TIM - Uso Interno - Tutti i diritti riservati.

Indice
Nota metodologica ...................................................................
Impatto ambientale delle attività operative .......................
Data privacy................................................................................
Data security ..............................................................................
Gestione del fine vita del prodotto ........................................
Condotta concorrenziale e open internet ............................
Gestione dei rischi sistemici da interruzioni
tecnologiche ...............................................................................
SASB Index ..................................................................................

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Indice

3
4
6
15
18
20
29
42

2

NOTA METODOLOGICA
Il presente report (“il report”) è stato redatto secondo lo standard SASB1, osservando i principi del settore“Telecommunication services” (TC-TL è il codice di classificazione SASB, secondo la versione dell’ottobre 2018);
l’indice si trova a pagina 41 del report.
Lo standard SASB risponde alle richieste degli stakeholder, in particolare gl’investitori, che lo considerano una
componente importante nella divulgazione delle informazioni ESG (Environmental, Social, and Governance) di
una società; il report costituisce una relazione distinta dal bilancio di sostenibilità.
Il report si riferisce all’anno finanziario 2021 (dal 1° gennaio al 31 dicembre 2021) e - per il confronto - include
anche le informazioni riguardanti gli anni 2020 e 2019, quando disponibili.
I dati e le informazioni del report concernono la Business Unit (BU) Domestic - che comprende TIM S.p.A. ed
altre dodici società con almeno 30 dipendenti2, controllate e consolidate integralmente al 31 dicembre 2021 - e
la BU Brasile; in generale, all’inizio di ogni capitolo e/o paragrafo, è specificato il perimetro di riferimento. Talelimite non inficia la comprensione dell’andamento delle attività del Gruppo TIM, con i relativi risultati ed
impatti.
Il report si fonda su di un sistema di indicatori (KPI - Key Performance Indicators) che misurano la performanceaziendale ed il grado di raggiungimento degli obiettivi stabiliti per le aree su cui l’Azienda produce gl’impatti
rilevanti.
Per il controllo interno dei contenuti presentati, il Gruppo TIM ha predisposto un sistema che prevede:
il supporto del BPC3, attivo per alcune categorie di KPI (quali quelli ambientali), volto a garantire la corretta
risalita e rendicontazione delle informazioni di carattere non finanziario;
In termini di controllo esterno, il report SASB è stato sottoposto ad un esame limitato (“limited assurance
engagement”), in conformità al principio dell’“International Standard on Assurance Engagement (ISAE 3000
aggiornato), da parte di Ernst & Young S.p.A., società di revisione del Gruppo, la cui relazione è disponibile nelpresente report.
■

Per commenti, richiesta di chiarimenti, opinioni e suggerimenti per il miglioramento delle attività del Gruppo
TIM incluse in questo report, si può scrivere al seguente indirizzo email: GroupSustainability@telecomitalia.it.

1 Sustainability Accounting Standards Board.
2

Fibercop, Noovle, Olivetti, Telecom Italia San Marino, Telecom Italia Sparkle e due delle sue controllate, ovvero TI Sparkle Grecia e TI
Sparkle Turchia, Telecontact Center, Telefonia Mobile Sammarinese (che ha meno di trenta dipendenti), Telecom Italia Trust
Tecghnologies, Telsy, TIM Retail.

3

BPC, acronimo di SAP Business Planning and Consolidation, utilizza la stessa piattaforma del reporting finanziario e controllo.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Nota metodologica

3Impatto ambientale delle attività operative[SASB TC-TL-130a.1] (1) Energia totale consumata, (2) percentuale di energia elettrica prelevata da reteelettrica, (3) percentuale di energia da fonti rinnovabili.
[SASB TC-TL-130a.1.1] La Società deve indicare (1) la quantità totale di energia consumata come numero
aggregato, in gigajoule (GJ).

BU Domestic e BU Brasile
I consumi di energia del Gruppo sono suddivisi in consumi per riscaldamento, autotrazione ed energia elettrica(acquistata e prodotta).
Nel 2021 il Gruppo ha consumato complessivamente 8.493.465 GJ di energia [SASB TC-TL-130a.1.1].
L'energia da fonti rinnovabili è stata il 49% di tutta l'energia consumata dal Gruppo [SASB TC-TL-130a.1.3]. Nel
2021 in Italia sono state acquistate garanzie d’origine a copertura di 525 GWh.
L'energia prelevata da rete costituisce il 76% di tutta l'energia consumata da TIM [SASB TC-TL-130a.1.2].
2019

2020

2021

2021 su 2020

Totale energia per riscaldamento

295.853.882

168.967.647

150.724.567(11%)

Totale energia per autotrazione

595.970.899

461.813.026

444.899.827(4%)

Totale energia elettrica acquistata da fonti
miste

5.803.784.086

5.032.817.134

3.184.671.649(37%)

Totale energia elettrica acquistata da fonti
rinnovabili

1.847.575.746

1.954.655.250

3.298.629.369

69%

Energia autoprodotta da fonti rinnovabili

429.688.649

405.331.636

885.365.449

118%
(57%)

Energia utile generata da gruppi elettrogeni

55.200.838

23.098.381

9.988.027

Energia utile generata per cogenerazione

458.354.272

499.447.433

519.185.689

4%Totale energia consumata Gruppo (MJ)

9.486.428.371

8.546.130.507

8.493.464.577(1%)

Riscaldamento
I dati evidenziano nel 2021 una progressiva riduzione rispetto agli anni precedenti, da attribuire principalmente
ad azioni di razionalizzazione immobiliare unitamente alla estensione del lavoro agile domiciliare a tutte lefunzioni e per tutto il perdurare dello stato di emergenza per Covid-19. In Brasile, in considerazione delleparticolari condizioni climatiche durante tutto l’anno, non si fa ricorso al riscaldamento degli ambienti.
Rispetto al 2020, i consumi di energia per riscaldamento sono diminuiti nel 2021 di 18.187.922 MJ.
Autotrazione
I dati qui riportati riguardano tutti i veicoli del Gruppo (industriali, commerciali, in uso ai
dirigenti/quadri/venditori), sia in affitto sia di proprietà. Solo per utilizzi significativi e con caratteristiche dicontinuità d’uso sono compresi i veicoli di proprietà o in uso alla forza vendita di TIM in Brasile ed i relativi
consumi e percorrenze. In generale, i consumi energetici per autotrazione sono in progressiva diminuzione
grazie alle azioni di razionalizzazione della flotta e al contenimento degli spostamenti.
Uso di combustibili per l’autoproduzione di energia elettrica
Parte dell’energia elettrica necessaria a soddisfare il fabbisogno di TIM è autoprodotta utilizzando gl’impianti ditri-generazione ed i gruppi elettrogeni. Questi ultimi, alimentati a gasolio, garantiscono non soltanto lacontinuità dell’operatività di TIM in caso di interruzione della fornitura di energia elettrica dalla rete, ma anchela possibilità di operare gl’impianti laddove l’allacciamento alla rete elettrica non sia possibile o in caso diparticolari necessità o emergenze.
Gli impianti di tri-generazione sono invece alimentati a metano e permettono di utilizzare il calore disperso sia
per riscaldare sia per raffreddare gli ambienti. L’energia termica è trasformata in energia frigorifera mediante i
refrigeratori ad assorbimento, riducendo in questo modo l’utilizzo di gruppi frigoriferi convenzionali e il
conseguente consumo di energia elettrica. Al momento sono utilizzati solo in Italia.
Il consumo di metano per tri-generazione vede un aumento del 5% nel 2021 rispetto al 2020 e delll’11%
rispetto all’anno precedente, essendo corrispondentemente aumentata l’energia elettrica prodotta. Il consumo
di gasolio del Gruppo vede variazioni (-17% su 2020, -84% su 2019) in corrispondenza della contrazione degli
immobili occupati. Nel 2021 il consumo complessivo di combustibili per autoproduzione di energia elettrica è
leggermente aumentato rispetto al 2020 (+5%) e si attesta sui consumi del 2019 con uno scostamento di 2
punti percentuali

SASB Sustainability Accounting Standards Board

Impatto ambientale delle attività operative

TIM - Uso Interno - Tutti i diritti riservati.

4

Eco-efficienza
Il Gruppo misura la propria efficienza energetica attraverso l’indicatore di eco-efficienza che mette in relazione
il servizio offerto alla clientela (bit trasmessi) con l’impatto sull’ambiente (joule di energia consumati). Sono
presi in considerazione i valori di traffico dati e voce da rete fissa e mobile, e i consumi energetici industriali (peruso trasmissivo e di condizionamento delle centrali), civili (energia elettrica per uso ufficio, condizionamento eriscaldamento delle sedi) nonché i consumi per autotrazione. Il Gruppo calcola indicatori differenti per Italia e
Brasile in quanto le due realtà sono molto diverse dal punto di vista operativo e ambientale: in Brasile il traffico
è prevalentemente da rete mobile e non sono utilizzati i combustibili per il riscaldamento date le particolari
condizioni climatiche.
NeI 2021 il valore dell’indicatore calcolato per la BU Domestic è risultato pari a 25.768 bit/joule, in crescita dioltre il 24,79 % rispetto al 2020 e del 90,43 % % rispetto al 20194. Questo è il risultato di un sostanziale
aumento del traffico dati, a politiche di contenimento dei consumi e all'effetto del Covid-19 su queste duecomponenti.
Anche l’indicatore di eco-efficienza calcolato in Brasile mostra un continuo miglioramento: nel 2021 è cresciuto
significativamente del 19,35 % rispetto al 2020 e del 270,74 % rispetto al 2019.

4

I dati utilizzati nel calcolo dell'indicatore sono relativi alle sole società italiane del Gruppo, ovvero sono esclusi dal perimetro Domestic, TI Sparkle
Grecia e TI Sparkle Turchia.

SASB Sustainability Accounting Standards Board

Impatto ambientale delle attività operative

TIM - Uso Interno - Tutti i diritti riservati.

5

Data privacy[SASB TC-TL-220a.1] Descrizione delle politiche e delle pratiche relative alla pubblicità comportamentale edalla privacy dei clienti.
[SASB TC-TL-220a.1.1]La società deve descrivere la natura, l'ambito e l'attuazione delle proprie politiche epratiche relative alla privacy dei clienti, con un focus specifico su come affronta la raccolta, l'utilizzo e laconservazione delle informazioni sui clienti.
[SASB TC-TL-220a.1.1.1] Le informazioni sui clienti includono le informazioni che riguardano gli attributi o leazioni di un cliente, inclusi, a titolo esemplificativo, gli estratti conto, le registrazioni delle transazioni, leregistrazioni delle comunicazioni, il contenuto delle comunicazioni, i dati demografici, i dati comportamentali, idati sulla posizione e/o le informazioni di identificazione personale (PII).

BU Domestic
Il rispetto della normativa privacy è una priorità per TIM, che si è dotata sin dal 2003 di un modelloorganizzativo articolato, in grado di presidiare la corretta applicazione di tale normativa a livello di Gruppo. Le
funzioni aziendali sono impegnate ad assicurare il corretto trattamento dei dati personali degl’interessati, tracui i clienti ed i dipendenti, nello svolgimento delle attività d’impresa.
A maggio 2018 è stata costituita la funzione del Data Protection Officer, avente a livello di Gruppo TIM lefunzioni di controllo, consultive, formative ed informative relativamente all’applicazione della normativa
privacy, in conformità alle specifiche disposizioni del Regolamento (UE) n. 2016/679, riguardante la protezionedelle persone fisiche con riguardo al trattamento dei dati personali (c.d. “General Data Protection Regulation” oGDPR), applicabile in Italia e negli altri Paesi dell’Unione Europea a decorrere dal 25 maggio 2018.
Il GDPR è infatti la fonte primaria del quadro normativo in materia di protezione dei dati personali applicabile in
Italia ed il Codice privacy (D.Lgs. 196/2003, come profondamente modificato dal D.Lgs. 101/2018), ha ormai lafunzione di contenere le disposizioni nazionali di completamento a quelle del GDPR.
Il recepimento delle disposizioni di legge e delle indicazioni del Garante per la protezione dei dati personali è
assicurato tramite il costante aggiornamento delle normative e policy di Gruppo. Tra queste è particolarmentesignificativo il “Sistema delle regole per l’applicazione della normativa sulla protezione dei dati personali nel
Gruppo TIM” (Sistema delle regole), che definisce le disposizioni e le indicazioni operative per ogni
adempimento d’interesse.
Già nel corso del 2018 il Sistema delle regole è stato profondamente rivisto in funzione dell’applicazione delGDPR; nel 2019, 2020 e 2021 il Sistema delle regole è stato ulteriormente aggiornato in riferimento
all’evoluzione normativa, in particolare in relazione al Decreto Legislativo 101/2018 di adeguamento del Codiceprivacy al GDPR ed alle ulteriori disposizioni di legge ed ai provvedimenti del Garante per la protezione dei dati
personali susseguitesi nel corso degli ultimi tre anni. Nel 2021 l’aggiornamento del Sistema delle regole hariguardato, tra l’altro, la tematica del trasferimento dei dati personali a soggetti (es. controparti contrattualidelle società del Gruppo TIM) stabiliti all’estero, alla luce della Decisione UE 2021/914 della Commissione
Europea del 4 giugno 2021 recante le nuove “clausole contrattuali tipo” a norma GDPR, che costituiscono uno
degli strumenti da utilizzare per il trasferimento di dati personali verso i Paesi terzi extra UE che non offrono un
adeguato livello di protezione dei dati personali.
In continuità con l’attività svolta nel 2020, la Funzione Privacy di TIM S.p.A. è intervenuta in relazione al
trattamento dei dati dei dipendenti ed alle altre categorie di interessati nell’ambito dell’emergenza
epidemiologica Covid-19; in particolare, ha provveduto a:■fornire il supporto alle funzioni aziendali, ai fini della corretta interpretazione ed applicazione - in TIM enelle società del Gruppo - delle disposizioni del Decreto-Legge n. 127 del 21 settembre 2021, che disciplina
l’impiego delle certificazioni verdi COVID-19 (“green pass”) e ha esteso - anche ai datori di lavoro nel
settore privato - l’obbligo di verifica del green pass dei dipendenti, fornitori, visitatori o soggetti autorizzati
ad accedere nelle sedi del Gruppo TIM per svolgere un’attività lavorativa;■

redigere un’informativa ad hoc sul trattamento dei dati personali, ai fini dell’impiego del green pass per gli
interessati che accedono a vario titolo alle sedi lavorative di TIM e delle società del Gruppo che hannoadottato il Regolamento di TIM, e a fornire il supporto alle restanti società del Gruppo che hanno redatto
un proprio regolamento per la redazione della propria informativa;■

integrare i contratti con gli istituti di vigilanza, in merito all’attività di verifica del green pass, con ilconseguente aggiornamento delle istruzioni previste con la nomina a Responsabile del trattamento di detti
Istituti.

Inoltre, nel corso del 2021, TIM ha assicurato l’attuazione delle azioni di miglioramento identificate nel corso del2020 sui processi di telemarketing - dal punto di vista procedurale, tecnico/informatico e del versante dei
controlli interni - finalizzate a migliorare ulteriormente le proprie attività di vendita nel rispetto della normativa
in materia di protezione dei dati personali ed in attuazione delle prescrizioni del Garante per la protezione dei
dati personali.
In questo scenario, s’inquadra l’attività di formazione tenuta dalla Funzione Privacy di TIM S.p.A. che, nel corsodel primo semestre del 2021, è stata focalizzata sul personale dei fornitori dei servizi di customer care dedicati
alla clientela consumer e business di TIM. L’attività formativa, realizzata tramite collegamenti invideoconferenza per i noti vincoli imposti dal Covid-19, ha riguardato gli adempimenti di carattere generale
previsti dal GDPR e, soprattutto, le regole e le istruzioni definite da TIM in conformità alla normativa vigente inmateria di contattabilità commerciale, evasione delle richieste di clienti/prospect1 relative all’esercizio dei diritti
privacy, e di rilevazione e gestione dei data breach. Sono stati realizzati dieci interventi formativi, che hanno
visto la partecipazione di circa 165 persone.
1

Il prospect è una persona che rientra nel target di potenziali clienti dell'azienda; in sostanza, è un "candidato" che, in maniera possibile o probabile,può trasformarsi in cliente.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

6

Nel secondo semestre del 2021 è stato erogato anche un corso di formazione al personale TIM che si occupadella Gestione Risorse Umane, riguardante i seguenti temi: analisi dei fondamentali principi e ruoli privacy e,particolarmente, la disamina dei diritti riconosciuti dalla normativa in materia di protezione dei dati personali ele regole per la corretta evasione delle richieste di esercizio dei diritti privacy formulate da dipendenti o ex
dipendenti TIM. Si sono tenuti quattro incontri formativi, tramite collegamenti in videoconferenza, a cui hannopartecipato 105 dipendenti.
[SASB TC-TL-220a.1.2] La società deve descrivere il "ciclo di vita" delle informazioni (ossia raccolta, utilizzo,
conservazione, elaborazione, divulgazione e distruzione delle informazioni) ed il modo in cui le pratiche ditrattamento delle informazioni - in ciascuna fase - possono influire sulla privacy delle persone.
[SASB TC-TL-220a.1.2.2] Per quanto riguarda l'utilizzo dei dati, può essere rilevante per la società discutere
quali dati o tipi di dati utilizza internamente ed in quali circostanze condivide, vende, affitta o distribuisce inaltro modo i dati o le informazioni a terzi.
I dati personali, intesi ai sensi del Regolamento (UE) n. 2016/679 (cd. GDPR) come qualsiasi dato riferito ad una
persona fisica identificata o identificabile, devono essere trattati in modo lecito e secondo correttezza,conservati in modo accurato, aggiornati e non devono essere eccessivi o conservati per un periodo più lungodel necessario. Pertanto, i sistemi informativi devono essere configurati in modo da ridurre al minimo l'uso dei
dati personali.
L'“interessato” (qualsiasi persona fisica alla quale fanno riferimento i dati personali) deve ricevere leinformazioni preliminari sulle finalità e le modalità del trattamento dei dati.
Il trattamento dei dati personali deve avvenire in presenza di idonea base giuridica, quale in particolare il
preventivo consenso dell'interessato, l’esecuzione di un contratto o delle misure precontrattuali conl’interessato, l’adempimento degli obblighi imposti dalla legge, il perseguimento del legittimo interesse delTitolare (ad esempio, per quanto riguarda i trattamenti posti in essere per la prevenzione di morosità e frodi).
In particolare, il consenso dell’interessato è richiesto per le finalità di marketing diretto (es. invio di materiale
pubblicitario, vendita diretta, chiamate promozionali) e di profilazione individuale (che consente d’identificare,
mediante elaborazioni elettroniche, i comportamenti e le abitudini degl’interessati in modo - tra l’altro - damigliorare i servizi forniti, soddisfare le specifiche esigenze ed indirizzare le proposte commerciali di interesse).
Inoltre, il Garante per la protezione dei dati personali ha regolamentato la profilazione dei clienti nel settoredelle comunicazioni elettroniche, prevedendo le specifiche misure.
L'interessato ha il diritto di accedere ai propri dati personali, ottenere le informazioni sulle finalità e le modalitàdel trattamento ed esercitare gli ulteriori diritti previsti dalla normativa, tra cui il diritto di revocare il proprio
consenso o richiedere la cancellazione dei propri dati, la cui conservazione non sia prevista per legge.
TIM ha emanato le specifiche procedure per garantire il rispetto della normativa vigente ed affrontare la
raccolta, l'utilizzo e la conservazione dei dati personali dei propri clienti. Le versioni aggiornate di queste
procedure sono disponibili nella intranet del Gruppo.
[SASB TC-TL-220a.1.2.3] Per quanto riguarda la conservazione dei dati può essere rilevante per la societàdiscutere quali dati o tipi di dati conserva, la durata della conservazione e le pratiche utilizzate per garantire
che i dati siano archiviati in modo sicuro.
Per quanto riguarda la conservazione dei dati, i CSP (Communications Service Provider2) possono conservare i
dati sul traffico per un periodo di sei mesi, al fine di affrontare le controversie sulla fatturazione ed i servizi agliabbonati. I CSP sono inoltre tenuti a conservare i dati sul traffico delle comunicazioni telefoniche ed
elettroniche allo scopo di individuare e prevenire i reati. I termini di conservazione dei dati, per la prevenzione
ed il perseguimento dei reati previsti dal D.Lgs. 196/2003 (il Codice Privacy) in materia di protezione dei dati
personali, sono:a. 24 mesi per il traffico telefonico (fisso e mobile);b. 12 mesi per il traffico di comunicazioni elettroniche;c. 30 giorni per i tentativi di chiamata non riusciti.
Tuttavia, sulle misure urgenti antiterrorismo, la Legge n. 10/2017 ha esteso il periodo a 72 mesi per ciascunacategoria solo per specifici reati.
I dati di traffico devono essere conservati e controllati nel rispetto delle disposizioni generali emanate dal
Garante per la protezione dei dati personali, che impone ai CSP di adottare rigorose misure di sicurezza.
Il Garante per la protezione dei dati personali regolamenta anche la profilazione dei clienti nel settore delle
comunicazioni elettroniche. I CSP devono ottenere il consenso dell'interessato per la profilazione basata su dati
personali individuali e dettagliati.
Per quanto riguarda le attività di marketing diretto, la regola generale è il sistema “opt-in", cioè quella che
prevede la raccolta del preventivo consenso dell’interessato. Tuttavia, il Codice Privacy consente anche il
trattamento dei dati personali ottenuti dagli elenchi telefonici a disposizione del pubblico, al fine di effettuarele chiamate telefoniche per le finalità commerciali tramite operatore. Tale trattamento è possibile nei confronti
di qualsiasi soggetto (contraente o utente) che non abbia esercitato il proprio diritto di opposizione, inserendo i
rispettivi numeri di telefono in un “registro di opt-out” pubblico, entrato in vigore il 1° febbraio 2011.
Infine, i CSP devono adottare le misure tecniche ed organizzative adeguate alla luce del rischio esistente, alfine di salvaguardare la sicurezza dei propri servizi ed adottare i provvedimenti necessari in caso di violazione
dei dati personali. Tali provvedimenti devono proteggere i dati personali dal rischio della loro distruzione o

