Checklist di compliance per contact center 2026

La conformità di un contact center non è un singolo requisito: è una matrice di normative, policy e controlli tecnici che variano per giurisdizione, settore e tipo di campagna. Un team di recupero crediti che chiama consumatori statunitensi opera con regole diverse da un team di vendita che chiama aziende negli Emirati, ed entrambi sono diversi da un BPO che gestisce campagne in tutta l'UE.

Questa checklist copre gli ambiti di conformità che i contact center outbound dovrebbero rivedere nel 2026. Non costituisce consulenza legale. Rivolgiti a un professionista qualificato della conformità o a un avvocato per indicazioni specifiche sulle tue attività e giurisdizioni.

1. Gestione delle liste Do Not Call (DNC)

La conformità DNC è l'ambito più visibile e più frequentemente violato della normativa sulle chiamate outbound. Sbagliare significa multe, cause legali e danni reputazionali.

Voci della checklist:

• Integrazione con i registri DNC nazionali: Verifichi le tue liste di contatti rispetto ai registri DNC nazionali pertinenti? Negli Stati Uniti si tratta del National Do Not Call Registry della FTC. Negli Emirati la TDRA gestisce un proprio registro. In Arabia Saudita la CST gestisce un sistema analogo. Nell'UE gli Stati membri gestiscono registri separati (ad esempio il TPS nel Regno Unito o la Robinson-Liste in Germania).
• Lista DNC interna: Gestisci una tua lista DNC interna? Quando un consumatore chiede di non essere chiamato, il suo numero viene aggiunto alla lista DNC interna entro i tempi previsti? Negli Stati Uniti il TCPA impone di rispettare le richieste di opt-out entro 30 giorni. La best practice è rispettarle immediatamente.
• Frequenza della verifica DNC: Con quale frequenza verifichi le tue liste di chiamata rispetto ai registri nazionali? Le liste vanno verificate prima del lancio di ogni campagna e periodicamente per le campagne di lunga durata. Per il registro statunitense, la FTC impone una verifica almeno ogni 31 giorni.
• DNC tra tenant: Per i BPO e le attività multi-tenant: se un consumatore chiede di non ricevere chiamate dal Cliente A, il numero viene escluso anche dalle campagne del Cliente B? Dipende dai requisiti normativi e dalla tua policy DNC. Assicurati che il tuo sistema supporti, a seconda dei casi, sia liste DNC condivise sia liste DNC per tenant.
• Verifica DNC prima di ogni chiamata: Lo stato DNC viene verificato prima di ogni chiamata o solo al momento dell'importazione della lista? Le liste cambiano. Un numero aggiunto al registro DNC dopo l'importazione della lista deve comunque essere verificato prima della chiamata. Policy configurate con blocco predefinito possono bloccare le chiamate che non superano la verifica DNC.

2. Gestione del consenso

I requisiti sul consenso variano enormemente in base alla giurisdizione e al tipo di chiamata. Un presupposto sbagliato sul consenso può esporre la tua attività a responsabilità significative.

Voci della checklist:

• Tipo di consenso documentato: Per ogni contatto della tua lista, sai quale tipo di consenso è stato ottenuto? Consenso espresso scritto (richiesto dal TCPA per le chiamate con autodialer/preregistrate verso cellulari), consenso espresso preventivo (sufficiente per alcuni tipi di chiamata) o consenso implicito (sufficiente in alcune giurisdizioni per i rapporti commerciali esistenti)?
• Prove del consenso archiviate: Per ogni record di consenso, archivi la fonte (modulo web, registrazione vocale, modulo cartaceo), la marca temporale, l'indirizzo IP (per i moduli web), la campagna o il contesto in cui è stato ottenuto e il testo specifico del consenso accettato dal consumatore?
• Ambito del consenso rispettato: Se un consumatore ha acconsentito a chiamate sugli "aggiornamenti dell'account", il tuo sistema impedisce di usare quel consenso per "offerte promozionali"? L'ambito del consenso conta. Usare un consenso ottenuto per una finalità per giustificare chiamate con una finalità diversa è un rischio di conformità.
• Flusso di revoca del consenso: Quando un consumatore revoca il consenso, la revoca viene elaborata immediatamente? Viene registrata con una marca temporale? Esclude le chiamate future in tutte le campagne pertinenti?
• Consenso specifico GDPR (UE): Per i contatti nell'UE, il consenso è libero, specifico, informato e inequivocabile? Conservi registri che dimostrano tutti e quattro i criteri? Il consumatore può revocare il consenso con la stessa facilità con cui lo ha dato?

