VEDI ANCHE Comunicato stampa del 31 luglio 2026

[doc. web n. 10277005]

Provvedimento del 23 luglio 2026

Registro dei provvedimenti
n. 556 del 23 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il prof. Pasquale Stanzione;

1. FATTO E ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Origine dell’istruttoria preliminare

L’Autorità, nell’esercizio dei poteri di cui agli artt. 157 e 158 del Codice, ha avviato un’attività ispettiva nei confronti di TIM S.p.A. (di seguito “TIM”, la “Società” o il “Titolare”), di concerto con il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, anche a seguito del ricevimento di numerosi reclami e segnalazioni, ivi comprese quelle trasmesse da un inviato di un noto programma televisivo.

Le segnalazioni hanno evidenziato, in estrema sintesi, un fenomeno già noto all’Autorità, caratterizzato dall’operato di call-center abusivi che effettuano chiamate promozionali per conto di TIM avvalendosi di numerazioni estranee alla rete di vendita ufficiale della Società. Tale condotta è finalizzata alla raccolta illecita di dati personali degli utenti che, nell’erronea convinzione di interloquire con un agente autorizzato TIM, li conferiscono aderendo talvolta alle offerte promozionali.

Nello specifico, tra gli schemi di operatività recentemente attuati dalle agenzie e denunciati dai segnalanti vi è il seguente:

a) ricezione di chiamate indesiderate su utenze regolarmente iscritte al Registro Pubblico delle Opposizioni (di seguito “RPO”) da parte di operatori telefonici che, utilizzando tecniche di camuffamento del numero chiamante (spoofing), propongono l’attivazione di offerte o servizi TIM;

b) invio ai clienti interessati, tramite SMS, di un link ipertestuale collegato a una pagina web di un partner ufficiale della rete di vendita TIM, contenente un modulo che l’utente è invitato a compilare per formulare un’autonoma richiesta di ricontatto (cosiddetta “Lead”);

c) successivo ricontatto dell’interessato – sulla base della richiesta (fittizia) generata tramite il web – da parte del call center, questa volta mediante una numerazione regolarmente iscritta al Registro degli Operatori di Comunicazione (di seguito “ROC”), al fine di generare un flusso telefonico apparentemente lecito e un processo di contrattualizzazione formalmente regolare.

1.2. Attività istruttoria svolta

Sulla scorta di quanto rappresentato nelle segnalazioni, e parallelamente con le istruttorie svolte in relazione ad altre segnalazioni e reclami, l’Ufficio ha chiesto a TIM di fornire informazioni utili ad acquisire un quadro completo di elementi rispetto alle diverse criticità rilevate dai segnalanti e dai reclamanti.

Dall’attività ispettiva e dall’attività istruttoria svolta nei confronti della Società è stato possibile acquisire una notevole mole di informazioni e documenti che sono stati messi a disposizione dell’Autorità da parte della Guardia di finanza con note del 26 e 27 marzo 2025, prot. n. 442/25, ed integrate successivamente con note prot. n. 54010 del 18 aprile 2025, prot. n. 55188 del 23 aprile 2025, prot. n. 95514 del 7 luglio 2025, prot. n. 108311 del 4 agosto 2025 e, da ultimo, prot. n. 174524 del 16 dicembre 2025.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI

2.1. Le risultanze dell’attività istruttoria e l’avvio del procedimento

In base agli elementi acquisiti nel corso delle attività sopra descritte, con atto del 9 febbraio 2026 (prot. n. 18734), notificato ai sensi dell’art. 166, comma 5, del Codice e qui integralmente richiamato, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate sono meglio dettagliate di seguito.

2.1.1. Procedure di verifica sulle form Lead raccolte dalle Agenzie digitali o sul sito di TIM - contestazione ex officio

Nel corso dell’attività ispettiva, avviata d’ufficio nei confronti di TIM, sono emerse alcune criticità in merito alle procedure di acquisizione delle anagrafiche (c.d. Lead) raccolte per il tramite di agenzie digitali partner o direttamente dal sito web del Titolare. In particolare, è stata riscontrata la totale assenza di meccanismi volti a verificare l’effettiva titolarità delle numerazioni telefoniche conferite all’interno dei form online di raccolta dati, esponendo in tal modo gli interessati al rischio di ricontatti non sollecitati.

Al fine di sanare le irregolarità rilevate e in ossequio al principio di responsabilizzazione (c.d. accountability, ex art. 5, par. 2, del Regolamento), in corso di istruttoria, con note depositate nei mesi successivi all’ispezione, la Società ha dichiarato di aver implementato un sistema di verifica preventiva automatizzata, basato su un’integrazione M2M con il sistema centrale TIMCO.

Nello specifico, il nuovo assetto procedurale si fonda su un meccanismo di opt-out via SMS: all’atto dell’inserimento della Lead, l’interessato riceve un messaggio di notifica, disponendo di un lasso temporale di 5 minuti per disconoscere la titolarità del recapito o revocare il consenso (c.d. diritto di ripensamento). TIM ha inoltre adottato ulteriori misure tecnico-organizzative a tutela degli interessati, ivi incluse: (i) misure anti-phishing: implementazione di comunicazioni veicolate esclusivamente tramite alias certificato e URL trasparenti, univocamente riconducibili al dominio ufficiale del Titolare; e (ii) sistemi antifrode (controllo IP): introduzione di un sistema di blocco automatizzato volto a inibire l’inoltro di richieste multiple provenienti dal medesimo indirizzo IP entro un intervallo temporale di 15 minuti, specificamente finalizzato a neutralizzare e contrastare il caricamento massivo di anagrafiche tramite applicativi informatici (c.d. bot).

Sotto il profilo dell’efficacia temporale e dello stato di avanzamento della predetta infrastruttura, il Titolare ha prodotto successiva integrazione documentale (prot. n. 174524 del 16 dicembre 2025) attestante l’avvenuto collaudo definitivo del sistema con completamento del roll-out totale e definitivo previsto per il 31 gennaio 2026.

L’Ufficio, pur valutando positivamente lo sforzo di adeguamento profuso dal Titolare, ha tuttavia notificato alla Società la presunta violazione dell’art. 25, par. 1, del Regolamento, per l’omessa adozione di misure tecniche e organizzative adeguate a garantire, fin dalla progettazione (Data Protection by Design), che il trattamento fosse effettuato conformemente ai principi della normativa in ogni sua fase.

Con specifico riguardo alla predetta misura dell’opt-out, l’Ufficio l’ha ritenuta strutturalmente inidonea a tutelare i soggetti le cui numerazioni vengano inserite nei form a loro insaputa. Costoro, infatti, si vedono recapitare un SMS non richiesto contenente l’invito ad aprire un link per inibire futuri contatti; in tale quadro, appare invece adeguata una procedura di conferma preventiva del consenso al ricontatto (opt-in).

2.1.2. Le comunicazioni promozionali senza consenso

All’Autorità sono pervenute, nel corso dell’anno 2025, numerose segnalazioni e reclami (circa 7.000 doglianze) concernenti la ricezione di comunicazioni promozionali indesiderate e non autorizzate per conto di TIM. Alcune di tali segnalazioni, inizialmente oggetto di autonome istruttorie, sono state successivamente riunite in un procedimento principale ai fini di una trattazione unitaria, stante la evidente natura sistemica e strutturale delle condotte contestate.

Un primo e consistente nucleo di doglianze afferisce direttamente alla complessiva gestione del patrimonio dei dati da parte di TIM. Dall’attività ispettiva e dalle risultanze istruttorie è emerso che la Società, pur essendosi adoperata e avendo investito risorse economico-organizzative nel contrasto al fenomeno delle c.d. “chiamate disconosciute”, ha implementato sistemi di controllo sull’intera “filiera” di raccolta dei dati che si sono rivelati del tutto inidonei e carenti sotto molteplici profili.

In particolare, gli accertamenti hanno posto in luce come TIM si sia avvalsa di soggetti terzi per il trattamento dei dati personali senza effettuare le necessarie verifiche preliminari in ordine alla sussistenza delle garanzie richieste dal GDPR, e senza adottare adeguate misure organizzative volte a vigilare costantemente sul rispetto della normativa in materia di protezione dei dati da parte della propria rete di vendita.

L’attività istruttoria ha consentito di acquisire evidenze documentali (ivi inclusi screenshot estratti dai sistemi aziendali) comprovanti l’inserimento nei database della Società di ordini di attivazioni commerciali a seguito di contatti telefonici illeciti. Tali chiamate promozionali abusive provenivano da numerazioni non registrate al ROC ed erano dirette, in molti casi, a utenze regolarmente iscritte al RPO. Le condotte illecite risultano ascrivibili a partner commerciali ufficiali di TIM, nello specifico le agenzie di vendita XX, XX, XX e XX.

Il modus operandi adottato da tali partner prevedeva l’avvio di processi di vendita attraverso contatti telefonici preliminari avviati in totale assenza di consenso e mediante numerazioni non rintracciabili o alterate (spoofing). Successivamente, al fine di sanare fittiziamente l’illecita origine del contatto, i partner richiedevano ai clienti interessati di cliccare su un apposito link ricevuto via SMS o servizi di messaggistica. Tale operazione era preordinata a generare una fittizia richiesta autonoma di ricontatto (Lead), idonea a “ripulire” la filiera del dato nei confronti della casa madre. Pertanto, i partner dichiaravano a TIM di aver operato sulla base di una spontanea richiesta dell’utente tramite canali regolari, occultando la reale e abusiva attività di telemarketing svolta a monte.

a) Esame dei singoli fascicoli istruttori

Al fine di declinare la portata oggettiva delle violazioni riscontrate, si riportano di seguito le risultanze relative ai singoli fascicoli esaminati da questa Autorità, i quali confermano l’inefficacia dei presidi di compliance della Società.

- Fasc. n. 425095: nel corso degli accertamenti ispettivi, è emerso che alcuni ordinativi a nome dell’interessata, inseriti nei sistemi aziendali dal partner di TIM XX, figuravano come frutto di spontanee richieste online di ricontatto Lead e di successive telefonate regolari. L’istruttoria ha palesato una realtà del tutto diversa: i contatti non derivavano dall’iniziativa dell’utente, ma rappresentavano il passaggio conclusivo di ripetute e pressanti chiamate promozionali abusive provenienti da numerazioni non censite (incluse utenze WhatsApp recanti indebitamente il logo della Società). I sistemi di controllo preventivi e di monitoraggio ex post di TIM si sono rivelati inidonei, poiché hanno recepito come valide unicamente le chiamate “ripulite” avvenute dopo la generazione dei Lead fittizi, ignorando l’intera fase illecita antecedente. La strutturale inadeguatezza dei controlli è confermata dal fatto che, a fronte di centinaia di migliaia di contatti, la Società ha rilevato solo disallineamenti minimi senza mai segnalare criticità macroscopiche a carico dell’agenzia coinvolta.

- Fasc. nn. 496215 e 437668: il reclamante ha sporto denuncia dinanzi alla Procura della Repubblica, lamentando la ricezione di chiamate automatizzate per conto di TIM e la generazione di Lead tramite link pervenuti via WhatsApp. A seguito del reclamo, il Garante ha inoltrato a TIM una richiesta di informazioni. Gli atti del procedimento hanno confermato l’effettuazione di molteplici contatti illeciti finalizzati alla promozione dei servizi TIM tramite numerazioni camuffate (spoofing) da parte di agenzie della rete di vendita aziendale. Specificamente, le violazioni sono state ricondotte all’operato di XX in relazione a un ordine di attivazione (fasc. n. 496215) e all’operato di XX. (fasc. n. 437668). Anche in questa fattispecie, l’architettura dei sistemi informativi aziendali ha recepito i contratti ignorando l’illegittimità dei trattamenti posti a monte.

- Fasc. n. 434470: in data 18 febbraio 2025, il segnalante ha lamentato per conto di terzi contatti automatizzati su utenza iscritta al RPO per conto di TIM, provenienti da numerazioni non iscritte al ROC. In sede ispettiva sono state acquisite evidenze relative a un ordine di attivazione inserito nei sistemi informativi di TIM ad opera del partner commerciale XX. La documentazione agli atti ha attestato inequivocabilmente che la sottoscrizione del servizio è stata originata da contatti commerciali abusivi eseguiti mediante tecniche di manipolazione del CLI (CLI spoofing), eludendo i sistemi di tracciamento e verifica della Società.

- Fasc. n. 444902: il segnalante ha lamentato per conto di terzi una chiamata automatizzata ricevuta il 23 gennaio 2025 su utenza regolarmente iscritta al RPO per promuovere servizi di TIM. A seguito di una preliminare manifestazione di interesse, l’interessata è stata ricontatta da un sedicente consulente tramite un profilo Whatsapp recante il logo TIM per la trasmissione dei dettagli contrattuali. Ai fini della sottoscrizione, l’interessata è stata invitata a cliccare su un link ricevuto via SMS da un’ulteriore numerazione irrintracciabile. Tale collegamento rimandava a una pagina web per l’inserimento di dati funzionale a generare fittiziamente un’autonoma richiesta di ricontatto (Lead). Dall’istruttoria è emerso un ordine di attivazione lavorato e inserito dal partner ufficiale di TIM XX. A sistema, l’operazione risultava lecita e conseguente a una Lead associata all’utenza dell’interessata. La realtà dei fatti ha invece smentito le risultanze del portale gestionale di TIM: il contatto non derivava da una spontanea richiesta della cliente, ma era l’esito di più contatti non autorizzati avvenuti nella medesima giornata e di un SMS contenente il link per generare la falsa richiesta. Un aspetto di particolare gravità è emerso nel fatto che il partner XX era già stato oggetto di verifiche di II livello da parte di TIM nel mese di novembre 2023, le quali si erano concluse con una valutazione di totale inadeguatezza (“INADEGUATO”). Erano state riscontrate gravissime violazioni, quali il trattamento di dati presso un subfornitore non autorizzato e l’utilizzo di Lead reali in ambiente di test. Ciononostante, TIM si era limitata all’invio di una formale diffida e all’attivazione di un monitoraggio cartolare rivelatosi del tutto inefficace.

- Fasc. n. 513320: anche in questo caso, l’inserimento dell’ordine all’interno dei sistemi ufficiali di TIM è stato effettuato da un partner di TIM, XX., confermando la permeabilità dei canali di acquisizione della Società rispetto a flussi di dati di provenienza illecita. Rilevato un trattamento illecito dei propri dati attraverso canali non autorizzati, la segnalante ha successivamente richiesto a TIM di annullare l’ordine e il contratto, nonché di identificare il partner responsabile delle chiamate. A seguito della richiesta istruttoria del Garante (3 ottobre 2025), TIM ha fornito riscontro alla reclamante in data 22 ottobre 2025 e all’Autorità in data 23 ottobre 2025.