2 Il termine comprende le aziende pubbliche e private che operano nei settori delle telecomunicazioni (fisso e wireless), internet, cavo, satellite e

servizi gestiti.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

7

perdita accidentale o illecita e dall'accesso non autorizzato ai dati o da operazioni di trattamento illegali oincoerenti con le finalità per le quali i dati sono stati raccolti.
[SASB TC-TL-220a.1.3.] La società deve discutere il grado in cui le sue politiche e pratiche affrontano lequestioni simili a quelle delineate nella "Guidance for Implementing the Privacy Provisions of the EGovernment Act of 2002 (M-03-22)" dell'Office of Management and Budget degli Stati Uniti, compreso l'uso
delle valutazioni dell'impatto sulla privacy (PIA).
Il General Data Protection Regulation (GDPR) rafforza il diritto dell'individuo alla protezione dei dati personali erichiede le modifiche significative in alcuni aspetti che introducono il principio di responsabilità: da un lato èconcessa la maggiore flessibilità ed autonomia ai titolari ed ai responsabili nell’identificazione delle misureadeguate, con cui porre in essere gli adempimenti relativi al trattamento dei dati personali, dall’altro si richiedea tali soggetti di essere sempre in grado di dimostrare l’attuazione di dette misure in conformità alla
normativa, pena l’applicazione di significative sanzioni. A titolo esemplificativo, si cita la valutazione
dell’impatto sulla protezione dei dati (PIA), nuovo strumento introdotto dal GDPR per aiutare a valutare ilrischio per i diritti e le libertà delle persone interessate, connesso a particolari trattamenti dei dati personali (es.
profilazione); prima di iniziare con tali trattamenti TIM ha emanato una specifica procedura per la gestione dei
PIA.
[SASB TC-TL-220a.1.4.] La società deve discutere in che modo le sue politiche e pratiche, relative alla privacydelle informazioni sui clienti, affrontano la privacy dei bambini, che include almeno le disposizioni del Children's
Online Privacy Protection Act (COPPA) degli Stati Uniti.
E’ da premettere che lo "U.S. Children’s Online Privacy Protection Act" (COPPA) non è applicabile nell’ambito
dell’Unione Europea.
Il GDPR, all’art. 8, prevede le specifiche condizioni per il trattamento dei dati dei minori, in relazione all’offerta
diretta di servizi della società dell’informazione (es. app): il trattamento è lecito con il consenso del minore che
abbia compiuto i 16 anni; se il minore è di età inferiore ai 16 anni, tale trattamento è lecito solo se e nella
misura in cui tale consenso sia stato prestato o autorizzato dal titolare della responsabilità genitoriale. Il Codice
Privacy ha ridotto tale soglia a 14 anni di età.
[SASB TC-TL-220a.1.5.] L'ambito dell'informativa comprende la pubblicità sia di prima sia di terza parte.
I ricavi da pubblicità di TIM S.p.A. sono di tipo display, ovvero banner3 sul sito TIMmail. L’adserver (server diannunci) della concessionaria Websystem Sole 24 Ore usa gli IP (internet providers) per fissare i target di una
campagna: gli algoritmi IPGeolocation esaminano i trends nelle ricerche aggregate per dividere i gruppi di IP inblocchi di location previste ed integrare le informazioni risultanti con una serie di segnali e input di rete
aggiuntivi. Nel 2021 i ricavi per TIM, derivanti da questo canale, sono ammontati a quasi euro 1,5 milioni 4.
[SASB TC-TL-220a.1.6.] Per quanto riguarda la pubblicità comportamentale, la società può descrivere comegestisce i Principi di autoregolamentazione intersettoriali per la pubblicità comportamentale online.
Per quanto riguarda la pubblicità comportamentale (in particolare, i Principi di autoregolamentazione
intersettoriali per la pubblicità comportamentale online), TIM rispetta i principi del GDPR vigente nell'Unione
Europea. Tra l'altro, TIM:■

invia le informazioni preliminari all'“interessato" sulle finalità e le modalità del trattamento dei dati;■

per ottemperare al GDPR, ha emanato le specifiche procedure che garantiscono il rispetto delle normative
e disciplinano la raccolta, l'utilizzo e la conservazione dei dati personali dei propri clienti;■

richiede il preventivo consenso dell'"interessato", per il trattamento dei dati personali, salvo casi specifici(es. obblighi imposti dalla legge o da un contratto con l'interessato).

[SASB TC-TL-220a.1.6.7] Responsabilità: partecipazione ad organizzazioni di autoregolamentazione come la
Direct Marketing Association.
TIM SpA e le altre società della BU Domestic non sono iscritte ad organizzazioni di autoregolamentazione
come la Direct Marketing Association.
[SASB TC-TL-220a.2.] Numero di clienti le cui informazioni sono utilizzate per scopi secondari.
[SASB TC-TL-220a.2.1.] La società deve comunicare il numero di clienti unici le cui informazioni sono utilizzate
per scopi secondari.
TIM S.p.A. utilizza i dati di natura commerciale della propria clientela previo consenso specifico dei clienti.
Infatti, fatte salve le ipotesi previste dal GDPR (es. esecuzione di obblighi contrattuali con l’interessato), TIM
S.p.A. tratta le informazioni per le finalità di marketing diretto e di profilazione individuale ai fini delle
comunicazioni promozionali personalizzate con il consenso specifico della propria clientela (non vale il principiodel silenzio assenso), secondo il principio di “opt-in”: il cliente fornisce liberamente e preventivamente il proprio
consenso, fermo restando che il cliente può opporsi a tali trattamenti sin da subito o successivamente.
TIM S.p.A. non cede o vende alcun tipo di informazione riguardante la propria clientela a Terzi, fatta eccezione
la possibile comunicazione dei dati a società del Gruppo o a società partecipate per le proprie finalità
commerciali, sulla base di un ulteriore consenso prestato liberamente dai clienti.

3

Annuncio pubblicitario su una pagina web, collegata al sito dell’inserzionista tramite un link.

4

Si rileva che, anche iper questo KPI,, si applicano le policy e le procedure di Gruppo riguardanti il tema privacy.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

8

TIM S.p.A. conserva le informazioni riguardanti la propria clientela, per il tempo necessario ad espletare lefinalità dei trattamenti, come dettagliatamente riportate nelle informative sempre aggiornate contenute nelsito TIM.
[SASB TC-TL-220a.3] Importo totale delle perdite monetarie a seguito di procedimenti legali associati alla
privacy dei clienti.
[SASB TC-TL-220a.3.1.] La società deve indicare l'importo totale delle perdite monetarie sostenute durante ilperiodo di riferimento a seguito di procedimenti legali associati a incidenti relativi alla privacy dei clienti.
A seguire l’unico provvedimento adottato dal Garante per la protezione dei dati personali verso TIM S.p.A. nel
2020, considerato “material5”. Negli ultimi tre anni, ci sono stati altri provvedimenti di alcune decine di migliaia
di euro.
Provvedimento correttivo e sanzionatorio nei confronti di TIM S.p.A. - (Provvedimento 7/2020) del 15 gennaio
2020.
Il Provvedimento, emesso dal Garante per la protezione dei dati personali, riguarda essenzialmente le attività
legate al telemarketing nei confronti della clientela consumer; ulteriori tematiche prese in considerazione
riguardano la gestione di alcune applicazioni, il programma TIM Party, i data breach, la conservazione dei dati
dei clienti OLO (Other Licensed Operators6). L'importo complessivo della sanzione, pari alla sanzione iniziale
giacché TIM non ha fatto ricorso, è stato pari a euro 27,8 milioni. TIM ha pagato euro 13,9 milioni, avendo
chiuso la controversia ai sensi della legislazione vigente in Italia mediante il pagamento, entro il termine di 30
giorni, dell’importo pari alla metà della sanzione comminata.
In ottemperanza al dispositivo del Garante, TIM ha attuato le prescrizioni del provvedimento, soprattutto
riguardo al miglioramento dei processi di telemarketing ed al sistema dei controlli interni, nel rispetto delle
scadenze definite dal Garante Privacy.
Il Garante della Privacy, nell’ultimo triennio, non ha adottato alcun provvedimento o sanzione nei confrontidelle altre dodici società della BU Domestic, sulle quali è stato svolto il processo di raccolta delle informazioni
richieste dallo standard SASB.
[SASB TC-TL-220a.4.] (1) Numero di richieste d'informazioni sui clienti da parte delle forze dell'ordine, (2)numero di clienti le cui informazioni sono state richieste, (3) percentuale risultante nella divulgazione.
Nella tabella seguente si riportano le informazioni, circoscritte alle società della BU Domestic - inclusenell’analisi in esame - che hanno ricevuto le richieste in argomento da parte delle forze dell’ordine7.
Le altre società della BU Domestic, anche in virtù del proprio core business, non hanno ricevuto le richieste
suddette da parte delle forze dell’ordine.

5

Si intende di valore superiore al milione di euro.

6

Altri Operatori con licenza.

7

TIM Retail risponde gerarchicamente alla funzione Consumer di TIM e, qualora ci fossero richieste da parte delle forze dell’ordine, TIM Retail si
avvale del supporto di detta struttura.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

9

BU Domestic

Descrizioni
1. Numero totale di richieste
uniche di informazioni sui clienti,
inclusi i contenuti del cliente e idati non relativi ai contenuti, daparte del Governo o delle forze
dell'ordine

2. Numero totale di clienti unici lecuiinformazioni
sono
state
richieste dal Governo o dalle forze
dell'ordine*.

3. % di richieste del Governo edelle forze dell'ordine che hanno
portato alla comunicazione alla
parte richiedente**.

2021

2020

2019

2021

2020

2019

2021

2020

2019

TIM S.p.A.
(numeri in milioni)

~3,1

~2,7

~1,6

n.d.

n.d.

n.d.

100

100

100

TI Sparkle S.p.A.
(numeri in migliaia)

~35

~41

~39

n.d.

n.d.

n.d.

100

100

100

Telefonia Mobile Sammarinese S.p.A.
(numeri in unità)

10

1

3

n.d.

n.d.

n.d.

100

100

100

TI San Marino(numeri in unità)

19

9

1

n.d.

n.d.

n.d.

100

100

100

Trust Technologis(numeri in unità)

21

2

—

n.d.

n.d.

n.d.

100

100

100

*Per motivi di riservatezza, il Gruppo TIM non effettua elaborazioni statistiche sui dati sensibili di cui al punto in oggetto.
** TIM esamina e lavora tutte le richieste obbligatorie che provengono dalle competenti Autorità giudiziarie, anche se .per alcune non può procederein quanto non ha le relative informazioni (ad es., perché riguardano altri operatori di telecomunicazione).

Altre informazioni relative alla BU Domestic
Le dodici società della BU Domestic seguono l’orientamento di TIM S.p.A., quando il proprio core business èassimilabile a quello di quest’ultima; diversamente, i KPI del topic “Data Privacy” non sono applicabili allestesse.
Di seguito si riporta una sintesi di qualche azione messa in campo da alcune società che costituiscono la BU
Domestic (delle dodici esaminate ai fini della rendicontazione secondo lo standard SASB), con i relativi
indicatori, particolarmente in considerazione del Paese in cui operano e/o del proprio core business; ad es., il
Gruppo TI Sparkle - che non opera nel mercato consumer - non tratta i dati personali di clienti persone fisiche,
in quanto la propria clientela è costituita da persone giuridiche (in genere, operatori di telecomunicazioni esocietà multinazionali).

FiberCop[SASB TC-TL-220a.1] La società ha nominato un Data Protection Officer (DPO) per il Gruppo TIM, domiciliatopresso TIM e contattabile inviando una e-mail alla casella del DPO di Gruppo. L'elenco aggiornato dei dati dicontatto DPO è consultabile sul sito www.fibercop.it - sezione privacy. E’ stato inoltre istituito un
Coordinamento Privacy all’interno di FiberCop al quale spetta la responsabilità del presidio interno dellanormativa, del coordinamento e monitoraggio in materia di privacy, in collegamento adeguato con la Funzione
Privacy di TIM ed il DPO del Gruppo TIM.

Olivetti[SASB TC-TL-220a.1] La società ha emanato le procedure che garantiscono il rispetto delle normative epermettono la raccolta, l'utilizzo e la conservazione dei dati personali dei propri clienti (disponibili nella intranet
del Gruppo). A valle della rivisitazione dei processi di telemarketing, avvenuta nel 2020, l’Azienda ha potenziato
ed esteso i controlli interni su tali processi, in coerenza con le prescrizioni del Garante privacy. In considerazione
di tali lavori, Olivetti ha aggiornato il Registro delle attività di trattamento dei dati personali, supportato da un
apposito strumento informatico.

Tele Contact Center (TCC)[SASB TC-TL-220a.1] La Società, in qualità di Responsabile del trattamento dei dati dei clienti di TIM, si adegua
alle policy della Capogruppo. Nel 2021 TCC si è dotata di un proprio modello organizzativo che presidia
l’applicazione del GDPR, del Codice privacy e delle policy di Gruppo, al fine di assicurare il corretto trattamento
dei dati personali degli interessati, tra cui i clienti ed i dipendenti. TCC si avvale del Coordinamento Privacy, conla responsabilità del presidio interno della normativa, del coordinamento e monitoraggio sulla privacy, incollegamento funzionale con la Funzione Privacy di TIM ed il Data Protection Office del Gruppo TIM.
In questo scenario, TCC ha realizzata l’attività di formazione in videoconferenza e broadcasting (messa in onda)- per i noti vincoli imposti dal Covid19 - che ha coinvolto tutto il personale operante nelle funzioni Consumer,
Small&Medium e Enterprise. Il piano formativo ha riguardato sia gli adempimenti di carattere previsti dal GDPR
sia le regole per la contattabilità commerciale definite da TIM. Sono stati realizzati 127 interventi formativi, ai
quali hanno partecipato tutti i dipendenti di TCC; inoltre, è stata creata una videolezione fruibile in maniera
individuale da tutti i dipendenti. A seguito degl’incontri formativi, ogni operatore (agent) è stato invitato acompilare un questionario di apprendimento, al fine di monitorare l’efficacia della formazione. A fronte di 942
questionari compilati, il 91,6% degli operatori ha risposto esattamente ai quesiti indicati nel test diapprendimento.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

10Inoltre, con cadenza bimestrale, la Società effettua una audit privacy interna, con l’obiettivo di verificare lacorretta applicazione del GDPR ed evitare sia il rischio di churn1 sia l’insoddisfazione del cliente (anche inconsiderazione delle elevate sanzioni amministrative applicabili dall’Autorità Garante).

Telefonia Mobile Sammarinese (TMS) e TIM San Marino[SASB TC-TL-220a.1] Per il topic “Data Privacy”, le normative di riferimento delle due società sono:■

il Regolamento (UE) n. 2016/679 (GDPR), solo per i trattamenti che rientrano nell’ambito di applicazionedello stesso;■

la Legge 21 dicembre 2018 N. 171 della Repubblica di San Marino (Protezione delle persone fisiche inrelazione al trattamento dei dati personali) che, in larga parte, ha recepito le disposizioni comunitarie conl’integrazione delle disposizioni specifiche per alcune fattispecie di trattamenti, in linea con quanto disposto
dal D.Lgs. 196/2003 (Codice Privacy italiano), così come modificato dal D.Lgs. 101/2018.

TMS e TIM San Marino si sono dotate di un manuale conforme allo schema ISDP 10003:20182 ed un articolato
modello organizzativo in grado di presidiare la corretta applicazione delle disposizioni normative.
Le due società hanno nominato il proprio Data Protection Officer, avente le funzioni di verificare l’osservanzadelle disposizioni di legge da parte di TMS, TIM San Marino e di tutti i soggetti coinvolti nei trattamenti dei dati
personali.
TMS e TIM San Marino raccolgono le seguenti categorie di dati personali, con riferimento alla propria clientela:■informazioni d’identificazione personale (dati anagrafici, partita IVA, COE3, ISS, che sostituisce il codicefiscale, ecc.);■dati sul traffico telefonico.

