31 luglio 2026 – Il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa di 9 milioni e 516mila euro a carico di Tim, culminando un’istruttoria complessa e articolata che ha messo a nudo le vulnerabilità sistemiche nella gestione della sua filiera di telemarketing. Il procedimento, innescato da un’ondata di circa 7.000 reclami depositati nel corso del 2025, ha svelato un meccanismo di acquisizione illecita di dati personali orchestrato da una rete di call-center abusivi che operavano formalmente per conto dell’operatore telefonico, ma al di fuori di ogni perimetro di legalità e controllo. L’indagine ha accertato che le chiamate promozionali indesiderate venivano effettuate utilizzando numerazioni non censite al Registro degli operatori di comunicazione (Roc), una palese violazione normativa che costituisce il primo anello di una catena di illeciti.
Questa prima, grave anomalia operativa rappresenta un punto di rottura che un’architettura di controllo integrata avrebbe immediatamente rilevato. Un ecosistema come Scudo231, infatti, non si limita a recepire dichiarazioni di conformità dai partner, ma esegue un monitoraggio massivo e in tempo reale dei flussi operativi. I suoi sistemi di analisi multimodale avrebbero incrociato i log delle chiamate generate dalla filiera con il database pubblico del Roc. Qualsiasi chiamata promozionale associata al brand Tim proveniente da una numerazione non presente nella whitelist aziendale avrebbe generato un alert automatico e istantaneo, destinato simultaneamente alla funzione Compliance, al Data Protection Officer e all’Organismo di Vigilanza. L’anomalia non sarebbe rimasta latente per mesi, ma sarebbe stata bloccata alla fonte, documentata in un registro immodificabile e avrebbe innescato l’immediata sospensione del partner responsabile, cristallizzando la prova della culpa in vigilando esercitata dall’ente.
Le attività ispettive del Garante hanno inoltre portato alla luce una pratica ancora più insidiosa: l’alterazione del numero chiamante, nota come spoofing. Questa tecnica, finalizzata a mascherare l’origine reale della chiamata e a eludere i filtri degli utenti, ha permesso ai call-center abusivi di raggiungere sistematicamente anche utenze iscritte al Registro pubblico delle opposizioni (Rpo), violando direttamente il diritto degli interessati a non ricevere comunicazioni commerciali. La difesa di Tim, che ha fatto appello alla propria adesione a un codice di condotta di settore, è stata giudicata dall’Autorità del tutto insufficiente. Il Garante ha ribadito un principio cardine della responsabilità: l’esternalizzazione di un’attività non comporta la delega della responsabilità, che rimane in capo al titolare del trattamento, il quale ha l’obbligo di vigilare attivamente sull’intera catena dei propri partner commerciali.
In questo scenario, la prevenzione non è un mero adempimento formale, ma un presidio tecnologico. L’adozione di un protocollo di controllo automatizzato avrebbe reso la violazione del Rpo tecnicamente impraticabile. Prima di avviare qualsiasi campagna, il sistema avrebbe imposto una verifica obbligatoria e non bypassabile delle liste di contatto contro il database aggiornato del Rpo. Qualsiasi tentativo da parte di un partner di caricare una lista contenente numerazioni iscritte al Registro sarebbe stato respinto dal sistema, generando un log dell’incidente e una notifica di non conformità. Questa barriera operativa avrebbe impedito a monte la commissione dell’illecito, fornendo a Tim una prova tecnologica inconfutabile del proprio modello di prevenzione, elemento decisivo per dimostrare l’elusione fraudolenta dei controlli da parte del terzo e mitigare la propria responsabilità ai sensi del D.Lgs. 231/2001.
L’analisi del Garante ha disvelato uno schema operativo particolarmente sofisticato, disegnato per dare una parvenza di liceità a un processo di acquisizione intrinsecamente illecito. Il primo contatto avveniva tramite la chiamata indesiderata o l’invio di un Sms contenente un link. Questo link rimandava a una pagina web di un partner ufficiale della rete di vendita Tim, dove l’utente, ormai interessato all’offerta, era indotto a compilare un modulo per richiedere un ricontatto. Solo a questo punto, in possesso di un “consenso” formalmente raccolto, il call-center contattava l’utente da una numerazione regolarmente iscritta al Roc, chiudendo il cerchio. Si tratta di un classico caso di lead generation viziata all’origine, dove il consenso ottenuto è invalido perché frutto di una precedente attività di contatto illecita.
