Con il provvedimento n. 391 del 28 maggio 2026 l’Autorità dichiara illecito il rifiuto opposto da un grande fornitore di energia alla richiesta di un cliente di ottenere copia della telefonata registrata con il servizio clienti. La tutela della riservatezza dell’operatore non giustifica il diniego: il titolare deve prima verificare se esistano misure tecniche capaci di conciliare i due interessi.
Il caso
Il 6 agosto 2025 un cliente telefona al servizio clienti del proprio fornitore di gas. La conversazione, che riguarda esclusivamente il suo contratto di fornitura, viene registrata. Due giorni dopo il cliente chiede copia dei propri dati personali contenuti in quella registrazione, esercitando il diritto di accesso previsto dall’art. 15 del GDPR.
Il riscontro arriva il 28 settembre, oltre il termine di un mese fissato dall’art. 12, ed è negativo. La società invoca l’art. 15, par. 4, del Regolamento, secondo cui il diritto di ottenere copia “non deve ledere i diritti e le libertà altrui”: nella registrazione compare la voce dell’operatore, che nel corso della chiamata ha ripetuto più volte nome e numero di matricola. Consegnare il file, sostiene la società, significherebbe sacrificare la riservatezza di un terzo.
Il cliente presenta reclamo al Garante. All’esito dell’istruttoria, l’Autorità dichiara illecito il trattamento per violazione degli artt. 12 e 15 del Regolamento e ingiunge alla società di soddisfare la richiesta entro trenta giorni, avvertendo che il mancato riscontro può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e).
Il principio: il bilanciamento ha tre stadi, non due
Il cuore della decisione è la ricostruzione del meccanismo dell’art. 15, par. 4. Il Garante chiarisce che quella disposizione non è un interruttore che disattiva il diritto dell’interessato, ma un criterio che ne conforma le modalità di esercizio. Il considerando 63 del Regolamento è esplicito: le esigenze di tutela dei terzi “non dovrebbero condurre a un diniego di fornire all’interessato tutte le informazioni”.
Ne discende una sequenza obbligata:
- il titolare identifica i diritti dei terzi potenzialmente incisi;
- valuta se esistano misure tecniche o organizzative idonee a soddisfare la richiesta senza incidere su tali diritti;
- solo se tali misure non esistono, o non eliminano il pregiudizio, può limitare l’accesso — e comunque nella misura minima necessaria.
Il diniego integrale è l’ultima ratio. Chi salti direttamente dallo stadio 1 allo stadio 3 viola il Regolamento, e la violazione è procedurale prima ancora che sostanziale: non ha condotto il bilanciamento nel modo in cui va condotto.
L’Autorità precisa inoltre che la valutazione deve essere svolta caso per caso e articolata secondo i parametri classici del risk assessment — probabilità e gravità del pregiudizio — con onere della prova a carico del titolare. Una policy aziendale che escluda in via generale la consegna delle registrazioni non è un bilanciamento: è la sua negazione.
Le misure indicate dal Garante
Il provvedimento è insolitamente esplicito nell’elencare le soluzioni che la società avrebbe dovuto quantomeno valutare:
- mascheramento delle informazioni idonee a identificare l’operatore (nome, numero di matricola);
- tecniche di morphing per alterare la voce e renderla non riconducibile al soggetto;
- in alternativa, la consegna della trascrizione della conversazione, privata delle informazioni identificative del terzo.
Il riferimento è alle Linee guida EDPB n. 01/2022 sul diritto di accesso, che dedicano un esempio specifico (n. 35) proprio all’ipotesi della registrazione telefonica contenente dati di terzi.
Due elementi di fatto pesano nella decisione: la telefonata era di natura meramente professionale — l’operatore vi partecipava come addetto, non in veste privata — e aveva ad oggetto esclusivamente il contratto del reclamante. Il margine di dati riferibili al terzo si riduceva così ai soli elementi identificativi, cioè esattamente quelli suscettibili di mascheramento.
Le difese respinte
Il Garante disattende tutte le argomentazioni difensive, che vale la pena ricordare perché ricorrono con frequenza nella prassi.
“Il diniego non è stato arbitrario.” Vero, ma il sindacato dell’Autorità non si ferma all’esistenza di una valutazione: ne verifica la struttura. Documentare diligentemente un ragionamento incompleto significa produrre la prova della propria non conformità.
“L’operatore aveva ripetuto più volte i propri dati identificativi.” L’argomento si rovescia: proprio perché quei dati sono puntualmente localizzabili nel flusso audio, mascherarli è tecnicamente agevole. Peraltro il cliente li aveva già appresi in tempo reale durante la chiamata: il diniego non proteggeva nulla che non fosse già noto.
“Il contratto con il fornitore del customer care limita le finalità della registrazione alla valutazione della qualità del servizio.” Un contratto tra privati non può escludere l’operatività di un obbligo di legge. Anzi, l’art. 28, par. 3, lett. e), impone che l’accordo con il responsabile preveda l’assistenza al titolare per dare seguito alle richieste degli interessati: la lacuna contrattuale è essa stessa una non conformità.
“La consegna esporrebbe l’operatore a contestazioni disciplinari.” Rischio ipotetico e, soprattutto, neutralizzabile proprio dalle misure che il titolare ha omesso di adottare: un operatore non identificabile non è disciplinarmente perseguibile su iniziativa del cliente.
Respinta anche l’eccezione procedurale sulla mancata formulazione dell’invito ad aderire (art. 15, comma 1, Regolamento Garante n. 1/2019): l’istituto non si applica quando il diniego è motivato con una causa di limitazione la cui verifica richiede istruttoria di merito.
Cosa fare adesso
Per chi gestisce elevati volumi di contatto telefonico — utilities, telco, banche, assicurazioni, sanità privata, e-commerce — il provvedimento impone alcune verifiche immediate:
- rivedere le procedure di gestione delle istanze di accesso, introducendo un passaggio obbligatorio e documentato di valutazione delle misure di mitigazione ed eliminando ogni regola di diniego automatico;
- verificare i contratti ex art. 28 con i fornitori di contact center: tempi di estrazione delle registrazioni, disponibilità di funzionalità di anonimizzazione audio e trascrizione, allocazione dei costi;
- dotarsi delle capacità tecniche di redazione audio, alterazione vocale e trascrizione — oggi ampiamente disponibili, spesso già presenti nelle piattaforme di speech analytics;
- sospendere la cancellazione automatica delle registrazioni oggetto di istanza o reclamo, per evitare l’impossibilità sopravvenuta di adempiere;
- aggiornare le informative verso clienti e operatori;
- monitorare tempo medio di riscontro e percentuale di dinieghi: una quota elevata di rifiuti fondati sull’art. 15, par. 4, è oggi un chiaro indicatore di rischio.
In sintesi
Il provvedimento n. 391/2026 non innova, ma converte un principio astratto in un canone operativo verificabile. Tre le regole da ricordare: il diritto di accesso ha per oggetto anche il contenuto sonoro delle registrazioni; la presenza di dati di terzi non estingue il diritto ma ne conforma le modalità di esercizio; il diniego integrale è ammissibile solo quando la conciliazione sia tecnicamente impossibile, e l’onere di dimostrarlo grava interamente sul titolare.
Vale la pena notare il bilancio complessivo della vicenda: nove mesi di procedimento, un reclamo, un’istruttoria, una memoria difensiva e un provvedimento dell’Autorità — per una trascrizione anonimizzata che si sarebbe potuta produrre in un pomeriggio.