Le policy delle due società sono state aggiornate nel 2020, con un riferimento particolare ai trattamenti dei
dati dei dipendenti, in relazione all’emergenza epidemiologica Covid-19.
TMS e TIM San Marino effettuano il trattamento dei dati personali dei propri clienti principalmente per lefinalità contrattuali e legali. Raccolgono il consenso dei clienti solo per i trattamenti dei dati che hanno comefinalità l’attività di marketing attraverso le ricerche di mercato, la vendita diretta o l’invio di materiale
promozionale e pubblicitario inerente ai prodotti o servizi analoghi a quelli oggetto del rapporto commerciale oper la cessione a terzi degli stessi dati per le finalità di marketing indiretto.
[SASB TC-TL-220a.1.3] Gli strumenti di valutazione del grado di rischiosità dei trattamenti, e di conseguenza lemisure correttive da implementare a tutela dei diritti delle persone fisiche coinvolte, sono il risk assessment e lavalutazione d’impatto. TMS e TMI San Marino hanno effettuato l’attività di risk assessment su tutti i trattamenti
secondo lo schema ISO 310004.
[SASB TC-TL-220a.1.4] Lo "U.S. Children’s Online Privacy Protection Act" (COPPA) non è applicabile nell’ambito
della Repubblica di San Marino.
In ogni caso i trattamenti di dati personali con riferimento ai minori di età inferiore ai 16 anni, per quantoriguarda i servizi della società dell’informazione, sono leciti solo e nella misura in cui sia prestato o autorizzato il
consenso dal titolare della responsabilità genitoriale.
[SASB TC-TL-220a.1.5] TMS e TIM San Marino non effettuano campagne pubblicitarie per conto di soggetti
terzi.
[SASB TC-TL-220a.1.6] Per quanto riguarda la pubblicità comportamentale (in particolare, i Principi diautoregolamentazione intersettoriali per la pubblicità comportamentale online), TMS e TIM San Marino
rispettano i principi previsti dalla Legge 21 dicembre 2018 n° 171 della Repubblica di San Marino, nonché quelli
previsti dal Regolamento (UE) n. 2016/679.
[SASB TC-TL-220a.1.6.7] TMS e TIM San Marino non sono iscritte ad organizzazioni di autoregolamentazione
come la Direct Marketing Association.
[SASB TC-TL-220a.2.1] e [SASB TC-TL-220a.2.2] TMS e TIM San Marino hanno emanato le procedure chegarantiscono il rispetto delle normative e permettono la raccolta, l'utilizzo e la conservazione dei dati personali
dei propri clienti. Anche in considerazione di tali lavori, è stato rivisto ed aggiornato il Registro delle attività ditrattamento dei dati personali, supportato da un apposito strumento informatico, sia per migliorare
ulteriormente la sua rispondenza alle disposizioni normative sia nell’ottica del suo utilizzo come catalogo dicompliance aziendale.

1

E’ il tasso di abbandono dei clienti, vale a dire la percentuale di clienti che ha terminato l’utilizzo dei beni o servizi di un’azienda in un dato periodo
di tempo.

2

Certificazione per la valutazione di conformità al GDPR.

3

Codice Operatore Economico.

4

La norma “UNI ISO 31000 Gestione del rischio - Principi e linee guida” fornisce i principi e le linee guida generali per la gestione del rischio.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

11

Infine, anche nel corso del 2021, TMS e TIM San Marino hanno continuato ad esercitare le azioni necessarie per
assicurare l’attuazione, nei processi interni, delle disposizioni in materia di violazioni della sicurezza dei dati
personali (c.d. “data breach”).

TI Sparkle Grecia[SASB TC-TL-220a.1.5] TI Sparkle Grecia non effettua campagne pubblicitarie tramite SMS a società terze e nonha realizzato ricavi dalla vendita di pubblicità profilata via SMS.
[SASB TC-TL-220a.1.6.7] TI Sparkle Grecia non è iscritta ad organizzazioni di autoregolamentazione come la
Direct Marketing Association.

TI Sparkle Turchia[SASB TC-TL-220a.1] La società raccoglie, elabora e protegge i dati personali nel rispetto sia del Regolamento
UE 2016/679 ("GDPR"), come società del Gruppo TIM, sia della legge turca sulla protezione di dati personali n.
6698 (“LPPD”, quasi identico al GDPR). TI Sparkle Turchia ha emanato una propria policy, la quale definisce –nel rispetto delle disposizioni del GDPR e della LPPD - i principi concernenti sia la protezione dei dati sia il loro
trattamento, focalizzati sui propri clienti, i potenziali clienti, gli utenti del sito web, i dipendenti, i candidati
dipendenti, gli ex dipendenti, i visitatori, gli azionisti e gli amministratori; l’Azienda ha anche adottato tutte lemisure tecniche ed organizzative necessarie ad assicurare un livello di sicurezza adeguato.
Oltre a rispettare le leggi ed i regolamenti locali, TI Sparkle Turchia è registrata nel “Data Controllers’ Registry
Information System” (VERBIS), il sistema informativo del registro dei titolari del trattamento, accessibile online,
istituito e gestito dall'Autorità per la protezione dei dati personali.
In conformità all'articolo 5 della LPPD, TI Sparkle Turchia può trattare i dati personali senza il consensodell'interessato quando:■

è espressamente previsto dalla legge o richiesto per l'adempimento di un obbligo di legge;■è necessario il trattamento dei dati personali delle parti di un contratto, a condizione che sia direttamente
correlato all'apertura o all'esecuzione del contratto;■

i dati personali sono resi anonimi ed utilizzati al solo fine di trasformare tali dati in forma anonima;■

il trattamento dei dati è necessario per l'accertamento, l'esercizio o la protezione di qualsiasi diritto di TI
Sparkle Turchia, delle persone i cui dati sono elaborati o di altri soggetti;■

il trattamento dei dati è necessario per i legittimi interessi perseguiti da TI Sparkle Turchia, a condizione
che tale trattamento non violi i diritti e le libertà fondamentali dell'interessato;■

il trattamento dei dati personali è necessario per tutelare la vita o l'integrità fisica della persona stessa o diqualsiasi altra persona che non sia in grado di esprimere il proprio consenso, a causa della disabilità fisica,o il cui consenso non sia ritenuto giuridicamente valido.

Qualora le condizioni sopra indicate non sussistano, TI Sparkle Turchia informa gl’interessati ed ottiene il
consenso esplicito da questi ultimi al trattamento di qualsiasi tipo di dato personale.
Ai sensi dell'articolo 8 della LPPD, TI Sparkle Turchia può trasferire i dati personali a terzi in Turchia, come ipropri partner commerciali, gli azionisti, gli affiliati, le istituzioni pubbliche verso cui TI Sparkle Turchia ha degli
obblighi legali e le altre terze parti, qualora adotti tutte le misure di sicurezza definite dalla LPPD.
I dati personali possono essere trasferiti all'estero, a condizione che il trasferimento avvenga nel rispetto dellecondizioni definite nella LPPD e nelle altre leggi applicabili, adottando tutte le misure di sicurezza definite nelle
stesse, salvo che non vi sia una clausola contraria nella LPPD, nelle altre leggi o, se applicabile, nel contratto
stipulato con il titolare del trattamento. In condizioni eccezionali, in cui non è richiesto il consenso esplicito per
trasferire i dati personali come definito nella LPPD, oltre ai requisiti di elaborazione e trasferimento, è ancherichiesta una protezione sufficiente nel Paese in cui i dati devono essere trasferiti.
[SASB TC-TL-220a.1.2.3] Diversamente dalle finalità per le quali sono raccolti e trattati i dati personali, e al difuori degli obblighi di legge, TI Sparkle Turchia non vende, affitta o distribuisce alcun dato personale in altromodo.
La società conserva i dati personali per i periodi specificati dalle leggi e dai regolamenti; nel caso in cui non sia
previsto un periodo di conservazione, i dati personali sono cancellati o resi anonimi dopo essere stati utilizzati
per le loro finalità.
TI Sparkle Turchia ha pubblicato - nel proprio sito web, sia in lingua turca sia in quella inglese - la DisclosureStatement (dichiarazione di divulgazione), il modulo di accesso a beneficio degl’interessati e la policy sulla
protezione dei dati e della privacy.
[SASB TC-TL-220a.1] Il Children's Online Privacy Protection Act (COPPA) degli Stati Uniti non è applicabile in
Turchia, e TI Sparkle Turchia non raccoglie né elabora i dati personali dei bambini.
Essendo una società che conduce attività Business2Business, TI Sparkle Turchia non è coinvolta in alcun tipo di
pubblicità, comprese la pubblicità di prima e terza parte e la pubblicità comportamentale online.
[SASB TC-TL-220a.1.6.7.] TI Sparkle Turchia non è iscritta ad organizzazioni di autoregolamentazione come la
Direct Marketing Association.

TI Trust Technologies SpASASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

12

[SASB TC-TL-220a.1.1] Nel 2021 la società ha realizzato tre sessioni formative ad hoc, tramite collegamenti invideo conferenza, per un gruppo selezionato di risorse del Customer Care di TIM (clientela consumer),
focalizzate sulle tematiche d'interesse quali:■

l’evasione delle richieste di clienti/prospect relative all’esercizio dei diritti privacy;■la rilevazione e gestione dei data breach.

A tali sessioni formative hanno partecipato 34 persone.
[SASB TC-TL-220a.1.2.3] Per quanto riguarda la conservazione dei dati di traffico delle comunicazioni
elettroniche, al fine dell’individuazione e prevenzione dei reati, per quanto applicabili, la Società si attiene alledisposizioni che normano il servizio in tale ambito, conservando i log generati dal sistema di Posta Elettronica
Certificata per un periodo di 30 mesi dalla cessazione del servizio.
I dati di traffico sono conservati e controllati nel rispetto delle disposizioni generali emanate dal Garante per laprotezione dei dati personali che impone ai CSP (Communication Service Provider) di adottare le rigorose
misure di sicurezza.
[SASB TC-TL-220a.1.5.] TI Trust Technologies non effettua trattamenti concernenti campagne di pubblicità(advertising).
[SASB TC-TL-220a.1.6.] La Società non effettua trattamenti concernenti le campagne di pubblicità
comportamentale (in particolare, i Principi di autoregolamentazione intersettoriali per la pubblicità
comportamentale online).
[SASB TC-TL-220a.1.6.7] TI Trust Technologies non è iscritta ad organizzazioni di autoregolamentazione comela Direct Marketing Association.
[SASB TC-TL-220a.2.1] e [SASB TC-TL-220a.2.2] L’effettiva applicazione delle policy interne è monitorata
tramite un sistema di controllo articolato, basato su procedure di autovalutazione periodica, verifiche acampione svolte dalle competenti funzioni centrali e territoriali sulla base di procedure e metodologie definite,
nonché attraverso i controlli di secondo livello, pianificati ed identificati anche in ragione del livello di rischio
inerente ai trattamenti.
In particolare, a valle della rivisitazione dei processi di telemarketing - avvenuta nel 2021 - sono stati potenziati
ed estesi i controlli interni effettuati su tali processi, in coerenza con le prescrizioni del Garante privacy.
Anche in considerazione di tali lavori, è stato rivisto ed aggiornato il Registro delle attività di trattamento dei
dati personali, supportato da un apposito strumento informatico - sia per migliorare la sua rispondenza alledisposizioni del GDPR sia nell’ottica del suo utilizzo come catalogo di conformità aziendale - al fine diindirizzare i requisiti di compliance dei sistemi di Information Technology (Tecnologia dell'informazione),
individuare le eventuali aree di miglioramento e gestire i relativi piani di azione.

TIM Retail S.p.A.
[SASB TC-TL-220a.1.1] Nel 2021 la società ha organizzato un corso, riguardante il GDPR e le tematiche privacy
in generale, al quale hanno partecipato 273 dipendenti.
[SASB TC-TL-220a.1.5] TIM Retail utilizza essenzialmente i dati di prima parte (ovvero anagrafici, residenza) per
inviare le newsletter e DEM ai propri clienti, e preventivamente raccoglie il consenso di questi ultimi nel rispettodi quanto previsto dalle vigenti disposizioni.
TIM Retail gestisce una casella di posta di TIM SpA (messa a sua disposizione) per i casi di lamentele/reclami/problematiche privacy da parte dei propri clienti; le mail arrivano sia a TIM Retail sia a TIM SpA.
Per quanto riguarda l'e-commerce, al fine di allineare il dato degli utenti iscritti - utilizzabile per l'invio dinewsletter - e il dato dei consensati indicato nei report, TIM Retail invia periodicamente la lista degli utenti
disiscritti e di quelli bouced (e-mail inattive, errate, fake) alla funzione Information Technology, in modo daesporre il numero effettivo dei consensati nei report.

BU Brasile[SASB TC-TL-220a.1] e [SASB TC-TL-220a.2] TIM S.A. rispetta la legge sulla protezione dei dati del Brasile (nº13.709/2018, LGPD l'acronimo nella lingua portoghese). Infatti, la Società aumenta la base dei propri clienti
avvalendosi delle informazioni utilizzabili in forma crittografata, al fine d’identificare il target sosia per lecampagne sui media digitali.
La LGPD, entrata in vigore nel settembre 2020, chiede una particolare attenzione alle aziende su alcune
questioni critiche, come:■la protezione dei dati e la privacy dei clienti;■

l’ulteriore incremento delle responsabilità delle aziende operanti nel settore delle telecomunicazioni.
Infatti, da quando la legge è stata pubblicata nel 2018, TIM S.A. ha avviato i preparativi per garantire il suo
pieno rispetto. Tra le principali misure adottate è da evidenziare la formazione dei dipendenti, con lo scopo
di aumentarne la consapevolezza degl’impatti introdotti dalle modifiche della legge e poter seguire le linee
guida per la raccolta, l'utilizzo e la protezione dei dati dei clienti, dei dipendenti, fornitori e degli altri
stakeholder.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

13

Per assicurare la gestione strutturata delle diverse attività che garantiscono il rispetto della legge, TIM S.A. ha:■istituito il Comitato Privacy, coordinato dall'Amministratore Delegato, al quale partecipano i direttori delle
funzioni della Società;■

istituito la funzione di Data Protection Officer (DPO);■

aggiornato le proprie politiche sulla privacy ed i cookie;■

assicurato il rispetto dei Diritti del Titolare (la legge garantisce una serie di diritti personali, tra cui lamodifica, il rendere le informazioni anonime ed il riesame delle decisioni reso automatico);■adottato un tool (strumento) digitale che assicura il rispetto e la gestione dei Diritti dei Titolari, garantendo
una migliore tutela dei clienti nell'esercizio dei loro diritti;■

assegnato alla funzione Compliance:•la direzione delle attività necessarie ad assicurare il rispetto della nuova legge e la gestione dellerichieste dei Titolari dei Diritti;•

l’obiettivo di conseguire la certificazione ISO 27001 (standard di gestione della sicurezza delle
informazioni) nel 2022. La Società già utilizza detta norma come riferimento nei processi;■

ha aggiornato i nuovi contratti in relazione al trattamento dei dati personali;■

ha riesaminato ed adeguato i contratti già in essere, qualora identificati e classificati come forieri di impatti
sui dati personali;■

ha riesaminato ed aggiornato i documenti interni e le regole che disciplinano il trattamento dei dati
personali da parte dei dipendenti;■

aperto un Centro Privacy sul proprio sito web;■

ha creato un canale di sicurezza interno, da utilizzare sia per la gestione degli incidenti sia nei casi diperdite dei dati personali.

[SASB TC-TL-220a.3.1] Nel 2021 TIM S.A. ha ricevuto 718 azioni legali da parte dei clienti, riguardanti accuse difrode per scambio di chip e accesso alle informazioni sensibili sui clienti. Nello stesso anno sono state chiuse
718 azioni legali (non necessariamente aperte nel 2021): l'Autorità Giudiziaria si è pronunciata a favore di TIM
S.A. nel 59% dei casi, considerando le decisioni di morosità. Per i casi che hanno determinato pagamenti, laSocietà è stata condannata a versare quasi 2,1 milioni di reais.
Nel 2020 TIM S.A. è stata destinataria di 687 cause relative alla privacy dei dati; delle 593 cause concluse(alcune iniziate negli anni precedenti), 293 hanno avuto esito favorevole all’Azienda e 300 non favorevole, perle quali ha pagato sanzioni per circa due milioni di reais.
[SASB TC-TL-220a.4]
Descrizione

2021

2020

1. Numero di richieste delle forze dell'ordine per informazioni
sui clienti

1.619.681~1.418.000

2. numero di clienti dei quali sono state chieste leinformazioni

*

*

100

100

3. Percentuale di risposta alle forze dell’ordine* Non è possibile calcolare con accuratezza il numero di clienti interessati dalle richieste di informazioni perché Autorità diverse possono chiedere gli
stessi dati sul medesimo cliente in occasioni differenti.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data privacy

14

Data security[SASB TC-TL-230a.1] (1) Numero dei data breaches (violazioni dei dati), (2) percentuale relativa a informazioni
di identificazione personale (PII), (3) numero di clienti interessati.

BU Domestic
In relazione agli ultimi tre anni, nella tabella seguente si riporta il numero dei::■soli incidenti di sicurezza informatica verificati in TIM S.p.A., Fibercop S.p.A. e TI Trust Technologies S.p.A. Si
preferisce circoscrivere la pubblicazione a questi dati, a causa della sostanziale assenza di omogeneità tra i
dati richiesti dal SASB e quelli rilevati dalle suddette Società;■“security incidents” accaduti in TI Sparkle Grecia.

Nelle altre nove società della BU Domestic (esaminate ai fini di questa analisi) non si sono avuti incidenti
descritti dallo standard.
Descrizione

2021

2020

2019

TIM S.p.A. (numero d'incidenti di sicurezza
informatica)

7

19

40

TI Trust Technologies S.p.A. (numero d'incidenti disicurezza informatica)

1

1

—

Fibercop S.p.A. (società costituita nel 2021)

1

N/A

N/A

TIM Sparkle Grecia (numero d'incidenti di sicurezza
informatica)

—

2

1

Per motivi di riservatezza, non si riportano le altre informazioni richieste dal KPI, ovvero:■la percentuale relativa a informazioni di identificazione personale (PII);■

il numero dei clienti interessati.

BU Brasile
In TIM S.A., negli anni 2021 e 2020, non si sono verificati “data breach”.

[SASB TC-TL-230a.2] Descrizione dell'approccio per identificare ed affrontare i rischi riguardanti la sicurezza dei
dati, compreso l'uso di standard di sicurezza informatica di Terze parti.

BU Domestic
Nel corso degli anni il Gruppo TIM si è strutturato con policy dedicate, aventi l’obiettivo di garantire la sicurezzadelle informazioni e gestire il rischio associato. In particolare, la policy di «Gestione del rischio per la sicurezzadelle informazioni del Gruppo TIM», emessa nel 2017 ed aggiornata nel 2019, sulla base dello standard ISO / IEC
27005: 2011 (gestione del rischio di sicurezza delle informazioni), consente di:■supportare il titolare del processo nell'identificazione di aree, priorità d’intervento ed allocazione dellerisorse necessarie per la piena attuazione delle politiche di sicurezza aziendale;■

identificare i requisiti di sicurezza a partire dalla valutazione del rischio, promuovendo l'acquisizione dellaconoscenza del livello di esposizione alle minacce per le informazioni e l'impatto di eventuali incidenti disicurezza sul business.

L’operatività della policy suddetta è stata realizzata attraverso l’implementazione di uno specifico processo di
ICT Risk Management, che ha l’obiettivo di garantire la riservatezza, l’integrità e la disponibilità delle
informazioni e consentire all'Azienda di valutare ed allineare le esigenze di sicurezza dell’informazione agli
obiettivi di business aziendali nonché alle misure di conformità normativa.
Il processo di ICT Risk Management è stato declinato internamente al Gruppo TIM, mediante una proceduraorganizzativa, prendendo come riferimento i principali framework (strutture) e best practices (migliori pratiche)
internazionali tra cui, a titolo di esempio, il NIST16 (per l’identificazione dei requisiti di sicurezza) ed il CSA17 (perindirizzare le tematiche di sicurezza in ambienti cloud).
Il processo di ICT Risk Management, che nel 2020 ha ottenuto la certificazione ISO 27001 (standard
internazionale che descrive le best practices per la gestione della sicurezza delle informazioni) e nel 2021 la ISO
22301 (gestione della continuità operativa - requisiti):■

focalizza il suo ambito di applicazione sugli asset (patrimonio) tecnologici;

16

Il “National Institute of Standards and Technology” è un’agenzia del governo degli Stati Uniti d'America che si occupa della gestionedelle tecnologie (in sostanza, ha come compito la promozione dell'economia americana).

