Quando l’utente chiede copia della registrazione di una telefonata intercorsa con il servizio clienti, il richiamo alla tutela della privacy dell’operatore non è sufficiente, da solo, a giustificare il diniego. Il Garante per la protezione dei dati personali ha chiarito che il diritto di accesso ai dati personali contenuti nelle registrazioni telefoniche deve essere garantito attraverso un concreto bilanciamento degli interessi coinvolti e, ove necessario, mediante misure tecniche idonee a proteggere il terzo interessato. Nel caso esaminato, il rifiuto opposto dal Gestore è stato ritenuto illecito, con conseguente ordine di fornire all’utente copia della registrazione o, in alternativa, una trascrizione opportunamente anonimizzata.
Garante per la protezione dei dati personali, provv. 28 maggio 2026, n. 391
Il reclamo del cliente e il diniego della società
La vicenda prende avvio dall’istanza di accesso presentata da un cliente di uno dei maggiori operatori energetici, volta a ottenere copia dei propri dati personali contenuti nella registrazione di una telefonata intercorsa con il servizio clienti. La società aveva respinto la richiesta invocando l’esigenza di tutelare la riservatezza dell’operatore coinvolto nella conversazione il quale, durante la chiamata, aveva comunicato il proprio nome, il numero di matricola e altri elementi potenzialmente identificativi.
Secondo la società, la divulgazione della registrazione avrebbe potuto determinare conseguenze pregiudizievoli per il dipendente e sarebbe risultata incompatibile con le finalità per cui la telefonata era stata originariamente registrata, ossia il monitoraggio della qualità del servizio. Tali argomentazioni, tuttavia, non hanno convinto l’Autorità, che ha avviato un procedimento per verificare la correttezza del riscontro fornito all’interessato.
La registrazione telefonica come dato personale
Nel ricostruire il quadro normativo, il Garante ribadisce un principio ormai consolidato: anche i dati sonori contenuti in una registrazione telefonica costituiscono dati personali e rientrano nell’ambito di applicazione del diritto di accesso previsto dall’art. 15 del GDPR. Ne consegue che l’interessato può ottenere copia delle informazioni che lo riguardano, salvo che l’esercizio del diritto comporti una lesione dei diritti e delle libertà altrui.
Proprio quest’ultima eccezione rappresenta il punto centrale della decisione. L’Autorità evidenzia infatti come la valutazione richiesta dall’art. 15, par. 4, del Regolamento non possa essere svolta in modo astratto o automatico. Il titolare del trattamento è chiamato a verificare, caso per caso, se l’accesso richiesto sia realmente idoneo a pregiudicare la posizione del terzo coinvolto e, soprattutto, se esistano soluzioni meno invasive capaci di contemperare i diversi interessi in gioco.
Bilanciamento degli interessi e misure di protezione
Nella fattispecie concreta, il Garante rileva che la conversazione aveva natura esclusivamente professionale e riguardava la gestione del contratto di fornitura del cliente. In un simile contesto, il rischio per la riservatezza dell’operatore non appariva tale da giustificare il rigetto integrale dell’istanza.
L’Autorità individua, inoltre, una serie di strumenti che la società avrebbe potuto utilizzare per soddisfare la richiesta dell’interessato senza compromettere la tutela del dipendente: oscuramento dei dati identificativi, mascheramento della voce mediante tecniche di morphing o camouflage e persino consegna di una trascrizione della conversazione depurata degli elementi riferibili all’operatore.
La decisione assume particolare rilievo perché valorizza il principio di proporzionalità nell’esercizio dei diritti degli interessati. Il titolare non può limitarsi a opporre un generico richiamo alla privacy di terzi, ma deve dimostrare l’esistenza di un effettivo e concreto rischio per gli stessi e verificare preventivamente l’adozione di misure tecniche e organizzative in grado di ridurlo.
Un precedente importante per i servizi di customer care
Con il provvedimento n. 391 del 28 maggio 2026, il Garante ha dichiarato illecito il comportamento del Gestore per violazione degli artt. 12 e 15 del GDPR e ha ingiunto alla società di fornire riscontro all’istanza entro trenta giorni, secondo le modalità indicate nella decisione.
La pronuncia offre indicazioni operative di grande interesse per tutte le imprese che registrano le conversazioni con la clientela. Il messaggio è chiaro: la tutela dei dipendenti e degli operatori coinvolti nelle chiamate deve essere garantita attraverso adeguate tecniche di anonimizzazione e minimizzazione dei dati, non mediante il sacrificio totale del diritto di accesso dell’interessato. In questa prospettiva, il provvedimento contribuisce a definire un punto di equilibrio tra trasparenza del trattamento e protezione della riservatezza dei terzi, confermando che il diritto di accesso costituisce uno degli strumenti fondamentali attraverso cui l’interessato può esercitare un controllo effettivo sui propri dati personali.
24.08.2026
