Introduzione
Di recente il Garante ha sanzionato Enel per 563.052,00 € per delle violazioni in materia di telemarketing, confermando la dura linea contro la sistematica elusione delle regole sul consenso e contro gli insufficienti controlli organizzativi lungo la catena di call center, agenzie e partner.
Questa sanzione si inserisce nel contesto di un più ampio giro di vite contro il c.d. “telemarketing selvaggio”, irrigidito ulteriormente dalle modifiche introdotte nel Codice del Consumo che delineano un sistema più rigido e rigoroso di tutela del consumatore e attribuiscono nuovi poteri di vigilanza alle autorità competenti.
Vediamo insieme il filo logico che collega questi due atti, comprese le critiche che vedono la conversione del c.d. “D.L. Bollette” come una sovrapposizione normativa non armonizzata.
Indice
Il fatto
Il procedimento nasce dal reclamo di un utente che, dopo avere sottoscritto un contratto di fornitura con Enel, aveva dalla stessa ricevuto offerte commerciali esplicite nonostante fosse iscritto al Registro Pubblico delle Opposizioni (“RPO“) e avesse negato il consenso a comunicazioni promozionali.
Dall’istruttoria emergono tre criticità.
- L’utente lamentava di avere ricevuto offerte commerciali nel corso di telefonate presentate come “gestionali”. La stessa Enel ha ammesso che un proprio operatore, nel contatto volto alla conferma dell’avvio della fornitura, aveva formulato una proposta commerciale non richiesta senza verificare la presenza di un valido consenso marketing. Però nel procedimento sono poi confluite altre segnalazioni analoghe.
- Sono emerse criticità anche nel sistema di raccolta della volontà di essere ricontattati. Enel aveva adottato un meccanismo di opt-out: l’utente riceveva un SMS con un link da cliccare entro 90 secondi per revocare la richiesta di ricontatto. In mancanza di tale azione, il sistema considerava ferma la volontà di essere contattato.
- È risultato debole, infine, anche il controllo sui partner, responsabili e sub-responsabili del trattamento. Pur in presenza di penali contrattuali, tali misure erano state attivate solo dopo la notifica dell’avvio del procedimento del Garante. Inoltre, nell’ottobre 2025, Enel aveva contrattualizzato un’agenzia già destinataria, due mesi prima, di un provvedimento sanzionatorio del Garante proprio in materia di marketing.
La sanzione
Su queste basi il Garante ha ritenuto sussistenti violazioni degli artt. 5, 6, 7 e 24 del GDPR, nonché dell’art. 130 del Codice privacy, per avere effettuato trattamenti di telemarketing in assenza di un’idonea base giuridica e con misure tecniche e organizzative non adeguate. A ciò si è aggiunta la violazione degli artt. 5, 24 e 28 del GDPR con riferimento alla selezione e al controllo dei partner esterni coinvolti nella raccolta e nel trattamento dei dati per finalità promozionali.
Il Garante non si è limitato alla sanzione amministrativa pecuniaria. Ha imposto a Enel di adottare protocolli più efficaci per selezionare partner che presentino garanzie sufficienti e competenze adeguate in materia di protezione dei dati personali, di vigilare in modo attivo sulla loro conformità, di superare i meccanismi di opt-out ritenuti ambigui e di comunicare all’Autorità, entro 30 giorni, le iniziative intraprese.
Il provvedimento, dunque, tocca tre nodi che ricorrono sistematicamente nel telemarketing.
1. La mancanza di un’idonea base giuridica
Il Garante ribadisce un principio che spesso continua a essere eluso o sottovalutato nella pratica: la base giuridica che legittima un contatto telefonico per finalità gestionali o contrattuali non si estende – automaticamente – a finalità ulteriori perseguite nella stessa occasione.
Se il cliente viene contattato per completare una pratica, confermare un subentro o verificare lo stato di una fornitura, il trattamento può trovare fondamento nell’esecuzione del contratto o di misure precontrattuali.Su questo punto ci siamo già soffermati spesso in precedenza.
Tuttavia, sfruttare quella stessa telefonata per formulare una proposta commerciale significa usare dati raccolti per una finalità per perseguirne un’altra, diversa e non necessaria. A quel punto serve una base giuridica autonoma, che nel marketing telefonico resta, in linea generale e salvo eccezioni, il consenso.
Il caso Enel è ancora più netto, perché gli interessati avevano già espresso un diniego alle comunicazioni promozionali. Per questo il Garante non si limita a rilevare la mancanza di un valido consenso, ma sottolinea che il trattamento si poneva in aperto contrasto con una volontà negativa già manifestata dall’utente.
2. L’inadeguatezza dell’opt-out rispetto ai rischi specifici
Il passaggio più interessante del provvedimento riguarda il sistema di richiesta dell’utente di essere ricontatto.
La tesi difensiva di Enel
Enel sosteneva che l’opt-out rientrasse nella propria discrezionalità organizzativa (accountability) e fosse, nel caso concreto, equivalente a un meccanismo di double opt-in. In questo contesto l’utente, dopo aver fatto l’opt-in per essere contattato, riceveva (praticamente contestualmente) un SMS con un link da cliccare entro 90 secondi per “revocare” la propria stessa richiesta di essere ricontattato.
I rilievi del Garante
Il Garante respinge questa impostazione sostenendo che il principio di accountability non attribuisce al titolare una libertà incondizionata nella scelta delle misure, ma impone di adottare misure adeguate ai rischi specifici del trattamento. Nel telemarketing, il rischio tipico è noto: form compilati da terzi, numeri inseriti a insaputa dell’interessato, caricamenti massivi, lead di provenienza dubbia e difficoltà, per il titolare, di dimostrare la genuinità della richiesta di contatto.
In questo contesto, il sistema di ricontatto fondato sull’opt-out non è stato ritenuto sufficiente. Non impedisce che il numero sia stato inserito illecitamente, non verifica in modo affidabile che la richiesta provenga davvero dall’interessato e, inoltre, espone a un ulteriore equivoco pratico, perché un messaggio con link può essere percepito come sospetto o persino come tentativo di phishing.
La misura minima suggerita dal Garante
Il double opt-in, invece, segue una logica diversa. Non offre soltanto un’occasione di ripensamento dopo l’inserimento del dato, ma subordina il ricontatto a una conferma attiva. Ed è questo il punto: nel telemarketing non basta rendere possibile il ripensamento; occorre progettare il processo in modo da rendere più difficile, a monte, il contatto illecito.
La posizione del Garante su questo punto non è nuova. Oltre alla sanzione Sky sui deprecati consensi ‘omnibus’ (già analizzata qui), una linea simile era già emersa in precedenti provvedimenti (come nel caso noicompriamoauto.it), nei quali il double opt-in era stato valorizzato come misura che offre maggiori garanzie nella dimostrazione del consenso.
Ciò non significa che il GDPR imponga in astratto un solo standard tecnico possibile. Significa, però, che nel contesto specifico del telemarketing nel settore energetico il Garante considera il double opt-in, o un meccanismo equivalente di conferma attiva, la misura più coerente con i rischi reali della filiera.
3. La debolezza dei controlli preventivi sui partner
Il terzo profilo conferma un’ulteriore tendenza ormai consolidata: il titolare risponde delle condotte dei propri partner commerciali anche quando le violazioni siano state materialmente commesse da questi ultimi. Affidare l’operatività a call center, agenti, agenzie digitali o altri fornitori non solleva dall’obbligo di selezione e vigilanza previsto dall’art. 28 del GDPR.
Il punto, però, non è solo contrattuale. Non basta prevedere penali o far sottoscrivere clausole standard. La selezione deve essere concreta e la vigilanza deve essere effettiva. Nel caso Enel, il Garante prende atto di diverse misure apprezzabili, ma osserva che, in più punti, tali misure non erano sufficientemente documentate o non erano state attivate con la tempestività necessaria.
Emblematico è il rilievo per cui la penale al partner è stata applicata solo dopo l’avvio del procedimento, pur essendo l’anomalia già nota alla Società. Ancora più significativo è il rilievo sulla contrattualizzazione di un soggetto già sanzionato dal Garante pochi mesi prima.
Ne ricaviamo ancora una volta che la due diligence sui partner non può fermarsi ai requisiti economici o commerciali, ma deve includere una verifica seria delle competenze privacy e delle procedure adottate.
Da questo punto di vista il provvedimento Enel parla anche a chi, fuori dal settore energia, gestisce campagne, CRM, lead generation e attività di ricontatto affidandosi a soggetti esterni. La compliance non si dimostra solo con i contratti, ma anche con processi, controlli, tracciabilità delle scelte e soprattutto formazione.
Per dimostrare (sia all’Autorità che ai clienti/committenti) di aver svolto formazione specifica sulla privacy è possibile partecipare a corsi che rilascino attestati di formazione producibili in sede di audit o controllo, come ad es. quello organizzato da Get-Ready in collaborazione con il nostro Studio in data 11 giugno 2026, dalle 9:30 alle 12:30.
Per maggiori informazioni e iscriversi è possibile consultare il seguente link.
Nuove regole sul telemarketing: la conversione del Decreto Bollette modifica l’art. 51 del Cod. Consumo
Il provvedimento Enel 2026 si inserisce in un contesto normativo che si sta facendo sempre più rigido. La legge di conversione (L. 49/2026) del Decreto Bollette (D.L. 21/2026) ha introdotto a sorpresa (senza neppure passare dai tavoli tecnici), per il solo settore luce e gas, una disciplina speciale che mira a restringere l’utilizzabilità dei contatti “freddi” e a rafforzare la tracciabilità della volontà del consumatore.
I nuovi commi da 5-bis a 5-quater dell’art. 51 del Cod. Consumo entreranno in vigore dal 18 giugno 2026 e prevedono in modo tranchant che nel settore energetico i consumatori possano essere contattati per offerte in soli due casi:
- quando il consumatore richiede un contatto “direttamente al professionista” (cioè agli operatori energetici o ai loro intermediari), oppure,
- quando si tratta di clienti già attivi che hanno fornito un consenso esplicito al marketing.
Che fine fanno i consensi già raccolti?
La nuova disciplina, almeno in apparenza, non determina un azzeramento automatico dei consensi raccolti in passato, tuttavia rende ancora più centrale il tema della loro dimostrazione. Il problema non è tanto se il consenso esista in astratto, quanto se sia ancora dimostrabile in modo serio, tracciabile e coerente con il contesto specifico in cui oggi si vuole utilizzare quel dato.
Questo sposta l’attenzione sulla due diligence dei database, sulla qualità della documentazione e sulla tenuta delle filiere di raccolta. Lead prive di una richiesta effettiva, di un consenso specifico o di una prova robusta della loro origine diventano, di fatto, sempre più difficili da usare senza esporsi a contestazioni.
Numeri identificabili per i player del settore energetico
Un altro punto rilevante riguarda le numerazioni telefoniche. La nuova disciplina si muove nella direzione di rendere le chiamate chiaramente riferibili al professionista che contatta il consumatore. L’obiettivo è condivisibile. Il problema, però, è che la sua efficacia dipenderà dall’enforcement tecnico e regolatorio.
In assenza di controlli tempestivi e di strumenti davvero efficaci contro lo spoofing dell’ID caller (che, come già detto in un nostro precedente articolo, i protocolli tecnici ancora consentono), numerazioni irregolari e spendita illecita del nome altrui, il rischio è che gli oneri siano facilmente aggirabili dagli operatori abusivi e finiscano per gravare solo sugli operatori che già operano legittimamente.
Conseguenze in caso di violazione e sanzioni per gli operatori
Il nuovo assetto rafforza anche le conseguenze dei contatti effettuati in violazione delle regole appena introdotte. Innanzitutto AGCOM, dopo numerose segnalazioni, anche su impulso del Garante privacy, può ordinare al gestore telefonico l’immediata sospensione dell’utilizzo delle linee assegnate all’operatore energetico colto in violazione.
Inoltre, la riforma sanziona anche con la nullità i contratti conclusi a valle di contatti e pratiche non conformi. Ed è qui che si aprono alcuni interrogativi: che cosa accade alla fornitura già attivata? chi e come rileva la nullità? successivamente resta spazio per eventuali conferme sananti dell’utente? e come si coordinano queste regole con il sistema già esistente del Codice di condotta e con gli altri rimedi civilistici e regolatori?
Un intervento fortemente criticabile
L’obiettivo del legislatore è comprensibile e, per molti versi, condivisibile. Ridurre le telefonate indesiderate, rafforzare il controllo del consumatore e rendere più trasparente il mercato dell’energia sono finalità difficilmente contestabili. Ciò non toglie, però, che l’intervento presenti diversi profili critici.
Il primo è il coordinamento con il quadro già esistente. La nuova disciplina rischia di sovrapporsi, senza piena armonia, a regole che già derivano dal GDPR, dal Codice di condotta sul telemarketing (per chi aderisce) e dalla regolazione AGCOM. Il secondo è il rischio di colpire soprattutto gli operatori che lavorano già in trasparenza, lasciando ancora margini di manovra a chi agisce illecitamente sfruttando falle tecniche, prestanome o filiere scarsamente tracciabili.
In questo senso, la vera partita non si gioca solo sull’inasprimento delle regole e delle sanzioni, ma sulla capacità di incidere sulle condizioni tecniche che rendono ancora possibile il telemarketing abusivo.
Considerazioni finali
La lettura combinata del provvedimento Enel e della nuova disciplina del Codice del consumo restituisce un messaggio chiaro: i modelli basati su contatti opachi, lead scarsamente documentate e filiere esterne poco presidiate diventano sempre meno sostenibili. Al contrario, acquistano centralità i processi in cui l’origine del contatto è tracciabile, il consenso è dimostrabile, il partner è selezionato con cura e in cui le verifiche sono effettivamente svolte e hanno conseguenze reali, non solo potenziali o confinate alla sfera documentale.
Per le imprese del settore energia, ma anche per tutte le altre agenzie, consulenti e fornitori che lavorano nella filiera del marketing e del teleselling, questo significa rivedere processi, form, script, controlli, contratti, sistemi di ricontatto e criteri di selezione dei partner. Non basta più dimostrare di avere previsto una misura. Occorre dimostrare che quella misura era adeguata, che è stata effettivamente attuata.
È proprio su questo terreno che la consulenza legale, organizzativa e strategica può mostrare tutto il suo valore aggiunto. Per questo abbiamo predisposto anche un vademecum per chi volesse approfondire anche il tema strettamente connesso dei rischi della profilazione.
Chi vuole può inoltre contattarci per capire insieme non solo come reagire a reclami e ispezioni, ma anche e soprattutto per progettare insieme funnel, processi di acquisizione e modelli di governance che siano sostenibili, difendibili e coerenti con il quadro normativo che si sta consolidando.
Articolo redatto con il contributo di Camilla Malossi