17

Cloud Security Assessment.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data security

15■contribuisce alla sicurezza delle informazioni, attraverso la gestione del processo di valutazione e
trattamento dei rischi operativi sulle risorse ICT (information and communications technology) che trattano
le informazioni.

In questa ottica, il processo deve essere attivato in fase di concept18 di nuovi progetti/servizi destinati alla
commercializzazione, ovvero al funzionamento operativo del Gruppo TIM, al fine di consentire l’analisi delcontesto ed identificare i requisiti che dovranno essere analizzati per individuare le misure di sicurezza daadottare sulle risorse ICT.
La progettazione delle risorse ICT deve includere l’interazione con il processo di ICT Risk Management perl’analisi degli scenari, l’identificazione dei requisiti applicabili al contesto e la valutazione del grado diadeguatezza delle misure previste a copertura degli stessi. In particolare, i requisiti costituiscono l’insieme delle
misure atte a garantire sia gli adeguati livelli di sicurezza sia il rispetto degli obblighi normativi; tali requisiti
sono definiti in coerenza con quelli espressi dalle normative interne al Gruppo TIM, nonché dalle specifichevalutazioni effettuate nelle fasi di analisi, stima e trattamento del rischio.
La realizzazione delle risorse ICT prevede l’interazione con il processo di ICT Risk Management anche per ilmonitoraggio dell’effettiva implementazione delle misure di sicurezza realizzate, nonché la valutazione
dell’efficacia delle misure stesse. Inoltre, gli asset tecnologici devono essere sottoposti a specifiche attività
tecniche, finalizzate a valutare l’efficacia delle misure di sicurezza adottate e/o la presenza di vulnerabilità
rilevabili.
A chiusura del processo di ICT Risk Management sono individuati i Remediation Plans (piani di bonifica, rimedio)che definiscono gl’interventi tecnologici e/o organizzativi necessari a riportare i livelli di rischio individuati al disotto della soglia di allarme. L’attuazione dei piani è soggetta a monitoraggio in collaborazione con la funzione
Security di TIM.

Altre informazioni relative alla BU Domestic
Le altre dodici società che costituiscono la BU Domestic (ai fini della rendicontazione secondo lo standard
SASB) osservano le policy, le procedure e, in generale, le misure adottate da TIM S.p.A. Di seguito, si riporta una
sintesi delle informazioni riguardanti le ulteriori attività realizzate da alcune società della BU Domestic, in virtù
del proprio core business e/o Paese nel quale operano.

TIM San Marino S.p.A.
Nel corso degli anni la Società si è strutturata con policy e procedure dedicate, aventi l’obiettivo di garantire la
sicurezza delle informazioni e gestire il rischio associato. In particolare, sono state redatte alcune procedurefunzionali alla sicurezza delle informazioni di TIM San Marino, quali la procedura operativa concernente lagestione:■ di internet,■

delle risorse informatiche esposte verso internet,■

delle utenze informatiche.

TI Sparkle SpA
La società ha definito la propria procedura operativa di ICT Risk Management, la quale recepisce la proceduraorganizzativa del Gruppo TIM e regolamenta l'operatività internamente a Sparkle, con l’applicazione della
metodologia di analisi del rischio applicata nel Gruppo TIM, al fine di rispettarne pienamente il relativo processo
e garantire l’omogeneità di risultati.

TI Sparkle Grecia e TI Sparkle Turchia
TI Sparkle Grecia dal 2007 e TI Sparkle Turchia dal 2011 hanno emanato una serie di policy che:■garantiscono la riservatezza, l'integrità e la disponibilità delle informazioni;■

gestiscono i rischi concernenti la sicurezza dei dati.

In particolare, la policy per la sicurezza e la privacy delle comunicazioni delle due società – emanata al fine diproteggere i sistemi di comunicazione ed informazione - consiste in un insieme di singole policy che
concernono l'uso accettabile, la sicurezza della rete, la sicurezza fisica, l'accesso logico, l'accesso da remoto, lagestione e l’installazione dei sistemi informativi e di comunicazione, la classificazione dei dati, la gestione delcambiamento, la gestione delle vulnerabilità, la gestione degl’incidenti di sicurezza, la gestione del malware19,
l’utilizzo della crittografia, ecc.
La policy di TI Sparkle Grecia per la sicurezza e la privacy delle comunicazioni è conforme al regolamento greco
per l'assicurazione della riservatezza nelle comunicazioni elettroniche, emesso dall'Autorità ellenica per lasicurezza e la privacy delle comunicazioni (ADAE); l'intero sistema di gestione della sicurezza delle informazioni
di TI Sparkle Grecia è certificato ISO 27001 dal 2008.

18

Descrizione sintetica dell’idea di un nuovo prodotto, campagna di comunicazione, ecc.

19

Software creato per compromettere la sicurezza del computer, dispositivi o sistemi informatici. Il termine deriva dalla contrazione delle parole
inglesi malicious e software.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data security16La policy di TI Sparkle Turchia per la sicurezza e la privacy delle comunicazioni è conforme al regolamento turco
per l'assicurazione della riservatezza nelle comunicazioni elettroniche, emesso dall'Autorità turca per lasicurezza e la privacy delle comunicazioni (BTK); l'intero sistema di gestione della sicurezza delle informazioni
di TI Sparkle Turchia è certificato ISO 27001 dal 2011.
TI sparkle Grecia e TI Sparkle Turchia identificano e governano i rischi per la sicurezza dei dati attraverso unconsolidato sistema di gestione della sicurezza delle informazioni, composto non solo da policy, ma anche daprocedure, linee guida e standard; l'intera struttura è continuamente monitorata al fine di garantire il continuo
miglioramento. In tale contesto, con cadenza regolare (ovvero, al verificarsi di modifiche significative), si
eseguono le attività per valutare il livello di adeguatezza delle misure in essere. Tali processi includono lavalutazione del rischio, gli audit interni, le revisioni della direzione, i test di penetrazione, le valutazioni dellevulnerabilità, la misurazione della conformità, le esercitazioni sulla continuità operativa ed il ripristino di
emergenza, i corsi di sensibilizzazione dei dipendenti, il monitoraggio dei registri, ecc.

Telecom Italia Trust Technologies S.p.A.
Nel 2012 la Società ha conseguito - e da allora ha mantenuto - la certificazione dell’intero dominio della
propria attività secondo la norma ISO 27001, pienamente integrata nello schema ISO 9001. Il dominio è stato
progressivamente ampliato nel tempo, in considerazione delle prescrizioni normative a cui la Società èsoggetta in funzione sia dei propri accreditamenti presso l’Agenzia per l’Italia Digitale sia della sua natura diQualified Trust Service Provider (Fornitore di servizi fiduciari qualificato) in materia di identificazione elettronica
e servizi fiduciari per le transazioni elettroniche nel mercato interno (secondo il Regolamento UE 910/2014
eIDAS20). Dal 2019, lo schema di certificazione ISO 27001 è stato esteso all’applicazione delle Linee Guida ISO
27017 e 27018, concernenti l’erogazione dei servizi cloud in modalità “Software as a Service21”.
Nell’ambito del processo di mantenimento della conformità ai predetti schemi di certificazione, la Societàaggiorna periodicamente la propria Risk Analysis, sottoponendola a revisione anche nei casi in cui particolaricontingenze possano provocare le modifiche al livello di rischio. La Risk Analysis è condotta con lo scopo diidentificare:■ le aree, le priorità d’intervento ed allocazione delle risorse necessarie per la piena attuazione delle politichedi sicurezza aziendale a livello di Gruppo;■

i requisiti di sicurezza da applicare (a partire dalla valutazione del rischio, considerando il livello diesposizione alle minacce per le informazioni e l'impatto di eventuali incidenti di sicurezza sul business).

BU Brasile
Il BSO - Cyber & ICT Security board (consiglio della sicurezza informatica, della tecnologia dell’informazione edella comunicazione) è responsabile della governance della Information Security (governo della sicurezza delle
informazioni) relativa agli asset (patrimonio) di TIM S.A. e ha la seguente forma organizzativa:■

ICT Risk Management: garantisce la sicurezza dei progetti ICT dell'Azienda, la gestione dei profili edell'accesso logico ai sistemi;■

Cyber Intelligence: assicura la gestione delle vulnerabilità, previene la fuga delle informazioni, conduce lesimulazioni di attacchi e le indagini digitali, monitora l'evoluzione, rileva le nuove minacce ed i rischi
informatici;■

Cybersecurity Operations Center: garantisce il monitoraggio ed il trattamento dei rischi informatici e degli
eventi di sicurezza, la mitigazione degli attacchi, nonché la gestione e la risposta agl’incidenti;■

Cyber Solutions & Innovation: definisce gli standard di architettura delle soluzioni di sicurezza per l'Azienda,
analizza e verifica le nuove soluzioni di sicurezza, rafforza la strategia di vendita dei servizi e prodotti avalore aggiunto in questi segmenti di clientela (in linea con le funzioni competenti);■

Business Continuity & ICT Security Governance: assicura le attività di governance del processo di
prevenzione dei rischi che possono influenzare la continuità aziendale, nonché le funzioni di supporto
nell'implementazione delle iniziative di sicurezza. La funzione definisce anche il quadro normativo disicurezza, in stretto raccordo con la funzione IT & Security Compliance.

TIM S.A. svolge le proprie attività sulla base della ISO 27001, oltre ai controlli CIS8 (Internet Security Center) e
NIST, i quali supportano la gestione e la riduzione del rischio di cyber security (sicurezza informatica). Al fine delconseguimento della certificazione ISO 27001 nel 2022, la funzione Cyber & ICT Security ha effettuato gli
adeguamenti necessari nel 2021, emersi nel corso della valutazione dei requisiti di certificazione.

20 Electronic IDentification Authentication and Signature (Identificazione elettronica autenticazione e firma) è un regolamento dell'Unione Europea

che riguarda l'identificazione elettronica ed i servizi fiduciari per le transazioni elettroniche nel mercato unico europeo.

21“Software come servizio”, ovvero il software utilizzato non è installato localmente, ma è a disposizione dei clienti attraverso una connessione
Internet.

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

Data security

17

Gestione del fine vita del prodotto[SASB TC-TL-440a.1] 1) Materiali recuperati tramite programmi di ritiro (take-back), percentuale di materiali
recuperati che sono stati (2) riutilizzati, (3) riciclati e (4) portati in discarica.
[SASB TC-TL-440a.1.1] La società deve indicare (1) il peso, in tonnellate, dei materiali recuperati attraverso iprogrammi di ritiro dei prodotti e servizi di riciclo.
[SASB TC-TL-440a.1.2] La società deve indicare (2) la percentuale di materiali recuperati che sono stati
riutilizzati.
[SASB TC-TL-440a.1.3] La società deve indicare (3) la percentuale di materiali recuperati che sono stati riciclati
o ricostruiti.
[SASB TC-TL-440a.1.4] La società deve indicare (4) la percentuale di materiali recuperati che sono stati
collocati in discarica.
[SASB TC-TL-440a.1.5] I rifiuti elettronici (e-waste) sono considerati riciclati solo se la società può dimostrare
che tale materiale è stato trasferito a entità con certificazione di terze parti in base a uno standard per ilriciclaggio dei rifiuti elettronici, come lo standard e-Steward® di Basel Action Network o lo Standard dellepratiche di riciclaggio responsabili (R2) dell'EPA statunitense.
Di recente, il Gruppo TIM ha aggiornato il proprio programma di take-back, focalizzato sul riciclo ed il riuso dei
prodotti che commercializza, al fine di migliorarlo, consolidarlo e renderlo rispondente all’evoluzione normativa
nazionale ed europea.

BU Domestic
Di seguito, sono riportate alcune iniziative messe in campo da TIM per ridurre il proprio impatto negativo
sull’ambiente.
TIM ha stipulato i contratti mirati con le società specializzate nella gestione di prodotti usati, guasti e giunti afine vita, con l’obiettivo di permettere il recupero della componentistica e delle materie prime, ottenendo alcontempo tangibili benefici economici derivanti dalla loro valorizzazione.
Nel 2021 le varie attività di gestione hanno consentito di:■ rigenerare i prodotti di logistica commerciale (63.026 pezzi) e materiali di rete (19.038 pezzi);■

inviare al recupero della componentistica e delle materie prime i prodotti di logistica commerciale e tecnica
per un totale di 476.528 kg, quasi esclusivamente di telefonia fissa;■

rivendere i prodotti usati di telefonia mobile per un totale di 16.427 pezzi.

TIM è consapevole che i propri apparati vadano manutenuti il più possibile in vita: la frequente inevitabile
dismissione genera rifiuti, nuove produzioni e quindi nuove emissioni in atmosfera.
I modem restituiti a TIM dai clienti, per guasto o cessazione di contratto, sono sottoposti a rigenerazione da unente terzo e riutilizzati da TIM per le attività di sostituzione di apparati non funzionanti a casa del cliente, in
regime di assistenza tecnica. La rigenerazione consiste nell’ispezione del prodotto rientrato, allo scopo diriscontrare gli eventuali difetti che non permettono di recuperarlo; in tal caso il prodotto è smaltito, in quanto il
processo non prevede la sostituzione delle plastiche danneggiate.Se l’ispezione ha esito positivo, si procede
alla verifica del funzionamento, con successivo aggiornamento del firmware22, pulizia delle plastiche, nuova
etichettatura ed inscatolamento in scatole di carta riciclata. Il modem riscontrato non funzionante ma in
garanzia fornitore è sostituito; qualora non più in garanzia è inviato a smaltimento: non è prevista l’aperturadel prodotto per la sostituzione di parti elettroniche eventualmente danneggiate. Non è al momento prevista
la rivendita dei modem ricondizionati.
TIM cura anche il riutilizzo in altre funzionalità o servizi di apparati dati (Juniper MX240) già esistenti, chealtrimenti sarebbero rimossi e rottamati. Agli apparati è data una nuova destinazione d’uso, con smontaggio ereinstallazione in centrali o luoghi differenti. Questa modalità di recupero ha supportato anche un’urgente
necessità della vendita Wholesale ad altri operatori garantendo le tempistiche in SLA (Service Level
Agreement23) a fronte di potenziale ritardo di fornitura di materiale nuovo.

BU Brasile
In Brasile TIM ha messo in essere un analogo processo di ricondizionamento dei modem a banda ultra larga
TIM Live che ne allunga la vita utile.
Andando oltre i propri obblighi e puntando alla diminuzione dell'impatto dei prodotti elettronici e dei loro dannia carico di ambiente e salute pubblica, TIM S.A. ha istituito un programma di Reverse Logistics, in partnershipcon un fornitore autorizzato e certificato, con l'obiettivo di contribuire alla realizzazione di un’economia
circolare, ossia intervenire nell'intero ciclo di vita dell'elettronica e favorire la promozione dello sviluppo
economico e sociale nella catena di Reverse Logistics attraverso il ritiro presso i punti vendita e le sedi TIM. Lo
22

Il firmware (derivante dall'unione di due parole inglesi, "firm" e "software") è un programma integrato in un componente elettronico.

23

Il service level agreement (accordo sul livello del servizio), in sostanza, è il contratto dove si definiscono i livelli del servizio che il fornitore s’impegna
a rispettare verso i propri clienti.

TIM - Uso Interno - Tutti i diritti riservati.

smaltimento nei negozi è messo a disposizione per il servizio generale di tutta la popolazione, che comprende i
propri dipendenti, i terzi, i clienti e non clienti TIM. Lo smaltimento negli edifici di TIM mira a incoraggiare e a far
aderire i dipendenti stessi, oltre alle altre persone che vi possono accedere.
Un team di monitoraggio delle prestazioni fornisce al Ministero dell'Ambiente - entro il 31 marzo di ogni anno la relazione annuale delle prestazioni, con le informazioni e i dati consolidati nel periodo compreso tra il 1°
gennaio e il 31 dicembre dell'anno precedente, forniti dalle società di gestione

TIM - Uso Interno - Tutti i diritti riservati.

Condotta concorrenziale e open Internet[SASB TC-TL-520a.1] Importo complessivo delle perdite monetarie a seguito di procedimenti legali associati aregolamenti di comportamento anticoncorrenziale.

BU Domestic
TIM S.p.A.
Nella tabella seguente sono riportate le perdite monetarie subite da TIM S.p.A. negli ultimi tre anni, espresse inmilioni di euro, a seguito dei provvedimenti emessi dall’Autorità Garante della Concorrenza e delMercato/AGCM (dette perdite hanno riguardato il procedimento n° A514, avviato nel febbraio 2020).
Descrizione

2021

2020

2019

Perdite monetarie dovute a procedimentidell'AGCM (Antitrust)

116,1

—

—

Di seguito, si riportano i principali provvedimenti emessi a carico di TIM S.p.A. negli ultimi tre anni - da partedell’AGCM - riferibili a comportamenti anticoncorrenziali.
Anno 2021■

PS 10888 TIM Passepartout
Nel giugno 2021 AGCM ha avviato un procedimento per pratica commerciale scorretta avente ad oggetto
la mancata trasparenza sulla piattaforma di gestione delle rateizzazioni TIM Passepartout e le presunte
attivazioni di servizi non richiesti. Il procedimento ha preso avvio sulla base di segnalazioni di singoli
consumatori e la fase istruttoria si è conclusa nel marzo 2022. Sulla base delle risultanze di quest’ultima, èpossibile effettuare una stima delle sanzioni, il cui dettaglio è il seguente:•

condotta per omissioni informativa: euro 300 mila (impatto sulla linea mobile);•

condotta per attivazioni non richieste: euro 4,6 milioni (fisso/mobile).

