Possiamo chiamare gli iscritti al webinar? Le regole italiane

La domanda «possiamo chiamare chi si è iscritto al nostro webinar?» sembra più semplice di quella sul telemarketing a freddo, e in un certo senso lo è: qualcuno ha alzato la mano, ha lasciato un numero e si aspetta di sentire parlare di quell’evento. Ma la semplicità finisce lì. In Italia le norme che governano la chiamata non sono scritte sull’asse «freddo contro caldo»: sono scritte sull’asse consenso, finalità e numerazione, e un iscritto al webinar si muove bene su uno solo di quei tre assi.

Va detto subito, perché è la premessa che governa tutto il resto: le fonti italiane su telemarketing e chiamate automatizzate sono scritte guardando al contatto non richiesto. Nessun testo normativo, e nessun provvedimento del Garante che siamo riusciti a verificare, affronta direttamente il caso dell’iscritto consenziente a un webinar. Quello che leggi qui è quindi l’applicazione di norme esistenti a una fattispecie diversa, non una conclusione consolidata. Chi ti dice il contrario ti sta vendendo una certezza che non esiste.

Nelle sezioni che seguono separiamo i quattro livelli di regole, mostriamo dove il consenso raccolto in fase di iscrizione fa davvero la differenza e dove non la fa, e ci fermiamo a lungo sul punto che in Italia manda fuori strada quasi tutti: l’ordine cronologico tra il consenso e l’iscrizione al Registro Pubblico delle Opposizioni. Chiudiamo con le domande su cui nessuno, ad oggi, si è ancora pronunciato. Una nota di metodo: le norme italiane sono citate dal testo italiano, mentre le norme europee sono riportate verbatim dalla versione inglese delle fonti che abbiamo effettivamente consultato, per non introdurre traduzioni nostre in un testo giuridico.

In che cosa un iscritto al webinar è diverso da un contatto a freddo?

La differenza è un atto compiuto dalla persona. In una chiamata a freddo il destinatario non ha fatto nulla: il suo numero proviene da una lista, da un registro pubblico o da una ricerca, e ogni domanda di legalità nasce da lì. Nel caso del webinar la persona ha compilato un modulo, ha scelto un evento e — se il modulo era fatto bene — ha spuntato una casella che nomina il canale telefonico. Quel modulo è l’unico posto in cui il consenso può essere raccolto davvero, e per questo è il vero prodotto della conformità.

Se il tuo caso è l’altro — liste acquistate, numeri trovati online, nessun rapporto precedente — la pagina giusta non è questa: leggi telemarketing e chiamate a freddo, cosa è legale in Italia, che tratta la fattispecie del contatto non richiesto, il perimetro B2B e il funzionamento generale del Registro delle Opposizioni. Qui affrontiamo il caso opposto e più insidioso: quello in cui un consenso esiste, e la domanda diventa che cosa quel consenso copre e che cosa non copre.

• Che cosa cambia. Il consenso è la chiave che apre il livello ePrivacy: l’art. 13, par. 1 della direttiva 2002/58/CE ammette i sistemi automatizzati di chiamata «only in respect of subscribers or users who have given their prior consent» (testo dell’art. 13). In Italia questa è la porta principale, e il modulo di iscrizione è l’unico posto in cui puoi attraversarla.
• Che cosa non cambia. Il Registro Pubblico delle Opposizioni, la finalità dichiarata al momento della raccolta e le regole sulla numerazione non sanno nulla del fatto che la persona sia «calda». Sono indifferenti al consenso, o addirittura — nel caso del RPO — lo cancellano.
• Che cosa resta incerto. Se una telefonata di pura conferma della partecipazione sia «marketing diretto» ai sensi dell’art. 13 è una domanda che nessuna fonte italiana risolve. Trattarla come marketing è la lettura prudente.

Detto in una riga: essere un iscritto ribalta la domanda sul consenso e non ne ribalta nessun’altra.

Quali regole decidono se puoi chiamare un iscritto al webinar?

Conviene smettere di ragionare per «è legale o no» e ragionare per livelli sovrapposti. Ne esistono quattro, e devono essere soddisfatti tutti insieme: soddisfarne tre non basta. La tabella mostra dove lo status di iscritto aiuta davvero.

