Telemarketing abusivo, numerazioni reali e GDPR: quando la filiera diventa opaca
Indice dei contenuti
Il telemarketing abusivo viene spesso rappresentato come un problema relativamente semplice: un numero indesiderato chiama, l’utente lo blocca e, se necessario, lo segnala.
La mia esperienza personale mi ha portato a considerare il fenomeno in modo molto diverso.
Dopo numerose chiamate, verifiche sulle numerazioni, interlocuzioni con fornitori di servizi telefonici business, esercizi dei diritti previsti dal GDPR e segnalazioni formali, ho riscontrato che il problema più complesso non è necessariamente impedire alla singola telefonata di raggiungere il telefono.
Il problema è ricostruire in maniera affidabile la filiera che si trova dietro quella telefonata.
Nel telemarketing abusivo, infatti, l’opacità della filiera può essere importante quanto la chiamata indesiderata stessa.
Chi ha acquisito il mio numero?
Chi lo sta materialmente utilizzando?
Per conto di quale soggetto?
Attraverso quale call center?
Da quale infrastruttura telefonica viene originata la chiamata?
Chi ha assegnato la numerazione?
E soprattutto: come può l’interessato esercitare i propri diritti se il soggetto che tratta i suoi dati non è identificabile in maniera concreta?
È a questo livello che il telemarketing abusivo smette di essere soltanto un problema di telefonia commerciale e diventa contemporaneamente un problema di protezione dei dati, cybersecurity, accountability e governance della supply chain.
[INSERIRE QUI TABLE OF CONTENTS BY RANK MATH]
Una premessa metodologica: esperienza personale, fatti e inferenze
Questo articolo nasce anche da una mia esperienza diretta e documentabile.
Nel corso del tempo ho conservato numerazioni, date e orari delle chiamate, schermate di strumenti di caller identification, contenuti delle conversazioni, comunicazioni successive e corrispondenza intercorsa con alcuni fornitori di servizi.
In diversi casi ho inoltre utilizzato PEC per segnalare l’abuso della numerazione e chiedere verifiche.
È importante però distinguere tre livelli.
Il primo è il fatto direttamente osservato: una determinata numerazione mi ha contattato in un determinato momento e durante la conversazione sono state formulate determinate dichiarazioni.
Il secondo è l’indizio tecnico: servizi come Truecaller, ricerche pubbliche e altre fonti possono associare la numerazione a determinate categorie, operatori o segnalazioni.
Il terzo è l’attribuzione certa del traffico e del relativo utilizzatore, che può richiedere informazioni possedute soltanto dall’operatore telefonico, dal cliente intestatario della linea o dalle autorità competenti.
Mantenere separati questi livelli è fondamentale.
È un criterio metodologico particolarmente importante quando si analizza il telemarketing abusivo.
Un’analisi seria non trasforma un indizio in una prova.
Il problema che ho incontrato: una filiera poco collaborativa
Nelle interlocuzioni che ho personalmente condotto, alcuni importanti fornitori di servizi telefonici business non si sono mostrati collaborativi nella misura necessaria a consentirmi di comprendere chi stesse utilizzando determinate numerazioni oggetto delle mie segnalazioni.
Non generalizzo questa esperienza all’intero settore e non sostengo che la mancata comunicazione dell’identità del cliente costituisca, di per sé, una violazione.
Il provider può infatti essere estraneo al trattamento di marketing: può limitarsi a fornire numerazioni, connettività o servizi VoIP al proprio cliente.
Inoltre, l’identità e i dati contrattuali di quel cliente non sono informazioni che necessariamente possono essere comunicate direttamente a un soggetto terzo sulla base di una semplice richiesta.
Il problema che ho riscontrato è più sottile.
A fronte di segnalazioni circostanziate di possibile abuso dell’infrastruttura, non sempre ho ricevuto elementi che facessero comprendere l’esistenza di una reale attività di verifica, né un percorso capace di consentire all’interessato di arrivare al soggetto nei confronti del quale esercitare i diritti privacy.
In alcuni casi l’interlocuzione ha assunto una forma quasi circolare:
io segnalo una chiamata;
il provider richiede elementi che dimostrino che il proprio cliente abbia effettuato quella chiamata;
ma proprio i dati tecnici necessari a stabilirlo sono nella disponibilità della filiera telefonica e non del destinatario.