3. Orari di chiamata e conformità ai fusi orari

Chiamare al di fuori degli orari consentiti è una delle violazioni di conformità più comuni e più facili da prevenire.

Voci della checklist:

• Fasce di chiamata per giurisdizione: I tuoi orari di chiamata sono configurati per giurisdizione? Il TCPA statunitense limita le chiamate alla fascia 8:00 - 21:00 nel fuso orario locale del consumatore. Le leggi statali possono essere più restrittive (ad esempio alcuni stati vietano le chiamate prima delle 9:00). La TDRA degli Emirati ha le proprie fasce orarie. Gli Stati membri dell'UE hanno regole diverse.
• Gestione dei fusi orari: Il tuo sistema determina il fuso orario del consumatore dal prefisso del numero di telefono o da dati geografici? Una lista di contatti con numeri statunitensi distribuiti su più fusi orari richiede il calcolo del fuso orario numero per numero, non un'unica impostazione per l'intera campagna.
• Restrizioni per festività e fine settimana: Alcune giurisdizioni limitano o vietano le chiamate nei giorni festivi o nel fine settimana. Il tuo sistema conosce i calendari delle festività specifici per giurisdizione?
• Casi limite: Cosa succede quando un consumatore ha un numero con il prefisso di un fuso orario ma si trova fisicamente in un altro? Il tuo sistema dovrebbe usare come impostazione predefinita sicura il fuso orario di registrazione del numero.

4. Conformità nella registrazione delle chiamate

La registrazione delle chiamate è obbligatoria per legge in alcuni contesti e limitata per legge in altri. I requisiti di conformità dipendono dalla giurisdizione e dal tipo di chiamata.

Voci della checklist:

• Consenso alla registrazione: Operi in una giurisdizione a consenso di una parte o di due parti? Negli stati a consenso di una parte (USA) basta che una sola parte sappia che la chiamata viene registrata. Negli stati a consenso di due/tutte le parti (California, Florida, Illinois e altri negli Stati Uniti), tutte le parti devono acconsentire. Nell'UE i requisiti sul consenso variano da Stato membro a Stato membro, ma in genere richiedono di informare tutte le parti.
• Annuncio di registrazione: Le tue campagne includono un'informativa sulla registrazione all'inizio della chiamata? L'informativa è nella lingua del consumatore?
• Archiviazione e conservazione delle registrazioni: Per quanto tempo vengono conservate le registrazioni? I periodi di conservazione rispettano i requisiti specifici di settore? Servizi finanziari, sanità e recupero crediti possono avere periodi minimi di conservazione obbligatori.
• Conformità PCI per i pagamenti: Se gli agenti gestiscono dati delle carte di pagamento durante le chiamate, metti in pausa la registrazione durante l'acquisizione dei dati PCI? Oppure usi la soppressione DTMF per impedire che i numeri di carta vengano registrati?
• Controlli di accesso alle registrazioni: Chi può accedere alle registrazioni? I controlli di accesso sono definiti in modo appropriato? Nelle attività multi-tenant, un supervisore di un cliente può accedere alle registrazioni di un altro cliente? Non dovrebbe poterlo fare.
• Blocco legale (legal hold): Per le posizioni contestate o in vista di un contenzioso, puoi applicare un blocco legale alle registrazioni per evitare che vengano cancellate dalle policy di conservazione ordinarie?