Il quinto elemento non è un livello di ammissibilità ma un obbligo di trasparenza che si aggiunge: dal 2 agosto 2026 l’art. 50 del regolamento IA impone di informare la persona che sta interagendo con un sistema di intelligenza artificiale. Non rende lecita una chiamata che non lo era, e non rende illecita una chiamata che lo era: è un dovere autonomo che va rispettato in aggiunta a tutto il resto.

Iscriversi a un webinar equivale a dare il consenso?

No. Lasciare un numero di telefono per partecipare a un evento è un atto di servizio: serve a ricevere il link, il promemoria e la registrazione. Perché diventi anche un consenso alle chiamate promozionali con sistemi automatizzati deve esserci una manifestazione di volontà separata e riconoscibile, e il GDPR è esplicito su come deve essere fatta.

L’art. 4, punto 11 definisce il consenso come «any freely given, specific, informed and unambiguous indication of the data subject’s wishes» espressa con una dichiarazione o un’azione positiva inequivocabile (art. 4 GDPR). L’art. 7, par. 2 aggiunge che, quando il consenso è inserito in una dichiarazione che riguarda anche altre questioni — come un modulo di iscrizione — la richiesta deve essere presentata «in a manner which is clearly distinguishable from the other matters». E l’art. 7, par. 1 mette l’onere della prova a carico di chi tratta i dati: devi essere in grado di dimostrare che quella persona ha acconsentito (art. 7 GDPR).

La conseguenza pratica è netta e, per una volta, incoraggiante: il modulo di iscrizione è l’unico punto della catena in cui il consenso può essere raccolto correttamente. Se il modulo lo fa, hai una posizione difendibile al livello 1. Se non lo fa, non esiste alcun modo di recuperare a valle: non lo recupera la telefonata, non lo recupera un’informativa lunga, non lo recupera il fatto che la persona sia interessata.

Che cosa richiede l’art. 130 del Codice Privacy?

In Italia la regola operativa sta nell’art. 130, comma 1, del Codice in materia di protezione dei dati personali (d.lgs. 196/2003): l’uso di «sistemi automatizzati di chiamata o di comunicazione di chiamata senza l’intervento di un operatore» per l’invio di materiale pubblicitario, per la vendita diretta, per il compimento di ricerche di mercato o per comunicazione commerciale è consentito «con il consenso del contraente o utente» (art. 130, d.lgs. 196/2003).

Due dettagli di quel testo contano più di quanto sembri. Il primo: la norma parla di contraente o utente, non di interessato. Il Garante lo ha affrontato espressamente nel provvedimento n. 262 del 20 settembre 2012, dedicato all’applicabilità del Codice alle persone giuridiche, concludendo che le persone giuridiche rientrano tra i destinatari delle previsioni del Titolo X (Garante, doc-web 2094932). Tradotto: in Italia non puoi appoggiarti all’idea che «tanto è B2B».

Il secondo dettaglio è quello che quasi nessun fornitore ti dirà, ed è il motivo per cui vale la pena leggere fino in fondo.

Resta l’ultima scorciatoia, quella che molti chiamano «soft spam». L’art. 130, comma 4 consente di usare senza consenso le coordinate di posta elettronica fornite dall’interessato «nel contesto della vendita di un prodotto o di un servizio», purché si tratti di prodotti o servizi analoghi e la persona non si opponga. Due limiti la rendono inutile qui: riguarda solo la posta elettronica — non le chiamate, non gli SMS promozionali — e presuppone una vendita conclusa. Un’iscrizione gratuita a un webinar non è una vendita.

Perché il Registro delle Opposizioni può revocare un consenso che hai già?

Questo è il punto in cui l’Italia è diversa da qualunque altro mercato europeo, ed è il motivo per cui una campagna progettata su regole tedesche o spagnole può rompersi qui senza che nessuno se ne accorga. La legge 11 gennaio 2018, n. 5 non si limita a dire «non chiamare i numeri iscritti»: all’art. 1, comma 5, dispone che con l’iscrizione al registro «si intendono revocati tutti i consensi precedentemente espressi, con qualsiasi forma o mezzo e a qualsiasi soggetto», che autorizzavano il trattamento delle proprie numerazioni per fini di pubblicità, vendita, ricerche di mercato o comunicazione commerciale.

Il comma 5 fa salvi soltanto «i consensi prestati nell’ambito di specifici rapporti contrattuali in essere, ovvero cessati da non più di trenta giorni, aventi ad oggetto la fornitura di beni o servizi». Un’iscrizione gratuita a un webinar è, quasi certamente, molto lontana da uno «specifico rapporto contrattuale in essere» avente ad oggetto la fornitura di beni o servizi. Il comma 6 chiude il cerchio nella direzione opposta: «È valido il consenso al trattamento dei dati personali prestato dall’interessato, ai titolari da questo indicati, successivamente all’iscrizione nel registro» (testo della legge 5/2018).