- Fasc. n. 518841: con reclamo del 9 settembre 2025, l’istante ha lamentato di essere stato ingannato da un soggetto qualificatosi pretestuosamente come operatore della concorrente “XX”, il quale lo ha indotto fraudolentemente a migrare verso TIM fornendo false informazioni tecniche. Gli atti del procedimento hanno fornito ulteriore evidenza dell’immissione tramite ordini di attivazione nei sistemi informativi di TIM di dati personali acquisiti illecitamente da soggetti terzi non identificati operanti nell’interesse della Società. Il reclamante ha evidenziato con preoccupazione come soggetti non identificati siano entrati in possesso dell’integralità dei suoi dati personali e sensibili (compresa la residenza), determinando un elevato rischio di ritorsioni e di ulteriore utilizzo illecito degli stessi.

- Fasc. n. 557370: il segnalante ha lamentato la ricezione di e-mail promozionali indesiderate, evidenziando di aver negato il consenso al marketing sin dalla stipula del contratto e in ogni occasione successiva. Dalla documentazione acquisita agli atti è emerso l’invio da parte di TIM di comunicazioni promozionali dirette all’interessato in assenza di un preventivo e valido consenso.

b) Analisi dei dati aggregati e discrepanze macroscopiche

L’inadeguatezza strutturale del sistema di compliance e monitoraggio predisposto da TIM è emerso in modo incontrovertibile dall’analisi statistica e dall’incrocio dei file di log con i volumi di attivazione mensili forniti dalla stessa Società, con particolare riferimento al mese di novembre 2024.

I dati operativi relativi alle agenzie di vendita evidenziano macroscopiche incongruenze che avrebbero dovuto indurre la Società al blocco immediato dei flussi e all’attivazione di alert di sicurezza:

Partner di Vendita	Lead Dichiarate	Contatti Effettuati	Discrepanza Volumi	Tasso di Conversione / Esito
XX	17.388	22.242	+4.854  contatti rispetto alle Lead	Tasso di attivazione contrattuale < 4%
XX	5.758	5.919	+161 contatti rispetto alle Lead	80% utenti irraggiungibili; attivazione < 10% (509 ordini)
XX	6.075	16.102	+10.027 contatti rispetto alle Lead	Risposta pari a 1/3 (5.904); attivazione all’11% (708 ordini)

 

Sotto il profilo logico e giuridico, la generazione di una Lead presuppone una richiesta autonoma, mirata e consapevole da parte del singolo utente. Pertanto, la presenza di un simile surplus di tentativi di contatto (oltre 10.000 in più rispetto alle richieste nel caso di XX) associata a tassi di conversione estremamente bassi (inferiori al 4% per XX) dimostra in re ipsa la non genuinità delle liste e l’illiceità dei contatti preliminari.

A ciò si aggiunge una totale carenza nei criteri di qualificazione e selezione delle agenzie. TIM ha omesso di verificare la congruità dimensionale della forza lavoro dei partner in rapporto ai volumi di contatti generati (oltre 20.000 contatti/mese per singola agenzia, pari a circa 1.000 telefonate giornaliere). Tale carenza organizzativa ha reso impossibile la rilevazione preventiva dell’utilizzo di sistemi di chiamata automatizzati (bot) o l’affidamento dei servizi a call center abusivi operanti in sub-appalto non autorizzato.

All’esito delle approfondite attività istruttorie condotte in relazione ai fascicoli nn. 425095, 496215, 437668, 434470, 444902, 513320, 518841 e 557370, l’Autorità ha contestato a TIM le seguenti violazioni:

- artt. 5, par. 1, 6 e 7 del Regolamento e art. 130 del Codice, per aver effettuato o consentito a terzi l’effettuazione di contatti promozionali nei confronti di utenti iscritti al Registro Pubblico delle Opposizioni senza un valido presupposto giuridico;

- art. 5, par. 2, del Regolamento, per violazione del principio di accountability, non avendo adottato adeguati sistemi di controllo e vigilanza sulla rete di vendita;

- artt. 24, 25 e 28 del Regolamento, per l’omessa adozione di idonee misure tecniche e organizzative idonee a prevenire l’utilizzo di numerazioni camuffate e a garantire il rispetto delle istruzioni impartite ai Partner;

- art. 32 del Regolamento, per l’insufficienza e l’inadeguatezza delle misure di sicurezza relative ai flussi di raccolta dei consensi e ai sistemi di caricamento degli ordini.

2.1.3. La gestione delle richieste di esercizio dei diritti da parte di TIM

Le risultanze istruttorie hanno evidenziato criticità sistemiche nella gestione delle istanze di esercizio dei diritti (ex artt. 15-22 del Regolamento) da parte del Titolare del trattamento, riconducibili a due macro-aree oggetto di contestazione.

a) Ostacoli all’esercizio dei diritti e inidoneità delle procedure di opt-out

Un primo gruppo di fascicoli ha riguardato il mancato recepimento delle istanze di esercizio dei diritti degli interessati da parte di TIM e le procedure di disiscrizione (opt-out) farraginose e inadeguate.

Nello specifico:

- Fasc. n. 478291: l’interessato ha continuato a ricevere comunicazioni per oltre quattro mesi dopo l’esercizio del diritto di opposizione, poiché la Società ha omesso di aggiornare i sistemi (mantenendo il consenso attivo) e di inserire l’indirizzo in Black List.

- Fasc. n. 519239: è stato contestato l’invio sistematico di comunicazioni promozionali in assenza di consenso e di rapporti contrattuali, aggravato dall’omesso riscontro alle PEC di cancellazione e dal malfunzionamento del link di disiscrizione.

- Fasc. nn. 438663 e 517806: i segnalanti hanno lamentato la persistente ricezione di comunicazioni promozionali nonostante le esplicite richieste di revoca e cancellazione inviate via PEC all’indirizzo “TIMaltuofianco” o al DPO. Entrambi hanno altresì denunciato l’inefficacia del link di disiscrizione, subordinato a complessi requisiti tecnici (login malfunzionante o obbligo di registrazione).

In relazione ai fascicoli sopra citati, sono state contestate a TIM le violazioni degli artt. 17 e 21 del Regolamento (per non aver dato seguito alle istanze deli interessati), e artt. 6, par. 1, lett. a) del Regolamento e 130, comma 2, del Codice, per l’invio di messaggi promozionali reiterati in assenza di un valido presupposto giuridico.

Con riferimento all’eccessiva complessità della procedura di disiscrizione dalle mailing list, che i segnalanti – fasc. nn. 519239, 438663, 517806, 443623, 448740 e 557370 – hanno lamentato essere “farraginosa” tale da frapporre indebiti ostacoli all’interessato, sono state contestate a TIM le violazioni degli artt. 12, par. 2 (per non aver agevolato l’esercizio dei diritti), e artt. 15-22 (per aver violato le disposizioni vigenti in materia di esercizio dei diritti, rendendo inefficaci le richieste di opposizione o cancellazione) e dell’art. 24 (per non aver messo in atto misure tecniche e organizzative adeguate a recepire tempestivamente ed efficacemente la volontà degli interessati).

Dall’esame degli atti è emerso che TIM non ha garantito i criteri di semplicità e immediatezza richiesti dall’art. 7, par. 3, del Regolamento. Al contrario, ha subordinato la disiscrizione a passaggi complessi, quali l’interazione con assistenti virtuali, il download di apposite applicazioni o l’obbligo di autenticazione all’Area Riservata aziendale. Quest’ultimo requisito ha costituito un ostacolo preclusivo soprattutto per i soggetti “non clienti”, sprovvisti di credenziali.

b) Mancato, tardivo o inidoneo riscontro alle istanze degli interessati

Un secondo gruppo di fascicoli ha evidenziato l’inosservanza dell’obbligo di fornire un riscontro tempestivo agli interessati, in violazione delle disposizioni previste dal Regolamento, ivi compreso l’art. 12, par. 3.

In relazione ai fascicoli nn. 425095, 513320, 500303, 520955, e 514826 riguardanti il mancato, tardivo o inadeguato riscontro alle istanze di esercizio dei diritti, si rammenta che l’art. 12 del Regolamento impone al titolare di fornire riscontro all’interessato senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta. Tale termine può essere prorogato di due mesi solo ove necessario, tenuto conto della complessità e del numero delle richieste.

Dall’esame degli atti è emerso quanto segue:

- Fasc. n. 425095: la Società ha fornito riscontro alla richiesta della segnalante (volta a conoscere l’identità del partner autore degli ordini) solo il 26 marzo 2025, ossia a distanza di 120 giorni dalla prima richiesta del 26 novembre 2024.

- Fasc. n. 513320: TIM ha riscontrato l’istanza della segnalante solo il 23 ottobre 2025, a distanza di 51 giorni dalla richiesta del 2 settembre 2025 (dopo aver invocato, il 2 ottobre, la “particolare complessità” dell’operazione).

- Fasc. n. 500303: TIM ha fornito riscontro alle due istanze di cancellazione formulate dal reclamante solo il 14 maggio 2025, ossia 85 giorni dopo la richiesta (del 18 febbraio 2025).

- Fasc. n. 520955: è stata accertata la totale omissione di riscontro da parte del Titolare a fronte di un’istanza ex artt. 15-22 trasmessa via PEC, decorso inutilmente il termine dei 30 giorni.

- Fasc. n. 514826: a fronte di un’istanza di accesso finalizzata a conoscere l’origine dei dati utilizzati per chiamate promozionali, la Società ha fornito all’interessato un riscontro meramente parziale e ampiamente tardivo (88 giorni dopo la ricezione).

Le circostanze sopra descritte hanno configurato la presunta violazione dell’art. 5, par. 1, lett. a) e par. 2, nonché artt. 12, 15, 17 e 21 del Regolamento a seguito del tardivo e inadeguato riscontro alle istanze di accesso, cancellazione e opposizione.

3. LE DIFESE DELLA SOCIETÀ

3.1. La corretta governance di TIM

In replica alla contestazione dell’Autorità, TIM ha depositato la propria memoria difensiva in data 26 marzo 2026 (prot. n. 47656 del 27 marzo 2026) rilevando quanto segue.

In primo luogo, TIM ha osservato che, al momento dell’ispezione, la Società aveva adottato un modello di governance pienamente conforme alle prescrizioni del Codice di condotta per le attività di telemarketing e teleselling (approvato definitivamente dal Garante il 7 marzo 2024, di seguito “Codice di Condotta”). Di conseguenza, TIM aveva maturato un legittimo affidamento circa la correttezza del proprio operato e la congruità degli investimenti sostenuti.

Nello specifico, la Società ha evidenziato che i Codici di Condotta sono “proprio misure di accountability volte a garantire ai titolari lo svolgimento di un corretto bilanciamento degli interessi così sollevandoli, almeno in parte, dalla necessità di provare la propria accountability e la conformità delle misure adottate” (Linee guida EDPB 1/2019 sui codici di condotta e sugli organismi di monitoraggio a norma del Regolamento).

Secondo TIM, l’Autorità avrebbe potuto muovere contestazioni esclusivamente nell’ipotesi di mancata attuazione delle misure previste dal Codice di Condotta. Qualora, viceversa, l’evoluzione tecnologica avesse reso tali misure ormai inadeguate, sarebbe stato onere dell’Autorità stessa (e non della Società) intervenire con provvedimenti di indirizzo generale o sollecitarne l’aggiornamento (ex art. 40 del Regolamento).

In secondo luogo, la Società ha osservato che le chiamate oggetto di contestazione sono state materialmente eseguite da numerazioni estranee alla rete ufficiale TIM e da soggetti terzi operanti nell’ombra. Tali entità hanno agito in palese violazione delle direttive aziendali, avvalendosi di pratiche illecite quali il CLI (Calling Line Identification) spoofing per mascherare la propria identità.

TIM ha evidenziato come il contrasto a tale fenomeno non possa essere efficacemente rimesso al singolo operatore privato, richiedendo interventi coercitivi e regolatori sistemici (es. delibere AGCom n. 106/25/CONS e n. 271/25/CONS), i quali si sono rivelati ad oggi solo parzialmente efficaci a causa della capacità adattiva delle reti illecite.

In terzo luogo, a seguito delle evidenze ispettive e a dimostrazione della propria diligenza, al fine di arginare ulteriormente le condotte fraudolente, TIM ha rappresentato di aver integrato il proprio sistema di controllo con azioni massive. Successivamente all’ispezione, TIM ha potenziato il proprio sistema di controllo contro le condotte fraudolente su tre distinti piani. Sul piano contrattuale e legale, ha avviato azioni sanzionatorie nei confronti delle agenzie inadempienti, incluse le risoluzioni contrattuali con 10 agenzie Consumer. Sul piano della vigilanza, ha istituito, sotto il coordinamento del DPO, un sistema di controllo straordinario basato su verifiche Mystery Shopping e sull’algoritmo di scoring “Valutometro”. Sul piano tecnico e organizzativo, infine, sono stati introdotti il blocco in tempo reale dei duplicati IP, l’opt-out SMS immediato, la funzione “STOP SPAM” sull’App MyTIM e la sospensione dell’offerta “Porta un amico”.

TIM ha eccepito l’illegittimità di un’eventuale sanzione basata su un criterio di responsabilità oggettiva (strict liability), richiamando l’art. 3 della L. 689/1980 e la giurisprudenza della CGUE (Cause C-683/21, C-768/21, C-807/21).

La Società ha osservato che la giurisprudenza della Corte di Giustizia è concorde nell’affermare che il Regolamento esclude qualsiasi ipotesi di responsabilità oggettiva. L’irrogazione di sanzioni pecuniarie postula la dimostrazione specifica dell’imputabilità della condotta a titolo di dolo o colpa in capo al titolare (Cause C-683/21, C-768/21, C-807/21).

Secondo la Società, è pacifico che se il responsabile del trattamento eccede le istruzioni o agisce per finalità proprie incompatibili, assume la qualifica di titolare autonomo del trattamento, interrompendo il nesso di imputabilità alla committente.

La Società ha concluso deducendo l’inesigibilità di condotte ulteriori rispetto a quelle già poste in essere. Le violazioni contestate sono riconducibili all’azione autonoma e fraudolenta di terzi che hanno agito al di fuori del perimetro di controllo e delle istruzioni di TIM. Pertanto, la Società ha invitato l’Autorità a indirizzare la propria attività ispettiva e sanzionatoria direttamente verso le agenzie e i call center illegali che costituiscono il “sottobosco”, essendo difettato in capo alla committente qualsivoglia profilo di negligenza o dolo.

3.2. Il fenomeno delle Lead

Nella propria memoria difensiva, la Società ha contestato i rilievi dell’Autorità in merito alla presunta inadeguatezza delle misure tecnico-organizzative adottate opponendosi all’eventuale imposizione prescrittiva del modello di opt-in in luogo del vigente sistema di opt-out.

Nello specifico, TIM ha dedotto la natura prematura di un eventuale provvedimento inibitorio o prescrittivo, invocando la necessità di un monitoraggio prolungato sull’efficacia del nuovo sistema di opt-out (implementato da pochi giorni), in considerazione della mancata ricezione, allo stato attuale, di reclami da parte degli interessati che ne comprovino il malfunzionamento.

Il Titolare ha rilevato come né l’opt-in né l’opt-out sarebbero strumenti atti ad arginare il fenomeno del c.d. “sottobosco” del telemarketing (chiamate illecite effettuate da soggetti terzi al di fuori del perimetro aziendale). La Società ha inoltre precisato che il rischio di inserimenti fraudolenti massivi di anagrafiche risulterebbe già adeguatamente mitigato dalla procedimentalizzazione del tracciamento degli indirizzi IP.

Secondo la Società, il vizio riscontrabile nella fase di acquisizione della Lead (ad esempio un contatto telefonico originato in assenza di idonea base giuridica) non si trasferirebbe al consenso successivamente prestato dall’interessato, il quale conserverebbe carattere libero e consapevole. In tal senso, TIM ha evidenziato come il perfezionamento dei contratti presupponga sempre un’ulteriore e specifica manifestazione di volontà da parte del cliente, distinta e successiva rispetto alla generazione della Lead.

TIM ha evidenziato come lo standard dell’opt-in non costituisca una prassi consolidata nell’attuale mercato di riferimento. La sua imposizione coattiva da parte dell’Autorità determinerebbe, ad avviso della Società, un ingiustificato svantaggio competitivo rispetto agli altri operatori economici del settore.

Infine, appellandosi al principio di leale collaborazione, la Società ha auspicato l’avvio di un confronto istituzionale con l’Autorità, finalizzato all’individuazione congiunta di misure di sicurezza e presidi di governance alternativi, qualora l’impianto attuale venisse definitivamente giudicato inidoneo all’esito dell’istruttoria.

3.3. I contatti promozionali senza consenso

La Società ha rilevato di aver agito correttamente in tutti i casi contestati gestendo delle Lead che, per quanto a sua conoscenza, erano corrette e di non poter avere contezza di eventuali chiamate di disturbo antecedenti alla Lead.

Si è precisato, altresì, che:

- le numerazioni utilizzate per le chiamate indesiderate non appartenevano alla rete TIM;

- gli ordini di attivazione generati non sono mai stati trasformati in contratti efficaci;

- in ogni caso, la Società ha interrotto i rapporti contrattuali con le agenzie segnalate, nello specifico XX, XX., XX. e, successivamente, XX.

3.3.1. Il sistema degli “Ordini di Attivazione” di TIM

In via preliminare, TIM ha illustrato il funzionamento tecnico-operativo, nell’ambito dei propri sistemi aziendali, degli ordini di attivazione oggetto delle contestazioni mosse dall’Autorità.

L’acquisto di un servizio TIM prevede la preventiva creazione di un cosiddetto “ordine di attivazione”, fase prodromica alla materiale conclusione del contratto. Tale ordine viene gestito attraverso il sistema commerciale “CCC”, al quale gli addetti alla vendita accedono utilizzando le proprie credenziali individuali (login e password).

Nelle ipotesi di vendita conclusa a distanza, una volta che gli operatori hanno effettuato le necessarie verifiche anagrafiche (maggiore età del potenziale cliente) e tecniche (copertura del servizio nella località richiesta, ad esempio per la linea fissa e la rete internet), il potenziale cliente ha la possibilità, prima della finalizzazione dell’ordine di attivazione, di fornire e gestire i propri consensi in materia di protezione dei dati personali, nonché di selezionare le modalità di pagamento e di sottoscrizione (optando tra Digital Confirmation o autenticazione tramite OTP).

Con specifico riguardo ai consensi privacy, l’operatore illustra al potenziale cliente le informative telefonicamente e registra a sistema le preferenze espresse durante la chiamata. Conseguentemente, prima dell’emissione formale dell’ordine, il sistema informatico invia automaticamente via e-mail il riepilogo dei consensi prestati, i quali possono essere liberamente e costantemente modificati dall’interessato.

Successivamente, il potenziale cliente riceve – sempre a mezzo e-mail – un’ulteriore comunicazione contenente la scheda di sintesi dell’offerta commerciale, la prescritta documentazione contrattuale e l’informativa sul trattamento dei dati personali. Soltanto in questa fase l’addetto procede alla compilazione della sezione gestionale denominata “Tracciamento Tipologia Contatto”, indicando la numerazione telefonica utilizzata per il contatto e la relativa origine del dato (es. acquisizione tramite Lead, liste interne TIM, ecc.).

Dopo la ricezione della citata documentazione, il potenziale cliente sceglie la modalità di conclusione del vincolo negoziale (OTP o Digital Confirmation). Nel primo caso, l’ordine è convalidato ed emesso solo nel momento in cui l’operatore ha ricevuto il codice di conferma dal cliente. Nel caso della Digital Confirmation, l’ordine si intende confermato unicamente quando i sistemi aziendali registrano l’input diretto da parte dell’utente.

La Società ha ribadito che, ai fini della conclusione del contratto, la proposta nasce sempre da una richiesta del cliente e il contratto si considera perfezionato soltanto al momento dell’attivazione da parte di TIM. Ne deriva che, la ricezione del codice identificativo dell’ordine di attivazione non implica l’automatica conclusione del contratto con TIM.

3.3.2. Analisi dei singoli fascicoli istruttori

Rispetto ai singoli casi, TIM ha precisato quanto segue.

- Fasc. n. 425095: TIM ha chiarito che le numerazioni chiamanti non sono mai appartenute alla rete TIM. Dalle indagini interne è emerso che a nome della segnalante sono stati generati tre distinti ordini di vendita a seguito di altrettante richieste di contatto inserite autonomamente sul portale dell’Agenzia Digitale XX. Pertanto, la Società ha rinvenuto nei propri sistemi unicamente traccia di una Lead validamente creata, la cui creazione non è peraltro stata contestata né dall’interessata né dall’Autorità. Ad ogni buon conto, TIM ha interrotto ogni rapporto contrattuale con la predetta Agenzia a far data dal mese di luglio 2025 e si è accertato che i tre ordini di attivazione non sono mai stati trasformati in contratti efficaci.

- Fasc. n. 496215: TIM ha evidenziato quanto segue: le chiamate contestate hanno avuto origine da numerazioni non assegnate alla rete TIM; è risultata a sistema una Lead correttamente acquisita per il tramite della summenzionata Agenzia XX (partner con cui TIM ha interrotto i rapporti); e, il relativo ordine di attivazione non è mai stato perfezionato in contratto. In merito ai consensi, la Società ha provveduto a inviare tempestivamente all’istante – contestualmente all’emissione dell’ordine – un’e-mail riepilogativa, affinché questi potesse prendere visione e, all’occorrenza, rettificare le preferenze accordate telefonicamente (è risultato peraltro valorizzato a “SI” unicamente il consenso per finalità di marketing relativo a prodotti e servizi TIM, mentre tutte le restanti finalità hanno registrato un diniego). TIM ha pertanto gestito una Lead che, per quanto a propria conoscenza, era stata acquisita in modo del tutto conforme.

- Fasc. n. 437668: TIM ha rilevato, in via preliminare, che la memoria difensiva rappresenta la prima difesa sul predetto fascicolo. La Società ha osservato che la numerazione chiamante non appartiene a TIM. Dalla documentazione in atti è emerso con chiarezza che il reclamante ha deliberatamente protratto l’interlocuzione con il presunto operatore per condurre un autonomo accertamento ispettivo, e non per attivare un’utenza. Invero, il contratto non è stato mai concluso. Nei sistemi informatici della Società è semplicemente confluita una Lead formalmente valida trasmessa da XX; la Società non ha potuto in alcun modo presagire l’esistenza di condotte decettive o di disturbo collocate a monte della filiera.

- Fasc. n. 434470: TIM ha rilevato di essere giunta a conoscenza della segnalazione esclusivamente durante le operazioni ispettive del Garante, trattandosi di segnalazione inoltrata dal segnalante nell’interesse di soggetti terzi. La Società è riuscita a identificare gli interessati unicamente grazie ai codici degli ordini di attivazione forniti dal segnalante. TIM ha rappresentato che nei sistemi è risultata la presenza di una Lead formalmente corretta, conferita dall’Agenzia Digitale XX (con cui TIM ha cessato i rapporti contrattuali). L’istante, avendo comunque proseguito nel contatto telefonico, ha originato in data 6 febbraio 2025 un ordine di attivazione che non è mai sfociato nella conclusione di un contratto.

- Fasc. n. 444902: la Società ha rappresentato che l’interessata ha assecondato la procedura di ricontatto fino a ricevere un link via SMS riconducibile all’Agenzia Digitale XX. La segnalante medesima ha poi proseguito nell’inserimento dei dati al fine esclusivo di svelare l’identità del partner commerciale di TIM. Anche in questo caso, TIM ha eccepito che nessun contratto è stato concluso e TIM, all’esito delle citate verifiche, ha immediatamente risolto il contratto di collaborazione con XX.

- Fasc. n. 513320: TIM ha rilevato che le numerazioni segnalate non sono risultate in uso a TIM o alla propria rete di vendita, né iscritte al R.O.C. Il sistema ha registrato unicamente una Lead generata dall’Agenzia XX, la quale ha operato l’inserimento dell’ordine di attivazione, successivamente abortito per esplicita volontà dell’interessata. A massima tutela dell’utente, TIM ha comunque provveduto a registrare nei propri database l’opposizione al marketing per la linea mobile segnalata, ancorché quest’ultima non fosse attestata su rete TIM.

- Fasc. n. 518841: in via preliminare, TIM ha rilevato che la memoria difensiva rappresenta la prima difesa sul fascicolo in oggetto. A TIM è risultata pervenuta una Lead caricata regolarmente dall’Agenzia XX Successivamente al contatto, l’interessato ha inizialmente confermato la volontà di procedere (circostanza cristallizzata nello stesso reclamo), per poi avvalersi del diritto di ripensamento in data 14 settembre 2025, richiedendo l’annullamento dell’ordine, volontà che è stata prontamente assecondata ed eseguita dalla Società. A fronte del rilievo dell’Autorità circa l’utilizzo di dati acquisiti illecitamente, si è obiettato che TIM non poteva essere a conoscenza del fatto che il contratto era preceduto da una chiamata senza previa acquisizione del consenso. La Società ha rilevato di aver agito nel rigoroso rispetto dell’art. 16 del Codice di Condotta, recependo tempestivamente la successiva e mutata volontà del contraente.

- Fasc. n. 557370: in via preliminare, TIM ha evidenziato che anche in questo caso la memoria difensiva rappresenta la prima difesa sul fascicolo in oggetto e che lo stesso non è correlato alla creazione di una Lead. La Società ha rilevato che l’utente non ha mai ricevuto alcuna comunicazione di marketing. Le e-mail in questione riguardavano esclusivamente aggiornamenti contrattuali, in particolar modo il diritto ad uno specifico vantaggio contrattuale (la base giuridica sarebbe l’art. 6, co. 1, lett. b) Regolamento), che prevedeva l’offerta del servizio TIM Vision in regalo per il periodo natalizio. Dunque, TIM non avrebbe inviato alcuna comunicazione promozionale in assenza di consenso e nulla si può contestare a TIM in relazione a questo singolo caso. In ordine, infine, alla procedura di disiscrizione (opt out), si è rilevato che quand’anche l’istante avesse formalmente esercitato tale diritto, egli avrebbe comunque ricevuto le suddette comunicazioni di servizio, stante la loro natura strettamente contrattuale e non commerciale (essendo il consenso marketing già stato preventivamente negato e registrato a sistema).

3.3.3. Misure ulteriori valutate da TIM

A integrazione delle azioni già in atto, TIM ha dichiarato che intende rendere più rigorosa la fase di selezione delle Agenzie Digitali attraverso un sistema basato su specifiche checklist. L’obiettivo è verificare preventivamente l’adeguatezza organizzativa dei partner richiedendo dettagli sul numero di risorse impiegate, sulla capacità operativa, sull’esperienza pregressa e sul grado di conformità alle normative sulla privacy, scartando così i soggetti sottodimensionati o inadeguati.

La Società intende inoltre potenziare i propri sistemi di monitoraggio istituendo dei nuovi “campanelli di allarme” (trigger) per far scattare controlli più approfonditi (verifiche di II livello). Questi alert saranno attivati sia attraverso l’uso strategico delle survey post-attivazione, sia tramite l’individuazione di anomalie statistiche, come ad esempio una produttività sproporzionata rispetto alla forza lavoro dichiarata o tassi di contatto anomali.

Infine, come ulteriore tutela, TIM sta prendendo in considerazione il prolungamento del periodo di prova per i nuovi partner. Questa misura permetterebbe all’azienda di avere a disposizione un lasso di tempo più ampio per individuare e gestire tempestivamente qualsiasi tipo di problematica o irregolarità fin dalle prime fasi della collaborazione.

3.4. La gestione delle richieste di esercizio dei diritti

TIM ha evidenziato innanzitutto che anche la gestione delle richieste di esercizio dei diritti rientra nell’ambito delle attività disciplinate dal Codice di Condotta. In particolare, la gestione delle richieste di esercizio dei diritti da parte di TIM è disciplinata da procedure interne che definiscono puntualmente (i) i canali presidiati per la ricezione delle istanze; (ii) gli obblighi di identificazione del richiedente; (iii) i flussi verso le funzioni competenti; (iv) i tempi di risposta; e (v) le modalità di tracciamento delle richieste e di aggiornamento delle blacklist.

3.4.1. Tempestivo recepimento di TIM della volontà del cliente di non ricevere più comunicazioni promozionali

Sulla contestazione relativa al mancato recepimento tempestivo della volontà dei clienti di revocare il consenso alle comunicazioni promozionali, la Società ha rilevato che le proprie campagne promozionali via e-mail sono dirette esclusivamente a clienti che hanno prestato specifico consenso alle finalità di marketing e non a iscritti a servizi di newsletter. TIM ha inoltre rappresentato la piena conformità all’art. 12, par. 6 del Regolamento dei presidi di autenticazione informatica previsti per l’accesso all’Area MyTIM, qualificandoli come misure di sicurezza necessarie a verificare l’identità del richiedente e a prevenire il rischio che soggetti terzi possano intervenire sul profilo dell’interessato alterandone la volontà.

