- Questo caso riguarda anche la mia azienda, o solo i grandi operatori telefonici?
- Cosa è successo esattamente con Wind Tre e quali regole sono state violate?
- Il Garante sta davvero aumentando i controlli sul telemarketing, o questo è un caso isolato?
- Chi è davvero responsabile quando sbaglia un agente o un call center esterno?
- Cosa succede in concreto in un'azienda manifatturiera, un e-commerce e uno studio professionale?
- Quali altri casi simili ha già sanzionato il Garante negli ultimi mesi?
- Quali strumenti esistono per gestire consensi e opt-out in modo sicuro?
- Come si fa un audit dei consensi: i passi concreti per partire subito?
- Quali sono gli errori più frequenti che portano a sanzioni come questa?
- Come capire se la tua gestione dei consensi sta davvero funzionando?
- Allora, ne vale la pena fare un audit subito o si può aspettare?
- Come la vediamo in SHM
- Domande frequenti
- Il Garante Privacy italiano ha multato Wind Tre per 16,7 milioni di euro per telemarketing senza consenso valido e mancata gestione degli opt-out.
- Il problema non era solo Wind Tre: la responsabilità si estende a tutta la rete di vendita, agenti e partner inclusi.
- Audit immediato dei consensi, tracciabilità degli opt-out e controllo sui partner commerciali sono le tre azioni prioritarie per ogni azienda che fa telemarketing.
16,7 milioni di euro di multa per aver continuato a chiamare persone che avevano già detto no. Se la tua azienda usa reti di agenti o call center per acquisire clienti, questo caso ti riguarda direttamente.
Questo caso riguarda anche la mia azienda, o solo i grandi operatori telefonici?
Riguarda chiunque faccia telemarketing, anche tramite agenti o partner esterni. Il Garante ha chiarito che la responsabilità non si delega alla rete di vendita.
Wind Tre è un operatore telefonico con milioni di clienti, ma il principio che ha portato alla multa vale per qualsiasi azienda: se usi il telefono per acquisire clienti, sei responsabile di come vengono trattati i loro dati, anche quando a chiamare è un agente esterno o un call center in outsourcing.
Il Garante Privacy italiano ha sanzionato Wind Tre con 16,7 milioni di euro per violazioni del GDPR (il Regolamento europeo sulla protezione dei dati, in vigore dal 2018). Le infrazioni riguardano il telemarketing illecito, la mancata gestione delle richieste di opt-out (cioè la richiesta di non essere più contattati) e l’attivazione di contratti a insaputa degli utenti.
Se la tua azienda fa campagne di acquisizione clienti via telefono, email o SMS — anche attraverso agenzie o reti di vendita — questo caso ti riguarda.
| La tua situazione | Rischio attuale | Perché |
|---|---|---|
| Fai telemarketing diretto con lista interna | Alto | Devi dimostrare consenso valido per ogni contatto |
| Usi agenti o call center in outsourcing | Molto alto | Sei responsabile anche delle loro azioni |
| Hai una lista acquistata da terzi | Molto alto | Il consenso deve essere specifico per il tuo uso |
| Hai un sistema di opt-out ma non lo verifichi | Alto | Se chiami chi ha detto no, la multa è automatica |
| Non fai telemarketing ma raccogli dati per marketing | Medio | Le regole sul consenso valgono anche per email e SMS |
| Hai un sistema documentato e verificato | Basso | La documentazione è la prima difesa in caso di ispezione |
Cosa è successo esattamente con Wind Tre e quali regole sono state violate?
Il Garante ha trovato persone che ricevevano chiamate promozionali dopo aver esercitato il diritto di opposizione, e contratti attivati a loro insaputa. I sistemi interni non erano in grado di bloccare queste situazioni.
L’indagine del Garante Privacy italiano su Wind Tre è partita da numerosi reclami di persone che continuavano a ricevere chiamate commerciali nonostante avessero già chiesto di non essere più contattate. Alcuni avevano addirittura trovato contratti attivati a loro nome senza averlo richiesto.