TIM ha presentato gl’impegni che si sostanziano nel migliorare gli aspetti informativi della piattaforma TIM
Passepartout (attiva solo per le vecchie rateizzazioni) e nel porre in essere una campagna di comunicazione
volta a sollecitare un contatto da parte di coloro che non riconoscono gli addebiti, per valutare se vi siano
gli estremi per il rimborso;■

I850 – Costituzione e funzionamento di FiberCop
Con decisione del 15 dicembre 2020, AGCM ha avviato un’istruttoria nei confronti delle società Telecom
Italia S.p.A., Fastweb S.p.A., Teemo Bidco S.r.l., FiberCop S.p.A., Tiscali Italia S.p.A. e KKR & Co. Inc. per
accertare l’esistenza di eventuali violazioni dell’articolo 101 del TFUE24.
Più precisamente, l’istruttoria riguarda i contratti che regolano la costituzione ed il funzionamento di
FiberCop e gli accordi di fornitura con Fastweb e Tiscali. AGCM intende verificare che tali accordi non creino
ostacoli alla concorrenza tra gli operatori nel medio e lungo termine e siano volti ad assicurare il rapido
ammodernamento delle infrastrutture di telecomunicazione fissa del Paese.
Il 6 agosto 2021 TIM ha presentato una proposta di impegni ad AGCM, al fine di risolvere le preoccupazioni
concorrenziali oggetto dell’istruttoria ed addivenire alla conclusione del procedimento senza l’irrogazione
di alcuna sanzione.
Il 7 settembre 2021 AGCM ha giudicato gl’impegni suddetti non manifestamente infondati e ne ha dispostola pubblicazione sul sito internet dell’Autorità a partire dal 13 settembre 2021; ha preso così avvio il c.d.
market test che si è concluso il 13 ottobre 2021, data entro la quale tutti i soggetti interessati hanno
trasmesso ad AGCM le proprie osservazioni in merito agli impegni in questione. Il 14 dicembre 2021 AGCM
ha prorogato il termine di conclusione del procedimento, inizialmente previsto per il 31 dicembre 2021,
fissandolo al 15 febbraio 2022;■

I857 – Diritti TV della serie A di calcio.
Il 6 luglio 2021 AGCM ha avviato un’istruttoria nei confronti di TIM e DAZN, per possibile intesa restrittiva
della concorrenza relativamente all’accordo per la distribuzione ed il supporto tecnologico dei diritti TVdella Serie A di calcio nel triennio 2021-2024.
L’istruttoria è, inoltre, volta a verificare la restrittività dell’intesa con riferimento a ulteriori elementi che
riguardano la possibile adozione, da parte di TIM, di soluzioni tecniche non disponibili per gli operatori ditelecomunicazione concorrenti e che potrebbero tradursi in ostacoli all’adozione di soluzioni tecnologiche
proprie. La chiusura del procedimento è prevista entro il 30 giugno 2022.
L’Autorità ha contestualmente avviato anche un sub procedimento per l’eventuale adozione di misurecautelari. Con delibera del 27 luglio 2021 AGCM ha chiuso il procedimento cautelare, ritenendo che leiniziative e le modifiche all’accordo nel frattempo proposte da TIM e DAZN siano idonee, allo stato, a
impedire che durante il procedimento di accertamento si produca un danno grave e irreparabile per laconcorrenza.
Infatti, le misure suddette mirano, nel loro complesso, ad evitare le possibili discriminazioni nella fruizionedel servizio DAZN, riconducibili alla sua attivazione da parte di utenti che utilizzano i servizi diconnessione internet diversi da quelli offerti da TIM. Inoltre, è stato modificato l’accordo tra TIM e DAZN, alfine di garantire a DAZN una piena libertà nell’applicare gli sconti e le promozioni. TIM si è anche

24

Trattato sul Funzionamento dell'Unione Europea.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

20impegnata a fornire a DAZN un quantitativo sufficiente di set-top-box25white label, per garantire anche aiclienti di DAZN la visione sul digitale terrestre delle partite in caso di problemi di connessione.
TIM, infine, si è impegnata a fornire i servizi wholesale (all’ingrosso) agli OAO26 interessati, per la gestione
dei picchi di traffico derivanti da trasmissioni dati live (in tempo reale), a prescindere dalla tipologia dicontenuti trasportati.
Il 29 ottobre 2021 TIM ha presentato una proposta di impegni ad AGCM, al fine di risolvere lepreoccupazioni concorrenziali oggetto dell’istruttoria e addivenire alla chiusura del procedimento senzal’accertamento di alcuna infrazione e, quindi, senza l’irrogazione di sanzione.
Il 14 dicembre 2021 AGCM ha deliberato la pubblicazione, sul proprio sito internet, della proposta d’impegni
succitata in quanto tali impegni appaiono, nel loro complesso, non manifestamente infondati e tali darimuovere le restrizioni alla concorrenza ipotizzate nel provvedimento di avvio dell’istruttoria in questione.
Il 5 gennaio 2022, con la succitata pubblicazione sul sito internet di AGCM, ha preso avvio il c.d. market test
che si è concluso il 4 febbraio, data entro la quale tutti i soggetti interessati hanno potuto trasmettere
all’Autorità le loro osservazioni in merito agli impegni in questione.
Nel 2020 l‘importo delle perdite monetarie è stato pari a zero per TIM S.p.A. e l’AGCM ha emesso i seguenti
cinque provvedimenti:■

PS11379 - Azioni di winback27 del 13 gennaio 2020.
AGCM ha accertato la carenza informativa dei messaggi delle offerte mobili di winback e la preattivazione
di alcuni servizi correlati a tale tipologia di offerte. Analoghi procedimenti si sono conclusi anche nei
confronti degli altri Operatori. La sanzione è stata pari a euro 4,8 milioni.
Nel marzo 2020, TIM ha impugnato il provvedimento AGCM con ricorso al TAR del Lazio, chiedendone
l’annullamento.
In ottemperanza al dispositivo dell'Autorità, TIM ha cessato il comportamento oggetto di contestazione,
oltre ad implementare i rimedi finalizzati a migliorare la chiarezza delle comunicazioni delle proprie offerte
di winback;■I820 - Fatturazione mensile con rimodulazione tariffaria del 28 gennaio 2020.
AGCM ha deliberato la sussistenza di una intesa restrittiva della concorrenza tra TIM, Vodafone, Wind Tre e
Fastweb: secondo l'Autorità, i quattro operatori telefonici hanno coordinato le proprie strategiecommerciali relative al passaggio dalla fatturazione ogni quattro settimane (28 giorni) a quella mensile. La
sanzione è stata pari a circa euro 114,4 milioni.
In ottemperanza al dispositivo dell'Autorità, TIM ha cessato il comportamento oggetto di contestazione.
Nell’aprile 2020, TIM ha impugnato il provvedimento sanzionatorio.
Con sentenza pubblicata il 12 luglio 2021, il TAR Lazio ha accolto il ricorso di TIM, annullando ilprovvedimento relativo alla sussistenza dell’intesa e all’irrogazione della sanzione.
L’11 settembre 2021, l’AGCM ha presentato ricorso al Consiglio di Stato chiedendo l’annullamento dellasentenza del TAR;■

A514 - Condotte fibra del 25 febbraio 2020.
AGCM ha deliberato la sussistenza di un abuso di posizione dominante da parte di TIM. Secondo AGCM, TIM
ha posto in essere una strategia anticoncorrenziale, preordinata ad ostacolare lo sviluppo degli
investimenti in infrastrutture di rete a banda ultra-larga. La sanzione iniziale, coincidente con l'importo
complessivo, è stata pari a circa euro 116,1 milioni. In ottemperanza al dispositivo dell'Autorità, TIM ha
cessato il comportamento oggetto di contestazione.
TIM ha impugnato il provvedimento sanzionatorio dinanzi al TAR Lazio, contestando sia l'illiceità dellecondotte sollevate da AGCM sia, in ogni caso, la quantificazione della sanzione irrogata. TIM ha notificato ilricorso in data 30 giugno 2020. L’udienza di discussione dinanzi al TAR Lazio si è tenuta in data 3 novembre
2021 e si è in attesa della pubblicazione della sentenza. La Società ha provveduto, nel maggio 2021, al
pagamento della sanzione;■

P327 - Inottemperanza al provvedimento n. 27644 del 10 aprile 2019 di chiusura del PV 4 "iban
discrimination" (aggiornamento del 3 luglio 2020).
AGCM HA accertato un ritardo nella completa automazione del processo di domiciliazione da web per i
clienti di linea fissa. TIM aveva già eliminato ogni forma di discriminazione fra le domiciliazioni su banche
italiane e le banche dell’area Sepa. Analoghi procedimenti si sono conclusi anche nei confronti degli altri
operatori.
La sanzione iniziale è stata pari a euro 0,5 milioni. TIM non ha presentato ricorso. In ottemperanza al
dispositivo dell'Autorità, TIM ha cessato il comportamento oggetto di contestazione.

■

PS 11532 - "TIM in nave" del 28 luglio 2020.
AGCM ha accertato che l'informazione ai consumatori sull'attivazione della tariffa di roaming marittimo"TIM in nave" deve essere maggiormente tempestiva rispetto al momento dell'imbarco in nave.
Analoghi procedimenti si sono conclusi nei confronti degli altri operatori. La sanzione è pari a euro 1,8
milioni. In ottemperanza al dispositivo dell'Autorità, TIM ha cessato il comportamento oggetto dicontestazione ed ha implementato le misure rimediali finalizzate ad una comunicazione maggiormente
tempestiva del consumatore rispetto al momento dell'imbarco in nave.
Nell’ottobre 2020, TIM ha impugnato il provvedimento AGCM con ricorso al TAR del Lazio chiedendone
l’annullamento.

Nel 2019 l‘importo delle perdite monetarie è stato pari a zero per TIM S.p.A. e l’AGCM ha emesso i seguenti due
provvedimenti:

25

Un set-top box è un minicomputer collegato al televisore per vedere i contenuti e renderlo smart o, eventualmente, da collegare ad un monitor
per PC.

26

Others Authorised Operator, ovvero gli altri operatori autorizzati.

27

In italiano riconquistare, è una pratica commerciale volta a recuperare un cliente perduto.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

21

■PV4 - Iban discrimination del 10 aprile 2019.
AGCM ha accertato gl’impegni presentati da TIM finalizzati ad eliminare - tramite importanti interventi sui
sistemi di pagamento - ogni forma di discriminazione nell'attivazione della domiciliazione sui conti esteri diarea Sepa rispetto alle domiciliazioni sui conti italiani. Analoghi procedimenti sono stati avviati nei
confronti degli altri operatori, ma sono stati ritenuti adeguati i soli impegni presentati da TIM.

■

IP 312 - Inottemperanza al provvedimento n. 27062 del 28 febbraio 2018 di chiusura del PS 10696"campagne comunicazionali offerta fibra" dell'11 agosto 2019.
AGCM ha riconosciuto l'ottemperanza di TIM alla delibera n. 27062 del 28 febbraio 2018. L'accertamento
riguarda il solo claim sull'"opzione massima velocità" presente nell'offerta fibra di TIM fino al 15 gennaio
2019.
La sanzione iniziale è stata pari a euro 200.000. TIM non ha presentato ricorso.

Altre informazioni relative alla BU Domestic
Di seguito, si riporta una sintesi delle informazioni riguardanti le ulteriori attività di alcune società della BU
Domestic, in virtù del proprio core business e/o Paese nel quale operano.

Telefonia Mobile Sammarinese e TIM San Marino
L’Autorità garante Sammarinese non ha mai avviato i provvedimenti in argomento verso le due suddette
società, le quali non hanno subito le relative perdite monetarie.

TI Sparkle Italia, TI Sparkle Grecia e TI Sparkle Turchia
Le tre società, negli ultimi tre anni, non sono state destinatarie dei provvedimenti in esame.

TI Trust Technologies
La Società non è stata destinataria nel 2021 e 2020 di provvedimenti emessi a suo carico, riferibili acomportamenti anticoncorrenziali
Le altre sei società del BU Domestic oggetto di analisi hanno considerato questo KPI non inerente al proprio
core business.

BU Brasile
Nel 2021 TIM S.A. è stata coinvolta in dodici cause per presunte violazioni della concorrenza. Di queste, c'è
stato un nuovo procedimento e, tra gli 11 ancora in corso, uno è stato chiuso nell’anno con successo. Di
conseguenza, nel 2021, TIM S.A. non ha subito perdite monetarie legate al comportamento anticoncorrenziale.
Nel 2020 TIM S.A. è stata coinvolta in dodici cause - in corso - per presunte infrazioni relative a comportamenti
anticoncorrenziali. Pertanto, nel 2020, TIM S.A. non ha subito perdite monetarie derivanti da cause legate acomportamenti anticoncorrenziali.

[SASB TC-TL-520a.2] Velocità di download effettiva media di (1) contenuto di proprietà e associato
commercialmente e (2) contenuto non associato commercialmente.

BU Domestic
TIM S.p.A.
Ad oggi non risultano implementati i monitoraggi, che possano essere ricondotti sia ai contenuti erogati e
associati alle offerte commerciali sia ai contenuti commercialmente non associati; si sta valutando
l’implementazione di tale monitoraggio.
Nella Unione Europea le informazioni di dettaglio sulla tipologia di traffico ed utilizzo della banda dati, da partedel cliente, sono soggette a vincolo di riservatezza. Il Regolamento (UE) 2015/2120 del Parlamento Europeo edel Consiglio Europeo del 25 novembre 2015 ha introdotto nell'ordinamento europeo un nuovo insieme dinorme in materia di net neutrality (neutralità della rete tecnica). In base al principio di neutralità della retetecnica, l'accesso ad internet deve essere trattato in modo non discriminatorio, indipendentemente dalcontenuto, dall'applicazione, dal servizio, dal terminale, nonché dal mittente e dal destinatario. E’ stato
aumentato anche il potere deterrente dell'azione di vigilanza dell'Autorità, introducendo le sanzioni da euro
120k a euro 2,5 milioni nei casi di accertata violazione della normativa in materia di neutralità della rete tecnica
e le Autorità nazionali sono tenute a rendicontare alla comunità. Le Linee guida del Berec (Body of European
Regulators for Electronic Communications, ovvero l’Organismo dei Regolatori Europei delle Comunicazioni
Elettroniche), fanno specifico riferimento all’impossibilità di effettuare le azioni di:■monitoraggio sul comportamento dei clienti, per le finalità sia tecniche sia commerciali;

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

22traffic management (gestione del traffico) o le offerte a zero rating28, garantendo la trasparenza nei
contratti di fornitura.

■

A fronte di tali vincoli, si è impossibilitati a fornire le prestazioni su base servizio cliente, per cui si propone laseguente alternativa: “monitoraggio della velocità di download delle linee FTTC (Fiber To The Cabinet; 30-100200Mbps) nel periodo 2021-2019” (da tale monitoraggio sono escluse le linee FTTH - Fiber To The Home - per lequali il monitoraggio è in fase sperimentale).
Premessa:
a. il monitoraggio è effettuato secondo lo standard del Broadband Forum (BBF) TR143 tramite un agent attivo
sulla maggioranza delle CPE (Customer Premise Equipment)29 e tele gestite tramite standard BBF TR069;
b. in TIM non è attivo un monitoraggio con sonde esterne alla CPE;c.

il monitoraggio è effettuato almeno una volta al mese su un campione statistico significativo della
Customer Base (base di clienti), in orario di basso traffico (0:00 - 07:00), al fine di avere una corretta stima
delle performance e non interferire con il traffico utente;

d. il monitoraggio è finalizzato all’analisi delle performance delle linee cliente indipendentemente dai
contenuti (garanzia della net neutrality);e. i valori riportati riflettono le valutazioni basate sull’effettivo profilo di offerta e non le massime potenzialitàdelle linee;f.

le modalità di testing (analisi) di TIM fanno riferimento alla maggior parte delle linee con il cliente interno, a
differenza del metodo proposto che si applicherebbe a poche linee con l’uso di sonde esterne.

Le velocità sono la media delle velocità in downlink pesato su base offerta FTTC

Descrizione

2021

2020

2019

Velocità media FTTC download - TR143 (Mbps)

68,2

70

65

Il graduale e costante aumento della base della clientela (customer base), +14% nel 2021, ovvero degli utenti
contemporanei sulle tratte in rame, sommato ad un aumento della lunghezza media di queste ultime sono daconsiderarsi le principali cause del dato registrato nel 2021.
L’aumento della distanza media, per le offerte 200M, è dovuto alle migrazioni dalle offerte 30M, già in essere
su distanze più lunghe e configurate nei piccoli centri e realtà periferiche. Nei grandi centri, dove è presentel’FTTH, parte delle migrazioni sono avvenute con salto di tecnologia che - per motivi di certificazione del dato non sono ancora conteggiate nel calcolo della banda media offerta.
Con riferimento ai valori di KPI di banda, l’aggiornamento per i servizi di dettaglio banda larga (BB), banda
ultralarga (UBB), dettaglio BB e UBB - dei valori di banda unitaria di picco Internet Protocol (kb/s) di riferimento
utilizzati anche nella contabilità regolatoria (CoRe) - sono stati i seguenti:
Macrofamiglia

Banda di picco unitaria (kb/s)
Esercizio
2021

Esercizio
2020

Esercizio
2019

Clienti BB x DSL (Consumer + Business)

407

457

336

Clienti UBB FTTCab Consumer

1.651

1.668

996

Clienti UBB FTTH Consumer

1.785

1.736

1.009

Clienti UBB FTTX* Business

713

619

452

* FTTX sta per Fiber To The X, dove X può essere costituito da C per cabinet (armadio), H per house (casa), B per building (edificio) o E per exchange(centrale).

Metodologia di calcolo della Banda di Picco Unitaria o per Cliente in ambito Contabilità Regolatoria
Tale indicatore rappresenta il contributo che il “cliente medio”30 di uno specifico macro-servizio di tipo BB o
UBB fornisce alla banda di picco misurata sulla rete tecnica. Tale indicatore è calcolato su tutti i clienti della“Customer Base Commerciale” e comprende sia i clienti effettivamente attivi al picco sia quelli che durante ilperiodo di picco non sviluppano traffico.
La banda di picco unitaria è calcolata ogni mese dell’anno di riferimento della CoRe, a partire dalla banda
totale di picco, la quale è ricavata dalla rilevazione di misure di traffico utilizzando una variante della
metodologia TCBH (Time Consistent Busy Hour).
In sintesi, tale metodologia prevede l’acquisizione delle misure di traffico secondo la seguente modalità:
a. su tutte le interfacce fisiche dove sono attestati i clienti oggetto di misurazione, si rileva - per ciascungiorno del mese - un campione di misura dei volumi di traffico Vj, con j che varia da 1 a Ng, (essendo pari a
Ng il numero di giorni del mese preso in esame), che percorre le interfacce ogni 15 minuti. Per ogni periodo
28

Zero rating è definito come un accordo in base al quale l'utilizzo dei dati da parte del cliente non è fatturato né conteggiato al fine delladeterminazione del limite del piano dati del cliente, se questi accede a determinati contenuti affiliati all'operatore di rete mobile o al fornitore dei
servizi Internet.

29

Dispositivo elettronico utilizzato come terminale lato utente che può così connettersi direttamente alla rete di trasmissione geografica.

30

Il “cliente medio” è il cliente caratterizzato da KPI (di traffico o di attività) medi rispetto a una determinata popolazione di clienti.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

23

di 15 minuti di ciascun giorno del mese, si calcola l’intensità di traffico: Ii=Vi/T (dove “T”, espresso insecondi, rappresenta il numero di secondi contenuti nell’intervallo di 15 minuti; 15*60=900s), con “i” che va
da 1 a 96 (essendo pari a 96 il numero di quarti d’ora presenti in un giorno). Si avranno, pertanto, 96 misure
di traffico giornaliere;b. a seguire, si costruisce il profilo di traffico del “giorno medio”, dove è calcolata la media tra il quarto d’ora iesimo corrispondente di tutti i giorni del periodo di misura del mese, ovvero si mediano i valori di trafficodel primo quarto d’ora di tutti i giorni del mese in esame, poi del secondo, poi del terzo e così via fino al
novantaseiesimo. Ciò consente di calcolare l’intensità media di traffico “IMi” del quarto d’ora i-esimo delgiorno medio;c.

ottenuto il profilo di traffico del cosiddetto “giorno medio”, s’identifica l’ora di massimo traffico attraverso
la ricerca del quarto d’ora in cui, nell’ambito del suddetto profilo, il valore di traffico è il più alto. Tale valore
rappresenta il valore della banda totale di picco (nella metodologia TCBH standard, l’ora di massimo
traffico del profilo del giorno medio è costituita invece dai quattro quarti d’ora consecutivi il cui valore ditraffico sommato risulta più alto);

d. la banda totale di picco utilizzata nella CoRe, per la determinazione della banda di picco unitaria, è quellache fa riferimento al mese dell’anno in cui è stato rilevato il picco di traffico totale più elevato;
e. la banda totale di picco è poi ripartita, attraverso opportuni driver (criteri guida), tra i macro-servizi dirilevanza della CoRe, ottenendo le bande totali attribuibili a ciascun macro-servizio. Indicando con “Bi” labanda totale del macro-servizio i-esimo e con “Ni” il numero di clienti in “Customer Base” appartenenti al
macro-servizio i-esimo, la banda di picco unitaria del macro-servizio i-esimo (BUi) si ottiene mediante laseguente espressione:
BUi = Bii/Ni
Per quanto riguarda la velocità di download media pubblicizzata, definita come la velocità di download
pubblicizzata per ogni account utente in base alla velocità del tipo di account, si riportano – nella tabella
seguente - i valori espressi in Mbit/s del parametro per gli anni 2021, 2020 e 2019.
Anno

2021

2020

2019

Mbit/s

155,0

112,6

81,3

Dettaglio dell’algoritmo di calcolo
Per ciascun anno d’interesse si è preso in considerazione:
a. la consistenza delle linee configurate in rete nel mese di dicembre;b. le sole linee TIM retail (al dettaglio) per le quali è disponibile l’informazione sull’offerta commerciale (cioè lavelocità di download commerciale) associata;c.

la somma dei prodotti dati - dalle consistenze delle linee per la velocità di download commerciale
associata - il cui risultato è stato diviso per il numero totale delle linee che hanno contribuito a tale
produttoria (media pesata delle velocità commerciali di download sulla base delle consistenze di rete).