Questa asimmetria è, a mio avviso, uno dei punti centrali del problema.
Nel telemarketing abusivo tale asimmetria può rendere estremamente difficile per l’utente ricostruire autonomamente la provenienza della chiamata.
Non chiedo una directory pubblica dei clienti
Occorre chiarire anche ciò che questa analisi non sostiene.
Non ritengo realistico né giuridicamente corretto pretendere che un provider comunichi automaticamente a qualunque richiedente il nome del cliente associato a una numerazione.
Una tale soluzione potrebbe generare problemi evidenti di riservatezza e sicurezza.
La questione è differente:
che cosa dovrebbe accadere quando una segnalazione di abuso è sufficientemente dettagliata da permettere al provider di verificare internamente l’uso della propria infrastruttura?
A mio giudizio, una filiera tecnicamente matura dovrebbe essere in grado almeno di:
- identificare internamente l’utenza interessata;
- verificare i dati tecnici disponibili;
- preservare i log utili;
- interrogare il cliente;
- verificare eventuali violazioni contrattuali;
- adottare misure quando l’abuso sia accertato;
- cooperare con AGCOM, Garante o altre autorità competenti;
- fornire al segnalante un riscontro compatibile con i limiti di legge.
Questo è abuse management, non divulgazione indiscriminata dei dati del cliente.
Un sistema efficace di abuse management potrebbe quindi diventare uno degli strumenti di contrasto al telemarketing abusivo.
Il telemarketing abusivo è una supply-chain problem
Il modello intuitivo del telemarketing è molto semplice:
azienda → call center → consumatore.
Nella realtà può esistere una catena molto più articolata:
committente → agenzia → partner commerciale → subfornitore → call center → data provider → fornitore telefonico → utente.
Il Garante per la protezione dei dati personali ha documentato nel 2026 quanto questa struttura possa diventare problematica.
Nel provvedimento del 23 luglio 2026 relativo a TIM, l’Autorità ha ricostruito contatti provenienti da soggetti terzi non identificati, numerazioni non censite al ROC, contatti verso numerazioni iscritte al RPO e flussi che, pur originando da attività abusive, finivano nei sistemi commerciali attraverso ordini di attivazione. Il Garante ha qualificato il cosiddetto “sottobosco” del telemarketing come un rischio sistemico e strutturale del settore, richiamando l’esigenza di sistemi di tracciabilità e vigilanza sulla catena di fornitura.
È esattamente il paradigma della supply-chain security.
Applicato al telemarketing abusivo, significa non limitarsi all’ultimo soggetto visibile della catena.
Se il controllo verifica soltanto l’ultimo passaggio di una catena, un processo formalmente regolare può nascondere un’origine irregolare.
Il problema dell’identità dichiarata durante la telefonata
Una dinamica del telemarketing abusivo che ho incontrato direttamente riguarda chiamanti che si presentano utilizzando il nome di grandi operatori energetici o telefonici.
Se si insiste chiedendo la reale ragione sociale del soggetto che sta effettuando materialmente la chiamata, l’identificazione può rimanere ambigua.
Evito volutamente di attribuire automaticamente a questi comportamenti una specifica qualificazione penale.
Dal punto di vista privacy, il problema esiste comunque.
Se credo di parlare con il soggetto A ma i miei dati vengono in realtà utilizzati dal soggetto B, potenzialmente all’interno di una filiera che comprende C, D ed E, diventa difficile individuare il titolare del trattamento o quantomeno il soggetto al quale rivolgere un’istanza.
Questa opacità incide direttamente sulla possibilità di esercitare i diritti previsti dal GDPR.
Nel telemarketing abusivo, quindi, identificabilità del chiamante e tutela dei dati personali diventano problemi strettamente collegati.
GDPR: il diritto esiste, ma occorre sapere contro chi esercitarlo
L’articolo 12 GDPR stabilisce che il titolare deve fornire informazioni in maniera trasparente e, soprattutto, agevolare l’esercizio dei diritti dell’interessato.
