Fare telemarketing a norma GDPR nel 2026 non significa rinunciare ai volumi né alla velocità: significa partire da contatti raccolti nel modo giusto e sapere sempre su quale base giuridica stai chiamando. In questa guida vediamo, passo per passo, come costruire campagne che convertono e che restano conformi — dalla base giuridica al Registro Pubblico delle Opposizioni, fino alle liste profilate e al double opt-in.
Ogni chiamata di marketing ha bisogno di una base giuridica (consenso o legittimo interesse), di un contatto che non abbia opposto rifiuto, e di una prova documentabile di come e quando è stato raccolto il consenso. Se manca uno di questi tre elementi, la campagna è a rischio.
1. La base giuridica: consenso o legittimo interesse
Il Regolamento UE 2016/679 (GDPR) richiede che ogni trattamento di dati personali per finalità di marketing abbia una base giuridica. Per il B2C la strada più sicura è il consenso documentato, raccolto tramite una landing con informativa chiara. Per il B2B si può valutare il legittimo interesse, ma va motivato con un test di bilanciamento e va comunque garantita la possibilità di opporsi.
La differenza è sostanziale: il consenso è un "sì" attivo e revocabile in ogni momento; il legittimo interesse è una valutazione che fai tu come titolare e che devi essere pronto a difendere. Nel dubbio, per le chiamate a privati, il consenso specifico per il telemarketing resta la scelta che regge meglio a un controllo.
2. Il Registro Pubblico delle Opposizioni
Dal 2022 il Registro Pubblico delle Opposizioni include anche i numeri di cellulare e i numeri presenti negli elenchi. In pratica, prima di lanciare una campagna outbound su numerazioni proprie o acquisite, la lista va filtrata contro il Registro: chi si è iscritto ha revocato i consensi pregressi e non può essere chiamato per marketing.
Il consenso raccolto prima dell'iscrizione al Registro non "sopravvive" all'iscrizione: l'opposizione dell'utente prevale. Aggiorna il confronto con il Registro a ridosso di ogni campagna, non una volta l'anno.
3. Perché le liste grezze sono il rischio numero uno
La maggior parte delle sanzioni del Garante per la protezione dei dati personali nel settore nasce da un punto solo: liste comprate senza sapere come è stato raccolto il consenso. Un file di numeri, per quanto grande, non vale nulla se non puoi dimostrare l'origine del dato e la finalità per cui è stato prestato il consenso.
La domanda da porsi non è "quanti numeri ci sono", ma "per ciascun numero, esiste un consenso valido al telemarketing e ne ho la prova?". È esattamente la differenza tra comprare una lista o generare lead con una landing: nel secondo caso il consenso nasce con te ed è tracciato.
4. Il double opt-in e il registro dei consensi
Il double opt-in è la prassi che rende il consenso davvero difendibile: l'utente lascia i dati, riceve una mail (o un SMS) e conferma. Da quel momento hai due timestamp, l'indirizzo IP, il testo dell'informativa vigente in quel momento e la fonte. È la prova documentabile di cui parlavamo all'inizio.
Conserva tutto in un registro dei consensi: quando un contatto contesta la chiamata, o quando il Garante chiede conto di una lista, la differenza tra archiviare la pratica e prendere una sanzione è avere quel registro pronto in trenta secondi.
Salva insieme al numero anche il testo dell'informativa mostrata al momento della raccolta, non solo la data. Le informative cambiano nel tempo: devi poter dimostrare cosa aveva letto l'utente quel giorno.
5. Lo script e la trasparenza in apertura
La conformità non finisce con la lista: continua dentro la telefonata. Nei primi secondi l'operatore deve identificarsi, dichiarare per conto di chi chiama e la finalità commerciale. Un'apertura trasparente, oltre a essere obbligatoria, alza la fiducia e riduce le chiusure immediate. Un buon script bilancia conformità e conversione: dichiara subito chi sei, poi porta valore.
Se lavori su settori specifici — energia luce e gas, fotovoltaico o cessione del quinto — lo script va tarato sul bisogno reale di quel target, ma la parte di apertura e trasparenza resta identica.
6. La checklist prima di premere "avvia campagna"
- La lista ha una base giuridica chiara per ciascun contatto (consenso o legittimo interesse motivato).
- È stata filtrata contro il Registro delle Opposizioni a ridosso della campagna.
- Esiste un registro dei consensi con data, fonte, IP e informativa.
- Lo script apre con identificazione e finalità commerciale.
- C'è un processo semplice per registrare e onorare i rifiuti (opt-out) in tempo reale.
La conformità non è un costo che frena le vendite: è ciò che ti permette di scalare senza rischiare. Una lista di lead con consenso documentato converte di più e ti mette al riparo. Volume e regole non sono nemici: lo diventano solo quando parti da dati che non sai spiegare.
7. Gli errori che costano una sanzione (e come evitarli)
La maggior parte delle contestazioni non nasce da una scelta strategica sbagliata, ma da errori operativi ripetuti. Il primo è riutilizzare un consenso raccolto per un'altra finalità: un utente che ha lasciato i dati per ricevere un preventivo non ha necessariamente acconsentito a chiamate promozionali su prodotti diversi. La finalità va rispettata alla lettera.
Il secondo errore è la catena di responsabilità confusa: quando committente, call center e fornitore di lead si scaricano a vicenda gli obblighi, il Garante individua comunque un titolare del trattamento. Metti nero su bianco, nei contratti, chi è titolare e chi responsabile, e pretendi dai fornitori le garanzie documentali. Il terzo errore è non onorare gli opt-out in tempo reale: un contatto che chiede di non essere più richiamato e che riceve un'altra chiamata la settimana dopo è la segnalazione più facile da fare e più difficile da giustificare.
Infine, il quarto: conservare i dati oltre il necessario. Una lista "tenuta lì per sicurezza" per anni è un rischio, non una risorsa. Definisci tempi di conservazione coerenti con la finalità e cancella ciò che non serve più.
Domande frequenti sul telemarketing a norma GDPR
Posso chiamare un numero che ho comprato da un fornitore?
Solo se il fornitore può documentare che quel numero ha prestato un consenso valido al telemarketing per finalità compatibili con la tua chiamata, e se hai filtrato la lista contro il Registro delle Opposizioni. Senza queste due condizioni, la responsabilità della chiamata è tua.
Il legittimo interesse basta per il B2C?
Per le chiamate promozionali a privati il consenso specifico è la base più solida. Il legittimo interesse è più difendibile in ambito B2B e va sempre motivato con un test di bilanciamento documentato, garantendo il diritto di opposizione.
Ogni quanto va aggiornato il confronto con il Registro delle Opposizioni?
A ridosso di ogni campagna. Le iscrizioni al Registro sono continue e un'opposizione recente prevale su qualsiasi consenso precedente: un confronto vecchio di mesi non ti protegge.
Cosa devo conservare come prova del consenso?
Data e ora della raccolta, fonte, indirizzo IP, e soprattutto il testo (o la versione) dell'informativa mostrata in quel momento. Il double opt-in è il modo più semplice per generare e conservare queste prove.
Nel 2026 il telemarketing che funziona è quello che unisce due cose: contatti profilati con consenso tracciato e una macchina operativa (script, KPI, gestione degli opt-out) costruita attorno alla conformità. È il modello con cui lavoriamo su ogni lista che consegniamo: lead con consenso GDPR, pronti per la chiamata, senza sorprese.