Inoltre, gli interessati hanno a disposizione diversi canali per esercitare i propri diritti e per revocare il proprio consenso come scrivere alla PEC istituzionale di TIM, al DPO, chiamare il servizio clienti etc.

In relazione alle singole fattispecie concrete, TM ha rilevato quanto segue.

- Fasc. n. 478291: la Società ha dedotto la correttezza della propria condotta, avendo fornito riscontro all’istanza dell’interessato entro il termine di trenta giorni nel quale veniva confermato l’avvenuto recepimento della richiesta. TIM ha evidenziato che la successiva ricezione di comunicazioni promozionali è dipesa esclusivamente dai tempi tecnici necessari per “particolari aggiornamenti di sistema”, ambito nel quale la Società ha comunque provveduto a mantenere aggiornato l’utente fino all’esclusione definitiva.

- Fasc. n. 519239: TIM ha contestato l’assunto del segnalante circa l’assenza di pregressi rapporti contrattuali, rilevando che l’indirizzo e-mail in atti risultava regolarmente censito quale recapito di un’utenza Business con consenso al marketing valorizzato positivamente sin dall’origine. La Società ha inoltre rilevato che il mancato buon esito della procedura di opt-out è dipeso da reiterati errori del reclamante, il quale ha inserito il proprio codice fiscale personale in luogo di quello associato al profilo cliente, provocando lo scarto automatico della pratica da parte dei sistemi di controllo.

- Fasc. n. 438663: la Società ha eccepito l’errore del segnalante nell’individuazione del canale di comunicazione, avendo quest’ultimo inoltrato l’istanza a una casella PEC aziendale TIMaltuofianco specificamente ed esclusivamente destinata a ricevere segnalazioni sul fenomeno del c.d. “telemarketing selvaggio” posto in essere da terzi operatori. L’errore del segnalante non ha consentito il recepimento automatico della revoca, alla quale TIM ha prestato definitivo adempimento non appena ricostruito l’evento a seguito della trasmissione degli atti da parte di questa Autorità.

- Fasc. n. 517806: la Società ha evidenziato che la prima richiesta è stata indirizzata a una casella di posta elettronica del DPO già formalmente dismessa, impedendone la regolare protocollazione. TIM ha precisato che una successiva istanza inoltrata alla PEC istituzionale non è stata recepita a causa di un’imprevista “anomalia tecnica” dei sistemi informativi, a fronte della quale la Società ha comunque provveduto all’allineamento definitivo dei consensi in linea con la volontà dell’interessato.

- Fasc. nn. 443623 e 448740: TIM ha eccepito che le segnalanti non hanno mai indirizzato formali istanze di esercizio dei diritti alla Società, essendosi rivolte direttamente all’Autorità Garante. La Società ha parimenti smentito l’asserita assenza di rapporti contrattuali per una delle interessate (fasc. n. 448740), accertando la titolarità di plurime linee attive. Infine, TIM ha rilevato che le segnalanti hanno comunque provveduto autonomamente alla disiscrizione tramite il portale web aziendale.

- Fasc. n. 557370: la Società ha escluso la natura commerciale delle e-mail contestate, qualificandole come comunicazioni aventi a oggetto aggiornamenti contrattuali ed erogazioni di benefici natalizi gratuiti. TIM ha infine precisato che la posizione del cliente risultava già configurata con diniego al consenso marketing, rendendo materialmente superflua l’attivazione di una procedura di revoca, e che la Società ha comunque fornito formale riscontro di conferma all’interessato.

3.4.2. Le istanze caratterizzate da particolare complessità

TIM ha contestato fermamente l’assunto dell’Autorità secondo cui il ricorso alla proroga dei termini di cui all’art. 12, par. 3, Regolamento costituisca il modus operandi ordinario della Società. I dati consolidati relativi all’anno 2025 sul perimetro Consumer hanno dimostrato l’assoluta efficacia e tenuta dei processi organizzativi aziendali: a fronte di 54.376 istanze complessive gestite, il 98,30% (pari a 53.449 richieste) ha trovato evasione entro il termine ordinario di 30 giorni. Le ipotesi di superamento di tale termine hanno rappresentato una percentuale del tutto residuale e statistica (l’1,24% tra i 30 e i 90 giorni e lo 0,47% oltre i 90 giorni), riconducibile unicamente a istruttorie di particolare complessità (quali ricostruzioni multi-sistema, verifiche documentali con terzi e controlli su numerazioni estranee). La Società ha evidenziato, inoltre, che l’individuazione dei partner commerciali e la disamina dei singoli fascicoli hanno richiesto articolati accertamenti incrociati su più ambienti applicativi e complesse interlocuzioni esterne, escludendo la natura di “semplice query” ipotizzata dall’Autorità.

In relazione alle singole fattispecie concrete, TIM ha rilevato quanto segue.

- Fasc. n. 425095: l’istanza di accesso (novembre 2024) ha richiesto complesse attività di verifica su soggetti terzi e su numerazioni non in uso alla Società. TIM ha fornito un riscontro interlocutorio entro i trenta giorni, richiedendo la documentazione identificativa in conformità all’art. 12, par. 6, Regolamento. Una volta completata l’istruttoria, la Società ha trasmesso il riscontro conclusivo il 24 febbraio 2025, confermando l’estraneità dei contatti lamentati rispetto alla propria organizzazione.

- Fasc. n. 513320: l’istanza, volta a identificare l’origine di un contatto commerciale asseritamente irregolare, ha ricevuto un primo riscontro interlocutorio entro i 30 giorni e un riscontro definitivo nell’ottobre 2025. Gli accertamenti hanno evidenziato che l’ordinativo è stato inserito e poi annullato da un partner della rete di vendita. TIM non solo ha riscontrato tempestivamente l’interessata e l’Autorità, ma ha adottato altresì le opportune misure di tutela, inserendo la linea nelle liste di esclusione e formalizzando una contestazione nei confronti del partner responsabile.

- Fasc. n. 500303: la vicenda non ha integrato l’esercizio di un diritto in materia di protezione dei dati personali, bensì l’adempimento di una prerogativa contrattuale (i.e., richiesta di cancellazione della casella di posta elettronica). A causa di un impedimento tecnico legato a una linea fissa recentemente cessata dall’utente, che ha ostacolato la procedura di disattivazione automatica della casella e-mail, la Società si è attivata mediante un intervento manuale delle proprie funzioni tecniche. L’istanza si è risolta con il definitivo soddisfacimento dell’interessato, al quale TIM ha fornito tempestivi riscontri formali e telefonici nel corso dell’anno 2025.

- Fasc. n. 520955: anche in questa ipotesi, l’istanza originaria del luglio 2025 ha riguardato unicamente un diritto contrattuale legato alla rigenerazione delle credenziali di accesso, cui la Società ha dato corretto e tempestivo riscontro. La successiva richiesta in materia di privacy sui tempi di conservazione (agosto 2025) non ha ricevuto esito a causa di un isolato errore materiale di classificazione informatica che ha determinato la chiusura automatica del flusso interno, configurando un’anomalia eccezionale e non rappresentativa della prassi aziendale.

- Fasc. n. 514826: a fronte dell’istanza di accesso formulata il 17 luglio 2025 in relazione a presunti contatti promozionali e alla richiesta di informazioni sulla comunicazione dei dati a terzi, TIM ha trasmesso un primo riscontro interlocutorio nei termini di legge e, successivamente, ha formulato il riscontro definitivo il 15 ottobre 2025. Le verifiche interne hanno escluso qualsivoglia violazione o responsabilità della Società, poiché le numerazioni chiamanti non sono risultate riconducibili a TIM né alla rete dei partner autorizzati.

3.5. Le misure adottate da TIM

In ordine alle modalità di gestione delle istanze di esercizio dei diritti degli interessati, la Società ha evidenziato l’avvenuta implementazione di molteplici presidi organizzativi e procedurali volti al costante potenziamento della propria governance privacy. Tra le misure già strutturate, TIM ha annoverato l’adozione di sistemi di classificazione automatizzata delle richieste che pervengono attraverso canali PEO e PEC, basati su regole di riconoscimento testuale, l’attivazione di notifiche sussidiarie automatiche a fronte di anomalie tecniche dei file allegati, nonché l’estensione del sistema di monitoraggio delle tempistiche (SLA Management) alla quasi totalità delle richieste per garantire un controllo end-to-end dei processi.

Sotto il profilo strettamente operativo e della gestione delle risorse umane, la Società ha dato atto del sensibile rafforzamento dell’assetto organizzativo interno mediante l’istituzione di nuclei specifici e differenziati, deputati rispettivamente al riscontro dei tabulati di traffico, delle istanze privacy diverse da quelle relative ai tabulati di traffico e delle segnalazioni indirizzate al Data Protection Officer (DPO). A tali presidi di coordinamento la Società ha riferito di affiancare stabili sessioni di formazione specialistica periodica del personale, integrate da attività di survey e dall’invio di reminder sistematici incentrati sull’esigenza di rispettare i termini cronologici di evasione delle pratiche.

Infine, con riguardo alla pianificazione strategica di medio termine, TIM ha rappresentato che sono in fase di avanzata valutazione ulteriori interventi correttivi volti a incrementare la tempestività e la qualità dell’azione aziendale. Nello specifico, la Società ha formalizzato il proprio impegno nell’ottimizzazione dei messaggi di reindirizzamento dell’utenza verso i canali tematici dedicati, nell’estensione della classificazione automatica a ulteriori caselle di posta elettronica societarie e, da ultimo, nella drastica semplificazione della procedura di revoca del consenso per finalità di marketing diretto, da realizzarsi mediante la completa eliminazione dei preventivi meccanismi di autenticazione informatica.

3.6. Il mancato rispetto dei termini del procedimento e violazione del principio ne bis in idem

TIM ha eccepito l’intervenuta decadenza del potere sanzionatorio in capo all’Autorità per l’inutile spirare del termine di 120 giorni previsto per la notificazione dell’atto di contestazione, ai sensi della Tabella B del Regolamento interno 2/2019. Secondo la Società, tale termine decadenziale sarebbe iniziato a decorrere dal 17 aprile 2025, data in cui si sarebbe perfezionata l’acquisizione degli elementi istruttori a seguito della conclusione delle attività ispettive (formalizzata tramite la nota di scioglimento delle Riserve). Pertanto, tenuto conto del periodo di sospensione feriale dei termini (1°-31 agosto) sancito dall’art. 6, comma 1, del citato Regolamento, il termine ultimo per la valida notificazione della contestazione sarebbe risultato inesorabilmente scaduto in data 15 settembre 2025.

Ai fini del computo dei termini procedimentali, TIM ha rilevato altresì la palese inidoneità delle comunicazioni spontanee trasmesse dalla Società a produrre qualsivoglia effetto sospensivo. Secondo TIM, il meccanismo della sospensione di cui all’art. 7 del Regolamento 2/2019 opera, in via esclusiva per il lasso temporale intercorrente tra una formale richiesta di informazioni dell’Autorità e il relativo riscontro della parte. Ne deriva che le note non sollecitate presentate da TIM non avrebbero interrotto né sospeso il decorso procedimentale. La Società ritiene altresì che siano irrilevanti le successive richieste istruttorie formulate dal Garante nel mese di ottobre 2025, in quanto intervenute in una fase di esaurimento del potere sanzionatorio.

A parere della Società, pur volendo accordare per mera ipotesi un’efficacia sospensiva alle suddette note spontanee, il termine sarebbe risultato in ogni caso decorso alla data del 20 gennaio 2026.

Infine, la Società ha ritenuto illegittima la prassi adottata dall’Autorità del cumulo dei reclami in sede di contestazione: le disposizioni regolamentari invocate a tale scopo avrebbero legittimato secondo TIM la trattazione congiunta unicamente in vista dell’emanazione di provvedimenti di carattere generale, palesando la propria incompatibilità con l’adozione di specifici atti di natura sanzionatoria. Alla luce di quanto sopra, TIM ha chiesto l’immediata archiviazione del procedimento.

Oltre all’intervenuta decadenza del potere sanzionatorio in capo all’Autorità, nelle proprie memorie difensive, la Società ha rappresentato altresì che i profili inerenti alla governance dei canali di teleselling e telemarketing, nonché al sistema di controllo della filiera del dato dal primo contatto al perfezionamento del contratto, risultano attualmente sub iudice. TIM ha evidenziato che tali tematiche costituiscono, difatti, l’oggetto di una Consulenza Tecnica d’Ufficio (CTU) che l’Autorità Giudiziaria ha disposto nell’ambito del giudizio (R.G. 23522/2023) instaurato dalla medesima Società per l’impugnazione del precedente Provvedimento sanzionatorio n. 183/2023 emanato da questa Autorità.

In merito alla consulenza tecnica di ufficio, la Società ha sottolineato come i quesiti formulati dal Giudice ricalchino in larga parte le odierne contestazioni. Nello specifico, TIM ha rilevato che al CTU è stato demandato l’accertamento dell’idoneità dei sistemi aziendali pregressi e attuali volti a garantire la tracciabilità delle operazioni, la liceità dei contatti promozionali tramite numerazioni iscritte al ROC e la corretta gestione delle istanze degli interessati. L’indagine peritale, secondo TIM, è volta proprio a individuare le eventuali e ulteriori misure prescrittive che la Società avrebbe dovuto adottare per conformarsi alla normativa vigente.

Sulla scorta di tali risultanze istruttorie, la Società ha eccepito che l’adozione di un ulteriore e autonomo provvedimento sanzionatorio da parte di questa Autorità si porrebbe in insanabile contrasto con le norme sulla litispendenza (determinando la cancellazione della causa dal ruolo ex art. 39 c.p.c.) ovvero sul giudicato sostanziale (ex art. 2909 c.c.). Richiamando la giurisprudenza di legittimità, TIM ha argomentato che il giudicato copre il dedotto e il deducibile, precludendo un reiterato esercizio del potere sanzionatorio sul medesimo oggetto della controversia, al fine di scongiurare la proliferazione infinita dei giudizi e il rischio di pronunce contrastanti.

Infine, la difesa ha dedotto l’identità materiale e giuridica tra i due procedimenti, i quali condividerebbero la medesima triade di elementi costitutivi. In particolare, la Società ha affermato la piena coincidenza dei soggetti (l’Autorità e TIM), del petitum sostanziale (l’annullamento del provvedimento e la conseguente validazione della governance aziendale) e della causa petendi (l’asserita inadeguatezza dei sistemi di controllo societari sulla filiera del dato), ritenendo pertanto inibita l’azione sanzionatoria dell’Autorità.

