Telemarketing e consensi: le priorità del Garante Privacy
La Relazione 2025 del Garante Privacy pone il telemarketing tra le priorità di vigilanza. Un riferimento chiave per chi usa liste contatti, indicando cosa è contestato e cosa no.
Garante Privacy 2025: telemarketing e consensi nel mirino
La Relazione annuale del Garante per la protezione dei dati personali, pubblicata il 2 luglio 2026 e relativa all’attività svolta nel 2025, mette il telemarketing tra le priorità di vigilanza. Chi usa liste contatti per attività commerciali ha oggi un riferimento preciso su cosa viene contestato, e cosa no.
In sintesi
- La Relazione 2025 fotografa un anno di ispezioni: il telemarketing resta uno dei settori con il maggior numero di procedimenti aperti.
- Il nodo principale non è “avere il consenso” ma dimostrare come è stato raccolto, quando, con quale testo e per quale finalità specifica.
- Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato globale annuo, secondo l’art. 83 del Regolamento UE 2016/679.
- Chi usa liste acquistate da terzi o ereditate da CRM, sigla per Customer Relationship Management ovvero il sistema digitale dove tieni i dati di clienti e prospect, vecchi è il profilo più esposto.
- Un’autoverifica interna sui consensi esistenti richiede meno tempo di un’ispezione e costa meno di una sanzione.
Cosa ha rilevato il Garante nel 2025
La Relazione non introduce novità normative. Conferma una priorità già consolidata e, soprattutto, dice dove sono state trovate le lacune più frequenti.
Il Garante ha contestato non solo le aziende che chiamavano senza alcun consenso. Ha contestato anche quelle con consensi generici, consensi raccolti per finalità diverse da quelle poi praticate, e consensi validi al momento della raccolta ma mai aggiornati dopo modifiche nelle attività di contatto. Un’agenzia immobiliare che ha raccolto contatti a una fiera nel 2021 e li usa ancora oggi per campagne di nurturing (sequenze di messaggi per mantenere il contatto con potenziali clienti nel tempo), senza aver mai verificato se quei consensi reggono ancora, è esattamente il profilo che emerge dalla Relazione.
L’impatto operativo è diretto. Se nel tuo CRM ci sono liste che risalgono a due o tre anni fa, e non sai con certezza come è stato raccolto ogni consenso, stai già operando in zona grigia. Non serve aspettare un’ispezione per scoprirlo.
Il problema delle liste: chi ha chiamato chi, e perché
Il telemarketing in Italia funziona spesso per catene. Un’azienda compra o affitta una lista da un fornitore, un call center la lavora, il brand finale risulta il chiamante. Il Garante ha chiarito in modo ripetuto che la responsabilità non si trasferisce con la lista.
Se il tuo nome appare come mittente della comunicazione commerciale, sei il titolare del trattamento. Titolare del trattamento è la figura tecnico-giuridica definita dal GDPR, sigla inglese per General Data Protection Regulation, ovvero il Regolamento UE 2016/679 sulla protezione dei dati personali in vigore dal 2018: sei tu che decidi perché e come vengono usati quei dati. Non il fornitore della lista. Non il call center.
Un hotel che affida le campagne promozionali a un’agenzia esterna, la quale usa a sua volta una lista di contatti profilati acquistata altrove, non può scaricare la responsabilità sull’agenzia se arriva un’ispezione. Può distribuire i rischi nei contratti. Davanti al Garante, risponde anche lui.
La domanda da fare oggi è semplice. La risposta lo è meno. Per ogni lista attiva nel CRM: sai dire da dove viene ogni contatto, quando ha dato il consenso, con quale testo esatto e per quali finalità specifiche?
Se la risposta è “più o meno” o “dovrebbe essere nel sistema”, il problema esiste già.
Consenso granulare: cosa vuol dire in pratica
“Consenso granulare” è un’espressione tecnica che indica una cosa concreta. Il consenso deve essere separato per ogni finalità di utilizzo. Non può essere una casella unica che copre tutto.
Un contatto che ha accettato di ricevere la newsletter non ha automaticamente accettato di essere chiamato da un operatore. Un cliente che ha acquistato online senza spuntare la casella del marketing non può essere inserito in una lista di remarketing (campagne pubblicitarie rivolte a chi ha già interagito con il sito o con l’azienda). Il modulo con una casella unica “accetto di ricevere comunicazioni commerciali”, che molte aziende usano ancora oggi, non soddisfa questo requisito se le comunicazioni poi includono canali e finalità diverse.
Esempio concreto. Uno studio di consulenza che ha organizzato un webinar gratuito nel 2023 e ha usato i contatti iscritti per inviare in seguito offerte su nuovi servizi a pagamento: se il modulo di iscrizione al webinar non distingueva tra “aggiornamenti formativi” e “proposte commerciali”, quei consensi non coprono l’uso commerciale. La distinzione non è sottile. È esattamente ciò che il Garante ha contestato in casi analoghi durante il 2025.
Cosa fare oggi: rileggere ogni modulo attivo sul sito e sugli altri punti di contatto. Le finalità sono elencate in modo separato? I canali autorizzati sono specificati? Il testo è chiaro o generico?
