Ordinanza ingiunzione o revoca n. 556 del 23/07/2026

TIM S.p.A.: telemarketing illecito, lead fittizie e gestione inadeguata dei diritti

Il provvedimento riguarda TIM S.p.A. ed è il risultato di un'istruttoria avviata dal Garante a seguito di numerosi reclami, segnalazioni e accertamenti ispettivi svolti con la Guardia di Finanza. L'oggetto principale è la gestione della filiera del telemarketing e teleselling, in particolare l'uso di lead generate tramite contatti preliminari illeciti, spesso effettuati da partner commerciali o call center abusivi con numerazioni camuffate.

Origine del procedimento e quadro fattuale

L'Autorità descrive un fenomeno già noto: operatori esterni, non sempre riconducibili alla rete ufficiale, contattano gli utenti con chiamate promozionali, anche verso numeri iscritti al Registro Pubblico delle Opposizioni, ricorrendo a tecniche di spoofing e a numerazioni non registrate al ROC. Successivamente, gli interessati vengono indotti a compilare form online o a cliccare link inviati via SMS o messaggistica, così da generare una presunta richiesta autonoma di ricontatto, definita lead. Tale meccanismo viene utilizzato per "ripulire" formalmente la filiera del dato e far apparire regolare un contatto che, in realtà, nasce da un primo trattamento illecito.

Le criticità sulla filiera del dato e sulla governance

Il Garante contesta a TIM una strutturale inadeguatezza dei controlli sulla rete di vendita e sui partner commerciali. Dai fascicoli esaminati emergono ordini di attivazione inseriti nei sistemi aziendali sulla base di lead fittizie o di contatti abusivi; in diversi casi i numeri chiamanti non appartengono alla rete TIM e i partner coinvolti risultano avere operato in modo fraudolento. L'Autorità rileva che TIM non ha svolto verifiche preliminari sufficienti sulle garanzie dei partner, non ha controllato in modo efficace la congruità tra volumi di contatto e capacità organizzativa delle agenzie e non ha intercettato macroscopiche anomalie nei dati aggregati.

Vengono richiamate anche discrepanze statistiche rilevanti: in alcuni casi il numero di contatti effettuati supera significativamente quello delle lead dichiarate, con tassi di conversione molto bassi o anomali. Per il Garante, questi elementi avrebbero dovuto attivare alert e blocchi immediati, poiché denotano l'illiceità dei contatti a monte.

Misure adottate da TIM e loro giudizio di inadeguatezza

Durante l'istruttoria TIM riferisce di aver introdotto un sistema di verifica preventiva automatizzata basato su opt-out via SMS, con un termine di 5 minuti per disconoscere la titolarità del numero o revocare il consenso, oltre a misure anti-phishing e antifrode, come il controllo IP e il blocco di richieste multiple. Successivamente la Società descrive ulteriori interventi: blocco in tempo reale dei duplicati IP, funzione "STOP SPAM" sull'app MyTIM, sospensione di alcune offerte, controlli Mystery Shopping, algoritmo di scoring e risoluzione dei rapporti con agenzie non conformi.

Il Garante, pur prendendo atto di tali misure, le reputa insufficienti o tardive. In particolare, considera strutturalmente inidoneo il modello opt-out, perché ribalta sul destinatario, spesso ignaro del trattamento, l'onere di attivarsi per impedire contatti non richiesti. L'Autorità afferma che, per questo tipo di trattamento, sarebbe invece necessario un meccanismo di conferma preventiva del numero e della volontà dell'interessato, dunque un sistema sostanzialmente riconducibile all'opt-in.

Violazioni accertate in materia di telemarketing e lead

Il provvedimento conferma la responsabilità di TIM per la violazione di:

• artt. 5, par. 1, 6 e 7 GDPR e art. 130 Codice privacy, per contatti promozionali senza valido presupposto giuridico, anche verso utenti iscritti al RPO;
• art. 5, par. 2 GDPR, per mancata accountability e assenza di sistemi adeguati di controllo e vigilanza;
• artt. 24, 25 e 28 GDPR, per omissione di misure tecniche e organizzative adeguate sin dalla progettazione e per insufficiente controllo sui responsabili/partner;
• art. 32 GDPR, per inadeguatezza delle misure di sicurezza relative ai consensi e agli ordini.

Il Garante sottolinea che il consenso eventualmente raccolto a valle non sana l'illiceità del primo contatto, perché il trattamento inizia già con la raccolta del dato e con il primo ricontatto commerciale.