Il problema non era solo la cattiva volontà di qualche agente: i sistemi e le procedure di Wind Tre non erano strutturati per impedire queste situazioni. La rete di vendita operava senza controlli efficaci, e le richieste degli utenti non venivano recepite in modo tempestivo.
| Articolo GDPR violato | Cosa prevede | Cosa è mancato in Wind Tre |
|---|---|---|
| Art. 5 – Principi base | I dati vanno trattati in modo lecito e trasparente | Contatti senza base giuridica valida |
| Art. 6 – Liceità del trattamento | Serve consenso o altra base legale | Consensi non validi o assenti |
| Art. 12 e 15 – Diritti degli interessati | Le richieste degli utenti vanno gestite | Risposte tardive o assenti |
| Art. 21 – Diritto di opposizione | Chi dice no non deve più essere contattato | Opt-out non rispettati |
| Art. 24 e 25 – Responsabilità e privacy by design | Il titolare deve prevenire le violazioni | Sistemi non progettati per bloccare usi illeciti |
| Art. 32 – Sicurezza del trattamento | Misure tecniche e organizzative adeguate | Controlli insufficienti sulla rete di vendita |
Il Garante non si è fermato alla multa: ha anche vietato a Wind Tre di continuare a usare i dati acquisiti senza consenso e ha ordinato di adottare misure concrete per rispettare i diritti degli utenti, in particolare il diritto di opposizione al marketing diretto. Un caso simile, con la stessa logica sanzionatoria, aveva già colpito BBVA per 5,5 milioni di euro per aver ignorato l’opt-out di un cliente.
Il Garante sta davvero aumentando i controlli sul telemarketing, o questo è un caso isolato?
Non è un caso isolato. Nel 2024 il telemarketing aggressivo ha generato 6 milioni di euro di sanzioni solo in Italia, e l’attività ispettiva del Garante è in crescita costante.
Secondo i dati della relazione annuale del Garante Privacy per il 2024, l’autorità ha adottato 835 provvedimenti totali, di cui 468 correttivi o sanzionatori, e ha gestito oltre 4.000 reclami. Le ispezioni — condotte anche con la Guardia di Finanza — sono state 130.
Il telemarketing è uno dei settori più colpiti. Nello stesso 2024, il Garante ha approvato il primo Codice di condotta nazionale per telemarketing e teleselling, con un organismo indipendente di monitoraggio. Da gennaio 2026 è attiva la piattaforma SegnalaODM, che permette agli utenti di segnalare le violazioni degli operatori aderenti al Codice, come riportato da Federprivacy.
La sanzione più alta mai irrogata dal Garante italiano resta quella a Enel Energia: 79,1 milioni di euro per telemarketing illecito, confermata dal Tribunale di Roma nel settembre 2025, come riportato da klarproof.com. Wind Tre si inserisce in una serie di sanzioni crescenti che coinvolgono operatori energetici, telecomunicazioni e banche. Il quadro europeo è ancora più ampio: secondo scrut.io, dal 2018 ad agosto 2025 le autorità europee hanno emesso oltre 2.800 sanzioni GDPR per un totale superiore a 6,2 miliardi di euro, con più del 60% concentrato dal gennaio 2023 in poi.
Chi è davvero responsabile quando sbaglia un agente o un call center esterno?
Il titolare del trattamento — cioè la tua azienda — è sempre responsabile, anche se a chiamare è un partner esterno. Delegare l’esecuzione non significa delegare la responsabilità.
Questo è il punto che molte aziende sottovalutano. Il Garante ha sottolineato esplicitamente che chi usa reti di vendita complesse resta responsabile di garantire che i dati personali siano trattati in modo conforme al GDPR. Non basta firmare un contratto con il call center: bisogna verificare che le procedure funzionino davvero.
Lo stesso principio si applica a chi usa agenzie di marketing, partner commerciali o rivenditori che raccolgono dati per conto dell’azienda. Se quell’agente chiama qualcuno che aveva già detto no, la multa arriva all’azienda committente, non solo all’agente.
- 1 · Azienda committenteDefinisce le regoleStabilisce quali liste usare, quali consensi sono validi, come gestire gli opt-out. Deve farlo per iscritto, con procedure verificabili.
- 2 · Partner / call centerEsegue le campagneChiama, invia email o SMS seguendo le istruzioni ricevute. Deve essere nominato ‘responsabile del trattamento’ con un contratto specifico (DPA).
- 3 · Azienda committenteControlla e documentaVerifica periodicamente che il partner rispetti le regole. Senza controlli documentati, in caso di ispezione la responsabilità ricade interamente sull’azienda.
- 4 · Utente finaleEsercita i suoi dirittiPuò chiedere di non essere più contattato (opt-out), accedere ai propri dati o cancellarli. La richiesta deve essere gestita entro 30 giorni.
- 5 · Azienda committenteAggiorna le listeOgni opt-out deve essere recepito in tutti i sistemi, inclusi quelli dei partner. Un opt-out ignorato è la violazione più facile da dimostrare in sede di ispezione.
Cosa succede in concreto in un’azienda manifatturiera, un e-commerce e uno studio professionale?
