Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Stai ricevendo chiamate da numeri che sembrano normali, non riesci a richiamarli, sei iscritto al Registro delle Opposizioni da mesi e le telefonate commerciali non si fermano? Hai subito telemarketing illecito con spoofing e, secondo l'orientamento attuale del Garante Privacy, potresti avere diritto al risarcimento — anche se non hai risposto nemmeno una volta.
Telemarketing illecito spoofing e Registro delle Opposizioni: cosa è successo e perché conta
Con il provvedimento n. 556 del 23 luglio 2026, reso pubblico il 31 luglio, il Garante per la protezione dei dati personali ha sanzionato TIM per 9 milioni e 516mila euro per numerose violazioni della disciplina in materia di privacy e telemarketing. L'istruttoria nasce da circa 7.000 reclami e segnalazioni arrivati nel solo 2025: gli utenti lamentavano chiamate promozionali indesiderate effettuate per conto della società da numerazioni non censite al Registro degli operatori di comunicazione oppure alterate con la tecnica dello spoofing, spesso dirette a persone regolarmente iscritte al Registro Pubblico delle Opposizioni (RPO), che per legge non dovrebbero ricevere telefonate commerciali.
Lo spoofing — termine che indica la falsificazione del numero chiamante visualizzato sul display del destinatario — non è una novità tecnica, ma il provvedimento del Garante segna un punto di svolta: per la prima volta si accerta in modo esplicito e documentato la responsabilità diretta di un grande operatore di telecomunicazioni per chiamate effettuate tramite numerazioni alterate da call center della propria rete commerciale.
Il meccanismo era strutturato in tre fasi: la prima chiamata arrivava da un numero camuffato per proporre offerte o servizi; seguiva l'invio di un SMS con link a una pagina web di un partner ufficiale della rete di vendita TIM, contenente un modulo per formulare una "richiesta di ricontatto"; infine l'utente veniva ricontattato da una numerazione regolarmente iscritta al Registro degli operatori di comunicazione (ROC), per generare un flusso telefonico apparentemente lecito e un processo di contrattualizzazione formalmente regolare.
Sono iscritto al Registro delle Opposizioni ma ricevo ancora chiamate: cosa posso fare?
Puoi presentare reclamo al Garante Privacy e, contestualmente, agire in sede civile per il risarcimento del danno. L'iscrizione al RPO è la prova più immediata che non hai mai autorizzato quel contatto commerciale. Ma attenzione: il RPO da solo non basta.
Il RPO presuppone che il chiamante sia identificabile e raggiungibile giuridicamente; nel caso dello spoofing nessuno dei due presupposti è soddisfatto. Il meccanismo del registro era lineare — chi non voleva essere contattato si iscriveva e gli operatori erano tenuti a consultarlo prima di comporre il numero — ma il risultato pratico è stato deludente per ragioni strutturali: le iscrizioni non vincolano chi chiama da numeri falsi, da centrali estere o attraverso catene di sub-appalto opache.
Qui sta il cuore del problema, e il punto che la maggior parte dei blog non sviluppa a sufficienza. L'iscrizione al RPO opera come uno scudo contro gli operatori che rispettano le regole. Non ferma chi le aggira deliberatamente tramite numerazioni alterate. Il provvedimento n. 556/2026 introduce però una base sanzionatoria concreta su cui costruire anche la domanda risarcitoria in sede civile: se il Garante ha accertato l'illecito nei confronti del gestore, quella decisione può essere usata come prova precostituita nel giudizio ordinario.
Il Garante ha accertato anche la sistematica inosservanza, da parte di TIM, degli obblighi in materia di esercizio dei diritti degli interessati, per omesso o tardivo riscontro alle istanze di accesso, cancellazione e opposizione, nonché per l'adozione di procedure di disiscrizione eccessivamente complesse e, in alcuni casi, non funzionanti.
Questo significa che il danno non si ferma alla singola telefonata: si estende alla violazione del diritto di controllo sui propri dati personali, che il GDPR tutela come autonoma posizione giuridica soggettiva.
Il difetto strutturale che nessuno spiega: perché il reclamo fallisce senza gli URL — o, in questo caso, senza i numeri esatti
Presentare un reclamo al Garante è il primo passo. Ma nel telemarketing con spoofing esiste un problema probatorio specifico che spesso manda all'aria l'intera istruttoria: la mancata documentazione del numero chiamante esatto e dell'orario della chiamata.
Il numero visualizzato durante una chiamata con spoofing è falso per definizione, ma è comunque un dato processuale che il Garante deve poter verificare. L'istruttoria ha riguardato chiamate promozionali indesiderate realizzate attraverso numerazioni non autorizzate o alterate mediante spoofing, seguite dall'invio di SMS contenenti link diretti a pagine web di partner dell'operatore, con moduli che inducevano l'utente a formulare false richieste di ricontatto; gli utenti venivano poi richiamati da numerazioni regolarmente registrate, creando l'apparenza di un contatto commerciale legittimo.
Questo schema ha una conseguenza pratica per chi vuole agire: il solo dire "ho ricevuto chiamate commerciali" non è sufficiente. Bisogna specificare, per ciascun episodio, il numero visualizzato sul display (anche se falso), la data e l'orario, e — se disponibile — un SMS ricevuto in collegamento con quella chiamata. Sono questi elementi che permettono al Garante di ricostruire la filiera e attribuire la responsabilità all'operatore mandante.
Nelle pratiche che seguiamo, l'errore più frequente è presentare il reclamo a distanza di mesi dalla chiamata, senza aver conservato nulla. Lo screenshot del registro chiamate dura fino al cambio del telefono. Il testo dell'SMS sparisce quando si svuota la casella. Quando la documentazione manca, l'istruttoria si ferma non perché il fatto non sia avvenuto, ma perché non è dimostrabile con la specificità necessaria.
Il rischio dell'inazione: cosa succede se non agisci
Vigilantibus iura subveniunt: il diritto assiste chi si attiva, non chi aspetta. Nel campo del telemarketing illecito questa massima ha un'applicazione concreta.
Chi subisce chiamate con spoofing e non agisce perde su tre fronti distinti. Primo, il termine di presentazione del reclamo al Garante: ai sensi dell'art. 77 del GDPR, il reclamo deve essere presentato entro i termini di prescrizione ordinari, ma l'efficacia probatoria si riduce drasticamente con il passare del tempo. Secondo, l'eventuale contratto attivato senza consenso reale — che in alcuni casi viene perfezionato dopo la chiamata-esca con lo spoofing — può essere impugnato solo entro i termini previsti dal Codice del Consumo, in genere entro 14 giorni per il recesso e con azione più ampia nei termini di prescrizione. Terzo, e spesso trascurato, chi non reclama alimenta uno schema che funziona: il procedimento TIM ha avuto origine da circa 7.000 reclami arrivati nel solo 2025, e senza quella massa critica di segnalazioni l'istruttoria non sarebbe partita.
La sanzione di 9.516.000 euro corrisponde all'1,7% del massimo edittale; tra gli aggravanti figurano il carattere significativamente negligente delle violazioni, la responsabilità connessa ai rischi strutturali del telemarketing e i precedenti. Il Garante ha già sanzionato TIM per condotte simili con il provvedimento n. 183/2023: la recidiva ha pesato sulla misura della sanzione attuale.
Sul fronte risarcitorio civile, il danno da trattamento illecito di dati personali è riconosciuto dalla giurisprudenza anche in assenza di un pregiudizio patrimoniale diretto. La violazione dell'autodeterminazione informativa — il diritto di decidere chi può contattarti e per quale scopo — costituisce di per sé un pregiudizio non patrimoniale risarcibile. Il Garante ha ribadito che l'adesione a un codice di condotta non esonera il titolare del trattamento dall'obbligo di vigilanza, e questo principio vale anche in sede civile: l'operatore non può scaricare la responsabilità sul call center terzo se quello faceva parte della propria rete commerciale.
Come si fa il reclamo al Garante per telefonate commerciali indesiderate?
Il reclamo si presenta tramite il portale online del Garante, via raccomandata A/R o PEC all'indirizzo ufficiale dell'Autorità. Non richiede un avvocato, ma la qualità del contenuto fa la differenza tra un'istruttoria aperta e un'archiviazione per genericità.
Il reclamo efficace contiene: la prova dell'iscrizione al RPO (si ottiene dal sito ufficiale del registro, che rilascia una conferma con data di decorrenza); l'elenco dettagliato degli episodi con numero chiamante, data e orario; copia degli eventuali SMS ricevuti in connessione con le chiamate; la specificazione dell'operatore a cui si imputa la responsabilità (anche se risulta da fonti indirette come il contenuto commerciale proposto). Oltre alla sanzione, l'operatore sarà tenuto a introdurre correttivi nella procedura di generazione delle lead, rafforzare i controlli e la vigilanza sulla rete di vendita e adeguare le procedure di esercizio dei diritti. Questi ordini del Garante diventano misure esigibili dall'interessato anche in sede civilistica.
