TIM S.p.A.
Ordinanza ingiunzione con sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante accerta violazioni degli artt. 5, 6, 7, 12, 15-22, 24, 25, 28, 32 GDPR e art. 130 Codice Privacy da parte di TIM per il trattamento illecito di dati personali legato a comunicazioni promozionali non autorizzate e acquisizione di numerazioni telefoniche senza verifica della titolarità attraverso call center abusivi. Sono imposte misure correttive relative alle procedure di ricontatto, controllo dei partner e gestione dei diritti degli interessati.
Il titolare del trattamento deve garantire verifica effettiva della titolarità dei dati fin dalla raccolta e implementare meccanismi di consenso preventivo, non successivo, per tutelare i soggetti esposti a ricontatti non autorizzati.
Approfondimento
Soggetti coinvolti
circa 7.000 segnalazioni e reclami pervenuti nel corso dell'anno 2025 relative a comunicazioni promozionali indesiderate
Riferimenti normativi
Lettura del caso
Temi affrontati — Trattamenti illeciti tramite comunicazioni promozionali non autorizzate e acquisizione dati senza consenso informato
Conseguenze — TIM deve: introdurre correttivi procedurali per impedire caricamento massivo di numerazioni e documentare consenso effettivo attraverso meccanismo opt-in preventivo; adottare misure di controllo e vigilanza sui partner garantendo conformità normativa; adeguare procedure di esercizio dei diritti ex artt. 15-22 GDPR riducendo ritardi e proroghe sistematiche; comunicare al Garante entro 30 giorni le iniziative di attuazione. Pagamento di euro 9.516.000,00 entro 30 giorni, con facoltà di definizione della controversia mediante adempimento delle prescrizioni e pagamento di metà sanzione entro 30 giorni.
- natura sistemica e strutturale delle violazioni
- numero elevato di segnalazioni (circa 7.000)
- precedenti violazioni specifiche commesse dalla Società
- diffusione del fenomeno mediante tecnica di spoofing e utilizzo di numerazioni estranee alla rete ufficiale. Fattori
- elevato grado di cooperazione della Società fornendo riscontri approfonditi e esaustivi
- implementazione di sistema automatizzato di verifica con opt-out SMS per sanare irregolarità
- violazioni non hanno coinvolto categorie di dati sensibili ex art. 9 GDPR
- adesione al codice di condotta per attività di telemarketing
- ingenti investimenti per procedure di controllo della filiera di vendita
L'opt-out tramite SMS ricevuto dopo l'inserimento della numerazione è strutturalmente inadeguato: occorre opt-in preventivo per proteggere chi subisce inserimenti non autorizzati.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.