Le regole sono le stesse per tutti, ma i rischi concreti cambiano in base a come si raccolgono e usano i dati dei potenziali clienti.
Esempi illustrativi: i numeri e le situazioni seguenti servono a mostrare il ragionamento, non sono dati di clienti reali.
| Tipo di azienda | Situazione tipica | Rischio principale | Azione prioritaria |
|---|---|---|---|
| Azienda manifatturiera B2B | Lista di prospect raccolta in fiera, passata a un agente per follow-up telefonico | Consenso non documentato, nessun sistema di opt-out | Raccogliere consenso esplicito in fiera, creare registro degli opt-out |
| E-commerce | Newsletter e SMS promozionali a chi ha acquistato in passato | Consenso al marketing non separato da quello contrattuale | Separare i consensi nel form di registrazione, aggiornare la privacy policy |
| Studio professionale | Contatti di ex clienti usati per promuovere nuovi servizi | Uso di dati raccolti per un fine diverso da quello originale | Verificare se il consenso copre anche il marketing, altrimenti chiedere nuovo consenso |
Il tema del consenso separato è cruciale per gli e-commerce: spesso il consenso al trattamento dei dati per l’acquisto viene confuso con il consenso al marketing. Sono due cose distinte. Chi compra da te non ha automaticamente detto sì alle tue email promozionali. Questo errore è tra i più comuni e tra i più facili da contestare in sede di ispezione, come abbiamo visto anche nel caso delle impostazioni predefinite nelle campagne ads con AI.
Quali altri casi simili ha già sanzionato il Garante negli ultimi mesi?
Il Garante ha sanzionato operatori energetici, banche e aziende di telecomunicazioni con importi crescenti. Il telemarketing illecito è la categoria più colpita.
| Azienda | Sanzione | Motivo principale | Anno |
|---|---|---|---|
| Enel Energia | 79,1 mln € | Telemarketing illecito, carenze sicurezza banche dati | 2024 |
| Wind Tre | 16,7 mln € | Telemarketing senza consenso, opt-out non rispettati | 2026 |
| BBVA | 5,5 mln € | Opt-out ignorato, marketing diretto illecito | 2025 |
| Acea Energia | 3,0 mln € | Telemarketing illecito, agenzie coinvolte | 2025 |
| E.ON Energia | 0,89 mln € | Telemarketing senza base giuridica idonea | 2025 |
La sanzione ad Acea Energia è particolarmente rilevante perché ha colpito anche le agenzie coinvolte nella campagna, con 850.000 euro aggiuntivi. Questo conferma che il rischio si distribuisce lungo tutta la catena: committente, agenzia, call center.
Non si tratta di un’attenzione temporanea. Il Garante ha dichiarato il telemarketing aggressivo una priorità di enforcement, e il nuovo Codice di condotta — operativo dal marzo 2024 — fornisce uno strumento in più per le ispezioni. Chi non aderisce al Codice o non rispetta le sue regole è esposto a sanzioni più rapide.
Quali strumenti esistono per gestire consensi e opt-out in modo sicuro?
Esistono soluzioni tecniche e procedurali per ogni dimensione d’azienda. La scelta dipende dal volume di contatti e dalla complessità della rete di vendita.
| Strumento / approccio | Adatto a | Cosa risolve | Limite principale |
|---|---|---|---|
| CRM con gestione consensi integrata | PMI e mid-market | Traccia consenso e opt-out per ogni contatto | Richiede configurazione e manutenzione |
| Consent Management Platform (CMP) | E-commerce, siti con molti utenti | Gestisce consensi web, cookie, newsletter | Non copre i contatti telefonici |
| Registro manuale su foglio Excel | Micro-imprese con pochi contatti | Economico e immediato | Non scalabile, difficile da auditare |
| Integrazione CRM + call center | Aziende con rete di vendita esterna | Sincronizza opt-out in tempo reale tra sistemi | Costo di integrazione più alto |
| Verifica automatica contro RPO | Chi fa telemarketing su numeri fissi e mobili | Esclude automaticamente chi è iscritto al Registro Opposizioni | Richiede aggiornamento periodico della lista |
Il Registro Pubblico delle Opposizioni (RPO) è uno strumento obbligatorio per chi fa telemarketing su numeri di telefono italiani. Al 9 ottobre 2024 risultavano 30 milioni di iscrizioni al registro telefonico, con oltre 150.000 segnalazioni di violazioni nello stesso anno, secondo i dati ufficiali RPO riportati da robertapegoraro.it. Chiamare un numero iscritto all’RPO senza consenso esplicito è una violazione immediata e documentata.