L’articolo 14 è particolarmente importante quando il numero telefonico o altri dati non siano stati acquisiti direttamente dall’interessato. Tra le informazioni previste figurano l’identità del titolare, le finalità, la base giuridica e, in determinate condizioni, la provenienza dei dati.
L’articolo 15 attribuisce il diritto di accesso, consentendo di conoscere, tra l’altro, finalità, categorie di dati, destinatari e periodo di conservazione.
L’articolo 17 disciplina il diritto alla cancellazione quando ricorrono i relativi presupposti.
L’articolo 21 assume poi particolare rilievo nel marketing diretto: l’interessato può opporsi al trattamento dei propri dati per questa finalità.
Infine l’articolo 77 riconosce il diritto di proporre reclamo all’autorità di controllo.
Tutto funziona bene sulla carta.
Ma c’è un prerequisito implicito:
devo riuscire a identificare almeno un interlocutore effettivamente responsabile del trattamento.
Il paradosso: opporsi a un soggetto che non riesco a identificare
Il telemarketing abusivo può produrre una situazione paradossale.
Ricevo una chiamata.
Chiedo chi stia telefonando.
Mi viene indicato il nome di un grande marchio.
Contatto quel marchio e la chiamata non viene riconosciuta.
Cerco di individuare chi abbia effettivamente originato il contatto.
La numerazione risulta associata a un servizio telefonico business.
Segnalo l’episodio al provider.
Il provider non può o non vuole comunicarmi direttamente il proprio cliente e il percorso si interrompe.
A quel punto possiedo formalmente numerosi diritti, ma non conosco con certezza il soggetto nei confronti del quale esercitarli.
È qui che l’architettura normativa incontra un problema operativo.
Il telemarketing abusivo evidenzia precisamente la distanza che può crearsi tra disponibilità formale di un diritto e possibilità concreta di esercitarlo.
Truecaller e caller reputation: utilissimi, ma non sono un’autorità certificatrice
Strumenti come Truecaller possono essere estremamente utili.
Nel mio caso sono serviti anche per orientare l’analisi delle numerazioni e comprendere che alcune chiamate potevano essere associate a infrastrutture o servizi business.
Ma occorre trattare correttamente questa informazione.
Un servizio di caller identification utilizza banche dati proprie, informazioni pubbliche, contributi degli utenti e sistemi reputazionali.
Non è quindi corretto assumere:
“Truecaller mostra X, dunque X ha sicuramente effettuato la chiamata”.
La formulazione tecnicamente corretta è:
“Truecaller costituisce una sorgente informativa che produce un elemento da correlare con altre evidenze”.
In cybersecurity parleremmo di indicator enrichment.
Il numero telefonico è l’indicatore iniziale.
Le banche dati reputazionali aggiungono contesto.
Ma l’attribuzione finale richiede evidenze più forti.
I commenti della community: crowd intelligence, non prova
Un ulteriore elemento interessante è rappresentato dai commenti lasciati dagli utenti.
Per alcune numerazioni le community di caller reputation mostrano numerose segnalazioni, spesso fortemente negative e riferite a offerte commerciali, identità dichiarate, modalità insistenti o altri comportamenti percepiti come problematici.
Queste segnalazioni non devono essere trasformate automaticamente in fatti accertati.
Un commento anonimo può essere impreciso.
Dieci commenti possono derivare da interpretazioni errate.
Anche una massa di commenti non sostituisce un accertamento tecnico.
Ma sarebbe altrettanto sbagliato considerarli privi di valore.
Quando numerosi utenti indipendenti descrivono nel tempo fenomeni analoghi riferiti alla stessa numerazione, emerge un segnale reputazionale.
In sicurezza informatica utilizziamo continuamente concetti analoghi:
reputation score, crowdsourced threat intelligence, segnalazioni aggregate, anomaly scoring.
Non sono verdetti.
Sono trigger per una verifica.
Nel telemarketing abusivo, una concentrazione anomala di segnalazioni può quindi costituire un indicatore utile per avviare verifiche più approfondite.
Ed è proprio questo il ruolo che attribuisco ai commenti di Truecaller e di strumenti analoghi.
Una possibile gerarchia delle evidenze
Per analizzare seriamente il telemarketing abusivo, proporrei una gerarchia delle evidenze.
