’art. 1, comma 6, lett. A, n. 5 della l. 31 luglio 1997, n. 249 (“Istituzione dell’Autorità per le garanzie nelle comunicazioni e norme sui sistemi delle telecomunicazioni e radiotelevisivo”), e successivamente attuato e disciplinato dalla delibera dell’Autorità di Garanzia nelle Comunicazioni (AGCOM) n. 666/08/CONS del 26 novembre 2008, con la quale è stato approvato il relativo Regolamento. L’obbligo di iscrizione al Registro è stato esteso ai call center dall’art. 1, comma 243 della l. 11 dicembre 2016, n. 232 (Legge di stabilità 2017), che ha aggiunto l’art. 24 bis al d.l. 22 giugno 2012, n. 83. Tale estensione è stata recepita, nella normativa tecnico-attuativa, mediante la delibera AGCOM n. 1/17/CONS del 12 gennaio 2017 (che ha apportato modifiche alla citata delibera n. 666/08/CONS).
[6] La norma tecnica prevede che: “gli operatori economici che svolgono attività di call center su numerazioni nazionali nonché i soggetti terzi affidatari dei servizi di call center producono, all’atto della presentazione della domanda di iscrizione, una dichiarazione, redatta secondo il modello 25/ROC, nel quale vengono indicate tutte le numerazioni telefoniche messe a disposizione del pubblico e utilizzate per i servizi di call center”. Si tratta dell’attuazione dell’obbligo previsto dal citato art. 24 bis, comma 11 del d.l. 83/2012, ai sensi del quale: “Tutti gli operatori economici che svolgono attività di call center su numerazioni nazionali devono […] iscriversi al Registro degli operatori di comunicazione di cui alla delibera dell’Autorità per le garanzie nelle comunicazioni n. 666/08/CONS del 26 novembre 2008, comunicando, altresì, tutte le numerazioni telefoniche messe a disposizione del pubblico e utilizzate per i servizi di call center. L’obbligo di iscrizione sussiste anche a carico dei soggetti terzi affidatari dei servizi di call center e deve essere contemplato nel contratto di affidamento del servizio”. Orbene, ad avviso di chi scrive, la formulazione della norma non è univoca perché, se interpretata letteralmente, l’obbligo di comunicazione sembrerebbe riferito soltanto alle numerazioni “messe a disposizione del pubblico”, cioè a quelle utilizzate per i servizi inbound (ad esempio, i numeri verdi o i numeri a pagamento per contattare il servizio clienti). È chiaro che una simile interpretazione finirebbe col depotenziare notevolmente l’impatto della norma e dello stesso database di numerazioni.
[7] Cfr. art. 9, d.P.R. 27 gennaio 2022, n. 26.
[8] I diritti dell’interessato al trattamento sono delineati dagli artt. 15 e seguenti del GDPR.
[9] Un caso assurto all’attenzione delle cronache nazionali è quello delle false chiamate di un sedicente servizio “Amazon High Tech Trading”, dietro a cui si celava una piattaforma fasulla di trading online che nulla aveva a che fare con il noto colosso dell’e-commerce (cfr. l’articolo pubblicato sul sito di Repubblica in data 3 agosto 2023, “Amazon High Tech Trading, cosa c’è dietro la truffa telefonica e come difendersi”). Ma, invero, i riferimenti alle tecniche di telemarketing aggressive e truffaldine risultano frequenti anche in giurisprudenza. Ad esempio, nella recente pronuncia del Consiglio di Stato, Sez. VI, 28 aprile 2025, n. 3579, si legge: “le segnalazioni pervenute all’Autorità sono estremamente numerose e puntuali nel descrivere le modalità ingannevoli e aggressive con operatori dei call center incaricati dal professionista i quali hanno, in particolare, frequentemente omesso di qualificarsi correttamente, presentandosi come dipendenti del gestore attuale del consumatore o altro di maggior notorietà, se non addirittura come associazione a tutela dei consumatori; talvolta, invece, i teleseller hanno con insistenza richiamato i consumatori titubanti arrivando in alcune circostanze persino a minacciare slacci o sospensioni del servizio mentre, in altre ipotesi, è emerso che le condizioni contrattuali promesse non corrispondevano a quelle reali, di cui il consumatore veniva a conoscenza solo nel momento in cui riceveva la fattura”.
[10] Chi scrive è regolarmente iscritto al Registro delle Opposizioni e, ciò nondimeno, riceve quotidianamente telefonate di spam. Provando a inserire nel motore di ricerca del ROC un campione di venti numeri di chiamate “moleste” (offerte pubblicitarie con operatore o con segreteria pre-registrata, chiamate mute) ricevute al cellulare, nessuna di esse risulta nel database.
[11] Per inciso, non ha avuto sostanzialmente alcun effetto il tentativo legislativo, attuato alcuni anni or sono, di imporre un “prefisso unico” per le chiamate promozionali: sul punto, si rinvia a L. Izzo, Telemarketing: ecco i prefissi per identificare i call center, in www.studiocataldi.it, 12 novembre 2018.