3.7. L’audizione della Società

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data 6 maggio 2026, verbale prot. n. 69385, la Società ha richiamato integralmente le proprie deduzioni, focalizzando l’attenzione sul costante consolidamento del proprio sistema di accountability. TIM ha evidenziato che il fenomeno patologico del c.d. “telemarketing selvaggio” è da ascriversi esclusivamente a condotte fraudolente poste in essere da soggetti terzi abusivi operanti al di fuori del perimetro organizzativo aziendale con dolo specifico. Richiamando gli orientamenti della Corte di Giustizia dell’Unione Europea, TIM ha invocato la valorizzazione del principio della responsabilità soggettiva specifica in capo ai diretti trasgressori, qualificando la Società come parte lesa gravata da onerosi costi di compliance e da gravi pregiudizi reputazionali.

Con riferimento ai rilievi di merito, TIM ha escluso l’illiceità originaria delle anagrafiche, sostenendo che la tecnica della “Lead” risulti sistematicamente supportata dalla volontà espressa dell’interessato e rilevando come nessuno dei trentasei casi esaminati si sia tradotto nel formale perfezionamento di un rapporto contrattuale. La Società ha eccepito, inoltre, la sussistenza di oggettivi limiti tecnici e regolamentari nel contrasto al fenomeno dello spoofing, specificando che l’adozione di misure di blocco preventivo unilaterale configurerebbe un elevato rischio di interruzione di servizi essenziali; a tal fine, ha rappresentato la necessità di un intervento strutturale di sistema erga omnes sotto la diretta vigilanza delle Autorità competenti.

Sul piano delle misure tecnico-organizzative di mitigazione del rischio, la Società ha illustrato gli ingenti investimenti economici profusi per l’implementazione del tracciamento degli indirizzi IP in tempo reale e per il consolidamento dei meccanismi di opt-out. Sul versante della vigilanza della rete di vendita, la Società ha evidenziato di aver intrapreso rigorose azioni correttive nel corso del primo trimestre del 2026, culminate nella risoluzione dei rapporti contrattuali con agenzie non conformi, nell’introduzione di procedure di onboarding vincolanti con verifiche preliminari di “maturità privacy” e nella previsione di periodi di prova contrattuali con facoltà di recesso ad nutum. Ha da ultimo dato atto dell’erogazione di diffuse attività formative al personale di customer care e dell’imminente rilascio di implementazioni tecnologiche volte a semplificare la revoca del consenso marketing.

Sulla scorta di tali elementi, la Società ha chiesto l’archiviazione del procedimento sanzionatorio.

L’Autorità ha preso atto dell’articolato quadro difensivo rappresentato, assegnando a TIM un termine per il deposito di un dettagliato riepilogo documentale e di un prospetto analitico relativo agli investimenti economici sostenuti nell’area della compliance tecnologica e legale.

Con nota del 15 maggio 2026, prot. n. 75146/26, TIM ha fornito evidenza degli ingenti costi sostenuti e/o da sostenere per l’implementazione delle misure esposte da TIM durante l’audizione e per le ulteriori attività a contrasto al telemarketing selvaggio.

4. VALUTAZIONI DELL’AUTORITÀ

L’Autorità, esaminati gli atti del procedimento, le risultanze dell’attività istruttoria e la memoria difensiva depositata, ritiene infondate le doglianze sollevate da TIM e, per l’effetto, ritiene di confermare (ad eccezione di alcune violazioni limitate) la responsabilità del Titolare in ordine agli addebiti formulati, per i motivi di fatto e di diritto esposti di seguito, da considerarsi in uno con le osservazioni e i rilievi già espressi nel richiamato atto di contestazione.

4.1. Sulla governance di TIM

In merito alle argomentazioni difensive di TIM sulla correttezza della sua governance e sulla “non rimproverabilità” di alcuna condotta in capo alla Società, si osserva quanto segue.

In primo luogo, TIM incorre in un vizio logico-giuridico, laddove assume che l’adozione formale di un modello di governance escluda automaticamente la colpa.

L’adeguamento al dettato del Codice non risulta, di per sé, sufficiente qualora le misure attuate si rivelino inefficaci all’atto pratico, ovvero laddove il trattamento continui a violare le disposizioni del Regolamento. Non basta dimostrare di aver “prescritto” delle regole formali in capo ai soggetti della filiera ma occorre comprovare l’avvenuta verifica in ordine alla loro effettiva applicazione e sostanziale efficacia.

TIM valorizza la propria adesione al Codice di condotta rilevando che “per quanto il codice di condotta non esaurisca l’accountability, i titolari aderiscono al Codice di Condotta con una aspettativa di certezza del diritto e di congruità delle misure prescritte”.

Nello specifico, la Società ha rilevato che i Codici di Condotta sono “proprio misure di accountability volte a garantire ai titolari lo svolgimento di un corretto bilanciamento degli interessi così sollevandoli, almeno in parte, dalla necessità di provare la propria accountability e la conformità delle misure adottate” (Linee guida EDPB 1/2019 sui codici di condotta e sugli organismi di monitoraggio Regolamento).

La Società commette l’errore di equiparare l’adesione al Codice con un “lasciapassare” che gli garantirebbe l’immunità da sanzioni. Un simile automatismo è contrario sia ai principi cardine del Regolamento sia alla lettera stessa delle Linee Guida EDPB 1/2019 menzionate dalla stessa TIM.

Le Linee Guida 1/2019 dell’EDPB chiariscono espressamente che “L’adesione a un codice non garantisce di per sé la conformità al regolamento né l’immunità del titolare del trattamento/responsabile del trattamento da sanzioni o responsabilità previste dal regolamento”.

L’adesione può certamente essere valutata dall’Autorità per calibrare l’intensità della sanzione (in senso attenuante, ex art. 83, par. 2, lett. j del Regolamento), ma non cancella l’illecito commesso né preclude l’intervento correttivo. Come chiarito dalle Linee Guida: “in caso di violazione di una delle disposizioni del regolamento, l’adesione a un codice di condotta approvato potrebbe segnalare la maggiore o minore necessità di intervenire con una sanzione amministrativa pecuniaria effettiva, proporzionata e dissuasiva ovvero ricorrere a un’altra misura correttiva dell’autorità di controllo”.

In secondo luogo, la tesi di TIM secondo cui, in forza dell’art. 28, par. 10 del Regolamento e della giurisprudenza della CGUE, la responsabilità per i trattamenti illeciti graverebbe in via esclusiva sui soggetti del cd. “sottobosco” – fenomeno che sfuggirebbe al controllo del committente – non è condivisibile.

L’Autorità ha delineato dei principi che pongono in capo al titolare (committente) obblighi precisi di vigilanza e controllo sull’operato dei responsabili del trattamento. L’omissione di tali siffatti presidi integra, a tutti gli effetti, la sussistenza della colpa in capo al titolare (cfr., tra l’altro, provv. n. 352 del 14 maggio 2026 (doc. web n. 10262507); provv. n.  228 del 10 aprile 2025 (doc. web n. 10127930); provv. n. 205 del 11 aprile 2024 (doc. web n. 10008076)). Nello specifico, l’Autorità ha precisato che un titolare può essere considerato “colpevole” di una violazione commessa dal responsabile del trattamento se non ha esercitato il dovuto controllo o non ha adottato le misure di vigilanza necessarie per prevenire il trattamento illecito. In sostanza: se il committente non vigila attivamente, la sua “omessa vigilanza” costituisce la colpa che giustifica la sanzione. Allo stesso modo, la responsabilità del titolare per i trattamenti effettuati dai propri dipendenti o incaricati (inclusi i call center) è configurabile quando vi è una carenza organizzativa o una mancanza di supervisione. Il committente, pur non rispondendo del fatto illecito altrui in termini assoluti, risponde della propria “culpa in vigilando” o “culpa in eligendo”.

È pacifico che:

- soggetti terzi non identificati, hanno effettuato chiamate illecite (tramite numerazioni non censite al ROC e dirette a numerazioni iscritte nel RPO) nell’interesse e per conto della Società e i flussi di contatti illeciti acquisiti illecitamente da parte dei soggetti “abusivi” sono confluiti nei sistemi aziendali tramite ordini di attivazione a beneficio della stessa TIM;

- la selezione dei soggetti responsabili del trattamento è avvenuta in carenza di criteri di qualificazione e selezione delle agenzie. Basti considerare, a titolo esemplificativo, che TIM ha omesso di verificare la congruità dimensionale della forza lavoro dei partner in rapporto ai volumi di contatti generati;

- il sistema di monitoraggio si basa su informazioni direttamente inserite dagli stessi responsabili sui sistemi aziendali;

- il sistema ha fallito nel rilevare macroscopiche incongruità.

Aggiungasi che il fenomeno del “sottobosco” nel telemarketing non è un evento imprevedibile o una forza maggiore; è un rischio sistemico e strutturale del settore, ampiamente noto. Il titolare (TIM) che esternalizza le campagne promozionali ha il dovere di blindare la catena di fornitura vietando sub-affidamenti non autorizzati (art. 28, par. 2) e, soprattutto, di predisporre sistemi di tracciabilità capaci di intercettare l’anomalia.

TIM non può limitarsi a invocare lo “spirito adattivo” del sottobosco per dichiararsi vittima. Il fatto che la Società acquisisca contratti e tragga beneficio economico diretto dalle campagne di marketing senza essere in grado di garantire la liceità della filiera che ha generato quei contatti, la rende responsabile per la propria autonoma omissione nei controlli.

È, infatti, proprio la natura sistemica e adattiva del fenomeno, la sua capacità, cioè, di mutare forma per eludere i controlli via via predisposti, a imporre al titolare – che dei proventi di tali attività promozionali beneficia direttamente – un obbligo di vigilanza non statico ma proporzionato all’evoluzione del rischio. Tale obbligo deve estendersi, anche con opportune verifiche in loco, alla sistematica analisi delle incongruenze desumibili dai dati aggregati nel loro complesso, ivi compresi, a titolo di esempio, il tasso di conversione dei contatti in contratti effettivamente conclusi e l’incidenza delle segnalazioni dei clienti riferibili a una specifica agenzia. Solo un monitoraggio così strutturato, e non un controllo isolato su un singolo parametro, è in grado di intercettare tempestivamente l’anomalia, come del resto dimostrano, nel caso di specie, le discrepanze già evidenziate in narrativa tra Lead dichiarate e contatti effettuati.

La Società eccepisce altresì di non poter avere “alcuna visibilità e controllo” sulla fase “antecedente al caricamento della Lead” e di non poter “venire a conoscenza di casi …in cui l’inserimento dei dati sul form web è stimolato da precedenti telefonate non autorizzate”, se non tramite “i reclami e le segnalazioni ricevuti dagli interessati e dall’autorità”.

Tale tesi non può essere condivisa.

Lo stesso Codice di condotta, che TIM dichiara di aver preso a modello, non ammette alcuna “cecità” volontaria. Al contrario, il Codice impone standard rigorosi imponendo al committente di accertarsi della liceità di tutti i passaggi che portano alla generazione del contatto, senza fermarsi alla fase conclusiva della filiera. È riportato espressamente che: “gli aderenti al presente Codice di condotta assicurano che tutta la filiera tratti i dati esclusivamente sulla base di un idoneo consenso... [...]”. “Il titolare garantisce, anche grazie alla necessaria cooperazione da parte dei propri responsabili del trattamento, il pieno, puntuale e costante controllo dell’intera filiera di soggetti comunque coinvolti in qualunque fase preparatoria o di esecuzione della campagna promozionale”.

Con specifico riferimento al controllo dei fornitori, è previsto che “Ciascun aderente verifica il possesso dei requisiti dichiarati dall’affidatario del servizio mediante verifica documentale e/o ispezione interna, con frequenza idonea e con modalità e strumenti adeguati alla situazione di fatto...”.

Pertanto, il fatto che le Lead giungessero “pulite” attraverso un web-form finale, non giustifica l’assenza di vigilanza sulle tecniche predatorie poste in essere dai partner commerciali della Società (o dai sub-fornitori a cascata) per spingere gli utenti verso quei form.

Il titolare del trattamento, in qualità di committente avvantaggiato dalla creazione di quei contatti commerciali, ha un dovere di vigilanza proattiva.

Riporre “affidamento” nel Codice di Condotta senza applicarne concretamente il principio base – ossia il “pieno controllo della filiera e della fase preparatoria” – significa eludere gli obblighi di accountability.

Pertanto, le sanzioni contestate dall’Autorità risultano non solo legittime, ma del tutto in linea con i principi giuridici europei (EDPB) e settoriali vigenti.

4.2. Sull’inidoneità delle misure tecnico-organizzative adottate dalla Società nella gestione delle anagrafiche (c.d. Lead)

L’eccezione di presunta “prematurità” del provvedimento correttivo, fondata sulla recente implementazione del meccanismo di opt-out e sulla pretesa assenza di reclami diretti, è priva di fondamento. Il legislatore europeo, attraverso l’istituto della Data Protection by Design, impone al titolare del trattamento un obbligo di prevenzione proattiva e non meramente reattiva. L’assenza temporanea di reclami formali nei primi trenta giorni di sperimentazione della misura non vale a sanare un’architettura di un sistema che si palesa ab origine inidoneo a garantire l’esattezza del dato e la reale volontà dell’interessato. La conformità al Regolamento si valuta sull’adeguatezza intrinseca della misura e non sulla mera latenza delle contestazioni da parte dell’utenza.

Rispetto al sistema di “Opt-out” introdotto dalla Società in corso di istruttoria, si osserva che l’invio di un SMS recante un onere di “ripensamento” o disconoscimento, peraltro entro il termine stringente di 5 minuti, nei confronti di un’utenza inserita nel sistema da soggetti terzi non identificati capovolge il modello legale del consenso, il quale richiede (art. 4, punto 11, del Regolamento e Considerando 32) un atto positivo inequivocabile dell’interessato, e non la sua mera inerzia entro un termine predefinito. Il silenzio dell’interessato, lungi dal poter essere assimilato a un assenso, viene qui individuato come presupposto stesso della liceità del trattamento, in aperto contrasto con quanto espressamente escluso dal Considerando 32 del Regolamento, secondo cui “il silenzio, l’inattività o la preselezione di caselle non dovrebbero configurare un consenso”. L’interessato, del tutto ignaro del conferimento dei propri dati nel form-Lead, si vede infatti costretto ad attivarsi per impedire un trattamento di cui non ha richiesto né autorizzato l’avvio, anziché essere il trattamento stesso a richiedere, in via preventiva, la sua manifestazione di volontà. A ciò si aggiunge che la soluzione tecnica prescelta, ovvero l’apertura di un link ricevuto via SMS, si pone essa stessa in contrasto con le più elementari cautele in materia di sicurezza informatica e prevenzione del phishing, risultando pertanto doppiamente inidonea: sotto il profilo della liceità e trasparenza del trattamento, e sotto quello della sicurezza dei mezzi impiegati per l’esercizio dei diritti dell’interessato.