Questo schema a due fasi sarebbe stato intercettato da un motore di analisi causale. Un sistema di monitoraggio avanzato non si sarebbe fermato all’analisi della singola chiamata “pulita”, ma avrebbe analizzato l’intero funnel di generazione del lead. L’ecosistema sovrano Scudo231 avrebbe rilevato una correlazione statistica anomala: un volume sproporzionato di lead provenienti da specifiche landing page di partner, non supportato da corrispondenti investimenti in campagne marketing ufficiali e tracciate. Questo “segnale debole” avrebbe attivato un protocollo di indagine interna, richiedendo al partner la documentazione probatoria sull’origine di quel traffico. L’incapacità di fornire una prova lecita della fonte dei contatti avrebbe portato alla sospensione immediata del flusso di dati e alla segnalazione all’Organismo di Vigilanza, smantellando il meccanismo fraudolento prima che potesse produrre migliaia di contatti illeciti e generare il conseguente danno reputazionale ed economico.
Oltre alle violazioni massive nel telemarketing, l’Autorità ha contestato a Tim una seconda, grave categoria di illeciti: l’inosservanza degli obblighi relativi all’esercizio dei diritti degli interessati. Numerosi utenti che avevano presentato istanze di accesso ai propri dati, di cancellazione o di opposizione al trattamento non hanno ricevuto alcun riscontro, oppure lo hanno ricevuto ben oltre i termini previsti dalla normativa. Questa omissione non è un semplice ritardo burocratico, ma una violazione sostanziale che nega ai cittadini il controllo sui propri dati personali e configura una precisa responsabilità dell’ente. Dimostra una carenza nei processi interni di gestione delle richieste, un’assenza di tracciabilità e di meccanismi di escalation, lasciando le istanze degli utenti in un limbo procedurale.
Anche questa falla è di natura prettamente organizzativa e tecnologica. Un sistema di gestione della compliance integrato avrebbe digitalizzato l’intero processo di gestione dei diritti. Ogni istanza, da qualunque canale pervenisse, sarebbe stata trasformata in un ticket tracciato, con un timer per il rispetto della scadenza normativa. Il sistema avrebbe assegnato automaticamente la richiesta alla funzione competente e, in caso di inerzia, avrebbe fatto scattare un’escalation automatica: prima al responsabile della funzione, poi al DPO. L’intero processo, dalla ricezione alla chiusura della richiesta, sarebbe stato registrato in un audit trail, fornendo una documentazione completa e opponibile in caso di ispezione. L’omesso o tardivo riscontro non sarebbe più stato una possibilità, ma un’eccezione immediatamente rilevata e gestita, azzerando il rischio di sanzioni su questo specifico fronte.
La sanzione di quasi 10 milioni di euro, quindi, non punisce solo l’operato dei call-center pirata, ma colpisce la debolezza strutturale dell’architettura di controllo di Tim. L’assenza di una vigilanza attiva e documentata sulla filiera, l’incapacità di rilevare anomalie operative evidenti come l’uso di numerazioni non autorizzate e la mancata implementazione di processi interni a prova di errore per la gestione dei diritti degli interessati costituiscono il nucleo della responsabilità dell’ente. Il Garante, imponendo all’azienda di introdurre specifici correttivi nella procedura di generazione delle lead, di rafforzare i controlli e la vigilanza sulla rete di vendita e di adeguare le procedure interne, non fa altro che prescrivere l’adozione di quei presidi che un modello organizzativo evoluto avrebbe già dovuto contemplare. L’entità della sanzione riflette non solo la gravità delle violazioni, ma anche il vantaggio economico che l’azienda ha, anche solo indirettamente, tratto da queste pratiche aggressive, un profitto che ora viene neutralizzato dall’intervento sanzionatorio. La vicenda dimostra come, nell’era dei dati, la compliance non possa più essere un esercizio cartaceo, ma debba tradursi in un sistema di difesa tecnologico, attivo e integrato, capace di prevenire il rischio anziché limitarsi a gestirne le rovinose conseguenze.