Da un recente provvedimento del Garante indicazioni utili sul trattamento dei dati personali per chi lavora con il telemarketing ed esternalizza attività di raccolta dati o campagne promozionali a partner o agenzie.
Un recente provvedimento del Garante privacy* ci dà l'occasione per ricordare alcune regole che valgono per qualunque organizzazione che affida a terzi attività di marketing, di pubblicità o promozionali.
La vicenda
Da dove partire se affidi a persone esterne attività di marketing e l'intervento del Garante privacy
Se nella tua attività usi agenzie, call center o partner per campagne di marketing, promozione, acquisizione clienti, resti comunque responsabile di quello che loro fanno. Non è una questione di forma e non è sufficiente contrattualizzare la delega ("ho scritto nel contratto che devono rispettare la privacy"), ma una questione di controllo concreto.
Il Garante ha infatti censurato - soprattutto con un provvedimento del 23 luglio 2026 - che l’azienda titolare aveva adottato un "Codice di Condotta" formale sulla privacy, ma poi non aveva verificato se il partner lo rispettava. Controllava i numeri dopo che erano già stati caricati a sistema e ignorava anomalie macroscopiche.
Le contestazioni del Garante
Le violazioni accertate dal Garante hanno toccato diversi punti critici come:
Sul punto delle "Lead fittizie", il Garante ha chiarito che un consenso successivo non sana un primo trattamento illegittimo. Se il primo contatto era abusivo, tutto ciò che ne segue è viziato, non è sufficiente che il cliente firmi poi il contratto.
- consenso e base giuridica: contatti senza consenso valido (in violazione degli artt. 6 e 7 GDPR – Regolamento UE 2016/679)
- responsabilizzazione: mancanza di controlli reali sulla filiera (art. 5 par. 2 GDPR - accountability)
- misure tecniche: assenza di protezioni adeguate fin dalla progettazione (artt. 24, 25, 28 GDPR)
- esercizio dei diritti da parte degli interessati: procedure di cancellazione farraginose e risposte tardive (art. 12, 15-22 GDPR)
Inoltre, rispetto alla procedura di revoca del consenso, il Garante ha ricordato che richiedere l'autenticazione nell'area riservata o il download di app non è corretto, perché la revoca deve essere facile quanto la prestazione del consenso.
Le misure correttive imposte dal Garante all’azienda
Oltre alla sanzione, il Garante ha imposto all’azienda tre misure correttive:
A cosa è necessario prestare attenzione
Ricorda quindi un principio già affermato più volte in passato dal Garante: il titolare del trattamento di dati personali è responsabile di tutto ciò che viene fatto con i dati, anche quando le attività sono affidate a terzi. Scegliere fornitori privi delle competenze adeguate configura una colpa in capo al titolare (la cosiddetto culpa in eligendo), di cui può essere chiamato a rispondere verso gli interessati e le Autorità.
- verifica nella realtà, non solo sulla carta, come il partner esterno gestisce i trattamenti di dati personali attraverso controlli documentali, ispezioni in loco, analisi periodica di dati aggregati (tassi di conversione anomali, ad esempio, sono una spia)
- controlla la filiera: se il tuo partner si avvale a sua volta di sub-fornitori (call center, agenzie, ecc.), è necessario avere tutte le informazioni utili per verificare anche loro. Non è sua responsabilità "delegare" a nome della tua organizzazione, perché la responsabilità resta sempre tua
- semplificare la revoca del consenso: deve poter avvenire in modo semplice e rapido, ad esempio con un link nella mail, un tasto in app, una telefonata. Devono funzionare, senza aggiungere ostacoli
- rispondi alle richieste di esercizio dei diritti da parte degli interessati previsti dal GDPR (accesso, cancellazione, opposizione) entro 30 giorni. Se è complesso, puoi chiedere una proroga di 2 mesi, ma dovete avvisare il cliente entro il primo mese spiegando perché
- documenta i controlli: l'accountability non è solo fare bene, ma essere in grado di provare di averlo fatto
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