5. Monitoraggio del tasso di abbandono

Il predictive dialing aumenta la produttività degli agenti, ma crea il rischio di chiamate abbandonate: chiamate a cui risponde una persona reale ma che vengono interrotte perché nessun agente è disponibile.

Voci della checklist:

• Soglia del tasso di abbandono: Il tuo dialer predittivo è configurato per mantenere un tasso di abbandono pari o inferiore alla soglia normativa? Negli Stati Uniti il limite FTC/FCC è del 3%, misurato su un periodo di 30 giorni per campagna. Nel Regno Unito il limite di Ofcom è del 3%, ma misurato in modo diverso. Conosci la soglia e il metodo di misurazione della tua giurisdizione.
• Monitoraggio in tempo reale: Il tuo dialer offre il monitoraggio in tempo reale del tasso di abbandono, con avvisi quando ti avvicini alla soglia? Scoprire di aver superato la soglia in un report mensile è troppo tardi.
• Monitoraggio per campagna: I tassi di abbandono vanno monitorati per campagna, non come media dell'intero sistema. Una sola campagna ad alto volume con un pacing aggressivo può spingere il tasso complessivo oltre la soglia anche se le altre campagne si comportano bene.
• Gestione delle chiamate abbandonate: Quando una chiamata viene abbandonata, cosa sente il consumatore? Le regole FTC impongono che le chiamate abbandonate riproducano un messaggio registrato che identifica chi chiama e fornisce un numero da richiamare. I tuoi messaggi per le chiamate abbandonate sono conformi?
• Interazione con l'AMD: I falsi positivi dell'AMD (persone reali classificate come segreterie) potrebbero non essere conteggiati come chiamate abbandonate nei tuoi report, ma creano la stessa esperienza per il consumatore: rispondere a una chiamata e non sentire nulla. Monitorali insieme al tasso di abbandono.

6. Limiti di richiami e tentativi

Chiamare in modo eccessivo è un rischio di conformità e un problema di esperienza del consumatore. La maggior parte dei quadri normativi limita la frequenza con cui puoi tentare di raggiungere lo stesso consumatore.

Voci della checklist:

• Limiti di tentativi per contatto: Applichi un numero massimo di tentativi per contatto al giorno, alla settimana e in totale? La Reg F statunitense (per il recupero crediti) limita le chiamate a 7 tentativi per ogni periodo mobile di 7 giorni per singolo debito. I tuoi limiti devono riflettere sia i requisiti normativi sia le ragionevoli aspettative dei consumatori.
• Periodi di attesa: C'è un intervallo minimo tra i tentativi verso lo stesso numero? Chiamare lo stesso numero 5 volte in 30 minuti genera probabilmente un reclamo, anche se tecnicamente non viola una norma specifica.
• Limiti tra campagne: Se lo stesso consumatore compare nelle liste di più campagne, i limiti di tentativi vengono applicati su tutte le campagne? Dieci chiamate da dieci campagne diverse allo stesso numero in un giorno equivalgono, di fatto, a dieci chiamate da una sola campagna, ma alcuni sistemi applicano i limiti solo all'interno di una singola campagna.
• Rispetto degli opt-out nei richiami: Se un consumatore esprime l'opt-out durante una chiamata, tutti i richiami programmati verso quel numero vengono annullati immediatamente?

7. Conformità di caller ID e CLI

Le norme sul caller ID si stanno inasprendo in risposta all'epidemia di robocall. I team outbound devono assicurarsi che la presentazione del numero chiamante sia conforme.