Messi insieme, i due commi producono una regola che quasi nessuno applica: a decidere non è l’esistenza del consenso, ma l’ordine cronologico tra il consenso e l’iscrizione al registro.

Il comma 12 è la parte operativa e non ammette letture creative: gli operatori che usano sistemi di pubblicità telefonica e di vendita telefonica, o che compiono ricerche di mercato o comunicazioni commerciali telefoniche, «hanno l’obbligo di consultare mensilmente, e comunque precedentemente all’inizio di ogni campagna promozionale, il registro pubblico delle opposizioni e di provvedere all’aggiornamento delle proprie liste» (legge 5/2018, art. 1, comma 12). Aggiungiamo un dettaglio che chi esternalizza le chiamate tende a rimuovere: il comma 11 rende il titolare del trattamento responsabile in solido delle violazioni «anche nel caso di affidamento a terzi di attività di call center».

Richiamare chi non si è presentato per vendere è la stessa finalità?

No, ed è il rischio più sottovalutato di tutta la materia. Confermare la partecipazione a un evento è esattamente la finalità per cui la persona ha lasciato i propri dati. Richiamare chi non si è presentato per fissare un appuntamento commerciale è una finalità nuova. «Mi sono iscritto a un webinar» non significa «vendetemi qualcosa».

La meccanica corretta non passa dalla compatibilità tra finalità, ma dalla specificità del consenso. L’art. 4, punto 11 richiede un consenso specifico; l’art. 5, par. 1, lett. b) impone che i dati siano «collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes» (art. 5 GDPR). Un consenso a ricevere informazioni su un webinar non è, per costruzione, un consenso a un richiamo commerciale.

Vale la pena smontare una scorciatoia che circola spesso in senso opposto, perché è sbagliata e un avvocato la userebbe per aprire la discussione: non è vero che il GDPR «chiuda» la strada del trattamento ulteriore quando la base originaria era il consenso. Il considerando 50 dice l’esatto contrario — dove l’interessato ha prestato il consenso, il titolare dovrebbe poter trattare ulteriormente i dati «irrespective of the compatibility of the purposes» (considerando 50). Proprio per questo, però, la via d’uscita passa attraverso il consenso stesso: e un consenso che non ha mai nominato il richiamo commerciale non può portarlo con sé.

Ne discende l’unico disegno difendibile: il modulo di iscrizione deve nominare la finalità e i canali. Se non li nomina, la strada non è chiamare comunque e sperare — è chiedere di nuovo.

Che cosa il consenso non risolve?

Un consenso perfetto risolve una domanda sola. Sotto ci sono obblighi che non hanno alcuna relazione con la volontà della persona chiamata, e che restano identici che tu stia chiamando un iscritto entusiasta o uno sconosciuto.

• La numerazione e l’identità del chiamante. Con la delibera 106/25/CONS l’AGCOM ha imposto agli operatori il blocco delle chiamate provenienti dall’estero che usano illegittimamente numerazione nazionale italiana (AGCOM, delibera 106/25/CONS). Il filtro è partito in due fasi: il 19 agosto 2025 per le numerazioni fisse e il 19 novembre 2025 per il mobile, con l’eccezione delle chiamate da clienti effettivamente in roaming (comunicato AGCOM). Nessun consenso rende consegnabile una chiamata che la rete blocca.
• La dichiarazione dell’IA. L’art. 50, par. 1 del regolamento (UE) 2024/1689 impone che le persone fisiche siano informate quando interagiscono con un sistema di IA, salvo che ciò sia evidente per una persona ragionevolmente informata, attenta e avveduta; il par. 5 precisa che l’informazione va data «at the latest at the time of the first interaction or exposure» (art. 50 del regolamento IA). L’art. 113 fissa l’applicazione generale al 2 agosto 2026, e il capo IV — dove sta l’art. 50 — non rientra in nessuna delle deroghe anticipate o posticipate (art. 113).
• L’opposizione. L’art. 21, par. 3 del GDPR è assoluto e non ammette bilanciamenti: quando l’interessato si oppone al trattamento per finalità di marketing diretto, «the personal data shall no longer be processed for such purposes»; il par. 4 impone di portare quel diritto alla sua attenzione al più tardi alla prima comunicazione (art. 21 GDPR). E l’art. 7, par. 3 aggiunge che revocare il consenso deve essere facile quanto prestarlo.
• La revoca deve valere su tutti i canali. Se una persona dice «basta» al telefono, l’effetto deve fermare anche l’SMS e l’email: una lista di esclusione per canale non soddisfa una norma scritta sulla finalità, non sul mezzo.