La scelta dello strumento giusto dipende dalla tua situazione. Un e-commerce con 50.000 iscritti alla newsletter ha esigenze diverse da un’azienda manifatturiera con 200 prospect gestiti da tre agenti. L’importante è che il sistema scelto produca documentazione verificabile: in caso di ispezione, la prova del consenso e dell’opt-out deve essere recuperabile in pochi minuti.
Come si fa un audit dei consensi: i passi concreti per partire subito?
Un audit dei consensi non richiede mesi: in una settimana puoi avere una fotografia chiara della tua situazione e un piano di priorità.
- 1 · Responsabile marketing / DPOMappa tutte le liste di contattiDove sono i dati? CRM, fogli Excel, sistemi del call center, database del sito. Ogni lista deve avere un’origine documentata.
- 2 · Responsabile marketing / legaleVerifica la base giuridica per ogni listaPer ogni gruppo di contatti: c’è un consenso esplicito? È documentato? Copre anche il marketing, o solo il contratto?
- 3 · IT / CRM managerControlla il sistema di opt-outChi chiede di non essere più contattato viene bloccato in tutti i sistemi, inclusi quelli dei partner? In quanto tempo? Testa il processo.
- 4 · Responsabile vendite / partner managerVerifica i contratti con i partnerOgni call center o agenzia ha un contratto che li nomina ‘responsabili del trattamento’ (DPA)? Le loro procedure sono allineate alle tue?
- 5 · DPO / legaleAggiorna il registro dei trattamentiIl registro deve riflettere la situazione reale, non quella ideale. Se mancano dati, è il momento di aggiungerli.
- 6 · Tutto il teamDefinisci le priorità di interventoNon tutto si risolve in un giorno. Classifica i rischi per urgenza e impatto, e assegna responsabilità chiare con scadenze.
Un punto spesso trascurato: l’audit non è un evento una tantum. Il Garante valuta positivamente le aziende che hanno procedure di verifica periodica, non solo quelle che hanno fatto un audit una volta. Inserire una revisione semestrale nel calendario è una delle misure più semplici per dimostrare accountability (cioè la responsabilità attiva di chi gestisce i dati).
Per chi gestisce processi di marketing automation — flussi automatici di email, SMS o chiamate — il tema si intreccia con la gestione delle richieste di accesso ai dati, un altro fronte su cui il Garante sta aumentando i controlli.
Quali sono gli errori più frequenti che portano a sanzioni come questa?
Gli errori più comuni non sono atti dolosi: sono procedure mancanti, sistemi non integrati e controlli mai verificati sul campo.
Dall’analisi dei casi sanzionati dal Garante emerge un pattern ricorrente. Gli errori non sono quasi mai intenzionali: nascono da processi costruiti senza pensare alla compliance, o da sistemi che non comunicano tra loro.
| Errore comune | Perché è rischioso | Come correggerlo |
|---|---|---|
| Consenso generico nel form di registrazione | Non copre il marketing diretto, è contestabile | Separare il consenso al contratto da quello al marketing |
| Opt-out registrato solo nel CRM principale | Il call center esterno continua a chiamare | Sincronizzare l’opt-out in tutti i sistemi entro 24 ore |
| Lista acquistata da terzi usata senza verifica | Il consenso originale non copre il tuo uso specifico | Verificare la catena di consenso o non usare la lista |
| Nessun contratto DPA con il call center | In caso di violazione, la responsabilità è tutta tua | Firmare un Data Processing Agreement con ogni partner |
| Audit dei consensi mai fatto | Non sai cosa c’è nelle tue liste | Pianificare un audit entro 30 giorni e poi ogni 6 mesi |
| Privacy policy non aggiornata | Non riflette i trattamenti reali, è una violazione in sé | Aggiornare la policy e comunicarla agli utenti |
Come capire se la tua gestione dei consensi sta davvero funzionando?
Ci sono indicatori concreti che puoi monitorare senza strumenti sofisticati. Il segnale più chiaro è la velocità con cui un opt-out viene recepito in tutti i sistemi.
| Indicatore | Valore target | Segnale di rischio |
|---|---|---|
| Tempo di recepimento opt-out in tutti i sistemi | < 24 ore | Più di 48 ore o non verificato |
| Percentuale di contatti con consenso documentato | 100% | Qualsiasi lista senza fonte documentata |
| Contratti DPA firmati con tutti i partner | 100% dei partner attivi | Anche un solo partner senza DPA |
| Data dell’ultimo audit dei consensi | < 6 mesi fa | Nessun audit o audit > 12 mesi fa |
| Verifica lista contro RPO prima di ogni campagna | Sì, documentata | Non effettuata o non documentata |
Un test pratico: prendi un contatto a caso dalla tua lista e cerca di ricostruire, in meno di cinque minuti, quando ha dato il consenso, per quale finalità e se ha mai chiesto di non essere più contattato. Se non riesci a rispondere, hai un problema di tracciabilità. Questo è esattamente il tipo di verifica che fa il Garante durante un’ispezione.