[12] Lo spoofing consiste appunto nella generazione di false numerazioni nazionali, per lo più ad opera di call center esteri. Il problema è ben noto al Garante privacy (“Per questo grave fenomeno occorre necessariamente una legge che consenta il blocco di tutti i numeri di cui non sia ricontattabile il chiamante”: cfr. l’intervista ad Agostino Ghiglia reperibile al link https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9891726). Sul punto si tornerà nel paragrafo conclusivo del presente elaborato.
[13] Per un approfondimento sui ruoli di titolare e di responsabile del trattamento, si rinvia innanzitutto alle “Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR” redatte dallo European Data Protection Board, adottate il 7 luglio 2021. In dottrina, si rimanda a: A. Mantelero, GDPR tra novità e discontinuità – gli autori del trattamento dati: titolare e responsabile, in Giur. It., 2019, 12, 2777; L. Conti, Il ruolo del Responsabile del trattamento (“Data Processor”) prima e dopo il Regolamento (UE) n. 2016/679 e il suo rapporto contrattuale con il titolare del trattamento (“Data controller”), in Diritto comunitario e degli scambi internazionali, 2019, 1-2, 199.
[14] La figura (obbligatoria) dell’“incaricato” del trattamento era prevista dall’art. 30 del d.lgs. 30 giugno 2003, n. 196 (c.d. Codice privacy), abrogato dal d.lgs. 101/2018. Ad oggi, l’art. 4, n. 10 del GDPR prevede che possano esserci persone “autorizzate” al trattamento, mentre l’art. 2 quaterdecies del Codice privacy prevede che il titolare o il responsabile possano assegnare specifiche attività di trattamento a taluni soggetti, definiti “designati”, e prevede altresì che individuino le modalità per autorizzare al trattamento le persone che operano sotto la loro autorità. Sul tema, cfr. D. Farace, Le persone autorizzate al trattamento dei dati personali, in Riv. trim. dir. proc. civ., 2021, 2, 423.
[15] Cfr. A. Chiappini, Riflessioni sul contratto tra titolare e responsabile del trattamento, in Contratto e impresa, 2021, 1, 317.
[16] Cfr. G.M. Riccio, Titolarità e contitolarità nel trattamento dei dati personali tra Corte di giustizia e Regolamento privacy, in La nuova giurisprudenza civile commentata, 2018, 12, 1, 1805.
[17] In tal senso, si vedano le già citate “Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR”. Il Garante per la privacy, dal canto suo, ha affermato che “la qualità di titolare del trattamento discende direttamente dalla verifica dei presupposti indicati dalla legge (art. 4, comma 1, lett. f), del Codice) e non sussistono dubbi che, nel caso di specie, tutte le decisioni in ordine al trattamento dei dati personali risultano univocamente assunte da […], rendendo così irrilevante la diversa qualificazione giuridica attribuitasi dalle due società nell’ambito dei nuovi accordi contrattuali” (Garante privacy, provv. n. 300 del 18 ottobre 2012; in senso conforme, provv. n. 224 del 12 novembre 2020). Il concetto viene ripreso anche dalla giurisprudenza, ad esempio in Cass. civ., Sez. I, 23 luglio 2021, n. 21234. Ma è lo stesso GDPR, all’art. 28 comma 10 a stabilire che “Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione”.
[18] Cfr. L.C. Natali, Attività promozionali: titolarità del trattamento dei dati, in Diritto e pratica del lavoro, n. 46, 30 novembre 2019, p. 2834.
[19] L’elenco telefonico, già previsto dall’abrogato art. 288 del d.P.R. 156/1973 (Codice Postale), costituiva un importante strumento a disposizione degli utenti prima della liberalizzazione dei servizi telefonici e dell’avvento della telefonia mobile.
[20]L’istituzione di un database unico nazionale è stata prevista dalle delibere dell’AGCOM n. 36/02/CONS del 6 febbraio 2002 e n. 180/02/CONS del 13 giugno 2002. Il database è regolato da un protocollo d’intesa tra gli operatori di telefonia, che non risulta reperibile online; stando a quanto si legge nel provvedimento dell’Autorità Garante della Concorrenza e del Mercato (AGCM) n. 16642 del 4 aprile 2007, il protocollo d’intesa è stato firmato il 29 aprile 2005 e “ai sensi dell’articolo 12 del medesimo Protocollo, Telecom Italia è stata individuata, insieme a BT Albacom ed Eutelia, come operatore legittimato alla messa a disposizione a terzi della BDU ad un prezzo equo, ragionevole e non discriminatorio”. Si noti, in ogni caso, che gli elenchi pubblici possono riportare soltanto le numerazioni degli utenti che, in fase di sottoscrizione del contratto di fornitura telefonica, abbiano prestato il consenso alla pubblicazione del proprio numero.