Risulta altresì inconferente l’argomentazione di TIM relativa al tracciamento degli indirizzi IP quale misura asseritamente idonea a mitigare il rischio di inserimenti fraudolenti. Il log dell’indirizzo IP certifica unicamente il punto di origine della connessione telematica, ma non offre alcuna garanzia probatoria in merito alla coincidenza tra il compilatore del form e l’effettivo intestatario della numerazione telefonica fornita. Circa l’incapacità delle misure di arginare il c.d. “sottobosco” del telemarketing illecito, si ribadisce come la perdurante esistenza di fenomeni di illegalità diffusa non possa in alcun modo esonerare il titolare dall’adozione di misure di sicurezza adeguate nel perimetro di propria competenza.

Ancora, non può essere condivisa la tesi secondo cui il consenso pieno e consapevole, raccolto in fase di perfezionamento del contratto, esplicherebbe un’efficacia sanante rispetto all’eventuale vizio nell’acquisizione originaria della Lead. Il trattamento dei dati personali inizia nel momento stesso della loro raccolta; sia la raccolta che il primo ricontatto per finalità commerciale (c.d. chiamata outbound) sono, quindi, “operazioni” o “insieme di operazioni” che costituiscono “trattamenti” e che necessitano, ex se, in relazione alla specifica finalità (nel caso concreto quella di promozione commerciale) di una valida, solida e verificabile base giuridica. Un contatto telefonico indesiderato effettuato a seguito di una Lead “fasulla” o non verificata, integra già di per sé un trattamento di dati personali rilevante ai sensi dell’art. 130 del Codice e, in quanto tale, deve fondarsi su una adeguata base giuridica. Pertanto, tale trattamento, non può essere suscettibile di alcuna sanatoria o convalida a posteriori.

Diversamente opinando, si perverrebbe a un esito distorsivo e contrario alla ratio del Regolamento: ammettere che un consenso successivo, per quanto genuino, possa “ripulire” un trattamento originariamente illecito equivarrebbe a legittimare, indirettamente, l’intera tecnica predatoria della Lead fittizia, purché l’operatore commerciale riesca infine a condurre l’interessato alla sottoscrizione. L’illiceità della raccolta iniziale del dato, in altri termini, si consuma istantaneamente e in via definitiva al momento del trattamento, quale che sia l’esito successivamente conseguito; essa non è nella disponibilità delle parti né suscettibile di sanatoria per fatto sopravvenuto, pena lo svuotamento sostanziale del principio di liceità di cui all’art. 6 del Regolamento e la trasformazione dello stesso in un requisito derogabile a posteriori dal titolare che tragga vantaggio dalla violazione.

Peraltro, lo stesso Codice di Condotta invocato da TIM, al fine di disincentivare l’accettazione, da parte dei committenti, di contratti provenienti da attività di telemarketing illecito, prevede espressamente che “nel caso a seguito dei controlli emergano contratti per i quali risulti viziato il primo contatto, detti contratti possono continuare ad avere esecuzione purché il committente informi l’interessato dell’origine viziata del contratto e che lo stesso interessato confermi la volontà di volerlo mantenere - la validità dei contratti con possibilità di annullare i contratti conclusi telefonicamente in caso di illiceità del contatto” (cfr. art. 16, comma 6, del Codice di Condotta).

Priva di pregio è altresì l’argomentazione fondata sull’assenza del sistema di opt-in nelle attuali “prassi di mercato” e sul conseguente rischio di svantaggio competitivo. L’obbligo di accountability (art. 5, par. 2, Regolamento) impone al titolare di conformarsi al dettato normativo prescindendo dalle consuetudini commerciali adottate dai concorrenti, specie laddove tali prassi si traducano in una compressione dei diritti degli interessati. Non può sussistere alcuna esimente fondata sulla violazione generalizzata della norma da parte di soggetti terzi. Al contrario, proprio l’accountability, di cui al par. 2, dell’art. 5 del Regolamento (cui consegue la generale responsabilità del titolare del trattamento di cui all’art. 24 del Regolamento e i già citati principi di cui al seguente art. 25), impone di declinare i principi in materia di corretto trattamento di dati personali di cui al par. 1 del medesimo articolo, in considerazione del contesto, della natura, nonché dei possibili rischi del trattamento in concreto svolto. Una determinata misura sarà quindi obbligatoria o meno non in considerazione delle prassi del mercato ma sulla base dell’esame dello specifico trattamento posto in essere.

Del resto, questa Autorità si è già pronunciata in senso sfavorevole su meccanismi di opt-out strutturalmente analoghi a quello adottato da TIM. Con il provv. n. 574 del 9 maggio 2024 (doc. web n. 10107938), l’Autorità ha censurato un sistema di revoca via SMS con finestra temporale di pochi minuti, ritenendolo inidoneo a disincentivare l’inserimento massivo di numerazioni tramite bot e a tutelare l’interessato ignaro dell’avvenuta iscrizione, ribadendo la preferibilità del modello di double opt-in. Analogamente, con il provv. n. 401 del 20 giugno 2024 (doc. web n. 10040382), l’Autorità ha qualificato come illegittimo un impianto di comunicazioni promozionali fondato sull’opt-out anziché sull’opt-in, e con il provv. n. 330 del 4 giugno 2025 (doc. web n. 10143278) ha censurato l’adozione, da parte di fornitori terzi incaricati della generazione di Lead, di sistemi di tracciabilità del consenso privi delle necessarie garanzie di verificabilità. Tali precedenti confermano che l’orientamento dell’Autorità in materia non costituisce un’imposizione estemporanea nel caso di specie, bensì l’applicazione di un principio già consolidato e reso pubblico, di cui la Società, quale operatore di settore sottoposto a specifica vigilanza, non poteva non avere contezza.

In relazione all’invocato principio di leale collaborazione, pur prendendo atto degli sforzi di adeguamento dichiarati dalla Società, l’Autorità non può esimersi dall’imporre misure prescrittive laddove quelle proposte risultino strutturalmente deficitarie.

Alla luce delle suesposte considerazioni, si ribadisce che l’adozione di una rigorosa procedura di verifica preventiva basata sull’opt-in (quale, a titolo esemplificativo, l’invio di una One-Time Password - OTP per la validazione del numero) rappresenta, allo stato dell’arte, una delle misure tecnico-organizzative concretamente rivelatesi utili e idonee a scongiurare il fenomeno delle anagrafiche fittizie e a garantire la piena rispondenza del trattamento ai principi di cui all’art. 25 del Regolamento.
Solo subordinando l’inserimento della numerazione nei database di ricontatto a un’azione positiva, inequivocabile e preventivamente verificata dell’effettivo titolare dell’utenza telefonica, si realizza il necessario bilanciamento tra le legittime aspettative commerciali della Società e la tutela dei diritti e delle libertà fondamentali degli interessati.

4.3. Sulla natura sistemica delle violazioni e sull’invalidità del consenso (c.d. “Lead fittizie”). Infondatezza delle argomentazioni difensive sui singoli fascicoli istruttori.

Dall’esame della memoria difensiva di TIM e dalla documentazione istruttoria, emerge un quadro di diffuse e sistematiche violazioni della disciplina in materia di protezione dei dati personali, riconducibili a una strutturale inadeguatezza dell’assetto organizzativo e dei presidi di controllo implementati dalla Società sull’operato della propria rete di vendita (agenzie e partner commerciali).

Non può essere accolta la tesi difensiva secondo cui la Società avrebbe agito correttamente limitandosi a gestire delle Lead (richieste di ricontatto) che, a sistema, apparivano formalmente valide, non potendo il titolare essere a conoscenza delle illecite chiamate “di disturbo” antecedenti.

Come già rilevato, infatti, tale argomentazione si pone in palese contrasto con i principi cardine del Regolamento, ed in particolare con il più volte richiamato principio di accountability (art. 5, par. 2, e art. 24). Il titolare del trattamento non può in alcun modo trincerarsi dietro l’apparente regolarità formale del dato inserito a sistema, allorquando l’intera architettura di acquisizione si palesa inidonea a intercettare e bloccare flussi anomali.

Come ampiamente dimostrato in sede ispettiva, le Lead in questione non possono in alcun caso considerarsi validamente prestate. È stato infatti comprovato che il “clic” effettuato dall’utente sul link ricevuto via SMS o messaggistica non era in alcun modo il frutto di una richiesta autonoma, spontanea e consapevole di un soggetto interessato ai servizi TIM. Al contrario, tale azione risultava artificiosamente indotta dall’operatore telefonico nel corso di un primo contatto abusivo, effettuato senza consenso, spesso attraverso tecniche di spoofing o verso utenze iscritte al RPO.

Ne consegue che il primo contatto risulta radicalmente illecito ex artt. 6 e 7 del Regolamento e 130 del Codice, inficiando irrimediabilmente l’intera catena del trattamento. Il presunto “consenso” raccolto a valle di una condotta decettiva e di disturbo e, comunque, a trattamento già iniziato, non è libero né specifico, ma costituisce un mero espediente tecnico architettato per “ripulire” fittiziamente la genesi illecita del dato nei database del titolare. TIM, in qualità di titolare, risponde delle condotte poste in essere dai soggetti di cui si avvale (art. 28 Regolamento), essendo configurabile in capo alla stessa una grave culpa in eligendo e in vigilando.

Risulta parimenti inconferente la circostanza per cui nessuna delle fattispecie in esame si sia tradotta nel formale perfezionamento di un rapporto contrattuale con la Società, atteso che (i) tale esito non è scaturito da un’iniziativa diretta o da un’attenta attività di monitoraggio ascrivibile alla Società, bensì dalla volontà dell’utente, il quale – esperita un’autonoma verifica e avvedutosi della condotta fraudolenta – ha negato la conferma o richiesto l’annullamento dell’ordine; (ii) il mero ordine di attivazione costituisce elemento di per sé sufficiente a comprovare l’illecita acquisizione dei dati personali degli utenti, effettuata per conto di TIM e confluita nei sistemi informatici aziendali.

L’inidoneità dei sistemi di controllo di TIM trova conferma nell’esame dei singoli reclami e segnalazioni, rispetto ai quali le giustificazioni della Società devono essere disattese per le motivazioni che seguono.

- Fasc. nn. 425095, 496215 e 437668: la Società deduce l’estraneità delle numerazioni chiamanti alla propria rete; l’apparente regolarità delle Lead generate da XX e XX; e la mancata conclusione del contratto. Tale difesa è priva di fondamento. Il fatto stesso che i sistemi aziendali abbiano recepito come “formalmente corrette” delle Lead scaturite da pressanti chiamate abusive dimostra la violazione dell’art. 25 del Regolamento (Data Protection by design e by default). I sistemi informatici di TIM sono stati progettati ignorando la fase a monte del trattamento, consentendo ai partner di inserire dati viziati. La successiva interruzione dei rapporti con le agenzie costituisce un rimedio condivisibile ma tardivo, che non sana l’illecito trattamento originario dei dati, né l’omessa vigilanza preventiva.

- Fasc. nn. 434470 e 444902: anche in tali fattispecie, la Società deduce l’apparente regolarità delle Lead generate da XX e XX. Al riguardo, si richiama quanto già dedotto al punto precedente in merito all’inadeguatezza strutturale dell’assetto organizzativo di TIM. Nel caso di cui al fasc. n. 444902, emerge peraltro un profilo di particolare gravità: il partner XX, già valutato come “INADEGUATO” da TIM nel novembre 2023 per gravissime violazioni, ha continuato a immettere contratti illeciti nel sistema. L’aver mantenuto l’agenzia operativa mediante un mero “monitoraggio cartolare” integra una macroscopica violazione degli artt. 28 e 32 del Regolamento.

- Fasc. nn. 513320 e 518841: risulta agli atti il caricamento di ordini di attivazione sui sistemi aziendali di TIM da parte del partner XX a seguito di molteplici contatti illeciti. Il fatto che i contratti non si siano perfezionati o che l’utente abbia esercitato il diritto di ripensamento ex art. 16 del Codice di Condotta, non elide la consumazione della violazione. Il diritto di ripensamento attiene alla sfera contrattuale, non alla legittimità del trattamento del dato, che rimane viziato in radice per difetto di idonea base giuridica.

- Fasc. n. 557370: la difesa della Società, tesa a qualificare l’offerta in regalo del servizio “TIM Vision” come una comunicazione di servizio basata sull’art. 6, par. 1, lett. b) del Regolamento (esecuzione di un contratto), non può essere accolta. Pur dando atto che la comunicazione in oggetto sia volta a informare il cliente della possibilità di usufruire di un vantaggio legato al rapporto contrattuale in essere, si evidenzia che la citata disposizione del Regolamento subordina la liceità del trattamento al rigoroso presupposto della sua “necessarietà” all’esecuzione del contratto. Nel caso di specie, è evidente che l’adesione gratuita a “TIM Vision” non sia in alcun modo necessaria all’adempimento del contratto di telefonia del segnalante. L’offerta del prodotto aggiuntivo persegue una chiara finalità commerciale ai sensi dell’art. 130, commi 1 e 2, del Codice. In questa categoria rientra infatti qualsiasi iniziativa – anche non strettamente pubblicitaria – volta a promuovere i propri prodotti o servizi e a fidelizzare la clientela nell’ambito di una più ampia strategia di marketing. Pertanto, tale invio richiedeva il preventivo e specifico consenso dell’interessato ex art. 130 del Codice. Avendo l’utente negato tale consenso, la comunicazione risulta illecita.

Risulta altresì irrilevante l’eccezione di TIM circa la natura di “prima difesa” della memoria prodotta per taluni fascicoli, atteso che la stessa si configura come strumento idoneo a garantire l’effettività del principio del contraddittorio.

A definitivo suggello della responsabilità del titolare vi sono le macroscopiche discrepanze statistiche relative ai volumi di attivazione mensili (es. novembre 2024), come in precedenza accennato.

L’incrocio dei file di log ha palesato anomalie di estremo rilievo: l’agenzia XX, a fronte di circa 6.000 Lead dichiarate, ha effettuato oltre 16.000 contatti; l’agenzia XX ha generato oltre 22.000 contatti con un tasso di attivazione inferiore al 4%.

