Di Teresa Candela e Sabrina Peron

Negli ultimi anni, le pratiche di telemarketing aggressivo hanno attirato sempre più l’attenzione delle autorità di controllo. Il recente provvedimento del 27.02.2025, n. 10114967 del Garante per la protezione dei dati personali (Provvedimento n. 10114967 del 27.02.2025), ha ribadito la necessità di un consenso libero, specifico e informato per il trattamento dei dati personali a fini di marketing, infliggendo una sanzione di 300.000 euro a un’azienda attiva nella fornitura di energia e gas, per aver effettuato trattamenti di dati personali in contrasto con i principi di liceità e responsabilizzazione, in assenza di un’idonea base giuridica e mettendo in atto misure tecniche e organizzative inadeguate.

Il caso: chiamate indesiderate e consenso non valido

L’istruttoria avviata dal Garante ha preso il via a seguito di numerose segnalazioni di utenti che lamentavano chiamate promozionali non autorizzate da parte di una società attiva nel settore dell’energia. Le indagini hanno rivelato che la società si avvaleva di consensi generici e non granulari, ottenuti tramite form che non permettevano agli utenti di selezionare specifiche categorie merceologiche di interesse. Inoltre, non erano state adottate misure adeguate a garantire un effettivo controllo sulla filiera del trattamento dei dati, permettendo la diffusione non controllata delle informazioni personali. È emerso, inoltre, che molti utenti iscritti al Registro Pubblico delle Opposizioni erano stati comunque contattati, in violazione della normativa vigente.

Durante l’istruttoria è stato altresì accertato che l’azienda si avvaleva di soggetti terzi per le attività di telemarketing, senza esercitare un adeguato monitoraggio sulle modalità con cui venivano raccolti e trattati i dati personali. Questo ha contribuito alla diffusione incontrollata delle informazioni degli utenti, generando un forte impatto sulla loro privacy.

Le implicazioni e le novità del provvedimento

Il provvedimento del Garante si inserisce nel più ampio contesto di contrasto al telemarketing aggressivo e ribadisce con fermezza un principio fondamentale: i consensi generici e cumulativi (c.d. “omnibus”) non sono conformi alla normativa sulla protezione dei dati personali.

Il consenso al trattamento dei dati per finalità di marketing è valido solo se l’interessato può esprimere una scelta libera, specifica e distinta per ciascuna categoria merceologica (es. energia, telefonia, assicurazioni) e per ciascun canale comunicativo (telefono, SMS, e-mail, ecc.). L’imposizione di un consenso unico impedisce una decisione consapevole, favorendo una diffusione incontrollata dei dati e compromettendo i diritti degli interessati. In mancanza, ha osservato il Garante nella decisione in esame, all’interessato sarebbe concessa “l’unica alternativa di rinunciare in toto alla ricezione di comunicazioni commerciali oppure di ricevere una moltitudine imprevedibile di comunicazioni commerciali, da parte di una indistinta platea di soggetti cessionari dei dati personali operanti in settori molto differenti tra loro (ivi compresi call center), riguardanti anche servizi che nulla hanno a che vedere con il suo ambito di interesse, con una conseguente e indebita intrusione nella propria sfera di riservatezza e un’irrimediabile perdita di governabilità sui propri dati personali”.

A ciò si aggiunga che l’utilizzo di accorgimenti testuali, grafici e tecnologici suscettibili di influenzare il comportamento dell’utente o addirittura preordinati a carpirne la volontà, “non possono essere considerati in compliance con l’attuale normativa e influiscono anche sulla legittimità dei trattamenti effettuati utilizzando dati personali raccolti mediante le descritte modalità”.

Nel caso in esame, in forza delle plurime violazioni riscontrate, la società è stata sanzionata con una multa di 300.000 euro per aver contattato soggetti iscritti al Registro Pubblico delle Opposizioni in assenza di una valida base giuridica, talvolta ricorrendo a pratiche commerciali scorrette o ingannevoli. L’istruttoria ha inoltre evidenziato gravi carenze nei controlli interni e nella gestione dei responsabili esterni del trattamento, con profili di responsabilità significativi.

L’importo della sanzione è stato individuato considerato, da un lato, la gravità delle plurime violazioni in relazione alle finalità di trattamento dati per attività di telemarketing; dall’altro lato, come fattore attenuante il grado di cooperazione messo in atto dalla società al fine di rimediare alle sue mancanze.

Oltre alla sanzione economica, il Garante ha disposto anche la sanzione accessoria della pubblicazione sul sito ed ha vietato ulteriori trattamenti illeciti, ha imposto l’adozione di misure tecniche e organizzative adeguate e ha obbligato la società a informare gli interessati sugli esiti dell’istruttoria.

Si tratta di una decisione esemplare, che conferma come il rispetto delle regole in materia di consenso e trasparenza non sia un mero adempimento formale, ma un presupposto essenziale per operare legittimamente nel mercato.