Telemarketing abusivo: il nodo della responsabilità GDPR delle imprese

Le imprese che vendono per telefono, direttamente o tramite call center esterni, sono sempre più spesso chiamate a rispondere di chiamate moleste fatte a loro nome anche quando dimostrano di non averle commissionate. È il tema al centro di un'analisi giuridica pubblicata da Agenda Digitale, che rimette in discussione i confini della responsabilità privacy per il telemarketing abusivo, un problema che riguarda ogni PMI che utilizzi il canale telefonico per acquisire clienti o si affidi a partner commerciali esterni.

Il quadro delle sanzioni

Negli ultimi anni il Garante per la protezione dei dati personali ha sanzionato più volte grandi operatori di energia e telecomunicazioni per chiamate promozionali indesiderate riconducibili al loro marchio. Tra i casi più recenti, il Garante ha sanzionato TIM per 9,5 milioni di euro con il provvedimento del 23 luglio 2026, al termine di un'istruttoria nata da circa 7.000 reclami arrivati nel 2025 per chiamate effettuate mediante numerazioni non censite al Registro degli operatori di comunicazione o alterate tramite spoofing, spesso dirette a utenze iscritte al Registro pubblico delle opposizioni. L'Autorità ha inoltre contestato all'azienda la sistematica inosservanza degli obblighi in materia di esercizio dei diritti degli interessati.

Il nodo dell'accountability

Il principio applicato dal Garante è che chi trae vantaggio economico dal telemarketing risponde dell'intera filiera del trattamento, senza poter scaricare la responsabilità sugli outsourcer. Questo principio è alla base del Codice di condotta per le attività di telemarketing e teleselling, che il Garante per la protezione dei dati personali ha approvato e che è oggi monitorato da un apposito Organismo, come ricordato anche da Federprivacy, che segnala come da gennaio 2026 sia attiva SegnalaODM, la piattaforma dell'Organismo di Monitoraggio del Codice di Condotta in materia di telemarketing e teleselling che consente agli utenti di segnalare eventuali violazioni. Resta però aperto, secondo l'analisi, il confronto su fino a che punto un'azienda debba rispondere anche per chiamate fatte da soggetti estranei che ne usurpano il nome senza mai accedere ai suoi sistemi o generare contratti.

Cosa cambia per le imprese

Per i titolari del trattamento che si avvalgono di reti commerciali esterne, la lezione pratica resta quella già indicata dal Garante e dall'EDPB: mettere in sicurezza i propri sistemi, verificare l'origine lecita di lead e contratti acquisiti, e condurre audit reali sui partner che operano per proprio conto ai sensi dell'articolo 28 del GDPR. L'adesione al Codice di condotta, pur utile, non esonera dagli obblighi di vigilanza, come chiarito anche in un recente provvedimento sanzionatorio del 23 luglio 2026.