Altre informazioni relative alla BU Domestic
Di seguito, si riporta una sintesi delle informazioni riguardanti le ulteriori attività di due società della BU
Domestic.
Telefonia Mobile Sammarinese (TMS) e TIM San Marino
Le due società non hanno i monitoraggi che possano produrre i KPI riguardanti sia i contenuti di proprietà
erogati e associati alle offerte commerciali sia i contenuti commercialmente non associati.
TMS e TIM San Marino potrebbero limitare le velocità di upload e download dei collegamenti, in funzione delcontratto sottoscritto dal cliente, ma non intervengono in alcun modo a limitare o favorire i flussi di traffico
specifici.
Questo KPI non rientra nel core business delle altre dieci società della BU Domestic (oggetto di analisi ai finidella rendicontazione secondo lo standard SASB).

BU Brasile
TIM S.A. dispone di indicatori normativi che misurano il “tasso medio del cliente”, sia nell'attuale RGQ31 sia nell'
atteso RQUAL32 (dovrebbe entrare in vigore nel 2023), ed adotta la metodologia richiesta da ANATEL; insostanza, i valori non sono disponibili in termini assoluti (tasso medio) ma normalizzati nella forma del31

Regulamento de Gestão da Qualidade, ovvero Regolamento di Gestione della Qualità; si tratta degl’indicatori di qualità del servizio di telefonia
mobile (SMP).

32

Il nuovo “Regulamento de Qualidade dos Serviços de Telecomunicações” dell’Agenzia Nazionale delle Telecomunicazioni brasiliana (ANATEL).
RQUAL uniforma e aggiorna le regole stabilite dalla normativa per la qualità dei servizi di telecomunicazioni (telefonia fissa e mobile, banda largae Pay TV); il monitoraggio della “qualità” si muoverà dal modello di comando e controllo - basato sull'adempimento degli obiettivi definiti daindicatori di qualità e sanzionatori – verso un modello di regolamentazione reattiva, dove la dinamica della concorrenza porterà incentivi al
miglioramento continuo della qualità dei servizi.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

24

raggiungimento della velocità media stabilita contrattualmente, con risultati prossimi al 100% per tutti gli
operatori. Per rispondere ad ogni richiesta esterna, TIM S.A. utilizza sempre gl’indicatori pubblici, standardizzati.

[SASB TC-TL-520a.3] Descrizione dei rischi e delle opportunità associati alla neutralità della rete, al peering
retribuito, allo zero rating e alle pratiche correlate.

BU Domestic
TIM S.p.A.
[SASB TC-TL-520a.3.1.] L'entità deve descrivere i rischi e le opportunità associati alle norme e ai regolamenti inmateria di neutralità della rete tecnica e Internet aperto.
Nell'Unione Europea, l'atto legislativo pertinente è il Regolamento (UE) 2015/2120, il cosiddetto Regolamentodel "mercato unico delle telecomunicazioni" (TSM), il quale ha introdotto le nuove norme sulla Net Neutrality(neutralità della rete tecnica), in vigore da aprile 2016.
Tra l'altro, il Regolamento TSM:■

stabilisce il diritto dell'utente finale ad accedere alle informazioni e distribuire i contenuti, utilizzare e
fornire le applicazioni ed i servizi, impiegare le apparecchiature terminali di loro scelta. Inoltre, vieta ai
fornitori di servizi internet di bloccare o rallentare i contenuti, le applicazioni o i servizi specifici, tranne chein una serie molto limitata di circostanze (al fine di rispettare le leggi e gli ordini nazionali o dell'Unione
Europea, preservare l'integrità e la sicurezza della rete tecnica, prevenire la congestione della rete);■

permette una gestione ragionevole del traffico basata sui requisiti di qualità tecnica dei servizi
oggettivamente diversi di specifiche categorie di traffico. Tuttavia, tale gestione del traffico deve essere
trasparente, non discriminatoria, proporzionata e non deve essere basata su considerazioni commerciali;■

consente agli operatori di offrire i servizi, diversi da quelli di accesso a internet, ottimizzati per contenuti,
applicazioni o servizi specifici solo se la capacità della rete tecnica è sufficiente per fornirli in aggiunta aqualsiasi servizio di accesso a internet e l'offerta di tali servizi non deve avvenire a scapito della disponibilità
o della qualità generale dei servizi di accesso a internet per gli utenti finali.

Le linee guida del BEREC (Body of European Regulators for Electronic Communications, l’Organismo dei
Regolatori Europei delle Comunicazioni Elettroniche) - pubblicate il 30 agosto 2016 e aggiornate nel giugno
2020 - forniscono le indicazioni per l'attuazione delle norme europee sull'internet aperta da parte dell'NRA(National Regulatory Authorities).
Dall'entrata in vigore del Regolamento, l'Autorità di Vigilanza italiana AGCom ha monitorato attentamente ilrispetto del Regolamento. In particolare, l'Autorità ha:■intrapreso le azioni volte a garantire la libertà di scelta degli apparati terminali (approvando la delibera n.
348/18 / CONS che afferma che il modem non è un punto di terminazione);■

posto in essere le misure per garantire il rispetto degli obblighi di trasparenza e qualità delle connessioni;■

evidenziato il generale rispetto della normativa Open Internet da parte di TIM.

In particolare, l'ultima Relazione Annuale 2021 di AGCom (pubblicata a giugno 2021) afferma che - per ilperiodo esaminato (maggio 2020-aprile2021) - gli operatori non hanno implementato le misure di gestione deltraffico volte ad evitare la congestione delle reti fisse e mobili anche perché non si sono rese necessarie, tenuto
conto delle misure già poste in essere dall'Autorità volte ad evitare le situazioni di congestione e saturazionedella banda, nonché di esclusione sociale dei clienti attualmente non connessi alla rete a banda ultra-larga.
Dalla stessa Relazione non risultano procedimenti o provvedimenti sanzionatori a carico di TIM, conseguenti
all’attività di vigilanza dell’Autorità, contrariamente a quanto riscontrato per un operatore alternativo
sanzionato per non aver rispettato il diritto degli utenti finali di utilizzare apparecchiature terminali di loro
scelta per l’accesso a internet (delibera AGCom n. 121/21/CONS).
Infine, per il 2021 l’Autorità ha anche previsto di affiancare alla campagna ufficiale, avente come target le reti
4G, una campagna sperimentale per la misurazione della qualità delle reti 5G.
[SASB TC-TL-520a.3.2.] L'entità deve discutere le proprie politiche per l'impegno negli accordi di peering apagamento e negli accordi di peering senza regolamento.
Gli accordi nazionali di peering di TIM riguardano l'interconnessione privata finalizzata allo scambio di traffico
dati tra il Sistema Autonomo di TIM e quello degli ISP (Internet Service Provider33).
I Network Provider34 come Vodafone, Wind. Fastweb, Tiscali e BT Italia che soddisfano i criteri quali, tra l'altro, ivolumi di traffico bilanciati con TIM, una base clienti significativa, il traffico elevato, i punti di ridondanza e altrosono riconosciuti da TIM come “Peers” (“Pari”).
Lo scambio economico tra TIM e Peer avviene solo a fronte di uno squilibrio tra traffico in entrata e traffico in
uscita che supera un default ratio (tasso di squilibrio) contrattuale per un numero consecutivo di mesi. Il

33

Fornitore di servizi internet, ovvero un'organizzazione che fornisce servizi per l'accesso, l'utilizzo o la partecipazione a internet.

34

Fornitore di rete tecnica.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

25

principio economico è che paga l'operatore che termina il traffico eccedente la soglia concordata, mentre il
costo dell'infrastruttura è condiviso tra TIM ed il singolo Peer.
Per far fronte alla crisi economica derivante dal lockdown di Covid-19, ad aprile 2020 TIM ha deciso di abilitare
temporaneamente - agli ISP nazionali - l’accesso diretto gratuito alla propria rete dati tramite il Peering
pubblico, modalità best effort (migliore sforzo), presso i principali NAP35 (MIX36, Namex37, Topix38 e Vsix39).
A partire da febbraio 2021 per continuare ad agevolare i piccoli operatori, TIM ha ritenuto di confermare lapossibilità del peering gratuito, inserendo, tuttavia, un limite superiore di velocità (<= 500 Mbps indownstreaming su rete TIM) e rendendolo disponibile esclusivamente presso MIX e Namex. In ogni caso,l’Offerta di TIM Wholesale prevede il servizio a pagamento di interconnessione IP Dati tra Autonomous Systems
senza limiti di velocità e con service level agreement40 contrattuali, realizzato su infrastrutture di accesso in
fibra dedicata e disponibile su tutto il territorio nazionale.
[SASB TC-TL-520a.3.3.] L'entità deve discutere le sue politiche per l'impegno nello zero- rating.
Il Regolamento “Telecom Single Market” (TSM) permette anche le pratiche commerciali come “zero rating”,
soggette a monitoraggio da parte dell'Autorità di Regolazione Nazionale la quale, negli ultimi anni, ha
intrapreso un'intensa attività di sorveglianza e di applicazione mirata soprattutto alle offerte a zero rating.
In alcuni casi l'adeguamento spontaneo e attento da parte di TIM alle disposizioni del Regolamento - anche
durante l'attività di vigilanza dell'AGCom - ha consentito di risolvere le potenziali criticità senza incorrere inprovvedimenti formali da parte dell'Authority e, al contempo, senza ostacolare la generazione di nuovi flussi diricavi necessari a supportare la propria infrastruttura a banda larga, in crescita ed in evoluzione, e l'aumentodella penetrazione nel mercato di TIM. Ad esempio, AGCom ha consentito agli operatori di applicare lecondizioni di zero rating su intere categorie di servizi.
Tale attività di vigilanza ha avuto anche un importante effetto di moral suasion, facendo sì che gli altri
operatori nazionali interrompessero e ridisegnassero alcune pratiche non in linea con il Regolamento,
ripristinando i meccanismi di concorrenza leale a vantaggio di TIM.
Durante il lockdown del 2020, l’Autorità ha svolto anche un altro tipo di “moral suasion” nei confronti dei
principali fornitori di infrastrutture e di servizi di comunicazioni elettroniche, per l’adozione di misure a sostegno
degli utenti e delle imprese. In ragione del cospicuo aumento del traffico internet, le iniziative sulla rete mobile
hanno riguardato essenzialmente l’erogazione gratuita di quantità aggiuntive di traffico voce e dati, nonché lespecifiche iniziative a supporto della didattica a distanza attraverso la predisposizione di offerte zero rating perl’utilizzo delle piattaforme di e-learning.
Si attende un possibile cambio di paradigma nella regolamentazione nazionale in conseguenza di un recenteorientamento della Corte di Giustizia del 2 settembre 2021, intervenuta in tema di compatibilità delle offerte“zero- rating” (cfr. Sentenze pronunciate per le cause C-854/19, C-5/20 e C-34/20 che hanno coinvolto
Vodafone e Telekom Deutscheland), affermando che “un’opzione a «tariffa zero» opera, sulla base diconsiderazioni di ordine commerciale, una distinzione all’interno del traffico internet, non detraendo dal piano
tariffario di base il traffico verso applicazioni di partner. Una siffatta pratica commerciale non soddisfa l’obbligo
generale di trattamento equo del traffico, senza discriminazioni o interferenze, quale previsto dal Regolamento
sull’accesso a un’internet aperta”.
Le limitazioni della larghezza di banda, della condivisione della connessione (tethering) o dell’utilizzo inroaming, oggetto delle sentenze di cui sopra, dal momento che trovano applicazione unicamente a causa
dell’attivazione dell’opzione tariffaria a «tariffa zero», che è contraria al Regolamento sull’accesso a un’internet
aperta, sono anch’esse considerate incompatibili con il diritto dell’Unione.
Alla luce di tale orientamento, il 6 ottobre 2021 il BEREC ha annunciato che rivedrà le linee guida
sull’applicazione del Regolamento a giugno 2022, al fine di aggiornarle a seguito delle sopra indicate sentenzedella Corte di Giustizia Europea.
Covid-19
Sulla base del decreto governativo “Cura Italia”, il 18 marzo 2020 AGCom ha adottato un primo pacchetto dimisure volte a garantire il funzionamento dei servizi di telecomunicazione; questo pacchetto considera
l'attuale situazione di emergenza sanitaria e la crescita del consumo di servizi e del traffico sulle reti.
Due dei quattro tavoli tecnici permanenti istituiti da AGCom riguardano:■

il miglioramento e la sicurezza delle reti e dei servizi di telecomunicazione;■

la protezione e la facilitazione dell'uso dei servizi digitali da parte dei consumatori.

35

Network Access Point o Neutral Acces Point (punto di accesso alla rete tecnica o punto di accesso neutro), ovvero un'infrastruttura fisica che
permette a diversi ISP di scambiarsi il traffico internet. Interconnettendo i propri sistemi autonomi, attraverso accordi di peering generalmente
gratuiti, gli ISP risparmiano una parte della banda che comprano dai loro upstream provider (vale a dire un grande ISP che fornisce l'accesso ainternet a un ISP locale), migliorando la propria efficienza ed affidabilità.

36

Milan Internet eXchange, la principale piattaforma di interconnessione di reti Internet in Italia.

37

Il Nautilus Mediterranean eXchange è un punto di scambio internet e di interconnessione neutrale, senza fini di lucro, tra ISP e gli operatori di retenazionali ed esteri.

38

Consorzio che da diversi anni opera attivamente su più fronti: la gestione dell'infrastruttura di internet exchange, la gestione dello sviluppo delprogramma, la piattaforma streaming, il cloud computing, open data, i big data.

39

L’Università di Padova, attraverso il proprio Centro per la Connettività ed i Servizi al Territorio, ha istituito alcune strutture denominate North East
Neutral Access Point (punto di accesso neutrale nord-est). Lo scopo principale è la promozione dell'uso di internet nella Regione Veneto,
attraverso la collaborazione tra ISP locali, nazionali e internazionali.

40

Accordo sul livello di servizio.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

26

In attuazione del Decreto, che consente ad AGCom di derogare ad alcune condizioni normative al fine diaffrontare meglio i problemi d’interesse pubblico nell'attuale periodo di emergenza sanitaria, AGCom hadefinito le misure per migliorare le condizioni dell'offerta di servizi di rete regolamentati TIM, fornendo:■

una riduzione temporanea dei costi wholesale (all’ingrosso) regolamentati della banda ethernet per
accessi in rame e fibra;■

il massimo impegno per la fornitura accelerata di apparati di trasporto e VLAN41 necessari per l'aumentodella banda e dare seguito all'apertura anticipata dei nuovi armadi NGA42.

Inoltre, TIM deve rendere disponibili le sue infrastrutture in tutto il Paese, rispondendo senza discriminazioni
alle richieste dei consumatori rispetto alle tecnologie ed alle aree geografiche (del Paese). Inoltre, AGCom harichiesto a tutti gli operatori di compiere ogni sforzo possibile per contribuire alla gestione dello stato di
emergenza, indicando le azioni ritenute rilevanti come:■

cercare di garantire un aumento della banda media per cliente sulla rete fissa di almeno il 30% nel minor
tempo possibile, ove tecnicamente fattibile;■

compiere ogni sforzo, in caso di assenza di copertura con una rete fissa NGA e su richiesta del condominioo della persona giuridica responsabile dell'ufficio, per attivare, senza alcun aumento dei costi fino al 30
giugno 2020, ogni possibile soluzione di accesso;■

raccomandare ai consumatori finali di utilizzare principalmente gli accessi fissi a casa (incluso il wi-fi) per
non sovraccaricare la rete mobile.

Per quanto riguarda gli adeguamenti della rete, TIM ha aumentato significativamente la capacità di banda sia
verso la “big internet” sia sui nodi nazionali, ha migliorato la copertura mobile e sta aumentando la coperturadella rete fissa UBB (banda ultra larga).
Per quanto riguarda l'offerta commerciale agli operatori alternativi, TIM ha reso disponibili le riduzioni di prezzo
per la banda ethernet sulla rete in rame e fibra, sta gestendo le richieste di aumento della banda ricevute dagli
Altri Operatori Autorizzati (AOA) con una priorità elevata e ha consentito l’accesso gratuito e diretto alla rete didati TIM tramite peering pubblico.
Infine, per contrastare la diffusione del Covid-19, TIM ha definito una procedura operativa per eseguire gli
interventi tecnici di rete in sicurezza.
D'altra parte, gli operatori hanno proposto volontariamente le misure diverse ai propri clienti. In particolare,
TIM ha proposto chiamate vocali gratuite, gigabit gratuiti e molte altre iniziative volontarie a sostegno dello
smart working e della didattica a distanza.
In considerazione del persistere dello stato di emergenza connesso al contenimento della pandemia di Covid19, TIM ha chiesto all'Autorità di valutare, in conformità alle disposizioni dell'art. 82 del decreto "Cura Italia" enel rispetto delle Linee Guida di cui alla delibera n. 131/20/CONS, un'iniziativa che prevede l'abilitazione dellanavigazione ADSL, a costo zero per l'utente, per le linee di accesso sulle quali è attiva l'offerta "Voice" di TIM. A
seguito della consultazione con il mercato e le associazioni dei consumatori, con delibera n. 384/20/CONSAGCom ha approvato l'iniziativa di TIM, pur vincolandola al rispetto di alcune precauzioni e chiarimenti sia inriferimento alla trasparenza nei confronti del cliente finale sia in relazione agli aspetti competitivi.

Altre informazioni relative alla BU Domestic
Di seguito si riporta una sintesi di qualche azione messa in campo da alcune società che costituiscono la BU
Domestic.

Telefonia Mobile Sammarinese (TMS)
Per TMS i KPI in argomento non sono applicabili, in quanto l'infrastruttura non è in proprietà ed il mercato
locale della rete mobile - in regime concessorio a TIM, TMS e altro operatore locale - è regolamentato dalle
normative vigenti.

TIM San Marino[TC-TL-520a.3.1.]
La società opera nel pieno rispetto della “net neutrality” e l’architettura della rete tecnica prevede una
gerarchia semplificata, che permette di offrire un accesso alla “big internet” senza costrizioni di sorta. I content
provider (fornitori di contenuti) hanno messo a disposizione i “sistemi di caching43” i quali, essendo stati
collocati all’interno dell’IDC di TIM San Marino, garantiscono un accesso ottimale e quasi “diretto” ai contenuti.
[TC-TL-520a.3.2.]

41

Virtual Local Area Network, ovvero un qualsiasi dominio di trasmissione partizionato e isolato in una rete di computer a livello di collegamento
dati. Le VLAN possono mantenere separate le applicazioni di rete nonostante siano connesse alla stessa rete fisica, senza richiedere
l'implementazione di più set di cavi e dispositivi di rete.