Voci della checklist:

• Verifica della titolarità dei CLI: Tutti i CLI (Caller Line Identifier) outbound sono numeri di tua proprietà o che sei autorizzato a usare? Presentare un CLI che non controlli è illegale nella maggior parte delle giurisdizioni ed è sempre più sanzionato tramite l'attestazione STIR/SHAKEN.
• Attestazione STIR/SHAKEN: Negli Stati Uniti, le tue chiamate sono firmate con un'attestazione STIR/SHAKEN adeguata? Le chiamate senza attestazione vengono sempre più spesso filtrate dagli operatori e potrebbero non raggiungere il consumatore.
• Monitoraggio dello stato dei DID: Monitori la reputazione spam/truffa dei tuoi DID outbound? I numeri segnalati spesso dai consumatori vengono etichettati come "Spam Likely" o "Scam" dalle analisi degli operatori, portando il tuo tasso di risposta quasi a zero.
• Rotazione e riscaldamento dei numeri: Ruoti i DID per distribuire il volume di chiamate ed evitare che i singoli numeri vengano segnalati? I nuovi DID vengono riscaldati gradualmente invece di essere usati subito per campagne ad alto volume?
• Presenza locale: Se usi la local presence (presentare un numero locale corrispondente al prefisso del consumatore), hai davvero attività o una presenza in quell'area? Alcuni stati stanno valutando leggi per limitare la local presence in assenza di una reale presenza locale.

8. Protezione dei dati e privacy

I dati dei contatti sono dati personali. Le normative sulla protezione dei dati regolano come li raccogli, archivi, tratti e cancelli.

Voci della checklist:

• Accordi sul trattamento dei dati: Hai in essere DPA con il fornitore del tuo dialer, il tuo operatore e qualsiasi altro responsabile che tratta i dati dei contatti per tuo conto? Il GDPR richiede DPA scritti con tutti i responsabili del trattamento.
• Minimizzazione dei dati: Raccogli e archivi solo i dati dei contatti necessari per le tue campagne? Conservare dati "per sicurezza" aumenta la tua esposizione normativa.
• Policy di conservazione dei dati: Hai definito periodi di conservazione per dati dei contatti, registrazioni delle chiamate e registri degli esiti? I record vengono cancellati automaticamente alla scadenza del periodo di conservazione?
• Richieste di accesso degli interessati: Riesci a rispondere entro i tempi previsti alle richieste dei consumatori di accedere, rettificare o cancellare i propri dati personali? Il GDPR richiede una risposta entro 30 giorni.
• Trasferimenti transfrontalieri dei dati: Se i dati dei tuoi contatti attraversano i confini (ad esempio dati di contatti MENA trattati su infrastrutture ospitate negli Stati Uniti), hai in essere meccanismi di trasferimento adeguati?

9. Audit trail e documentazione

Quando un'autorità o l'avvocato di un consumatore chiede prove della conformità, devi essere in grado di produrle. "Rispettiamo le regole" non basta senza documentazione.

Voci della checklist:

• Registrazione delle decisioni di conformità: Le decisioni di conformità (chiamata bloccata per corrispondenza DNC, chiamata bloccata per restrizione oraria e così via) vengono registrate con la regola specifica attivata, la marca temporale e l'esito? Questi log possono essere prove decisive nelle indagini delle autorità.
• Cronologia delle versioni delle policy: Quando le policy di conformità cambiano, la versione precedente viene conservata? Se un'autorità ti chiede quale fosse la tua policy di verifica DNC in una data specifica di sei mesi fa, sei in grado di produrla?
• Registri della formazione degli agenti: Puoi dimostrare che gli agenti hanno ricevuto la formazione sulla conformità, quando l'hanno ricevuta e quali argomenti sono stati trattati?
• Storico delle interazioni con il consumatore: Per qualsiasi consumatore, puoi produrre lo storico completo di tutti i tentativi di chiamata, le connessioni, le registrazioni, gli esiti, i registri di consenso, le richieste di opt-out e i reclami?

Riferimento rapido per giurisdizione

Le voci della checklist qui sopra sono le stesse ovunque. I numeri che le accompagnano no. Questa tabella è un punto di partenza per i quattro regimi con cui la maggior parte dei team outbound ha a che fare, ed è una sintesi, non un'esposizione della legge: verifica la regola in vigore in ogni mercato prima di configurarvi una campagna.

Cosa deve fare il dialer

Una policy che vive in un documento è una policy che l'agente deve ricordare. Ogni riga qui sopra corrisponde a un controllo che la piattaforma dovrebbe applicare prima che la chiamata venga effettuata.