Gestione delle istanze degli interessati e ostacoli all'esercizio dei diritti

Un secondo filone riguarda la gestione delle richieste degli interessati. L'Autorità rileva che TIM ha spesso reso difficile la revoca del consenso o la cancellazione dalle mailing list, subordinandola a procedure complesse: accesso a aree riservate, autenticazioni, app dedicate, interazioni con assistenti virtuali o link di disiscrizione malfunzionanti. In alcuni casi le istanze sono state ignorate, riscontrate in ritardo o solo parzialmente.

Il Garante conferma le violazioni degli artt. 12, parr. 2 e 3, 15, 17 e 21 GDPR, osservando che il riscontro deve essere fornito senza ingiustificato ritardo e, comunque, entro un mese, prorogabile di due mesi solo se necessario e con motivazione tempestiva. La mera efficienza statistica del sistema non basta a escludere la violazione dei singoli casi. Viene inoltre censurato l'uso di canali non adeguatamente presidiati o la mancata intercettazione di richieste inviate a indirizzi aziendali apparentemente non idonei.

Casi archiviati e casi confermati

L'Autorità archivia due fascicoli: il n. 519239, perché risulta un valido consenso in ambito business e l'errore nel blocco della disiscrizione è attribuito al reclamante; e il n. 500303, perché la richiesta concerneva una prerogativa contrattuale e non un diritto privacy in senso stretto.

Per gli altri fascicoli, il Garante conferma l'illecito per mancato o tardivo riscontro, per l'inefficacia delle procedure di opt-out e per l'omesso aggiornamento dei sistemi interni, evidenziando che in alcuni casi il riscontro è arrivato dopo 51, 88, 120 giorni o non è arrivato affatto.

Difese della Società e risposta del Garante

TIM difende la propria governance richiamando il codice di condotta per telemarketing e teleselling, il fatto che i comportamenti illeciti sarebbero stati posti in essere da terzi abusivi e l'assenza di contratti perfezionati nei casi contestati. Sostiene inoltre che l'Autorità avrebbe dovuto intervenire con misure generali e che non sussisterebbe responsabilità oggettiva.

Il Garante respinge tali argomentazioni: l'adesione a un codice di condotta non garantisce immunità sanzionatoria; il titolare deve verificare la concreta efficacia delle misure e vigilare sulla filiera; il fenomeno del "sottobosco" è noto e non può essere invocato come fattore esimente. Anche il richiamo al ne bis in idem viene escluso, poiché il precedente procedimento riguardava trattamenti diversi e una diversa modalità di acquisizione del dato.

Sanzione e criteri di quantificazione

Ai sensi dell'art. 83 GDPR, il Garante considera come massimo edittale il fatturato mondiale totale annuo del gruppo TIM, individuando un tetto di 549.360.000 euro. Nella quantificazione tiene conto di diversi fattori:

• gravità moderata delle violazioni e arco temporale limitato;
• negligenza significativa, in un settore nel quale il titolare dispone di know-how specifico;
• misure adottate in corso di istruttoria;
• grado di responsabilità elevato per la specificità del settore;
• precedenti violazioni;
• cooperazione con l'Autorità;
• assenza di categorie particolari di dati;
• adesione al codice di condotta;
• investimenti compiuti per i controlli della filiera.

All'esito, viene irrogata la sanzione amministrativa pecuniaria di euro 9.516.000, pari all'1,7% del massimo edittale.

Misure correttive e adempimenti imposti

Il Garante ingiunge a TIM di:

• introdurre correttivi nella procedura di ricontatto del cliente tramite web, per impedire inserimenti massivi e documentare che il consenso provenga dall'effettivo interessato;
• adottare adeguate misure di controllo e vigilanza sull'operato dei partner;
• adeguare le procedure di esercizio dei diritti ex artt. 15-22 GDPR, riducendo mancati o tardivi riscontri e proroghe sistematiche.

TIM deve comunicare all'Autorità, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure imposte.

Ulteriori effetti del provvedimento

Il provvedimento dispone la pubblicazione sul sito del Garante e l'annotazione nel registro interno. Viene inoltre ricordata la possibilità di definire la controversia, ai sensi dell'art. 166, comma 8, Codice privacy, con il pagamento della metà della sanzione entro 30 giorni, oppure di proporre opposizione all'autorità giudiziaria ordinaria nei termini di legge.