42

Con la NGC (Next Generation Access) un operatore può offrire le linee FTTC/FTTH ai suoi clienti senza essere presente con la propria rete nelle
centrali TIM locali. In NGA, TIM gestisce la connessione del cliente e l’operatore alternativo raccoglie il traffico in un apposito punto; la raccoltapuò avvenire sia a livello di area sia macroarea, ad es. a livello di provincia o regione.

43

Nell'ambito dell'elaborazione, la cache è un livello d’immagazzinamento dei dati ad alta velocità, che memorizza un sottoinsieme di dati
(generalmente di natura temporanea) per rispondere alle richieste più rapidamente rispetto a quanto non sarebbe possibile accedendo ogni volta
al percorso principale in cui si trovano i dati.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

27

La società favorisce gli accordi di peering; la dimensione della propria rete tecnica ed il relativo traffico gestito,
a volte, non risponde alle richieste espresse dai principali player italiani.
[TC-TL-520a.3.3.]
La società non pratica lo “zero rating”, in quanto opera prevalentemente in ambito fisso dove tali politiche nonsono applicabili.
Le altre dieci società della BU Domestic (oggetto di analisi ai fini della rendicontazione secondo lo standard
SASB) non rientrano nell’analisi di questi KPI, per il proprio core business e/o dimensioni.

BU Brasile
In Brasile, il Civil Internet Framework (Legge nº 12.965/2014), ed il successivo regolamento con decreto
8.771/2016, hanno stabilito i principi, le garanzie, i diritti ed i doveri per l'uso di internet.
Tra le disposizioni regolamentate, vi è il principio di neutralità della rete, il quale stabilisce che “l'organismo
preposto alla trasmissione, allo scambio o all'instradamento deve garantire la parità di trattamento a qualsiasi
pacchetto di dati, indipendentemente dal suo contenuto, origine, destinazione, servizio, terminale oapplicazione”.
Al fine di garantire la conformità ai principi, TIM S.A. adotta le misure atte a garantire la trasparenza el’uguaglianza nella propria offerta, in relazione alle regole sulle applicazioni dello zero rating, essendo aperta anegoziazioni con fornitori di applicazioni interessati a mantenere la competitività, oltre che a mantenere
l'accesso ai contenuti legali (i contenuti consentiti non sono bloccati).
TIM S.A. ritiene che ci siano le opportunità per fornire le offerte più adatte agli interessi degli utenti con leapplicazioni a zero rating.

SASB Sustainability Accounting Standards Board

Condotta concorrenziale e open Internet

TIM - Uso Interno - Tutti i diritti riservati.

28

Gestione dei rischi sistemici da interruzioni
tecnologiche[SASB TC-TL-550a.1] (1) Frequenza media di interruzione del sistema e (2) durata media dell'interruzione alla
clientela.

BU Domestic
TIM S.p.A.
Frequenza media di interruzione del sistema negli anni 2021, 2020 e 2019.
Descrizione

2021

2020

2019

Note

Frequenza media di interruzione delsistema

0,0411800

0,1612350

Frequenza media delle interruzioni = numero totale deiclienti interessati dai disservizi / numero totale dei clienti
serviti.
2021: circa 1,6 milioni di clienti interessati dai disservizi su
0,1987700 circa 39,1 milioni di clienti totali.
2020: quasi 6,4 milioni di clienti interessati dai disservizi
su circa 39,5 milioni di clienti totali.
2019: circa 7,9 milioni di clienti interessati dai disservizi su
circa 39,98 milioni di clienti totali.

Durata del disservizio (in ore) per
ogni utente disservito

0,0000114

0,0000195

Durata del disservizio (in ore) per ogni utente disservito =durata totale disservizi / numero totale clienti disserviti.
0,0000057 2021: 18,33 ore su 1,6 milioni di clienti.
2020: 124,32 ore su 6,4 milioni di clienti.
2019: 45,08 ore su 7,9 milioni di clienti.

L'ambito di applicazione è limitato a:- Servizi di comunicazione via cavo;

X

X

X

- Servizi di comunicazione wireless;

X

X

X

- Servizi di provider di servizi Internet(ISP).

X

X

X

TIM si occupa di tutti i perimetri rilevanti per il presente documento. Per evento rilevante si intende qualsiasi
evento/incidente/disservizio/anomalia rilevato da fonti interne/esterne all’Azienda che, valutato e classificato
in base ai criteri definiti per le singole tipologie, risulti comportare possibili impatti significativi, diretti oindiretti su:■

il business aziendale;■la sicurezza di beni materiali / immateriali;■

i clienti strategici;■

la reputazione / immagine dell’Azienda.

Ai fini del presente documento sono stati considerati solo gli eventi che hanno causato interruzioni di servizio
durate almeno due ore o che hanno coinvolto minimo 100.000 utenti.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

29

[SASB TC-TL-550a.1] Durata media dell'interruzione del servizio alla clientela TIM S.p.A. per l’anno 2021
Durata media dell'interruzione alla clientela
N°

1

2

3

Eventirilevanti 2021

Blocconavigazione
mobileMancataalimentazione centrale di
MilanoBersaglio

Indisponibilitàdella
navigazione
internet
ambito fisso

Totalitre
rilevanti

casi

Durata totale deldisservizio / utenti
totali impattati dal
disservizio – 2021

Durataeventi
(ore)

9,00

9,00

N° utenti
impattati

50.0001.200.1300,33

360.000

18,33

1.610.130

Rapporto
durata/utent
i

Causa

Provvedimenti
adottati

Bloccodella #VALUE!
navigazione mobile aseguito di una errata
configurazione dellalimitazionedeltraffico: un rilascio
applicativo software
ha reso indisponibile
0,00018000 bundle e credito perla navigazione.

Note

L’evento
èavvenuto il 23
gennaio 2021

A seguito di unproblemalegatoall’alimentazione
elettrica, è stata
attivata la protezione
su due delle 17"stazioni di energia".
La
duratadeldisservizio è stata
condizionata anche
dal coinvolgimentodellaconnettività
dell’operatore
incaricato
diingaggiare il tecnico
reperibile. Al ritorno
0,00000750 dellacorrettaalimentazione, alcuni
apparatisono
risultati danneggiati
ed altri non sono
ripartiti in maniera
corretta,
prolungando di fatto
il disservizio.

- Ammodernamento
degl’impiantidialimentazionedelle
centrali.
- Verifica con fornitore
degli apparati Juniper,
per la perdita diconfigurazione
edeventualeaggiornamento delle
procedure di cambio
release / ripartenza
nodi.
- Avvio della richiesta
di risarcimento danni
al fornitore di energia L’evento
elettrica.
avvenuto il
Verificadella gennaio 2021
diversificazione linee dialimentazionesaledati e stato impianti dialimentazione.
- Verifica completa
degliallarmievalutazione
inserimento di nuovi.
- Presenza di almeno
un turnista in presidio
pressolasedeaziendale per garantire
l’utilizzo della reteaziendale e non solodella rete pubblica.

Un
difettodelsoftwaredelfornitore Nokia sui
DNS (Domain Name
System) in ambito
fisso
ha
reso
impossibile
la0,00000092 navigazionesuinternet. Il disservizio
è rientrato in breve
tempo, senza alcunintervento.

- Aggiornamento delsoftware dei DNS per
garantire prestazioni
stabili del servizio.
- Adeguamento degli
strumenti
disupervisione
ed L’eventoè
inserimento di allarmi avvenuto
l’8
in persistenza per i maggio 2021
DNS.
- Adeguamento degli
strumenti per le analisipiù efficaci di guasti
plurimi e le analisi
dell’impatto sui clienti.

0,00018842

0,000011384

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

30

è
4

[SASB TC-TL-550a.1] Durata media dell'interruzione del servizio alla clientela TIM S.p.A per l’anno 2020.
Durata media dell'interruzione alla clientela
N°

1

2

3

4

Eventirilevanti
2020

Degrado delservizio per
utenza4G
sull’intero
territorio
nazionale sia
voce sia dati.

L’isoladiPonzahasubitoundisservizio

Blocco degliacquistidacanale app /webederogazione
ricaricadaapp e selfcare.

Disservizio
provinciale
Ivrea
Comuni della
Valle d'Aosta.

Durataeventi
(ore)

1,92

13,00

4,58

11,00

N° utenti
impattati

Rapporto
durata/utenti

Causa

Note

Il disservizio si èrisolto rimettendo
in servizio il nodo
in manutenzione
ed escludendo il
secondonodo
guasto.
Per
prevenire
eventi futuri, è
stato
programmato didefinire nuovi set
di configurazione
e
test
per
aumentarelaresilienza
della
rete.

L’evento èavvenuto il
20
luglio2020 ed ha
impattato il
20%
degli
utentimobili.

L’evento si èverificato il
27luglio
2020.

6.400

La
mancata Sostituzione delleerogazione di energia batterie tampone.
elettrica da partedell'ente preposto ha
causato il disservizio
e un conseguente
guastodelle
componenti
elettriche del ponte
radio e la perdita di
0,00203125 configurazione
dialcuni apparati asupporto, causandolamancataerogazionedelservizio fonia e dati inambito mobile. Le
batterie
tamponenonhanno
funzionato
adeguatamente.

10.600Durante l’attività dimanutenzione, chehacomportato
un’errata
configurazione
delDNS, si è verificato il
bloccodiuncausato0,00043208 databasedalla saturazione diunfilesystem.
Conseguentementesièbloccata
l’erogazione
degliacquistiedelle
ricariche attraverso
app e canali web.

Consentire
una
diagnosi ed uninterventopiù
rapidi, rendendo
disponibilelapiattaforma
diallarmistica anche
al settore che si
occupadelmonitoraggio delbackupdei
database.

16.106

Inatteso
spegnimento di unapparato di reteduranteuninterventodia0,00068298 manutenzione,
fronte della presenzadi allarmi di anomalo
funzionamento delsistemadialimentazione.

1)
Programmazione
diattivitàdimanutenzione
correttiva in fascia L’evento si è
protetta a basso verificato il 6
traffico.
febbraio2020.

6.091.680

SASB Sustainability Accounting Standards BoardIl
disserviziohariguardato
alcunielementi di rete delsegmento core. Talielementi
sono
distribuiti
perridondanza in tre poli
geografici
distinti.
0,00000032 Nel
corso
della
manutenzione
programmata di uno
dei poli, si è verificato
unguastosul
secondo polo che ha
provocatoilcongestionamentodel terzo.

Provvedimenti
adottati

NumeroabitantidiPonza: 3200,
raddoppiatoin virtù delperiodoestivo.

L'evento si èverificato il
19
Giugno2020.

2)
Analisidifattibilità
perl'ampliamentodell'allarmistica.

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

31

5

6

7

La Sardegna
èrimasta
isolata per 49
minutiacausa
diguastisia
sull’apparato
primario sia
sulbackupdelCentroStelladella
regione.

Mancataalimentazion
e sale Oriolo
RomanoInviolatella.

Disservizio
permaltempo
regione
Piemonte

Totali sette
rilevanti 2020

casi

0,82

13,25

154.000

Spegnimento
dientrambi gli apparatiche costituiscono il
Centro Stella dellaregione Sardegna acausa di problemi disurriscaldamento
che
hanno
interessato
unapparato; il giorno
successivo,
unsecondo evento hainteressato il suo
backup. L’attività di0,00000532 ripristino del primo
apparato è stata
avviatatempestivamente,
ma la dislocazione
geografica (un’isola)harichiestoiltrasferimentodaaltre regioni, il quale
ha subito ritardi a
causa
della
restrizione dei voliaerei
dovutiall’emergenza
sanitaria Covid-19.

1) Censimento erevisione
della
distribuzione dellescortepergliapparatidelCentro Stella, inparticolare nelle
due
isole
maggiori,
Sardegna e Sicilia,
che per logistica
possonopotenzialmente
L'evento si è
rappresentare una verificato il
criticità nazionale. 12 Marzo
2020
2)
Incrementodellafrequenzadelle
verifiche
periodichedellacorretta
funzionalità degli
apparati.

1) Analisi erevisionedell'allarmistica.

10.000A seguito di unproblema dialimentazione
elettrica verificatosi
nella sede di Roma,
0,00132500 via Oriolo Romano
240 (Inviolatella), si
sono verificati
malfunzionamenti
sui sistemi ospitati.

79,75

80.000124,32

6.368.786

Durata totale deldisservizio / utenti
totali impattati dal
disservizio – 2020

2) Ampliamento
dei presidi h24.

3) Esecuzione diinterventi dimanutenzione
A causa di un evento straordinaria.
meteo estremo, si èverificato un doppio
guasto (portante infibra e alimentazione
in una centrale),
0,00099688 sommato ad ulteriori
N.D.
guasti locali, che hagenerato
l’indisponibilità
deiservizi dati, fonia e
siti
della
rete
radiomobile.

L’evento si èverificato il 2
novembre2020.

L’evento si èverificato il
03 ottobre
2020.

0,00547383

0,00001952

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

32

[SASB TC-TL-550a.1] Durata media dell'interruzione del servizio alla clientela TIM S.p.A per l'anno 2019.
Durata media dell'interruzione alla clientela
N°

Eventirilevanti
2019

1Disservizio
backbone IP
nazionale trai
PoPdi
Catanzaro e
Roma.

Durataeventi(ore)

3,17

N° utenti
impattati

800.000

2

Interruzione
dei servizi dirateizzazioneeautoricariche;
interruzione
intermittenteperlericariche
tecnologiche
online.

6,30

118.000

3

Interruzione
servizisull'isolad'Elba10,42

11.7004

Disservizio
applicazione
anagrafica
clienticon
difficoltà suiservizi
commerciali
offerti

5

6Disservizio
navigazione
rete
fissa
Sicilia
occidentale

Disservizio
VoLTE mobilesucentrale
MilanoTotali sei casi
rilevanti 2019

RapportoCausa
durata/utenti

Anomalia software 1)
Installazione
aggiornamento
su apparati Nokia.
release.
0,00000396
2) Potenziamento
strumentazione dimonitoringetroubleshooting.

1,95

2,58

45,09

Note

L’evento si èverificato il
10 ottobre
2019.

Disservizio causato
da un intervento
programmatodimigrazione
tecnologica: l’errata
configurazione degli
apparatidella
componente di rete
ha causato il noncorretto dialogo fra
0,00005339 lecomponenti
ridondate.

1) Revisione dellelinee guida per lacorretta
configurazionedellospecifico
metododicomunicazione
sugli
apparati
della
nuova
L'evento si è
infrastruttura.
verificato il
19 Luglio
2) Ampliamento 2019
della
lista
dei
controllidaeffettuare pre e
post migrazione,
inserendolaverificadell'utilizzo
dispecifici metodi dicomunicazione.
Taglio - da parte di
L’evento si è
terzi - di un cavo TIM
verificato il
in fibra ottica e di15
aprile2019 ed hacavi elettrici.
riguardato
5.400 clienti
0,00089060
N.A.
dati
fisso,
6.300 clienti
fonia
fissa
(non
considerato
Poste
Italiane).
Guasto dovuto
obsolescenza
sistema.

20,67

Provvedimenti
adottati

ad Migrazione su una
piattaforma
dinuova
generazione.

L'evento si èverificato il
1°
giugno2019.

4.000.000

0,00000517

2.151.129

Due cavi danneggiati Richiamo formale
contestualmente:
alle
impresea) guasto cavo per coinvolte.
L'evento si èdanno terzi su lavori
verificato il
0,00000091 di scavo;
18 febbraiob) cedimento cavo
2019.
duranteattivitàbonifica
d’impresa
per conto TIM su
cavo degradato.

866.000

7.946.829

Durata totale deldisservizio / utenti
totali impattati dal
disservizio – 2019

Errata configurazione 1)
Revisione
software a seguito di procedurediemergenzapermanutenzione rete.
velocizzareilripristinodelservizio Volte e
l’esclusione
di0,00000298
specifichecore
IMS (virtuali e
non).

0,00095701

2)
Integrazione
degli allarmi asogliasulle
violazioni dei KPI.

0,00000567

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

33

Altre informazioni relative alla BU Domestic
Di seguito, si riporta una sintesi delle informazioni riguardanti le attività di alcune società della BU Domestic.

Olivetti S.p.A.
Frequenza media di interruzione del sistema - negli anni 2021, 2020 e 2019 - in Olivetti S.p.A.
Descrizione

2021

2020

2019

Note

Frequenza media di interruzione delsistema*

2,001

1,005

2,020 Frequenza media delle interruzioni = numero totale deiclienti interessati dai disservizi / numero totale dei clienti
serviti.
2021: 4.179 clienti impattati.
2020: 2.079 clienti impattati.
2019: 4.141 clienti impattati.

Durata del disservizio (in ore) per
ogni utente disservito

1,006

236,020

121,840 Durata media dell'interruzione (in ore) cliente =sommatoria, per ciascun disservizio, del tempo didisservizio in ore diviso il numero di clienti impattati dal
disservizio stesso.
2021: 4.179 clienti impattati.
2020: 2.079 clienti impattati.
2019: 4.141 clienti impattati.

L'ambito di applicazione è limitatoa:- Servizi di comunicazione
via cavo;- Servizi di comunicazione wireless;- Servizi di provider di servizi Internet(ISP).

X*Si comunica che la frequenza può risultare maggiore di 1, in quanto è calcolata rispetto alla media dei clienti serviti. Di conseguenza, durante
l’anno, uno stesso cliente può essere interessato più di una volta da un disservizio.

Per evento rilevante si intende qualsiasi evento/incidente/disservizio/anomalia rilevato da fontiinterne/esterne all’Azienda che, valutato e classificato in base ai criteri definiti per le singole tipologie, risulticomportare possibili impatti significativi, diretti o indiretti su:■

il business aziendale;■la sicurezza di beni materiali / immateriali;■

i clienti strategici;■

la reputazione / immagine dell’Azienda.

Ai fini del presente documento sono stati considerati solo gli eventi che hanno causato le interruzioni diservizio durate almeno due ore con impatti sui clienti.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

34

[SASB TC-TL-550a.1] Durata media dell'interruzione del servizio alla clientela Olivetti S.p.A. per l’anno 2021.
Durata media dell'interruzione alla clientela
N°

Eventirilevanti 2021

1

Disservizio su
erogazione
dati 4G/LTE

2

3

Fault
applicativo

Down
elettricocentrale Tor
Pagnotta

4

Major Fault
HWInfrastruttura
Tor Pagnotta

5Congestione
link.

6

Major Fault
link Sparkle
BolognaRoma

Totali sei casi
rilevanti 2021

Durataeventi
(ore)

24,00

12,50

14,00

N° utenti
impattati

Rapporto
durata/utenti

Provvedimenti
adottati

Note

Major
Fault
link Disservizio risolto
riattivandolaSparkle Düsseldorf.
tratta1, 2internazionale daparte di Sparkle.

Eventoavvenuto indata
3
marzo 2021.

Fault
applicativo Ripristino"altadell'HA sui link TIM affidabilità"..
verso infrastruttura
0,625 CISCO Jasper che ha
impattatolacustomerbase
attestata su 4G/LTE.

Eventoavvenuto indata
4
maggio2021.

Guasto sulla catena Ripristino UPS e
UPS con impatto su riavvio applicativo.
alcuni apparati direte del contesto
0,006766554 APN Shared e NBIoT.

Eventoverificatosi
in data 3
settembre
2021.

20

20

2.069

Causa

Fault del cluster VSS Sostituzione
su coppia di Cisco hardware
Catalyst 6509 per
guasto plurimo su
entrambi i nodi.

