Telemarketing selvaggio: la responsabilità del titolare per le violazioni della filiera

1. Il fatto

   Secondo quanto riportato da testate quali Rai News, Wired Italia e Il Sole 24 Ore, il Garante per la protezione dei dati personali ha irrogato una sanzione di oltre 79 milioni di euro a una nota società energetica, a seguito di un'istruttoria avviata dopo gli accertamenti della Guardia di Finanza su database abusivi. La vicenda riguarda la cosiddetta filiera nera del telemarketing, ovvero una rete di agenzie che, prive di un mandato diretto, acquisivano contratti tramite dati ottenuti illecitamente e li inserivano nei sistemi della società attraverso canali partner. Allo stato attuale, l'opposizione della società contro il provvedimento è stata rigettata dal Tribunale di Roma (sentenza n. 12783/2025), che ha confermato la sanzione. La difesa dell'azienda sosteneva infatti di essere vittima di condotte fraudolente poste in essere da agenzie infedeli che avrebbero eluso i controlli esistenti.

2. 

   Le norme in gioco

   Il quadro normativo ruota attorno al principio di accountability introdotto dal Regolamento UE 2016/679 (GDPR).

   1. L'articolo 24 del GDPR impone al titolare del trattamento di mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato in conformità alla norma.
   2. L'articolo 28 disciplina il rapporto con i responsabili del trattamento, esigendo che il titolare si avvalga solo di soggetti che forniscano garanzie sufficienti e che vigili sul loro operato e su quello della filiera commerciale.
   3. L'articolo 25 prevede il principio di privacy by design, obbligando a configurare i sistemi informatici (come i portali partner) affinché impediscano nativamente l'inserimento di dati non verificati.
   4. L'articolo 32 impone la sicurezza del trattamento, che nel telemarketing si traduce nella capacità di intercettare flussi anomali di contratti provenienti da fonti non tracciate.

3. Cosa dice la giurisprudenza

   L'orientamento della giurisprudenza di legittimità ha chiarito che il titolare del trattamento è investito di una posizione di garanzia che non viene meno con l'esternalizzazione delle attività promozionali. Secondo i giudici, il contratto di appalto o di agenzia non recide il legame di responsabilità se il titolare trae un vantaggio economico dal trattamento illecito e non dimostra di aver adottato ogni cautela possibile per impedirlo. La giurisprudenza unionale ha inoltre precisato che la nozione di titolare deve essere interpretata in modo estensivo: chi determina le finalità e i mezzi del trattamento (anche indirettamente, accettando contratti da una filiera non controllata) risponde delle violazioni sistemiche. Non è quindi sufficiente una clausola contrattuale di manleva per escludere la cosiddetta culpa in vigilando se i sistemi di caricamento dati risultano vulnerabili a immissioni massive da parte di soggetti non autorizzati.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Implementare clausole di ispezione e audit nei contratti con le agenzie di marketing, prevedendo il diritto di verificare fisicamente o digitalmente l'origine del consenso.
   2. Adottare sistemi di caricamento dati che richiedano metadati obbligatori sulla tracciabilità della fonte per ogni singolo record immesso.
   3. Monitorare i KPI di vendita per individuare picchi anomali di contratti che potrebbero segnalare l'immissione di database non autorizzati.
   4. Gestire la responsabilità della filiera commerciale non come una manleva cartolare, ma come un'estensione della propria accountability organizzativa.

9. Nota di aggiornamento e rettifica (17 settembre 2026)

   La versione precedente di questo articolo riportava erroneamente il coinvolgimento di 15 milioni di interessati e qualificava le agenzie come sub-responsabili ex art. 28, dettagli non corrispondenti al provvedimento. Inoltre, definiva il provvedimento come atto definitivo omettendo lo stadio processuale aggiornato. Il testo è stato corretto e anonimizzato in assenza di fonti primarie pubbliche reperibili, precisando che i contratti contestati sono circa 9.300 (di cui 978 da abusivi) e aggiornando l'esito con il rigetto dell'opposizione (Trib. Roma 12783/2025).

Riferimenti: Regolamento UE 2016/679 (GDPR) Art. 24Regolamento UE 2016/679 (GDPR) Art. 28D.Lgs. 196/2003 (Codice Privacy) Art. 130Tribunale di Roma, sentenza n. 12783/2025

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 17 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica