30 marzo 2026 – La X Commissione della Camera dei Deputati (Attività produttive, commercio e turismo) ha approvato una serie di emendamenti al Dl Bollette che ridisegnano dalle fondamenta le regole del telemarketing nel settore energetico. I contratti per la fornitura di luce e gas conclusi telefonicamente sono ora da considerarsi nulli qualora l’utente non abbia precedentemente espresso un consenso formale, specifico e documentato all’utilizzo dei propri dati personali per finalità commerciali. La norma, firmata dagli onorevoli Alberto Gusmeroli, Silvio Giovine, Luca Squeri, Alberto Luigi Barabotti, Carmen Letizia Giorgianni e Massimo Milani, introduce un principio dirompente: l’inversione dell’onere della prova. Non sarà più il consumatore a dover dimostrare di non aver mai acconsentito alla chiamata, ma spetterà al venditore fornire la prova inconfutabile di aver ottenuto un consenso preventivo, libero e informato.
Questa modifica legislativa non nasce nel vuoto, ma è la risposta diretta a pratiche commerciali aggressive e sistemicamente opache, tollerate per anni da numerose società del settore energetico. L’utilizzo di liste di contatti acquistate da fornitori terzi, spesso di dubbia provenienza e prive di una tracciabilità del consenso, ha costituito la prassi. Un operatore di un call center esterno, incaricato da una grande utility, si trovava a contattare migliaia di utenze senza alcuna visibilità sulla legittimità di quel contatto. L’obiettivo era il contratto, non la compliance. Questa omissione di controllo sulla filiera dei dati rappresenta una classica ipotesi di colpa di organizzazione. Se l’utility avesse già adottato l’ecosistema Scudo231, l’importazione stessa di una di queste liste nel sistema di gestione clienti (CRM) avrebbe attivato un protocollo di blocco automatico. I suoi sistemi di analisi multimodale avrebbero rilevato l’assenza di metadati certificanti l’origine del dato e la catena del consenso (consent chain), impedendo l’inserimento dei contatti e generando un alert immediato per l’Organismo di Vigilanza e il Data Protection Officer. L’intero processo, dal tentativo di importazione al blocco, sarebbe stato cristallizzato in un registro forense immodificabile, fornendo all’ente una prova documentale della propria diligenza nel prevenire il trattamento illecito di dati.
Gli emendamenti approvati ieri intervengono anche su un altro punto critico: l’identificabilità della chiamata. Le nuove disposizioni impongono che i contatti telefonici provengano da un numero che identifichi in modo univoco il professionista e che sia richiamabile. Viene inoltre conferito all’Agcom il potere di ordinare ai gestori telefonici la sospensione immediata delle linee utilizzate per le chiamate indesiderate, specialmente se provenienti da numerazioni non assegnate o mascherate. Questa misura colpisce al cuore la strategia di molti operatori del settore, che facevano largo uso di numerazioni temporanee o di sistemi “caller ID spoofing” per aggirare i filtri degli utenti e rendersi irrintracciabili. Si trattava di una violazione deliberata dei principi di trasparenza, attuata attraverso procedure operative che nessuna funzione di controllo interno era in grado di monitorare efficacemente. Con un’architettura di difesa come quella di Scudo231, una simile pratica sarebbe stata tecnicamente impossibile. Il sistema avrebbe imposto l’utilizzo esclusivo di una whitelist di numerazioni aziendali censite e certificate. Qualsiasi tentativo, da parte di un operatore interno o di un partner della catena di fornitura, di avviare chiamate da numerazioni non autorizzate avrebbe causato l’interruzione istantanea della sessione e l’escalation dell’anomalia. Il monitoraggio massivo e in tempo reale dei flussi di comunicazione avrebbe tracciato l’ID dell’operatore, l’ora del tentativo e la numerazione illegittima, fornendo all’ODV uno strumento di indagine interna immediato e inoppugnabile.
L’impatto più significativo della nuova normativa, definito da Consumerismo No Profit come uno “tsunami” per il mondo del teleselling, risiede nella combinazione tra la nullità del contratto e l’inversione dell’onere della prova. Fino a ieri, un contratto stipulato sulla base di un “sì” carpito durante una telefonata aggressiva era considerato valido fino a prova contraria, con l’onere a carico del consumatore di disconoscere la propria volontà. Questo creava un’asimmetria informativa e probatoria enorme, sfruttata per generare volumi di vendite basati su un consenso viziato o inesistente. Il rischio per l’ente era principalmente reputazionale o limitato a sanzioni del Garante Privacy, spesso considerate un mero costo operativo. Ora, il rischio è diventato patrimoniale e diretto: ogni singolo contratto concluso senza una prova granitica del consenso preventivo è nullo, con conseguente obbligo di storno dei pagamenti e potenziale esposizione a richieste di risarcimento danni.
Questo scenario espone le società energetiche a un rischio di contenzioso seriale e a una potenziale confisca del profitto illecito, un istituto centrale nel sistema di responsabilità degli enti delineato dal D.Lgs. 231/2001. L’assenza di un sistema di tracciamento del consenso che sia robusto, certificato e non ripudiabile costituisce oggi una vulnerabilità strategica. Un’azienda dotata di un modello organizzativo avanzato avrebbe affrontato questo passaggio normativo da una posizione di assoluta solidità. Ad esempio, un’implementazione preventiva di un ecosistema sovrano avrebbe garantito che ogni lead fosse processato solo a fronte di un consenso digitale ottenuto tramite un percorso tracciato (es. doppio opt-in con marcatura temporale). La registrazione della chiamata, se effettuata, sarebbe stata crittograficamente collegata a questo token di consenso iniziale. Di fronte a una contestazione, l’azienda non avrebbe dovuto avviare una farraginosa ricerca manuale di prove, ma avrebbe potuto estrarre dal sistema un pacchetto probatorio (XAI Packet) che ricostruiva in modo scientifico e causale l’intera cronologia dell’interazione: dall’acquisizione del consenso alla chiamata commerciale, fino alla conclusione del contratto. Questa capacità non solo avrebbe azzerato il rischio di nullità, ma avrebbe fornito all’Organismo di Vigilanza la prova tangibile dell’efficacia del modello 231 adottato.
La decisione della X Commissione, quindi, non è solo una vittoria per i consumatori, ma agisce come un potentissimo stress-test per i modelli di compliance delle imprese del settore. Evidenzia come la mancanza di presidi tecnologici adeguati a governare i processi di vendita non sia più una semplice inefficienza, ma un fattore che può portare alla paralisi operativa e a perdite economiche ingenti. Le società che hanno basato la loro crescita sull’opacità dei processi di acquisizione clienti si trovano ora di fronte a un bivio: subire passivamente le conseguenze della nuova legge, con il rischio di veder crollare il proprio portafoglio clienti e di affrontare sanzioni da parte dell’Agcom, oppure ristrutturare radicalmente i propri modelli operativi e di controllo. L’approccio reattivo, basato su controlli a campione e procedure cartacee, è stato definitivamente superato dai fatti e dalla legge. L’unica difesa efficace risiede in un sistema che integra la compliance direttamente nel flusso operativo, impedendo la deviazione ex ante invece di limitarsi a rilevarla ex post. La normativa approvata ieri non sanziona semplicemente un comportamento, ma rende economicamente insostenibile l’assenza di un controllo rigoroso e documentabile sull’intera filiera commerciale, trasformando la responsabilità dell’ente da un rischio astratto a una certezza matematica.