Che cosa deve dire il modulo di iscrizione?

Se tutto il peso della conformità cade sul modulo, allora il modulo è il documento più importante della campagna — più dello script, più della lista, più della tecnologia. Ecco che cosa deve fare, sulla base dei testi citati sopra.

Il modo onesto di leggere questa lista è che l’audit del modulo viene prima della campagna. Se il modulo non autorizza ciò che vuoi fare, il problema non si risolve né con uno script migliore né con un fornitore diverso: si risolve cambiando il modulo e ripartendo dalle iscrizioni successive.

Che cosa non è ancora stato deciso?

Questa è la sezione che quasi nessun fornitore pubblica, ed è la ragione principale per cui questa pagina esiste. I punti che seguono non hanno una risposta: non l’hanno nel testo di legge, e non l’abbiamo trovata in un provvedimento del Garante o in una pronuncia giurisdizionale.

• Un agente vocale IA è un «sistema automatizzato di chiamata»? È il presupposto di tutto il ragionamento e nessun giudice o autorità, per quanto abbiamo verificato, si è pronunciato. È una lettura ragionata, non un fatto accertato. La prudenza va nella direzione di assumere di sì.
• Una telefonata di pura conferma è «marketing diretto»? L’art. 13 della direttiva ePrivacy morde solo sulle comunicazioni a fini di marketing diretto. Se il promemoria di un evento che la persona ha chiesto di seguire ricada dentro o fuori, non lo dice nessuno. Nel momento in cui la telefonata contiene anche una proposta, diventa comunque mista, e le comunicazioni miste vengono trattate come marketing.
• La revoca del comma 5 raggiunge le chiamate senza operatore? Il testo parla di trattamento «mediante operatore con l’impiego del telefono». Silenzio su tutto il resto. Vedi il riquadro sopra: adottiamo la lettura restrittiva e lo diciamo.
• Serve una valutazione d’impatto (DPIA)? L’elenco dei casi obbligatori dell’art. 35, par. 3 non cattura in modo evidente questa attività. Il gancio plausibile è l’art. 35, par. 1, che parla di trattamenti «in particular using new technologies» con rischio elevato (art. 35 GDPR). Posizione onesta: consigliabile e probabilmente attesa sui volumi, non dimostrabilmente obbligatoria.
• La registrazione delle chiamate. Sul consenso alla registrazione in questo specifico scenario non abbiamo trovato una presa di posizione italiana. Non pubblichiamo quindi una conclusione giuridica sul punto, e chiunque te ne offra una netta sta andando oltre le fonti.
• Quale legge nazionale si applica. Quando un fornitore stabilito in un altro Stato membro chiama un iscritto italiano, quale diritto governi la chiamata non è affrontato dalle fonti verificate. La scelta prudente è applicare le regole del Paese che si sta chiamando.
• Il perimetro soggettivo del RPO. La legge 5/2018 parla di «interessati» e di utenze «loro intestate», mentre l’art. 130 del Codice Privacy parla di «contraente o utente» e raggiunge anche le persone giuridiche. Come le due formule si incastrino su una linea aziendale non è chiarito dal testo.

Un elenco di domande aperte non è una debolezza dell’analisi: è l’analisi. Su questa materia, «non è stato deciso» è spesso la risposta corretta, e sapere dove l’incertezza si concentra è ciò che permette di progettare una campagna che non poggia su un presupposto fragile.

Quali affermazioni su questo tema sono sbagliate?

Le frasi che seguono circolano nei materiali commerciali del settore. Nessuna è compatibile con i testi citati in questa pagina.

Se il tuo problema è invece il contatto verso persone che non ti hanno mai lasciato un numero, il quadro è diverso e più stretto: leggi che cosa è legale nel telemarketing a freddo in Italia. Se invece il punto è come si costruisce un sistema vocale che dichiara di essere un’IA e rispetta le opposizioni, il confronto sta in voce IA white-label, GDPR e regolamento IA. Per parlarne con noi, scrivici.

Domande frequenti