Tali riscontri matematici sono idonei a minare alla base la presunzione di buona fede del titolare. Sotto il profilo logico-giuridico, la generazione di una Lead genuina – che per definizione dovrebbe presupporre una richiesta mirata e consapevole dell’utente – è incompatibile con una simile mole di tentativi di contatto andati a vuoto o rifiutati. Di fronte a tassi di conversione statisticamente anomali e a discrepanze di volumi di tale entità, la Società, in ossequio ai principi di accountability e sicurezza (artt. 5, 24 e 32 del Regolamento), avrebbe dovuto disporre interventi di verifica all’esito dei quali poteva porsi in essere l’immediato blocco dei flussi e l’attivazione di alert automatizzati. L’aver passivamente recepito tali volumi di traffico dimostra la totale assenza di audit sostanziali sulla congruità e sulle modalità operative delle agenzie nominate responsabili del trattamento, avallando di fatto l’impiego di call center “fantasma”.

Questa Autorità, pur valutando positivamente l’intento manifestato dalla Società di rafforzare i propri presidi di monitoraggio mediante l’introduzione di specifici indicatori di anomalia (c.d. trigger) funzionali all’avvio di verifiche di secondo livello, non può tuttavia esimersi dal censurare le condotte sinora poste in essere e le relative violazioni accertate in riferimento ai trattamenti pregressi.

Alla luce delle considerazioni che precedono, deve ritenersi provato che il titolare abbia strutturato e mantenuto un sistema organizzativo e informatico inidoneo a garantire la liceità dei trattamenti posti in essere dalla propria filiera commerciale.

Si confermano, pertanto, in capo a TIM le violazioni dei seguenti disposti normativi:

- artt. 5, par. 1, 6 e 7 del Regolamento e art. 130 del Codice, per aver consentito l’effettuazione di contatti promozionali abusivi – mascherati da false richieste di ricontatto – in assenza di un preventivo, libero e specifico consenso;

- art. 5, par. 2, del Regolamento: per la violazione del principio di accountability, non avendo adottato sistemi di controllo capaci di garantire e dimostrare l’effettiva vigilanza sulla legittimità dell’operato della propria rete di vendita;

- artt. 24, 25 e 28 del Regolamento: per l’omessa adozione di idonee misure tecniche e organizzative sin dalla fase di progettazione del trattamento (data protection by design), idonee a impedire il caricamento di contratti originati da numerazioni non censite o camuffate e a garantire il rispetto delle istruzioni obbligatorie impartite ai partner;

- art. 32 del Regolamento: per l’insufficienza e l’inadeguatezza delle misure di sicurezza relative ai flussi di raccolta dei consensi e ai sistemi di caricamento degli ordini.

4.4. Sulla inidoneità delle procedure di opt-out e ostacoli all’esercizio dei diritti

Questa Autorità, esaminata la memoria difensiva prodotta da TIM, ritiene che le argomentazioni ivi addotte non siano idonee a superare i rilievi formulati in sede di contestazione, confermando la sussistenza di criticità sistemiche e organizzative nella gestione delle istanze degli interessati (fatta salva la singola fattispecie di cui al fascicolo n. 519239).

Con riferimento alle segnalazioni relative al mancato recepimento delle istanze di esercizio dei diritti degli interessati da parte di TIM, si osserva quanto segue. In relazione al:

- Fasc. n. 478291: la motivazione addotta dalla Società in merito ai “tempi tecnici” necessari per l’allineamento dei sistemi informativi non è idonea a giustificare il perdurare dell’invio delle comunicazioni promozionali contestate. Il protrarsi di tale invio per oltre quattro mesi successivi all’istanza di opposizione evidenzia una manifesta inadeguatezza delle misure tecniche e organizzative adottate dal titolare. Il mero riscontro formale entro i 30 giorni è privo di efficacia se non accompagnato dalla tempestiva e materiale interruzione del trattamento.

- Fasc. nn. 438663 e 517806: l’utilizzo da parte degli interessati di canali di comunicazione aziendali asseritamente “inidonei” (PEC per il telemarketing selvaggio o e-mail del DPO in via di dismissione) ed eventuali “anomalie tecniche” non privano di validità l’istanza. È onere del titolare, in virtù del principio di accountability, dotarsi di flussi documentali interni in grado di intercettare e smistare correttamente le richieste privacy pervenute ai propri recapiti ufficiali.

Si confermano, pertanto, in capo a TIM le violazioni delle seguenti disposizioni:

- artt. 17 (Diritto alla cancellazione) e 21 (Diritto di opposizione) del Regolamento, per non aver dato seguito alle istanze degli interessati;

- artt. 6, par. 1, lett. a) del Regolamento e 130, comma 2, del Codice, in quanto l’invio di ulteriori comunicazioni promozionali, successivamente all’opposizione o alla richiesta di cancellazione, è avvenuto in assenza di un valido consenso e, dunque, privo di idoneo presupposto giuridico.

Per quanto concerne le lamentele di cui ai fasc. nn. 438663, 517806, 443623, 448740 e 557370 riguardanti la predisposizione di procedure di disiscrizione (opt-out) farraginose, che subordinano la revoca del consenso all’accesso all’Area Riservata (MyTIM) o all’utilizzo di apposite applicazioni, si rileva che tale meccanismo si pone in palese contrasto con il principio sancito dall’art. 7, par. 3, del Regolamento, secondo cui la revoca del consenso deve essere facile tanto quanto la sua prestazione. Il richiamo della Società all’art. 12, par. 6, del GDPR (necessità di verificare l’identità del richiedente) appare inconferente e strumentale. L’autenticazione informatica non può tradursi in un onere sproporzionato che di fatto preclude o disincentiva l’esercizio del diritto, in palese violazione dell’art. 12, par. 2, del Regolamento.

Con specifico riferimento ai fasc. nn. 443623 e 448740, la circostanza che una delle interessate (fasc. n. 448740) fosse cliente TIM e che entrambe le interessate abbiano infine operato in autonomia o si siano rivolte direttamente a questa Autorità non sana a posteriori le originarie carenze del sistema di disiscrizione, il quale ha frapposto indebiti ostacoli che hanno necessitato un intervento esterno o tempistiche dilatate per giungere a compimento.

Solo in un caso, fasc. n. 519239, l’Autorità ritiene condivisibile la prospettazione e l’inquadramento giuridico formulato da TIM. Dall’esame della documentazione in atti è emerso che l’invio di e-mail promozionali da parte di TIM è avvenuto nel caso di specie in virtù di un valido e preventivo consenso espresso dall’interessato in sede di sottoscrizione di un contratto di tipo “business”. Il mancato perfezionamento della procedura di disiscrizione risulta, di contro, ascrivibile a un errore materiale dello stesso segnalante. Il fascicolo in esame si ritiene pertanto archiviato.

Alla luce di quanto sopra, si confermano in capo a TIM le violazioni delle seguenti disposizioni:

- art. 12, par. 2, del Regolamento, per non aver agevolato l’esercizio dei diritti degli interessati;

- artt. da 15 a 22 del Regolamento, per aver violato le disposizioni vigenti in materia di esercizio dei diritti, rendendo di fatto inefficace la richiesta di opposizione o cancellazione;

- art. 24 del Regolamento, per non aver messo in atto misure tecniche e organizzative adeguate a recepire tempestivamente ed efficacemente la volontà degli interessati.

4.5. Sul mancato, tardivo o inidoneo riscontro alle istanze degli interessati

Le deduzioni difensive inerenti al carattere residuale e meramente statistico dei ritardi, seppur supportate dai dati quantitativi del 2025, non privano di antigiuridicità le singole violazioni contestate. Il Regolamento è posto a tutela dei diritti e delle libertà fondamentali dei singoli individui; pertanto, l’efficienza statistica del sistema non costituisce una scriminante per le violazioni perpetrate a danno dei singoli reclamanti. Tale circostanza, ove debitamente comprovata, può tuttavia essere presa in considerazione, non ai fini dell’accertamento delle violazioni, bensì in sede di quantificazione della sanzione, quale elemento sintomatico della complessiva adeguatezza dell’assetto organizzativo predisposto dal Titolare ai sensi dell’art. 83, par. 2, del Regolamento.

Si rileva, inoltre, un utilizzo distorto e non conforme alla norma delle cosiddette “risposte interlocutorie”. L’art. 12, par. 3, del Regolamento consente la proroga del termine originario di 30 giorni sino a ulteriori due mesi solo in presenza di comprovata complessità, ma impone al Titolare di informare l’interessato di tale proroga e dei relativi motivi entro un mese dal ricevimento della richiesta.

- Fasc. n. 514826: i tempi di riscontro pari a 88 giorni non possono essere giustificati dalla mera trasmissione di una risposta interlocutoria, qualora la stessa non contenga i requisiti formali e sostanziali di proroga previsti dall’art. 12, par. 3. La necessità di accertamenti incrociati non giustifica il superamento dei termini massimi cogenti.

- Fasc. nn. 425095 e 513320: i ritardi accumulati, rispettivamente di 120 e 51 giorni, certificano l’inefficacia delle procedure di riscontro. Si fa peraltro notare che, in relazione al fasc. n. 425095, diversamente da quanto sostenuto dalla Società, il “riscontro conclusivo” non è affatto pervenuto il 24 febbraio 2025. In tale comunicazione, vaga ed elusiva, TIM si è limitata a confermare che l’ordine era stato inserito nei sistemi TIM da una “Agenzia della rete di vendita” senza però comunicarne il nominativo e invocando, al riguardo, la “particolare complessità di tali operazioni”. Solo in data 26 marzo 2025, a distanza di 120 giorni rispetto alla prima richiesta e solo dopo l’avvio dell’ispezione dell’Autorità, la Società ha soddisfatto la richiesta della segnalante comunicandole che i dati sono stati trattati dall’agenzia XX. L’attesa di 120 giorni eccede persino il termine massimo e assoluto di tre mesi (30 giorni + 2 mesi di proroga) concesso dal legislatore europeo per le fattispecie di estrema complessità. La circostanza che i contatti derivassero da soggetti terzi o partner commerciali ribadisce la responsabilità in eligendo e in vigilando di TIM sull’operato della propria filiera di vendita, non potendo il Titolare far ricadere sull’interessato le inefficienze dei propri assetti organizzativi e di controllo.

- Fasc. nn. 500303 e 520955: si ritiene fondata la distinzione operata da TIM tra “prerogativa contrattuale” e “diritto privacy”. La richiesta di cancellazione di un account e la richiesta di rigenerazione della password della propria casella di posta non rientrano a pieno titolo nell’alveo dell’esercizio di un diritto privacy. Si ritiene pertanto archiviato il fasc. n. 500303. Tuttavia, con specifico riferimento al fasc. n. 520955, l’errore materiale di classificazione informatica che ha causato l’omissione di riscontro alla successiva richiesta del segnalante in merito ai tempi di conservazione, rappresenta evidenza del difetto organizzativo imputabile al Titolare.

Di conseguenza, si confermano in capo a TIM le violazioni degli artt. 5, par. 1, lett. a) e par. 2, artt. 12, 15, 17 e 21 del Regolamento.

4.6. Sulle eccezioni procedimentali formulate dalla Società

Da ultimo, non possono trovare accoglimento le contestazioni formulate dalla Società in merito alla conduzione dell’istruttoria e, più in generale, al procedimento in esame.

4.6.1. Asserita decadenza del potere sanzionatorio

Le argomentazioni formulate dalla Società in merito alla presunta intervenuta decadenza del potere sanzionatorio di questa Autorità per il decorso del termine di 120 giorni previsto per la notificazione della comunicazione di avvio del procedimento (ex art. 166, comma 5, del Codice e Tabella B, punto 2, del Regolamento n. 2/2019, di seguito anche “atto di contestazione”), sono manifestatamente infondate.

In via preliminare, si rileva che è del tutto privo di fondamento l’assunto secondo cui il termine di 120 giorni previsto dal Regolamento n. 2/2019 avrebbe iniziato a decorrere dalla data del 17 aprile 2025 (ossia dalla c.d. “Nota di scioglimento delle Riserve”).

Risulta agli atti che l’attività istruttoria non si era affatto conclusa ad aprile 2025: la stessa TIM ha successivamente trasmesso a questa Autorità tre note di aggiornamento (rispettivamente il 4 luglio, 31 luglio e 9 dicembre 2025), fornendo ulteriori elementi sui sistemi e sulle misure adottate da TIM oggetto di indagine. Aggiungasi che, da aprile a dicembre 2025, l’Autorità ha continuato a ricevere centinaia di istanze nei confronti di TIM per fattispecie simili a quelle oggetto d’istruttoria; a fronte di ciò, nei mesi di ottobre 2025, ha ritenuto di formulare ulteriori richieste di informazioni in relazione ad alcune fattispecie (cfr. fasc. nn. 496215, 478291, 500303, 513320 e 514826).

Pertanto, l’argomentazione della Società – tesa a negare ogni rilevanza procedimentale a tali invii in quanto “spontanei” e non sollecitati, al fine di invocare lo spirare dei termini al 15 settembre 2025 – appare pretestuosa e logicamente paradossale. Costituisce un evidente venire contra factum proprium la pretesa della parte di introdurre nuovi elementi nel fascicolo istruttorio (espressamente qualificati dalla stessa come “note di aggiornamento” alle riserve ispettive), implicitamente chiedendo all’Autorità di valutarli, per poi sostenere che l’Autorità debba ignorarli ai fini del computo dei termini procedimentali.

Essendo l’istruttoria proseguita, la cristallizzazione degli elementi utili all’accertamento della violazione non è potuta avvenire prima dell’acquisizione dell’ultima nota rilevante trasmessa da TIM in data 9 dicembre 2025 (acquisita al prot. n. 174524 in data 16 dicembre 2025).

Anche a voler ignorare la costante giurisprudenza di legittimità, che individua il momento dell’accertamento non già in quello della materiale acquisizione degli atti istruttori, bensì in quello della loro complessiva valutazione, e a voler far coincidere (per mera ipotesi) la data di invio dell’ultima nota di TIM con l’effettivo “accertamento della violazione” ai sensi del Regolamento n. 2/2019, considerando quindi il 9 dicembre 2025 quale dies a quo per il computo, il termine di 120 giorni sarebbe spirato in data 8 aprile 2026.

Considerato che la comunicazione di avvio del procedimento ex art. 166, comma 5, del Codice è stata regolarmente notificata alla Società in data 9 febbraio 2026 (ovvero con due mesi di anticipo rispetto alla scadenza), ne discende la piena tempestività dell’azione amministrativa e l’assoluto rispetto dei limiti temporali imposti dalla normativa vigente.