[21]Si rimanda al provvedimento sanzionatorio del Garante per la privacy del 17 maggio 2023, n. 201, concernente proprio un caso di creazione illecita di elenchi telefonici online.
[22] Il Registro pubblico delle opposizioni è stato introdotto dal d.P.R. 178/2010 ed è oggi disciplinato dalla l. 11 gennaio 2018, n. 26 e dal relativo regolamento attuativo di cui al d.P.R. 27 gennaio 2022, n. 26.
[23] Per completezza, l’art. 7, comma 10 del d.P.R. 26/2022 prevede che i numeri fissi non presenti negli elenchi pubblici confluiscano automaticamente all’interno del Registro.
[24] Art. 7, d.P.R. 26/2022.
[25] Cfr. le “Linee guida sul consenso ai sensi del regolamento (UE) 2016/679” del Gruppo di lavoro Articolo 29, adottate il 28 novembre 2017. Sul tema si segnalano i seguenti contributi: P. Gallo, Il consenso al trattamento dei dati personali come prestazione, in in Riv. dir. civ., 2022, 6, 1054; F. Caggia, Il consenso al trattamento dei dati personali nel diritto europeo, in Rivista del diritto commerciale e del diritto generale delle obbligazioni, 2019, 3, 1, 405.
[26] Si tratta di un aspetto particolarmente delicato nel caso, ad esempio, di consensi acquisiti online, mediante la classica “spunta” apposta sulla relativa casella. Il Garante, in più occasioni, ha chiarito che l’impresa deve tenere chiaramente distinti il consenso al trattamento necessario all’esecuzione della prestazione da quello, ad esempio, al trattamento per finalità promozionali e di marketing; l’utente dev’essere messo in condizione di accettare il primo e rifiutare il secondo. Per contro, un eventuale consenso “onnicomprensivo” non può ritenersi valido (sul punto, cfr. ad esempio il provvedimento del Garante n. 439 del 17 ottobre 2016).
[27] Così Cass. civ., Sez. I, 28 marzo 2022, n. 9920, con la quale è stato accolto il ricorso avverso una sentenza del Tribunale di Roma che, a sua volta, aveva annullato un provvedimento sanzionatorio del Garante in data 27 ottobre 2016. Nello stesso senso, cfr. anche Cass. civ., Sez. I, 26 aprile 2021, n. 11019.
[28] In base ai dati pubblicati dall’AGCOM (cfr. Osservatorio trimestrale sulle comunicazioni, n. 1/2024), a dicembre 2023 si contavano in Italia 20,11 milioni di linee fisse e 78,5 milioni di SIM “umane” (vale a dire SIM che consentono lo scambio di dati e comunicazioni con l’interazione dell’uomo), oltre a 30 milioni di SIM “machine-to-machine”. Per quanto riguarda il Registro Pubblico delle Opposizioni, al 28 luglio 2023 vengono segnalate 28 milioni di numerazioni iscritte (cfr. comunicato del 28 luglio 2023, reperibile sul sito istituzionale registrodelleopposizioni.it).
[29] Art. 8, comma 2, d.P.R. 26/2022.
[30] Segnalazioni e reclami sono disciplinati dagli artt. 141-144 del Codice privacy.
[31] Cfr. ad esempio, in ordine cronologico: provvedimento n. 232 dell’11 dicembre 2019 (sanzione per 8,5 milioni di euro); provvedimento n. 224 del 12 novembre 2020 (sanzione per 12,2 milioni di euro); provvedimento n. 7 del 15 gennaio 2020 (sazione per 27,8 milioni di euro); provvedimento n. 332 del 16 settembre 2021 (sanzione per 3,2 milioni di euro); provvedimento n. 184 del 13 aprile 2023 (sanzione per 4,9 milioni di euro); provvedimento n. 181 del 14 aprile 2023 (sanzione per 676.956 euro); provvedimento n. 342 del 6 giugno 2024 (sanzione per 6,4 milioni di euro).
[32] La sanzione irrogata, pari a 79 milioni di euro, è “la più alta mai applicata dall’Autorità” (così nel comunicato stampa dello stesso Garante, cfr. https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9988921). Tra le molte inadempienze contestate all’impresa, vi è anche quella di “aver stipulato dei contratti con le proprie agenzie che prevedono in maniera formalistica una ripartizione di responsabilità non rispondente alla concreta articolazione della filiera del trattamento e carente sotto il profilo degli obblighi di controllo in capo al titolare del trattamento e, dall’altro, per non aver stipulato o curato che fossero stipulati i necessari atti giuridici con quei soggetti, asseritamente non conosciuti, ma in realtà – come dimostrato dalle risultanze istruttorie – noti ed integrati attivamente e pienamente nella filiera di vendita dei servizi della Società”.
[33] I “codici di condotta” sono previsti dall’art. 40 del GDPR.