Livello 1 – evidenza direttamente osservabile
Comprende:
- numero visualizzato;
- timestamp;
- durata della chiamata;
- contenuto direttamente ascoltato;
- identità dichiarata dal chiamante;
- eventuali SMS o messaggi successivi.
Livello 2 – intelligence contestuale
Comprende:
- caller reputation;
- Truecaller;
- commenti aggregati;
- ricerche OSINT;
- ricorrenza della numerazione;
- associazioni pubblicamente disponibili.
Livello 3 – evidenza infrastrutturale
Comprende:
- assegnazione effettiva della numerazione;
- log di interconnessione;
- dati contrattuali;
- origine tecnica del traffico;
- sistemi del provider.
Livello 4 – evidenza commerciale e privacy
Comprende:
- committente della campagna;
- mandato;
- provenienza del lead;
- banca dati utilizzata;
- base giuridica;
- titolare e responsabili del trattamento.
Il cittadino dispone prevalentemente dei primi due livelli.
Ed è proprio questa limitazione informativa a rendere complessa l’attribuzione tecnica nel telemarketing abusivo.
Provider e aziende possiedono i livelli successivi.
Le autorità possono, entro i propri poteri, attraversare l’intera catena.
Questa distribuzione spiega perché chiedere al destinatario della telefonata di dimostrare autonomamente tutta la filiera sia spesso irrealistico.
Il Registro Pubblico delle Opposizioni funziona sulla filiera legittima
Nel contrasto al telemarketing abusivo, il Registro Pubblico delle Opposizioni rimane uno strumento essenziale.
L’iscrizione comporta l’opposizione al telemarketing e l’annullamento dei precedenti consensi alle chiamate promozionali, ferme restando le eccezioni previste dalla disciplina. Gli operatori hanno fino a quindici giorni per recepire gli aggiornamenti.
Il Registro precisa inoltre che la sua efficacia riguarda anche i call center situati all’estero quando operano nell’ambito delle campagne dei relativi committenti.
Il limite strutturale è evidente:
il RPO disciplina chi segue la filiera regolamentata.
Il soggetto che deliberatamente opera al di fuori di essa può tentare di sottrarsi alla disciplina.
Da questo nasce il “sottobosco” del telemarketing abusivo.
Contrastare il telemarketing abusivo significa quindi intervenire anche sulle filiere che deliberatamente restano fuori dai processi ordinari di conformità.
Lo spoofing: il primo problema tecnico affrontato da AGCOM
Nel telemarketing abusivo, una delle tecniche maggiormente utilizzate negli anni passati è stato il CLI spoofing.
Il Calling Line Identification è il numero che il destinatario vede sul display.
Nello spoofing questo identificativo viene manipolato affinché appaia un numero diverso da quello realmente utilizzato per originare la chiamata.
Nel 2025 AGCOM ha adottato con la delibera 106/25/CONS misure tecniche per bloccare le chiamate provenienti dall’estero che utilizzano illegittimamente numerazioni italiane.
Il filtro è entrato in funzione il 19 agosto 2025 per le numerazioni fisse e il 19 novembre 2025 per quelle mobili.
I primi risultati sono stati enormi.
AGCOM ha comunicato che, dopo l’avvio del filtro sulle numerazioni fisse, erano state bloccate circa 43 milioni di chiamate nel primo periodo monitorato, pari a circa 1,3 milioni al giorno.
Con l’estensione ai numeri mobili, tra il 19 e il 30 novembre 2025 sono state bloccate ulteriori 49,3 milioni di chiamate illecite, circa 4,1 milioni al giorno.
Il sistema ha quindi colpito un vettore di abuso quantitativamente enorme.
È stato un intervento rilevante contro una delle tecniche storicamente utilizzate nel telemarketing abusivo.
Quando la numerazione non è falsa
Nel contrasto al telemarketing abusivo, proprio l’efficacia delle misure anti-spoofing evidenzia il problema successivo.
Un filtro progettato per riconoscere una numerazione italiana contraffatta proveniente dall’estero non risolve necessariamente il caso in cui venga utilizzata una numerazione effettivamente assegnata.
