La richiesta di ricontatto che non hai mai fatto: come una chiamata illecita diventa regolare

Il problema non è la chiamata. È la seconda

Chiunque abbia un telefono in Italia conosce la prima parte di questa storia: squilla un numero che non si conosce, dall'altra parte qualcuno propone un'offerta di telefonia. Se il numero è iscritto al Registro pubblico delle opposizioni quella chiamata non dovrebbe arrivare, e infatti spesso arriva da una numerazione camuffata — spoofing — oppure non censita al Registro degli operatori di comunicazione.

Fin qui è il fenomeno che tutti conoscono. Il provvedimento del Garante del 23 luglio 2026, reso pubblico il 31 luglio, descrive quello che succede dopo, ed è la parte che nessuno vede.

Dopo la telefonata irregolare, all'utente arriva un SMS con un link. Il link porta alla pagina web di un partner ufficiale della rete di vendita TIM: un soggetto autorizzato, un sito legittimo, un modulo vero. Su quel modulo l'utente viene invitato a inserire i propri dati per formulare una «autonoma richiesta di ricontatto» — nel gergo del settore, una Lead.

A quel punto il call center richiama. Ma questa seconda volta usa una numerazione regolarmente iscritta al ROC, e ha in mano una richiesta di contatto formalmente valida. Il Garante lo scrive con precisione: il ricontatto avviene «al fine di generare un flusso telefonico apparentemente lecito e un processo di contrattualizzazione formalmente regolare».

1. 01
   Prima chiamata

   numerazione camuffata o non censita, verso utenze iscritte al RPO
2. 02
   SMS con link

   pagina di un partner ufficiale, modulo di richiesta di ricontatto
3. 03
   Seconda chiamata

   numerazione regolare, «Lead» in mano: sulla carta è tutto a posto

Cosa vede chi controlla

È qui che il meccanismo diventa interessante dal punto di vista della sicurezza, e non solo della privacy. Chiunque faccia un controllo a valle — la casa madre, un auditor, un ente di certificazione — trova una filiera in ordine: una richiesta esplicita dell'utente, una chiamata partita da un numero registrato, un contratto firmato con il consenso raccolto.

Il difetto non è in nessuno dei tre passaggi presi singolarmente. È nel fatto che il primo passaggio, quello illecito, non lascia traccia nel fascicolo. La Lead serve esattamente a questo: a fornire un'origine documentabile a un contatto che aveva un'origine diversa.

Il volume dà la misura. Il procedimento nasce da «numerosi reclami e segnalazioni relativi a chiamate promozionali indesiderate effettuate per conto di TIM», quantificati dal Garante in circa 7.000 nel 2025.

Il codice di condotta non è uno scudo

La difesa dell'azienda si appoggiava in parte all'adesione a un codice di condotta di settore. L'Autorità ha ritenuto insufficienti le giustificazioni e ha ribadito un principio che vale ben oltre il telemarketing: l'adesione a un codice di condotta «non esonera il titolare del trattamento dall'obbligo di vigilare sull'operato dei propri partner e di verificare l'effettiva applicazione delle misure di protezione dei dati lungo l'intera filiera del telemarketing».

È la stessa logica che si incontra in ogni catena di fornitura: una certificazione attesta che un processo è stato descritto e valutato in un certo momento, non che stia funzionando adesso, presso quel fornitore, su quel flusso di dati. Chi si ferma alla certificazione sta controllando il documento, non l'attività.

La seconda contestazione, quella che riguarda tutti

Oltre allo schema delle Lead, il Garante ha accertato la sistematica inosservanza degli obblighi in materia di esercizio dei diritti degli interessati: omesso o tardivo riscontro alle istanze di accesso, cancellazione e opposizione, e adozione di procedure di disiscrizione «eccessivamente complesse e, in alcuni casi, non funzionanti».

Questa parte merita attenzione perché è la meno spettacolare e la più concreta. Un diritto che esiste sulla carta ma richiede un percorso tortuoso per essere esercitato — o che porta a un modulo rotto — produce lo stesso risultato pratico di un diritto negato. Con una differenza: nessuno se ne accorge dall'esterno, perché la funzione formalmente c'è.

Cosa deve fare l'azienda, oltre a pagare

Il provvedimento non si esaurisce nella sanzione. TIM dovrà:

• introdurre correttivi nella procedura di generazione delle Lead — cioè intervenire sul meccanismo che ha reso possibile lo schema, non solo sui singoli call center;
• rafforzare i controlli e la vigilanza sulla rete di vendita;
• adeguare le procedure di esercizio dei diritti degli interessati.

L'ordine dei tre punti non è casuale: il primo è quello strutturale. Sanzionare i call center abusivi uno per uno è un lavoro senza fine finché resta in piedi il canale che trasforma un contatto illecito in una richiesta valida.

Cosa portarsi via

Se ricevete un SMS con un link dopo una telefonata promozionale, quel modulo non è una formalità. Compilarlo genera la vostra richiesta di essere ricontattati: è il documento che rende regolare la telefonata successiva. Non compilarlo è la cosa più efficace che possiate fare, molto più che riattaccare.

L'iscrizione al Registro pubblico delle opposizioni resta utile, ma non è una barriera tecnica. Funziona come obbligo giuridico per chi chiama, non come filtro sulla rete: chi camuffa il numero la aggira, e proprio per questo la violazione è documentabile e sanzionabile. Se ricevete chiamate promozionali su un'utenza iscritta, la segnalazione al Garante ha un valore concreto — è così che sono nati i 7.000 reclami che hanno aperto questo procedimento.

Se gestite una filiera esternalizzata, il punto di controllo non è il contratto: è il dato. La domanda utile non è «i miei partner hanno aderito al codice di condotta», ma «da dove arriva materialmente questo contatto, e posso ricostruirlo a ritroso fino all'origine?». In questo caso la risposta documentale era corretta e la storia reale era un'altra.

Cosa non sappiamo

Nel provvedimento pubblicato i nomi delle agenzie partner sono omissati: non è possibile ricostruire pubblicamente quali soggetti abbiano materialmente operato. Non è noto se l'azienda abbia scelto la definizione agevolata prevista dall'articolo 166, comma 8, del Codice — che consente di chiudere pagando metà della sanzione entro trenta giorni — né se abbia proposto opposizione. Il numero di circa 7.000 reclami si riferisce alle segnalazioni ricevute nel 2025 per conto di TIM, e non va letto come una misura del fenomeno complessivo del telemarketing illecito in Italia, che è più ampio e coinvolge molti operatori.