A fronte di tale ricostruzione cronologica, si palesa inconferente il richiamo al meccanismo di sospensione di cui all’art. 7 del Regolamento interno n. 2/2019 operato dalla Società. La disposizione richiamata, infatti, disciplina la sospensione di un termine già decorrente, subordinandola a un presupposto specifico e diverso da quello in discussione: un formale invito dell’Autorità all’istante a fornire “informazioni, integrazioni o precisazioni” o a esibire documenti, con conseguente ripresa del computo “dalla data di scadenza del termine fissato per l’adempimento richiesto”. Il ragionamento sopra svolto, tuttavia, non richiede l’applicazione di alcun istituto sospensivo, poiché non riguarda la sospensione di un termine in corso, bensì l'individuazione del dies a quo da cui il termine stesso inizia a decorrere. Tale termine, aggiornandosi in base al progressivo consolidamento degli atti istruttori, risulta in ogni caso ampiamente rispettato e il richiamo all'art. 7 si colloca pertanto su un piano logico-giuridico diverso e non pertinente rispetto alla questione controversa.

È altresì risolutivo rilevare che le tre note di aggiornamento di TIM sono pervenute tutte prima del decorso dei 120 giorni e del presunto esaurimento del potere sanzionatorio (la prima del 4 luglio, ad esempio, è pervenuta a soli 78 giorni dal 17 aprile).

Da ultimo, si rigetta l’eccezione relativa alla presunta illegittimità della trattazione congiunta (cumulo) di più reclami o segnalazioni in sede di contestazione sanzionatoria. La riunione di procedimenti aventi ad oggetto fattispecie analoghe o medesimi trattamenti posti in essere dal medesimo titolare non solo è prevista dal Regolamento 1/2019 all’art. 10, comma 4, ma risponde altresì a criteri di buon andamento, efficacia ed economicità dell’azione amministrativa sanciti dalla Legge 241/1990, garantendo una valutazione organica e coerente delle presunte violazioni, a piena tutela del principio di proporzionalità nell’eventuale determinazione del quantum sanzionatorio. Tale modalità di trattazione, del resto, costituisce una garanzia per lo stesso titolare del trattamento: la riunione in un unico procedimento consente infatti l’eventuale applicazione del meccanismo di assorbimento previsto dall’art. 83, par. 3, del Regolamento, per cui, in caso di violazione di più disposizioni relative al medesimo trattamento o a trattamenti collegati, l'importo complessivo della sanzione non può superare quello previsto per la violazione più grave. Ove le medesime condotte fossero state perseguite separatamente, con l’avvio di una molteplicità di procedimenti sanzionatori autonomi, il titolare sarebbe stato esposto al rischio di un esito complessivo ben più gravoso, oltre che a un moltiplicarsi degli oneri procedimentali e difensivi connessi alla gestione di più istruttorie parallele.

Alla luce delle suesposte considerazioni, le doglianze sollevate da TIM devono essere respinte in toto, dovendosi confermare la piena legittimità dell’operato dell’Autorità.

4.6.2. Presunta violazione del principio ne bis in idem

In merito alle eccezioni sollevate dalla Società relative alla presunta litispendenza e alla violazione del principio del ne bis in idem, l’Autorità ritiene le argomentazioni del tutto infondate per i motivi di seguito delineati.

Il procedimento amministrativo conclusosi con il provvedimento n. 183/2023 - attualmente sub iudice e in relazione al quale il giudice ha disposto una Consulenza Tecnica d’Ufficio (CTU) - è radicalmente distinto dall’odierna istruttoria, non sussistendo alcuna identità di soggetti, petitum e causa petendi: i fascicoli in esame, gli interessati coinvolti, le specifiche situazioni analizzate e le operazioni di trattamento contestate sono infatti differenti.

Il precedente provvedimento riguardava l’utilizzo di liste di contattabilità per finalità promozionali e le chiamate outbound da parte dei partner, prassi ormai quasi del tutto abbandonata; l’attuale procedimento si concentra invece sulle nuove modalità di acquisizione della clientela, basate su richieste di ricontatto (Lead) formulate dagli utenti dopo aver visionato le offerte sui canali digitali (siti web, social o comparatori).

La pendenza di una CTU sulla governance aziendale non conferisce dunque alla Società una “patente di liceità” assoluta su tutto l’insieme dei trattamenti svolti, né tale circostanza esenta l’Autorità dal dovere di aprire nuovi procedimenti e avviare nuove istruttorie a fronte di fatti inediti idonei a configurare autonome violazioni della disciplina sulla protezione dei dati.

Anche laddove si riscontri una coincidenza formale delle disposizioni normative contestate, non vi è alcuna coincidenza sostanziale, come dimostra l’applicazione del principio di responsabilizzazione (accountability, art. 5, par. 2 del Regolamento) nei due procedimenti: nel provvedimento n. 183/2023, la violazione dell’art. 5, par. 2, era stata accertata in stretta correlazione alla liceità dell’originaria acquisizione del dato e del primo contatto del potenziale cliente, mentre nell’odierno provvedimento la violazione riguarda non solo la liceità del dato, ma le carenze organizzative strutturali, le criticità nella sicurezza dei trattamenti e le precise scelte omissive nella progettazione del sistema dei controlli sulla filiera del dato.

Il principio sancito all’art. 5, par. 2, del Regolamento ha del resto portata generale e consente all’Autorità di sanzionare responsabilità omissive in capo al titolare riferite a fattispecie fattuali e giuridiche profondamente diverse tra loro: i trattamenti di dati personali si compongono infatti di una moltitudine di operazioni e coinvolgono numerosi attori e non possono pertanto essere valutati come un blocco univocamente lecito o illecito.

L’Autorità ha piena facoltà di concentrare la propria azione su specifici segmenti e procedure, in particolare di fronte a realtà organizzative complesse: occuparsi a più riprese del medesimo titolare non costituisce una violazione del ne bis in idem, bensì un’ipotesi espressamente contemplata dal Regolamento il cui art. 83, par. 2, lett. e) e i), impone all’Autorità di tenere conto delle “eventuali precedenti violazioni pertinenti” e del rispetto di pregressi provvedimenti adottati “relativamente allo stesso oggetto”.

Pertanto, l’adozione di misure correttive e sanzionatorie in tempi ravvicinati nei confronti della medesima Società, prendendo in esame profili e operazioni di trattamento distinte, rientra nel pieno e legittimo esercizio dei compiti istituzionali dell’Autorità.

5. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio.

Pertanto, l’Autorità ritiene accertata la responsabilità di TIM S.p.A. in ordine alle seguenti violazioni:

a. artt. 24, 25 e 28 Regolamento, per aver messo in atto misure tecniche e organizzative non adeguate a garantire, fin dalla progettazione, che il trattamento è effettuato, in ogni suo aspetto e in qualsiasi stadio e/o livello, conformemente al Regolamento, anche con riferimento ai trattamenti svolti dai responsabili;

b. artt. 5, par. 1, 6 e 7 Regolamento e art. 130 Codice, per aver effettuato o consentito a terzi il contatto di utenti iscritti al Registro delle Opposizioni senza valido presupposto giuridico;

c. art. 5, par. 2, Regolamento, principio di accountability, per non aver adottato e/o comprovato di aver adottato adeguati sistemi di controllo e vigilanza sulla rete vendita;

d. art. 32 Regolamento, per insufficienza delle misure di sicurezza relative ai flussi di raccolta dei consensi e ai sistemi di caricamento degli ordini;

e. artt. 12, parr. 2 e 3 del Regolamento, per non aver agevolato l’esercizio dei diritti, per mancato riscontro alle richieste di esercizio dei diritti o per aver riscontrato con ingiustificato ritardo;

f. da 15 a 22 del Regolamento, per aver violato le disposizioni vigenti in materia di esercizio dei diritti degli interessati.

L’Autorità dispone l’archiviazione dei fasc. nn. 519239 e 500303 per le ragioni espresse in motivazione.

Accertata altresì l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- ingiungere a TIM S.p.A., ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di introdurre correttivi nella procedura di ricontatto del cliente a seguito di richieste veicolate attraverso le pagine web della Società o dei propri partner, al fine di impedire l’introduzione massiva di numerazioni da sottoporre a ricontatto nonché al fine di documentare che il consenso al ricontatto sia pervenuto dall’effettivo interessato;

- ingiungere a TIM S.p.A., ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare adeguate misure di controllo e di vigilanza dell’operato dei propri partner e di garantire che la realizzazione di attività promozionale per conto della Società avvenga nel pieno rispetto della normativa in materia di protezione dei dati personali;

- ingiungere a TIM S.p.A., ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adeguare le procedure volte a garantire l’esercizio dei diritti ex artt. 15-22 del Regolamento, al fine di impedire o almeno ridurre considerevolmente gli episodi di mancato o ritardato riscontro e sistematica proroga dei termini;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di TIM S.p.A. della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento.

6. ORDINANZA-INGIUNZIONE

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981 nei confronti di TIM S.p.A.; poiché nel caso di specie è stata accertata l’avvenuta violazione degli artt. 5, 6, 7, 12, da 15 a 22, 24, 25, e 28, 32 del Regolamento, nonché dell’art. 130 del Codice, si applica la disposizione dettata dall’art. 83, parr. 3 e 5 del Regolamento.

Per la determinazione del massimo edittale della sanzione pecuniaria, non può essere condivisa l’osservazione di TIM volta a considerare il “solo fatturato connesso ai contratti conclusi tramite lead generate dalle Agenzie Digitali”: lo stesso Regolamento sancisce espressamente che si debba prendere come riferimento il “fatturato mondiale totale annuo dell’esercizio precedente” (art. 83 par.5 del Regolamento). Sotto questo profilo, si veda anche il Considerando 150 del Regolamento sul concetto di unità di impresa, in base al quale “se le sanzioni amministrative sono inflitte a imprese, le imprese dovrebbero essere intese quali definite agli articoli 101 e 102 TFUE a tali fini”. Pertanto, sulla base della normativa vigente e in accordo con i precedenti provvedimenti adottati dall’Autorità, occorre fare riferimento al fatturato del Gruppo TIM, come ricavato dall’ultimo bilancio d’esercizio disponibile (31 dicembre 2025). Ne consegue che, nel caso in argomento, si determina ai sensi dell’art. 83, parr. 3 e 5 del Regolamento il massimo edittale della sanzione pecuniaria in Euro 549.360.000,00.

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

- quale fattore attenuante, la moderata gravità delle violazioni (art. 83, par. 2, lett. a) del Regolamento), tenuto conto, del breve arco temporale delle violazioni e del ridotto numero di interessati coinvolti;

- quale fattore aggravante, (art. 83, par. 2, lett. b), del Regolamento) il carattere significativamente negligente delle violazioni, realizzate da un primario operatore nel settore delle telecomunicazioni, azienda che dispone del necessario know-how per una corretta declinazione delle disposizioni in materia di protezione dei dati personali;

- quale fattore attenuante, le misure adottate dalla Società (controlli sulle attività dei propri partner, anche sfociati nella risoluzione dei relativi contratti; introduzione di procedure informatiche e organizzative) nel corso dell’istruttoria per attenuare il pregiudizio, anche potenziale, nei confronti degli interessati (art. 83, par. 2, lett. c), del Regolamento);

- quale fattore aggravante il grado di responsabilità della Società (art. 83, par. 2, lett. d), del Regolamento), tenuto conto delle specificità del settore del telemarketing, caratterizzato da un ampio e pervasivo “sottobosco” e dei rischi che incombono sui dati personali di clienti e potenziali clienti;

- quale fattore aggravante (art. 83, par. 2, lett. e) del Regolamento) le numerose precedenti violazioni, anche specifiche, commesse dalla Società;

- quale fattore attenuante (art. 83, par. 2, lett. f) del Regolamento), l’elevato grado di cooperazione della Società testimoniato dalla circostanza che TIM S.p.A. ha fornito al Garante, anche nel corso delle attività ispettive, riscontri approfonditi fornendo un insieme esaustivo di elementi che hanno consentito una compiuta valutazione del complesso dei trattamenti;

- quale ulteriore fattore attenuante (art. 83, par. 2, lett. g) del Regolamento), la circostanza che le violazioni non hanno coinvolto particolari categorie di dati ai sensi dell’art. 9 del Regolamento;

- quale fattore attenuante (art. 83, par. 2, lett j) del Regolamento), l’adesione al codice di condotta per le attività di telemarketing;

- quale fattore attenuante (art. 83, par. 2, lett k) del Regolamento), gli ingenti investimenti operati dalla Società per la realizzazione di procedure di controllo della filiera di vendita volte a minimizzare le condotte illecite.

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene debba applicarsi a TIM S.p.A. la sanzione amministrativa del pagamento di una somma di euro 9.516.000,00 pari al 1,7% della sanzione massima edittale.

Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti, nonché degli elementi di rischio per i diritti e le libertà degli interessati.

Ricorrono infine i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

- ai sensi dell’art. 57, par. 1, lett. a e lett. f), del Regolamento, dichiara l’illiceità del trattamento di dati personali effettuato da TIM S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Milano, Via Gaetano Negri 1, C.F. 00488410010, per la violazione degli artt. 5, 6, 7, 12, da 15 a 22, 24, 25, e 28, 32 del Regolamento, nonché dell’art. 130 del Codice, nei termini di cui in motivazione;

- ingiunge a TIM S.p.A., ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di introdurre correttivi nella procedura di ricontatto del cliente a seguito di richieste veicolate attraverso le pagine web della Società o dei propri partner, al fine di impedire l’introduzione massiva di numerazioni da sottoporre a ricontatto nonché al fine di documentare che il consenso al ricontatto sia pervenuto dall’effettivo interessato;

- ingiunge a TIM S.p.A., ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare adeguate misure di controllo e di vigilanza dell’operato dei propri partner e di garantire che la realizzazione di attività promozionale per conto della Società avvenga nel pieno rispetto della normativa in materia di protezione dei dati personali;

- ingiunge a TIM S.p.A., ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adeguare le procedure volte a garantire l’esercizio dei diritti ex artt. 15-22 del Regolamento, al fine di impedire o almeno ridurre considerevolmente gli episodi di mancato o ritardato riscontro e sistematica proroga dei termini;

- ingiunge a TIM S.p.A., ai sensi dell’art. 58, par. 1, lett. a), del Regolamento e dell’art. 157 del Codice, di comunicare all’Autorità, entro il termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte;

ORDINA

a TIM S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Milano, Via Gaetano Negri 1, C.F. 00488410010, di pagare la somma di euro 9.516.000,00 (novemilionicinquecentosedicimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata.

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 9.516.000,00 (novemilionicinquecentosedicimila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del regolamento interno del Garante n. l/20l9, la pubblicazione del presente provvedimento sul sito internet del Garante;

b) ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento interno del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

c) ai sensi dell’art. 17 del regolamento interno del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate;

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori