Sanzione Garante Privacy Verisure: una multa da 400.000 euro, un divieto di proseguire trattamenti basati su dati acquisiti illecitamente e un ordine di cancellazione. Il provvedimento che riguarda Verisure Italia è un promemoria molto concreto per chi gestisce marketing, lead generation e customer journey con CRM, call center e automazioni.
Il punto non è solo “il marketing indesiderato”. È la tenuta dei processi: come si raccolgono i consensi, come si documentano, come si gestiscono le opposizioni e come si governa la conservazione dei dati dei potenziali clienti.
Cosa è successo e cosa ha contestato il Garante
Secondo le ricostruzioni pubblicate, il procedimento nasce da due casi: un ex cliente che continuava a ricevere sms promozionali nonostante l’opposizione, e un potenziale cliente che, dopo aver richiesto un preventivo, ha iniziato a ricevere telefonate, email e sms di natura pubblicitaria. In entrambi i casi, le comunicazioni sarebbero proseguite nonostante l’esercizio del diritto di opposizione.
Tra i profili contestati emergono tre aree tipiche delle non conformità in ambito marketing:
- opposizioni gestite con ritardo, oltre i termini, con effetto pratico “annacquato”;
- consenso non raccolto correttamente via form, con informativa non adeguata e consenso di fatto “accorpato” alla richiesta di preventivo;
- conservazione dei dati dei potenziali clienti per teleselling fissata a 12 mesi, ritenuta eccessiva.
Oltre alla sanzione, vengono citate misure correttive: stop al trattamento di dati acquisiti illecitamente, cancellazione dei dati raccolti senza valido consenso e adeguamento delle informative, con obbligo di comunicare le misure adottate entro un termine (60 giorni dalla notifica, secondo la sintesi).
Opposizione al marketing: quando arriva, deve “spegnere” il contatto
Nel marketing diretto il diritto di opposizione è concepito come un comando chiaro: se una persona si oppone, quel dato non può più essere usato per contatti promozionali. Quando continuano sms, chiamate o email, quasi sempre non è un problema “legale”, è un problema di processo e di integrazione: liste di soppressione non allineate, CRM che non propaga l’opt-out, canali esterni (agenzie/call center) che non ricevono aggiornamenti tempestivi, assenza di controlli e audit sul funzionamento reale.
La lezione pratica è semplice: l’opposizione non può essere trattata come un ticket “da evadere quando si riesce”. In un ecosistema marketing moderno, l’opposizione deve diventare un evento che aggiorna immediatamente tutti i sistemi e tutte le filiere di contatto.
Per saperne di più > CRM e GDPR: consigli per la conformità
Preventivo e consenso: separare il servizio richiesto dalla promozione
Uno degli aspetti più rilevanti del caso è l’equivalenza di fatto tra “ho lasciato il numero per un preventivo” e “acconsento a essere contattato per marketing”. Questa logica è rischiosa perché sposta il consenso dalla scelta esplicita dell’interessato a una presunzione basata sulla user journey.
Sul piano operativo, significa che i form di acquisizione lead vanno progettati per evitare ambiguità:
- informativa chiara e raggiungibile prima dell’invio, con linguaggio comprensibile e contenuti coerenti con il trattamento effettivo.
Per approfondire > Informativa privacy: dove, come, quando, perchè; - consensi separati: richiesta di preventivo da una parte, marketing dall’altra, con opzioni realmente facoltative;
- prova del consenso e tracciamento: versione dell’informativa, log dell’azione, canale di acquisizione.
Quando queste componenti mancano o sono “fuse” in un’unica accettazione, il rischio è duplice: sanzione e perdita di fiducia (oltre a contenzioso e reclami seriali).
Conservazione dei dati: la retention non è una scelta di comodo
Il provvedimento richiama anche il tema retention: conservare i dati dei potenziali clienti per teleselling per 12 mesi è stato ritenuto eccessivo nella sintesi pubblicata.
Questo punto è spesso sottovalutato perché la conservazione viene “ereditata” dal funnel commerciale: si mantiene tutto “nel dubbio”, senza una logica documentata su necessità, tempi, eventi che fanno scattare cancellazione o anonimizzazione e controlli periodici. In ottica GDPR, invece, la domanda è sempre la stessa: perché proprio quel periodo, e quali evidenze dimostrano che sia proporzionato alla finalità?
Checklist operativa per ridurre il rischio (marketing, sales, customer care)
Per molte aziende il tema non è riscrivere policy, ma far funzionare la catena di liceità end-to-end: dalla landing page al CRM, dal call center alle piattaforme di invio.
- mappa dei trattamenti marketing: canali, fornitori, sistemi, basi giuridiche, flussi verso terzi;
- form e lead journey: consensi separati, no “consenso implicito” legato a preventivo/servizio;
- gestione opposizione: un unico “master opt-out” che aggiorna subito tutti i canali (sms, email, chiamate);
- tempi di presa in carico: SLA interni per evadere richieste e propagare l’esito ai fornitori;
- suppression list governance: chi la gestisce, come si aggiorna, come si distribuisce ai partner;
- contratti e istruzioni ai responsabili: call center e fornitori devono ricevere istruzioni operative e controlli;
- audit periodici: controlli campionari su contatti dopo opt-out, test reali sui flussi;
- retention policy difendibile: tempi, finalità, trigger di cancellazione, verifiche automatiche;
- evidenze: log di consenso/opposizione, versione informativa, tracciabilità del canale di acquisizione;
- gestione reclami: canale unico, tempi certi, analisi causa radice (non solo “chiudere il ticket”).
Il provvedimento completo è disponibile qui.
Cosa conviene fare subito
Se il marketing è supportato da automazioni e da più soggetti (commerciale, customer care, call center, agenzie), l’area più fragile è quasi sempre l’allineamento tra sistemi e fornitori. Un controllo rapido, ma fatto bene, consiste nel simulare scenari reali: richiesta preventivo, revoca/opposizione, verifica effettiva su tutti i canali nelle ore e nei giorni successivi. È il modo più veloce per capire se la compliance è “di carta” o se regge davvero.
Hai bisogno di supporto operativo? GDPRlab può affiancarti con: revisione di informative, audit dei trattamenti e dei flussi tra sito, crm e fornitori, procedure per opposizioni e gestione dei diritti, definizione di tempi di conservazione e regole di cancellazione, con verifiche periodiche per mantenere i processi solidi e documentabili.
