Due #sanzioni per un totale di oltre 11 milioni di euro riportano al centro una delle questioni più delicate del #marketing contemporaneo: fino a che punto un’azienda può raccogliere, utilizzare, acquistare o condividere i dati delle persone per contattarle e proporre prodotti e servizi? A rispondere, con due provvedimenti distinti ma accomunati dal tema della protezione dei dati personali, è stato il #Garante della #Privacy, che tra luglio e agosto ha sanzionato #TIM per oltre 9,5 milioni di euro e #Lusha Systems Inc., società statunitense specializzata nella raccolta e commercializzazione di informazioni professionali, per 2 milioni di euro. Due casi diversi, ma che raccontano quanto il confine tra marketing, raccolta dei dati e #tutela della privacy sia oggi sempre più importante.
Nel caso di TIM, il procedimento è nato dalle numerose segnalazioni relative a chiamate promozionali indesiderate effettuate per conto della società. Secondo quanto ricostruito dal Garante, nel solo 2025 erano arrivate circa 7.000 segnalazioni e reclami. Al centro dell’istruttoria è finito il comportamento di alcuni call center abusivi che avrebbero contattato gli utenti utilizzando numerazioni estranee alla rete ufficiale di vendita e, in alcuni casi, tecniche di spoofing, cioè il camuffamento del numero telefonico dal quale partiva la chiamata. Le telefonate potevano raggiungere anche persone iscritte al Registro Pubblico delle Opposizioni, che avevano quindi espresso la volontà di non ricevere comunicazioni commerciali.
Il meccanismo individuato dall’Autorità era particolarmente articolato. Dopo la chiamata promozionale, l’utente interessato poteva ricevere un SMS con un collegamento a una pagina web di un partner ufficiale della rete di vendita TIM. Qui veniva invitato a compilare un modulo per chiedere di essere ricontattato. Secondo il Garante, questa procedura poteva generare una richiesta di contatto soltanto apparentemente spontanea, permettendo poi al call center di richiamare l’utente da una numerazione regolarmente registrata e di avviare un percorso di vendita formalmente corretto. A questo si sono aggiunti, secondo l’Autorità, controlli insufficienti sull’intera filiera commerciale e difficoltà per gli utenti nell’esercitare alcuni diritti, come l’accesso ai dati, la cancellazione e l’opposizione al trattamento.
Il punto più importante del provvedimento, soprattutto per le aziende che utilizzano reti di vendita esterne, call center e partner commerciali, è che affidare una parte delle attività a soggetti terzi non elimina la responsabilità dell’impresa. Il Garante ha ribadito che anche l’adesione a un codice di condotta non è sufficiente a sollevare il titolare del trattamento dall’obbligo di controllare concretamente ciò che avviene lungo tutta la filiera. TIM, oltre alla sanzione di 9 milioni e 516 mila euro, dovrà quindi introdurre correttivi nelle procedure di generazione dei contatti commerciali, rafforzare i controlli sulla rete di vendita e modificare le procedure attraverso le quali gli utenti possono esercitare i propri diritti.
Diverso, ma altrettanto significativo, il caso di Lusha Systems Inc., società statunitense che opera come data broker. Attraverso la propria piattaforma, Lusha offriva a pagamento informazioni relative a persone fisiche, tra cui posizioni lavorative, indirizzi email e numeri di telefono. I dati venivano raccolti da diverse fonti, anche attraverso attività di scraping sui social network e l’acquisto di informazioni da altri data broker, per poi essere messi a disposizione dei clienti della piattaforma per finalità commerciali o anti-frode.
Per il Garante, però, il problema non riguardava soltanto la raccolta iniziale delle informazioni. Lusha, secondo l’Autorità, aggiornava e verificava nel tempo i dati presenti nei propri archivi, svolgendo quindi un’attività di monitoraggio delle persone e delle loro posizioni professionali online. Proprio questo elemento ha portato il Garante a ritenere applicabile il GDPR anche nei confronti di una società che non dispone di uno stabilimento nell’Unione europea. L’Autorità ha inoltre contestato la mancanza di un’adeguata base giuridica per il trattamento e il fatto che le informazioni fornite agli interessati non fossero sufficientemente chiare e facilmente accessibili.
La conseguenza è stata una sanzione di 2 milioni di euro, accompagnata da un provvedimento ancora più rilevante sul piano operativo: il Garante ha vietato a Lusha di continuare a trattare i dati delle persone presenti sul territorio italiano e ne ha ordinato la cancellazione. Il caso mostra quanto sia cambiato il valore del dato personale nell’economia digitale. Informazioni apparentemente semplici, come un indirizzo email professionale o il ruolo ricoperto in un’azienda, possono infatti assumere un valore commerciale enorme quando vengono raccolte, aggiornate, incrociate e vendute su larga scala. Ma il fatto che un’informazione sia disponibile online non significa automaticamente che possa essere raccolta e utilizzata liberamente per qualsiasi finalità.
I due provvedimenti raccontano quindi due facce dello stesso problema. Da una parte c’è il marketing diretto, fatto di telefonate, call center e reti commerciali; dall’altra il mercato sempre più vasto dei dati, delle piattaforme e delle informazioni personali utilizzate per individuare potenziali clienti. In entrambi i casi, il messaggio del Garante è chiaro: la ricerca di nuovi contatti commerciali non può trasformare il consenso in una semplice formalità e non può scaricare sugli utenti il compito di difendersi da procedure poco trasparenti o eccessivamente complesse.
Per le aziende, la lezione che arriva dalle sanzioni a TIM e Lusha riguarda quindi l’intera strategia di marketing. Non basta chiedersi quanti contatti si riescano a generare o quanto sia ampia una banca dati: bisogna poter dimostrare da dove provengono quei dati, su quale base vengono utilizzati, chi li tratta e quali controlli vengono effettuati sui partner coinvolti. In un mercato nel quale la profilazione e la raccolta di informazioni sono diventate strumenti sempre più centrali per raggiungere nuovi clienti, la privacy non rappresenta più soltanto un obbligo burocratico. È una parte concreta del modo in cui un’azienda costruisce, utilizza e protegge la propria relazione con le persone. E le due maxi-sanzioni del Garante ricordano che, quando questa responsabilità viene sottovalutata, il costo può essere molto più alto di una semplice campagna di marketing andata male.