• DNC: più liste verificate contemporaneamente, verifica al momento della chiamata e non solo all'importazione, esclusione immediata quando un numero viene aggiunto a campagna in corso e un esito registrato per ogni verifica, comprese quelle che non hanno trovato corrispondenze.
• Fasce di chiamata: fuso orario ricavato dal numero stesso, fasce configurate per giurisdizione, tentativi fuori fascia bloccati invece di generare solo un avviso e una gestione sensata del caso transfrontaliero, in cui il team e il contatto si trovano in fusi orari diversi.
• Tentativi: contatori per numero su finestre mobili configurabili, tentativi con e senza connessione conteggiati separatamente, limiti impostati per campagna e per giurisdizione e un periodo di attesa dopo una conversazione.
• Caller ID: assegnazione per campagna con validazione, monitoraggio dello stato per individuare presto un numero etichettato come spam e rotazione controllata anziché casuale.
• Tasso di abbandono: monitorato in tempo reale per campagna, pacing ridotto automaticamente quando ci si avvicina al limite, riproduzione del messaggio obbligatorio ed eliminazione degli abbandoni ripetuti verso lo stesso numero.
• Protezione dei dati: crittografia in archiviazione e in transito, accesso basato sui ruoli, calendari di conservazione applicati automaticamente, esportazione e cancellazione per le richieste degli interessati e registrazione degli accessi.

Come usare questa checklist

Questa checklist è un punto di partenza per valutare il livello di conformità del tuo contact center, non un programma completo di conformità legale. I requisiti normativi cambiano. Vengono emanate nuove norme. Quelle esistenti vengono reinterpretate attraverso provvedimenti delle autorità e sentenze.

Prossimi passi consigliati:

• Confronta ogni sezione con le tue attività attuali e individua le lacune
• Assegna una priorità alle lacune in base al livello di rischio (probabilità di violazione moltiplicata per la gravità delle conseguenze)
• Implementa controlli tecnici nella tua piattaforma di dialer per automatizzare la conformità dove possibile
• Documenta le tue policy e procedure di conformità
• Pianifica audit di conformità regolari (consigliati ogni trimestre)
• Rivolgiti a un professionista della conformità o a un avvocato per indicazioni specifiche per giurisdizione
• Segui la checklist di preparazione agli audit normativi , così le prove di ciascun controllo descritto sopra possono essere prodotte su richiesta

Per scoprire come DialerBee implementa controlli a supporto della conformità per le attività outbound, visita la nostra pagina delle funzionalità di conformità oppure esplora le guide alla conformità per area geografica.

Avvertenza: questa checklist fornisce informazioni generali sui temi di conformità dei contact center. Non costituisce consulenza legale. I requisiti di conformità variano per giurisdizione, settore e tipo di campagna. Rivolgiti a un professionista qualificato della conformità o a un avvocato per indicazioni specifiche sulle tue attività.

Domande frequenti

Cosa deve contenere una checklist di conformità per contact center?

Verifica DNC, consenso documentato, orari di chiamata consentiti nell'ora locale del destinatario, regole sulla registrazione, monitoraggio del tasso di abbandono, limiti di richiami e tentativi e regole sulla presentazione del caller ID.

Con quale frequenza vanno verificate le liste DNC?

Al momento della chiamata, non solo all'importazione della lista. Un numero può essere aggiunto a una lista di esclusione tra il caricamento e il momento in cui la chiamata viene effettivamente effettuata.

Gli orari di chiamata seguono il mio fuso orario o quello del destinatario?

Quello del destinatario. Le fasce consentite sono definite in base a dove si trova la persona che chiami: ecco perché la composizione basata sul fuso orario è importante per le campagne su più aree.

Basta una checklist per essere conformi?

No. Una checklist ti aiuta a individuare le lacune, ma la conformità dipende dalla tua giurisdizione, dalla base del consenso, dalla configurazione e da una consulenza legale specifica per la tua attività.