Questo non dimostra automaticamente che gli operatori abusivi abbiano “aggirato” consapevolmente AGCOM acquistando numerazioni italiane.
Una simile relazione causale richiederebbe dati specifici.
Ma dal punto di vista della sicurezza il fenomeno è perfettamente comprensibile come displacement dell’abuso:
quando un vettore diventa più difficile, il rischio tende a spostarsi verso altri vettori disponibili.
Il problema non sarebbe più:
numero falso.
Diventerebbe:
numero autentico utilizzato in un contesto abusivo.
Sono problemi completamente differenti.
Per il telemarketing abusivo questa distinzione è decisiva, perché una numerazione autentica non certifica la liceità della campagna che la utilizza.
Autenticità non significa legittimità
Questo concetto, centrale nell’analisi del telemarketing abusivo, è fondamentale anche al di fuori della telefonia.
Un dominio può essere realmente registrato.
Un certificato TLS può essere perfettamente valido.
Un server può essere realmente affittato.
Un account cloud può essere autentico.
Eppure tutti possono essere utilizzati per attività abusive.
Lo stesso vale per una numerazione.
Dimostrare che il CLI è autentico significa soltanto avere aumentato la fiducia nell’identità tecnica della risorsa.
Non significa avere dimostrato la legittimità dell’attività svolta attraverso quella risorsa.
È la differenza tra authentication e authorization/compliance.
Nel telemarketing abusivo, dunque, autenticare correttamente la numerazione risolve soltanto una parte del problema.
AGCOM sta intervenendo anche sull’identificazione dell’originante
Il problema dell’identificativo del chiamante continua infatti a evolvere.
Nell’aprile 2026 AGCOM ha aggiornato il Piano Nazionale di Numerazione con la delibera 21/26/CIR, introducendo ulteriori disposizioni volte a rafforzare la trasparenza nell’identificazione dell’originante e a contrastare sia il CLI spoofing sia pratiche commerciali aggressive.
È un segnale importante.
La sicurezza della telefonia non può fermarsi al semplice formato del numero.
Occorre rendere sempre più affidabile la relazione tra risorsa telefonica, soggetto autorizzato a utilizzarla e origine effettiva della comunicazione.
Il provider business è un punto cruciale, ma va collocato correttamente
Nel telemarketing abusivo, quando una numerazione sembra riconducibile a un provider business nasce facilmente una conclusione eccessiva:
“il provider sa chi mi ha chiamato, quindi deve dirmelo”.
Non è necessariamente così.
Il provider conosce normalmente il proprio cliente contrattuale.
Ma il cliente contrattuale può non coincidere con l’operatore umano.
Può esistere un PBX.
Può esistere una piattaforma VoIP.
Possono esserci sub-account.
Può esserci portabilità.
Possono esistere infrastrutture complesse.
E soprattutto il provider della linea non è automaticamente titolare del trattamento dei dati utilizzati per la campagna di marketing.
La sua responsabilità deve quindi essere valutata in relazione al ruolo effettivamente svolto.
Ciò non elimina però una domanda:
quali obblighi di abuse handling dovrebbe avere chi fornisce l’infrastruttura quando riceve segnalazioni documentate e reiterate?
È questo il tema che ritengo meriti maggiore attenzione.
Una gestione strutturata delle segnalazioni potrebbe costituire un ulteriore livello di difesa contro il telemarketing abusivo.
Un muro informativo può diventare un problema di governance
Nelle situazioni da me affrontate, la criticità non è stata soltanto il mancato ottenimento del nome del cliente.
È stata la sensazione documentabile di trovarmi davanti a una filiera chiusa, nella quale il cittadino disponeva di elementi sufficienti a segnalare un abuso, ma insufficienti a superare autonomamente la barriera tra il numero visibile e il soggetto reale.
Quando ogni anello risponde esclusivamente:
“dimostri prima chi ha chiamato”
si produce un problema logico.
È proprio l’identificazione del chiamante ciò che la segnalazione chiede di verificare.
Non ritengo corretto qualificare automaticamente questo comportamento come illecito.
Lo considero però un modello scarsamente efficace di gestione dell’abuso.
Nel contesto del telemarketing abusivo, l’assenza di un percorso verificabile rischia infatti di lasciare l’interessato in un vicolo cieco.