Il tema della tracciabilità si applica anche alle campagne digitali: le impostazioni predefinite nelle campagne ads con AI possono generare trattamenti di dati non autorizzati senza che l’azienda se ne accorga.
Allora, ne vale la pena fare un audit subito o si può aspettare?
Vale la pena sefai telemarketing — anche solo via email o SMS — e non hai mai verificato la validità dei consensi nelle tue liste. Il rischio è concreto e l’audit si fa in pochi giorni.
Una via di mezzohai già un sistema di gestione dei consensi ma non lo verifichi periodicamente e non hai contratti DPA con tutti i partner. Un audit parziale e focalizzato è sufficiente.
Non ancora senon fai alcuna attività di marketing diretto e non raccogli dati di contatto per finalità promozionali. In questo caso, le regole sul telemarketing non si applicano.
Come la vediamo in SHM
Per noi, l’AI e l’automazione dei processi di marketing vanno integrate per sollevare le aziende dalla routine — non per aggirare le regole. Un sistema di consent management ben costruito non è un ostacolo alle campagne: è ciò che le rende sostenibili nel tempo, senza il rischio di vedersi bloccare le liste o ricevere una multa che azzera mesi di lavoro.
Lavoriamo con aziende che usano marketing automation e campagne digitali su più canali. Quando affrontiamo un progetto di integrazione strategica dell’AI nei processi aziendali, la tracciabilità dei consensi è uno dei primi punti che verifichiamo: non perché sia obbligatorio, ma perché un sistema che non sa distinguere chi ha detto sì da chi ha detto no non è un sistema affidabile.
Pensiamo a un’azienda che gestisce campagne di lead generation con un CRM e un call center esterno: spesso i due sistemi non comunicano in tempo reale, e un opt-out registrato nel CRM non raggiunge il call center prima della chiamata successiva. È un problema tecnico, non di malafede, ma le conseguenze legali sono le stesse. Integrare i sistemi per sincronizzare gli opt-out in automatico è uno dei casi d’uso più concreti dell’elaborazione dati e business intelligence applicata alla compliance.
Se vuoi capire da dove partire, il nostro team è disponibile per una prima valutazione. Puoi trovarci su shm.studio/contatti. Trovi altri approfondimenti su normativa digitale e processi nel cluster Project management e tecnologia.
Domande frequenti
Sì. Le regole del GDPR sul telemarketing si applicano a qualsiasi azienda che contatta persone per finalità promozionali, indipendentemente dal settore. Se usi email, SMS o telefonate per acquisire clienti, sei soggetto alle stesse norme.
Dipende da come è stato raccolto e per quale finalità. Un consenso generico, non specifico per il marketing, o raccolto senza informativa adeguata, non è valido. È necessario verificare caso per caso e, se necessario, raccogliere un nuovo consenso.
Sì, sempre. Il GDPR stabilisce che il titolare del trattamento — cioè la tua azienda — è responsabile anche delle azioni dei partner che trattano dati per suo conto. Devi avere un contratto specifico (Data Processing Agreement) e verificare che le loro procedure siano conformi.
Il Registro Pubblico delle Opposizioni (RPO) è un elenco di numeri di telefono i cui titolari hanno chiesto di non essere contattati per telemarketing. Chi fa campagne telefoniche è obbligato a verificare le proprie liste contro il registro prima di ogni campagna. Al 2024 risultavano 30 milioni di iscrizioni.
Il GDPR non fissa un termine specifico per l’opt-out al marketing, ma prevede che le richieste degli interessati siano gestite senza ingiustificato ritardo. In pratica, il Garante considera accettabile un recepimento entro 24-48 ore in tutti i sistemi coinvolti.
Le sanzioni GDPR possono arrivare fino al 4% del fatturato annuo globale o a 20 milioni di euro, a seconda di quale importo è più alto. Il Garante può anche vietare il trattamento dei dati, il che significa bloccare le campagne di marketing fino a quando la situazione non è sanata.
La multa non arriva perché hai fatto telemarketing: arriva perché non riesci a dimostrare che lo hai fatto nel rispetto delle regole.
Articoli correlati
Scopri altri articoli che approfondiscono temi simili, selezionati per offrirti una visione più completa e stimolante. Ogni contenuto è scelto con cura per arricchire la tua esperienza.