Per la domanda risarcitoria autonoma in sede civile, vale invece il doppio binario: si può attendere l'esito del provvedimento del Garante e poi usarlo come base per il giudizio ordinario, oppure agire in parallelo. Il vantaggio della seconda strada è la conservazione dei termini di prescrizione.
Cosa si rischia a fare telemarketing con numeri falsi o alterati?
Per l'operatore le conseguenze sono molteplici e si sommano. Sul piano amministrativo, le sanzioni del Garante possono arrivare fino al 4% del fatturato annuo mondiale: nel caso TIM, la sanzione è stata di 9.516.000 euro. L'adesione al codice di condotta può attenuare la sanzione, ma non la sostituisce: le imprese devono integrare sistemi di procurement, DPO e IT per verificare i fornitori, bloccare inserimenti anomali e dimostrare che ogni richiesta di ricontatto provenga dall'effettivo interessato.
Sul piano penale, la falsificazione del numero chiamante può integrare il reato di sostituzione di persona (art. 494 c.p.) quando induce il destinatario in errore sull'identità del chiamante. Sul piano contrattuale, i contratti conclusi a seguito di pratiche commerciali scorrette sono annullabili per dolo o, in alternativa, risolvibili per violazione delle norme imperative del Codice del Consumo.
A questo si aggiunge un profilo che resta spesso sottovalutato: tra le violazioni sanzionate dal Garante anche ad Altroconsumo Edizioni (provvedimento n. 464 del 18 giugno 2026, sanzione di 280.000 euro) vi è la mancata adozione di misure idonee a garantire l'effettivo esercizio dei diritti degli utenti senza ingiustificato ritardo; su questo aspetto la società era già stata sanzionata con un precedente provvedimento. La recidiva nell'omesso riscontro alle richieste degli interessati viene dunque trattata come aggravante autonomo.
Come scriveva Stefano Rodotà, il corpo digitale di ciascun individuo — i suoi dati di contatto, le sue abitudini di risposta, la sua numerazione — è parte integrante della sfera personale che il diritto deve proteggere. Permettere che venga usato come strumento di pressione commerciale senza consenso non è una violazione tecnica: è una lesione della libertà di chi lo subisce.
Domande frequenti
Ho ricevuto solo una chiamata con numero strano e non ho risposto: posso fare qualcosa?
Sì. Il danno da trattamento illecito dei dati personali non richiede che la chiamata sia andata a buon fine. La sola effettuazione della chiamata verso un'utenza iscritta al RPO, con numerazione alterata, integra già la violazione del GDPR. Documentare data, ora e numero visualizzato è sufficiente per presentare un reclamo al Garante. Per la domanda risarcitoria civile, il danno non patrimoniale dovrà essere quantificato dal giudice, ma la base giuridica della pretesa esiste.
Se l'operatore dice che il call center non era suo, perdo la causa?
Non necessariamente. Il provvedimento n. 556/2026 ha chiarito che l'adesione a un codice di condotta non esonera il titolare del trattamento dalla responsabilità per le condotte della propria rete commerciale. Se il call center promuoveva prodotti e servizi dell'operatore, l'operatore risponde come titolare del trattamento. La difesa del "terzo abusivo" è stata esplicitamente respinta dal Garante nel caso TIM, che aveva sostenuto che il telemarketing selvaggio fosse ascrivibile esclusivamente a soggetti terzi agenti con dolo.
Quanto tempo ho per agire dopo aver ricevuto chiamate indesiderate?
Il reclamo al Garante non ha un termine perentorio breve, ma la prescrizione ordinaria di cinque anni si applica alla domanda risarcitoria civile, con decorrenza da ciascuna singola chiamata. In pratica, più si attende, più è difficile recuperare la documentazione (tabulati, SMS, screenshot). Il consiglio è di documentare ogni episodio nel momento in cui accade e di presentare il reclamo entro sei mesi dall'ultimo episodio, quando la memoria degli eventi è ancora precisa e i dati sono ancora disponibili sul dispositivo.
Redazione - Staff Studio Legale MP