Ed è la ragione per cui, non essendo riuscito in alcuni casi ad ottenere una collaborazione risolutiva attraverso le normali interlocuzioni, ho ritenuto necessario sottoporre il problema al Garante per la protezione dei dati personali.
Perché ho coinvolto il Garante
La decisione di rivolgermi all’Autorità non nasce dalla convinzione che ogni chiamata indesiderata costituisca automaticamente una grave violazione.
Nasce da un problema strutturale.
Se:
- il chiamante non si identifica correttamente;
- non conosco l’origine del mio numero;
- non posso individuare il titolare;
- il provider della numerazione non mi consente di superare autonomamente il punto morto;
- continuano ad arrivare contatti;
allora il normale meccanismo di esercizio diretto dei diritti può diventare inefficace.
L’articolo 77 GDPR esiste precisamente per consentire all’interessato di rivolgersi all’autorità di controllo quando ritenga che il trattamento dei propri dati violi il Regolamento.
Il Garante dispone di poteri istruttori che il cittadino non possiede.
Questo diventa particolarmente rilevante nei casi di telemarketing abusivo in cui la filiera non sia ricostruibile con gli strumenti disponibili al destinatario della chiamata.
Può acquisire informazioni, ricostruire rapporti contrattuali e verificare i trattamenti.
Dal caso personale a una questione più ampia
La mia vicenda rimane, rigorosamente, la mia vicenda.
Non utilizzo i commenti di altre persone per trasformarla automaticamente in un dato statistico sull’intero settore.
Tuttavia, osservare numerazioni accompagnate da una pluralità di segnalazioni indipendenti e fortemente negative pone una domanda ragionevole:
quanto è realmente individuale il problema che sto osservando?
La risposta richiederebbe dati aggregati e verificati.
Ma è proprio qui che una piattaforma di reputation può svolgere una funzione simile ai sistemi di early warning.
Non dimostra.
Nel telemarketing abusivo, tuttavia, può contribuire a individuare pattern ricorrenti che meritano un approfondimento.
Segnala una possibile concentrazione di eventi.
Una filiera efficace dovrebbe essere interessata a quei segnali, non considerarli irrilevanti soltanto perché non costituiscono ancora una prova definitiva.
Il Codice di condotta va proprio nella direzione della tracciabilità
Il Codice di condotta per telemarketing e teleselling approvato dal Garante nel 2024 prevede per gli aderenti misure volte a garantire correttezza e legittimità dei trattamenti lungo tutta la filiera, nonché strumenti per assicurare l’esercizio dei diritti degli interessati.
Il testo prevede inoltre meccanismi di registrazione delle richieste di opposizione, cancellazione e revoca dei consensi e la loro trasmissione ai committenti secondo procedure definite.
È una conferma importante:
il problema non viene risolto soltanto bloccando numeri.
Occorre governare la catena.
Ed è proprio la governance della catena uno dei punti più deboli quando il telemarketing abusivo sfrutta soggetti e infrastrutture distribuiti.
Dal blacklist model al provenance model
In cybersecurity esiste una lezione ricorrente.
Le blacklist sono utili.
Ma un sistema costruito esclusivamente sulle blacklist è reattivo.
Blocca ciò che è già noto.
L’attaccante cambia IP.
Cambia dominio.
Cambia hash.
Cambia account.
Nel telemarketing abusivo, cambia numero.
Un modello più maturo deve quindi interrogarsi sulla provenance.
Non soltanto:
Questo numero è stato segnalato?
Ma:
Da quale soggetto è stato originato il traffico?
Chi utilizza la risorsa?
Chi ha commissionato la campagna?
Da quale database proviene il contatto?
Quali passaggi ha attraversato il dato?
Quale soggetto può interrompere l’abuso?
La differenza è enorme.
Un possibile protocollo standard di abuse handling
Nel contrasto al telemarketing abusivo, a mio avviso sarebbe utile un protocollo più strutturato per le numerazioni business.
Una segnalazione potrebbe essere composta da:
identificativo chiamante + numero destinatario + timestamp + descrizione + eventuali evidenze.
Una volta ricevuta, il provider potrebbe generare un identificativo univoco del caso.