Registro dei consensi: lo strumento che cambia tutto
Costruire o aggiornare un registro dei consensi è l’azione più concreta che un’azienda può fare in questo momento. Non è un documento burocratico fine a se stesso. È la prova che, se arriva un’ispezione, puoi mostrare.
Per ogni lista o segmento del CRM, il registro risponde a cinque domande:
- Data e modalità di raccolta del consenso
- Testo esatto mostrato al contatto al momento della raccolta
- Canali autorizzati: email, telefono, SMS, messaggistica
- Finalità autorizzate: newsletter, offerte commerciali, ricerche di mercato
- Data dell’ultima verifica di validità
Un e-commerce con 15.000 contatti attivi che non ha questo registro è esposto anche se ha fatto tutto correttamente nel tempo. Senza documentazione, non può dimostrarlo. Nel diritto della protezione dei dati personali, chi non può dimostrare la conformità è trattato come chi non è conforme. Non è una sfumatura: è il principio di accountability, ovvero responsabilizzazione, su cui si regge l’intero GDPR.
Costruire il registro richiede un’analisi dei sistemi esistenti: CRM, piattaforme di email marketing, moduli sul sito, fogli di raccolta da fiere ed eventi. Una clinica privata che raccoglie contatti attraverso tre canali diversi, ad esempio il sito, le campagne Google e gli open day, e non ha mai unificato la documentazione dei consensi, può impiegare una settimana per fare ordine. Meno di quanto impiegherebbe a rispondere a un’ispezione.
Cosa fare prima che arrivi un’ispezione
Le ispezioni del Garante non sempre seguono un esposto. Possono essere programmate per settore o avviate su campioni. Il telemarketing è sotto osservazione continuativa. Non c’è un momento “giusto” per aspettare.
Cinque azioni concrete da fare oggi.
Primo: censire le liste attive. Quante sono, dove si trovano, chi le gestisce. In molte aziende esistono liste su più sistemi che nessuno ha mai consolidato, spesso ereditate da chi non lavora più lì.
Secondo: per ogni lista, risalire alla fonte del consenso. Se non è documentata, quella lista è a rischio. Va sospesa o ripulita prima di continuare a usarla.
Terzo: verificare i moduli di raccolta consenso attivi oggi. Sono granulari? Distinguono i canali? Il testo è specifico o vago?
Quarto: se si usano fornitori esterni, call center, agenzie, piattaforme di lead generation (generazione di contatti commerciali qualificati), verificare i contratti. Chi è titolare del trattamento? Chi è responsabile del trattamento, figura distinta dal titolare che tratta i dati per conto di quest’ultimo? Chi risponde se il consenso non è valido?
Quinto: nominare un referente interno per la gestione dei dati di marketing. Anche se l’azienda non ha l’obbligo di nominare un DPO, sigla inglese per Data Protection Officer ovvero il responsabile della protezione dei dati, figura obbligatoria solo in certi casi previsti dal GDPR, qualcuno deve sapere dove sono i consensi e tenerli aggiornati quando cambiano le pratiche.
Resta il fatto che la maggior parte delle sanzioni in materia di telemarketing non nasce da comportamenti deliberatamente scorretti. Nasce da disorganizzazione documentale. Il problema non è quasi mai “non abbiamo il consenso”. È “non riusciamo a dimostrare di averlo”.
Domande correlate
Le liste di contatti acquistate da terzi sono usabili per il telemarketing?
Solo se il fornitore può dimostrare che i contatti hanno dato un consenso specifico per essere contattati da terzi per finalità commerciali, con testo e data verificabili. In assenza di questa documentazione, usare la lista espone al rischio di sanzione come titolare del trattamento.
Cosa rischia concretamente un’azienda sanzionata dal Garante per telemarketing?
Le sanzioni vanno da ammonimenti formali fino a 20 milioni di euro o al 4% del fatturato globale annuo, secondo l’art. 83 del Regolamento UE 2016/679. Nella pratica, le sanzioni più frequenti per telemarketing si collocano tra poche decine di migliaia e qualche milione di euro, a seconda della gravità e della dimensione dell’azienda.
Il consenso raccolto nel 2019 è ancora valido oggi?
Dipende da come è stato raccolto e da come viene usato. Se il testo copre le finalità e i canali attualmente usati, e non ci sono stati cambiamenti nelle pratiche, può essere ancora valido. Se nel frattempo sono stati aggiunti canali o finalità nuove, il consenso originale non copre le nuove attività.
Un cliente esistente può essere contattato per offerte senza consenso esplicito?
Il GDPR prevede una base giuridica chiamata “legittimo interesse” per comunicazioni a clienti esistenti su prodotti o servizi analoghi a quelli già acquistati. Questa base ha limiti precisi e richiede comunque un’analisi documentata. Non è una scappatoia automatica.
Quanto tempo richiede una verifica interna sui consensi?
Per un’azienda con un CRM ordinato e liste non frammentate, una settimana di lavoro dedicato è sufficiente per un primo censimento. Per realtà con dati distribuiti su più sistemi, si può arrivare a tre o quattro settimane. In ogni caso, meno di un’ispezione.
Fonti:
- Garante per la protezione dei dati personali, Relazione 2025, pubblicata il 02/07/2026: https://www.garanteprivacy.it/garante/document?ID=10266894
- Regolamento UE 2016/679 (GDPR), art. 83 (sanzioni): https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016R0679