Da quel momento dovrebbe esistere una catena documentata:
ricezione → conservazione → verifica → interlocuzione cliente → classificazione → azione → chiusura.
Il segnalante non dovrebbe necessariamente conoscere ogni dettaglio interno.
Ma dovrebbe almeno sapere che la segnalazione:
- è stata ricevuta;
- è stata verificata;
- non è stata respinta perché lui stesso non possiede informazioni accessibili soltanto al provider.
Questo sarebbe un modello simile a quello ormai consolidato nell’hosting e nella gestione degli abusi Internet.
Privacy engineering e sicurezza telefonica devono convergere
Il telemarketing abusivo dimostra che privacy e cybersecurity non possono più essere trattate come discipline isolate.
Il privacy specialist domanda:
chi è il titolare del trattamento?
Il security analyst domanda:
da quale infrastruttura arriva l’evento?
Il network engineer domanda:
qual è il percorso della chiamata?
Il giurista domanda:
qual è la base giuridica?
L’interessato domanda semplicemente:
chi ha il mio numero e perché mi sta chiamando?
Sono tutte versioni della stessa domanda.
La risposta richiede correlazione tra dati giuridici, commerciali e tecnici.
Per questo il telemarketing abusivo rappresenta un caso particolarmente interessante di convergenza tra privacy engineering e cybersecurity.
Telemarketing abusivo: il vero obiettivo non è identificare ogni operatore umano
Non serve necessariamente sapere il nome della singola persona seduta davanti alla cuffia.
Ciò che deve essere tracciabile è la responsabilità organizzativa.
Devo poter arrivare a una catena del tipo:
numerazione → soggetto utilizzatore → campagna → committente → trattamento dei dati.
Se questa relazione è ricostruibile, i diritti diventano esercitabili.
Se non lo è, il cittadino può trovarsi in una situazione nella quale tutti gli attori esistono, ma nessuno è concretamente raggiungibile.
Conclusione: dal numero telefonico alla accountability chain
La mia esperienza con il telemarketing abusivo mi ha portato progressivamente a cambiare prospettiva.
All’inizio l’oggetto dell’attenzione era il numero.
Poi è diventato il chiamante.
Successivamente il provider.
Alla fine, il vero oggetto di analisi è diventato la filiera.
Nel contrasto al telemarketing abusivo, le misure anti-spoofing introdotte da AGCOM hanno dimostrato che interventi tecnici ben progettati possono eliminare decine di milioni di chiamate con CLI contraffatto.
Ma la fase successiva è più difficile.
Una numerazione può essere autentica e il contatto può comunque essere problematico.
Un provider può essere estraneo al marketing e, contemporaneamente, trovarsi nella posizione tecnica migliore per permettere una verifica.
Un sistema di caller reputation può non costituire prova e tuttavia produrre informazioni preziose.
Una pluralità di segnalazioni può non dimostrare un illecito e tuttavia rappresentare un segnale che merita investigazione.
E soprattutto un diritto GDPR può essere perfettamente scritto nella legge e diventare difficile da esercitare quando il soggetto responsabile rimane opaco.
Per questo ritengo che il futuro del contrasto al telemarketing abusivo non possa dipendere soltanto da blacklist, blocco dei numeri e filtri anti-spoofing.
Serve una accountability chain.
Una catena nella quale ogni soggetto possa non essere responsabile dell’intero fenomeno, ma sia responsabile del proprio segmento e della corretta gestione delle informazioni che possiede.
Il provider non deve necessariamente rivelarmi chi è il suo cliente.
Ma deve esistere un sistema nel quale quella relazione possa essere verificata quando emerge un abuso documentato.
Il call center non può diventare invisibile dietro il nome del committente.
Il committente non può limitarsi a osservare soltanto l’ultimo passaggio commerciale.
E il cittadino non può essere gravato dell’onere di produrre dati tecnici ai quali non può materialmente accedere.
È su questo terreno che, a mio avviso, privacy, telecomunicazioni e cybersecurity devono incontrarsi.
Perché il problema non è più soltanto:
“chi mi ha telefonato?”
La domanda realmente importante è:
“la filiera è costruita in modo tale che qualcuno possa essere chiamato a rispondere di quella telefonata?”