Eventoverificatosi
in data 16
settembre
2021 che ha
impattato
tutta
lacustomerbase
attestata su
contestoAPN Shared.

Congestione dei link Alleggerimento
dei
link
con
gestiti da Sparkle.
interventi manuali
mirati.

Eventoverificatosi il
22
novembre
2021.

24,00

2.069

0,011599807

120,00

1

120

8,00

—

Problemasulla N/A
— infrastruttura di rete.

202,504.179

L’evento si èverificato il
13 dicembre
2021.

121,8433664

Durata totale deldisservizio / utenti
totali impattati dal
disservizio – 2021

0,04845657

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

35

[SASB TC-TL-550a.1] Durata media dell'interruzione del servizio alla clientela Olivetti S.p.A. per l’anno 2020.
Durata media dell'interruzione alla clientela
N°

Eventirilevanti
2020

1

Segnalatodalle
strutture di
EserciziodiRete TIM unaumentodelle
autenticazion
i fallite su
APN
m2m.tids.tim
.it .

2

Messa
in
opera
apparati HW
e
SW
di
nuova
generazione
con
introduzione
nuove
parametrizza
zioni.

Durataeventi
(ore)

71,00

168,00N° utenti
impattati

Rapporto
durata/utenti

1

8

3

Esaurimento
degli indirizzi
IP disponibili
per
APN
TOYOTA.

144,00

1

4

Aumento deltempo(delay)dirisposta lato
Jasperdei
RADIUS per i
clientiAPN
Shared.

41,00

2.069

424,002.079

Totali quattro casi
rilevanti 2020
Durata totale deldisservizio / utenti
totali impattati dal
disservizio – 2020

Provvedimenti
adottati

Causa

Configurazioni tarate
71 su numeri iniziali diSIM, cresciute nel
tempo.

21

Note

EventoAumentati i timer
per la ricezione avvenuto in
data
28
della
rispostagennaio
RADIUS.
2020.

Introdottenuove Adeguamento dei Adeguamen
parametrizzazioni
parametriallo todei
con evolutiva su scenario in essere. parametri
allo scenario
shared.tids.tim.it .
in essere.

Esaurimento
144 indirizzamento
infotainment.

Eventoverificatosi
in data 23
settembre
APN Introdotta nuova 2020 che hasubnet per l'APN. impattato il
provisioning
di nuove SIM
per il cliente
Toyota.

Aumentati i timer
Degrado0,01981 autenticazioni clienti per la ricezionedella
risposta
shared.tids.tim.it
RADIUS.

Eventoverificatosi
in data 30
settembre
2020.

236,01981

0,20394420

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

36

[SASB TC-TL-550a.1] Durata media dell'interruzione del servizio alla clientela Olivetti S.p.A. per l’anno 2019.
Durata media dell'interruzione alla clientela
N°

Eventirilevanti
2019

1Congestioneeconseguente
difficoltàautenticazion
e RADIUS su
APN
shared.tids.ti
m.it

2

Fault
applicativo su
APNshared.tids.ti
m.it

Durataeventi(ore)

84

N° utenti
impattati

Rapporto
durata/utenti

Provvedimenti
adottati

Note

2.069

0,003866

Azione"fuoricontrollo" delle SIM
clienteAssociated
Consulting.

Richiesto al cliente
Associated
Consulting
untuning dello use
caseedisconnessioneSIM"fuoriControllo".

Eventoavvenuto indata 28 e 29
maggio 2019chehaimpattato
tutta la CB
su APNs.

2.069

Fault
applicativo
legatoalla
obsolescenzadel0,001933 SW.

Aggiornamento
del
SW
su
indicazionedelvendor.

Eventoavvenuto indata
19
luglio 2019chehaimpattato la
CB su APNs.

Fault
applicativo
legatoalla
obsolescenzadelSW.

Aggiornamento
del
SW
su
indicazionedelvendor.

Eventoverificatosi
in data 3
dicembre2019 che ha
impattato iclienti con
APN dedicati
attestati sul
nodo
di
MI13.

Fault
applicativo su
PGW MI13.
3

Totali tre casi
rilevanti 2019

3

3

1

15

4.141

1,005799

Durata totale deldisservizio / utenti
totali impattati dal
disservizio – 2019

Causa

0,00362231

TIM San Marino
Nel 2021 ci sono state diverse interruzioni di corrente elettrica (della durata complessiva di un’ora e 35
minuti), che hanno portato allo spegnimento degli apparati periferici - quali i cabinet stradali e gli apparati di
networking presso le strutture esterne - con impattati su gruppi di clientela.
Le interruzioni principali sono state due della durata di circa quindici minuti ciascuna, ognuna delle quali ha
provocato l’interruzione del servizio fornito dalla società che ha coinvolto circa 8.000 utenti. Ci sono state
anche sei interruzioni “minori” con una durata di circa 10 minuti ciascuna, impattando circa 200 clienti per
volta.
In sintesi, nel 2021, il numero complessivo dei clienti interessati dai disservizi della società TIM San Marino è
stato 17.194 (lo stesso cliente può essere stato interessato da più disservizi nel corso dell’anno) ed il numero
medio dei clienti della società è stato 11.736; il rapporto tra i due dati (17.194/11.736) è 1,46544.

Nelle altre dieci società della BU Domestic (esaminate per le finalità del SASB) il topic o non rientra nel corebusiness delle stesse (Fibercop, Noovle, Tele Contact Center, Telsy, Telecom Italia Trust Technologies, TIM
Retail) o è stato pari a zero (Gruppo TI Sparkle, Telefonia Mobile Sammarinese).

BU Brasile
Nel 2021 TIM S.A. ha avuto circa 250.000 interruzioni di servizio della durata di almeno 30 minuti. La
frequenza degli eventi di interruzione è stata di 0,415 per cliente e ogni cliente interessato ha avuto
un'interruzione media di 0,11 ore.
Nel 2020 TIM S.A. ha avuto circa 200.000 interruzioni del servizio di durata inferiore a 30 minuti. La frequenza
degli eventi di interruzione è stata di 0,005 per cliente per il servizio mobile e ogni cliente interessato ha
avuto una interruzione media di 0,06 ore.

44

Si comunica che la frequenza può risultare maggiore di 1, in quanto è calcolata rispetto alla media dei clienti serviti. Di conseguenza, durante
l’anno, uno stesso cliente può essere interessato più di una volta da un disservizio.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

37

[SASB TC-TL-550a.2] Dissertazione sui sistemi che forniscono un servizio senza ostacoli durante leinterruzioni del servizio stesso.

BU Domestic
TIM S.p.A.
In TIM SpA i principali rischi di continuità del business associati ad issue technology45 con impatto sulle
operations46 sono sintetizzabili nel modo seguente:
a. indisponibilità dei sistemi ICT (Information & Communication Technology) dovuta a distruzione totale oparziale del sito che li ospita, legata ad eventi meteo, sismici o vulcanici, incidenti o danni alle
infrastrutture di facility47;
b. fermo prolungato dei sistemi ICT o loro inadeguato funzionamento dovuto ad eventi meteo, sismici ovulcanici, incidenti o danni alle infrastrutture IT, incidenti o danni alle infrastrutture di facility, guasti
hardware, errori umani, malfunzionamenti software e attacchi cyber;c. indisponibilità dei sistemi ICT dovuta ad irraggiungibilità prolungata in rete, per guasti o disservizi diconnettività.
Le principali misure per la mitigazione dei rischi di continuità del business, in sintesi, sono le seguenti:
a. resilienza delle infrastrutture di rete (es. duplicazione del backbone OPB48, ridondanza fisica e logica degli
apparati attivi e dei siti centro stella, sistemi di inventory49 e backup delle configurazioni di rete);b. adozione degli standard internazionali (ETSI50) legati alla progettazione ed alla sicurezza per la continuitàdel servizio della rete di fonia fissa, mobile e dati, correlati a criteri di ridondanza fisica e logica;c. classificazione di sicurezza dei data center di livello 4 (ANSI/TIA942-B-2017);
d. adozione dello standard ISO 22301 (gestione della continuità operativa - requisiti) per la pianificazione,
progettazione, implementazione, gestione, monitoraggio e miglioramento della continuità operativa dei
data center;e. adozione delle misure da standard internazionali certificati ISO 9001 (sistema di gestione della qualità),ISO 14001 (Sistemi di gestione ambientale), ISO 20000 (Servizi IT Infrastrutturali), ISO 27001 (Tecnologiadelle informazioni - Tecniche di sicurezza - Sistemi di gestione della sicurezza delle informazioni Requisiti), ISO 37001 (anticorruzione), ISO 45001 (sistemi di gestione per la salute e la sicurezza sul
lavoro), ISO 50001 (sistemi di gestione dell'energia - Requisiti e linee guida per l'uso);
f. copertura assicurativa per i danni derivanti da interruzione di attività conseguenti a un danno materiale
diretto a Data Center o a Centri Servizi;
g. copertura assicurativa per i danni derivanti da interruzione di attività conseguenti a un evento cyber.
Relativamente ai danni materiali diretti, derivanti da eventi naturali/catastrofali, sono stati effettuati degli
assessment51 interni che stimano un danno atteso, una volta ogni 200 anni (99,5%), pari a circa euro 240
milioni per il rischio sismico e circa euro 57 milioni per il rischio di esondazione e flash flood52. Sono state
inoltre effettuate valutazioni interne su potenziali perdite legate a danni diretti, che evidenziano - pertempeste extra tropicali - un danno atteso una volta ogni 200 anni (99,5%) pari a circa euro 23 milioni. Le
coperture assicurative attualmente in essere risultano capienti, rispetto alle analisi effettuate. Sono in corso
analisi anche sulla valutazione di danno indiretto (Business Interruptions) e sul mondo cyber.

Altre informazioni relative alla BU Domestic
Di seguito, si riporta una sintesi delle informazioni riguardanti le attività di alcune società della BU Domestic.
In Olivetti SpA, Gruppo TI Sparkle e TIM San Marino, i principali rischi di continuità del business - ssociati adissue technology53 con impatto sulle operations - sono sostanzialmente gli stessi di TIM SpA.
Le principali misure adottate, per la mitigazione dei rischi di continuità del business di:■ Olivetti SpA, si focalizzano su:■•

il punto sub e) di TIM SpA;•

l’utilizzo di piattaforme ridondate geograficamente e resilienti, al fine della continuità dei servizi
erogati;

TI Sparkle Italia SpA sono essenzialmente circoscritte ai punti sub a) e sub e)54 di TIM SpA;

45

Tema della tecnologia.

46

Funzioni ed attività coinvolte nel mettere a disposizione un bene o servizio alla propria clientela.

47 Per facility s’intende ogni infrastruttura, opera, apparecchiatura, servizio che rende realizzabili i processi primari di un'azienda; vale a dire, tutto

quanto (anche un edificio) sia stato costruito, installato, o creato per supportare il core business aziendale.

48

Optical Packet Backbone (dorsale del pacchetto ottico) che si appoggia sulla rete ottica Kaleidon.

49

I sistemi di inventory management - basati sul cloud - analizzano i dati e generano i report automatizzati, in modo da rendere più facile ilprocesso delle decisioni aziendali (fondate sui dati).

50European Telecommunications Standards Institute.

51

Valutazioni, prove.

52

Inondazione lampo.

53

Tema della tecnologia.

54

Limitatamente agli standard internazionali certificati ISO 9001, ISO 14001, ISO 27001 e ISO 45001.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

38

■

■

■

TI Sparkle Grecia e TI Sparkle Turchia55, oltre agli stessi punti di TI Sparkle Italia, includono leseguenti attività:•

manutenzione preventiva e meticolosa delle apparecchiature elettro/meccaniche (UPS56, generatori,
sistemi HVAC57, ecc.);•

formazione del personale delle infrastrutture e della rete tecnica sulle procedure ed i sistemi;

TIM San Marino si focalizzano sul punto sub a) di TIM SpA, oltre alle seguenti best practice legate
alla:▪

progettazione e sicurezza per la continuità di servizio della rete di fonia fissa e dati, correlati a criteri
di ridondanza fisica e logica;•

pianificazione, progettazione, implementazione, gestione, monitoraggio e miglioramento dellacontinuità operativa dei data center;

TIM Retail (le cui infrastrutture si trovano all'interno di quelle di TIM SpA) assicurano la continuità delbusiness attraverso un piano di disaster recovery58 su datacenter59 geograficamente separati, sia dotando
ogni propria sede di un doppio circuito di rete sia affidandosi alla gestione della continuità di business di
TIM S.p.A.

TI Trust Technologies
Il processo di gestione della sicurezza nella Società è basato sui seguenti elementi:a) politica per la gestione della sicurezza;b) rischi e minacce al sistema ICT;c) contromisure di sicurezza;d) verifica dell’adeguatezza delle misure di sicurezza;e) obblighi, responsabilità e indennizzi;f) trattamento dei dati personali.
Le misure di sicurezza adottate da TI Trust Technologies per il proprio sistema ICT sono definite e mantenuteaggiornate a seguito di un processo periodico di valutazione del rischio, che prende in considerazione tutti ibeni aziendali (gli assets, ovvero i processi, le informazioni e le risorse materiali), le cui dinamiche possanocomportare ragionevoli rischi di riservatezza, integrità e disponibilità del patrimonio informativo aziendale ed
i cui impatti possano avere conseguenze sul complesso delle attività operative.
L’attività di valutazione del rischio è svolta:■ con cadenza periodica, in fase di revisione e verifica del Sistema di Gestione per la Qualità e Sicurezzadelle Informazioni;■

in caso di variazioni straordinarie e significative all’apparato organizzativo;■

in fase di progettazione di nuovi prodotti e servizi, quando lo richiedano la loro natura, gli obblighinormativi o le esigenze interne.

Nell’ambito del processo di valutazione del rischio per il Sistema ICT, sono individuate le cause di rischio
seguenti con riferimento allo standard ISO 2700260 ed ENISA (European Network and Information Security
Agency, ovvero l’Agenzia dell'Unione Europea per la cibersicurezza61).
Le misure adottate, a protezione del Sistema ICT della Società, forniscono un livello elevato di tutela dei dati
e del business dei clienti, e sono relative alla:
1. sicurezza fisica:• la protezione dei perimetri esterni, mediante dispositivi tecnici locali e presidi di vigilanza e ronda
armata h24, sette giorni su sette;•

il controllo degli accessi agli edifici, uffici e archivi sia elettronici sia cartacei;•

le infrastrutture di sicurezza e prevenzione del data center;2. sicurezza logica basata su:• le misure perimetrali e di ridondanza a protezione delle risorse logiche ed applicative;•

le infrastrutture e policy di backup & restore (supporto e ripristino);•

i sistemi e risorse di monitoraggio e gestione degli eventi;

55

La società circoscrive l’adozione delle misure degli standard internazionali certificati alle norme ISO 9001 e ISO 27001.

56

L’acronimo UPS sta per "Uninterruptible Power Supply", vale a dire “gruppo di continuità”; si tratta di un’apparecchiatura che è posta fra la rete
di alimentazione ed i dispositivi da proteggere, allo scopo di fornire energia alle apparecchiature anche in mancanza di energia elettrica.

57

HVAC è l’acronimo di heating, ventilating and air conditioning (riscaldamento, ventilazione e condizionamento dell’aria); si riferisce alla
gestione, ricambio e trattamento dell’aria in modo che sia completamente salubre (ovvero, le giuste condizioni di temperatura ed umidità, per
assicurare il comfort necessario agli utenti di un edificio contestualmente ad un’adeguata efficienza energetica).

58

Ripristino dell’emergenza.

59

Banche dati.

60“Tecnologie Informatiche – Tecniche di sicurezza – Codice di pratica per la gestione della sicurezza delle informazioni”, è uno standard
supplementare che fornisce consigli su come implementare i controlli di sicurezza elencati nell'Allegato A della ISO 27001. I due standard si
rivelano complementari.

61

Centro di competenze in materia di sicurezza informatica in Europa.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

39•

le infrastrutture e policy di gestione delle attività sistemistiche ed applicative;

3. sicurezza negli aspetti organizzativi riguardanti:• il personale•

la gestione degli eventi;

4. gestione della continuità operativa, focalizzata sulle fattispecie seguenti:• il governo complessivo della continuità operativa, con particolare riguardo all’individuazione sia deiprocessi sia dei principali scenari di crisi per i quali predisporre le soluzioni da adottare, al fine digarantire la continuità operativa dei processi rispetto agli scenari presi in considerazione;•

la gestione in ordinario della continuità operativa, con particolare attenzione all’identificazione delle
strutture e degli attori coinvolti nei processi per la gestione ordinaria della continuità operativa erelative attività, al fine della predisposizione delle soluzioni adottate;•la gestione in emergenza della continuità operativa, con focus sulla classificazione degli eventi e
livelli di emergenza, all’individuazione delle modalità di attivazione delle soluzioni, di comunicazione
e delle strutture da attivare in escalation (in aumento);•

piano di disaster recovery (ripristino in caso di disastro), il quale descrive la soluzione tecnologica
individuata per implementare la funzionalità di disaster recovery, gli aspetti organizzativi e
procedurali adottati e le operazioni necessarie per la normale amministrazione del sito di recovery el’attivazione dello stesso in caso di necessità.

Gli scenari di crisi presi in considerazione nel piano di continuità operativa sono:■ la distruzione o inaccessibilità dei locali, che comprende le possibili casistiche relative all’impossibilità diaccedere ai siti necessari per l’erogazione dei servizi;■

l’indisponibilità del personale essenziale (le possibili casistiche), intesa come assenza prolungata di un
numero considerevole delle persone necessarie per l’erogazione dei servizi;■

l’interruzione del funzionamento delle infrastrutture, la quale prende in considerazione le possibili
casistiche relative all’interruzione dell’erogazione dell’energia elettrica o del funzionamento dei servizi difonia, ovvero del sistema informativo, fattispecie che determina l’attivazione della soluzione di Disaster
Recovery.

Le tipologie d’incidenti prese in considerazione, per l’attivazione del piano di Disaster Recovery, riguardanogl’incidenti:■ dovuti a cause naturali;■

non naturali, premeditati o accidentali;■alle facility/infrastrutture.

Per le altre cinque società della BU Domestic (esaminate per le finalità del SASB) il topic in argomento o è
una "componente" della gestione del rischio identificata da TIM SpA o non è applicabile. Tra l’altro, la società
Telefonia Mobile Sammarinese, non avendo la proprietà dell'infrastruttura, non ha gli strumenti per valutare irischi inerenti le eventuali interruzioni, le tempistiche di ripristino e le potenziali perdite.

BU Brasile
In TIM S.A. i rischi, che impattano sulla continuità operativa, includono:■ le interruzioni critiche;■l’incapacità di mantenere sia i livelli di servizio che soddisfano le esigenze dei clienti sia lo svolgimento
regolare delle attività in caso di incidenti o emergenze impreviste;■la mancanza di misure per ripristinare il sistema, le infrastrutture, e delle squadre di persone necessariealla prestazione dei servizi.

Questi rischi possono impattare – a livello aziendale - su:■ la qualità del servizio;■la reputazione;■

i ricavi;o comportare l'interruzione totale dell'attività operativa.
La continuità aziendale è una questione fondamentale per TIM S.A. che, per mitigare questi rischi, si è dotata
di una specifica policy per la gestione della continuità operativa (Business Continuity Management Policy), laquale definisce:■ le principali attività;■

le responsabilità;■

un modello strategico per il funzionamento del processo;■

le linee guida che ne garantiscono la sua efficacia.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

40

Per identificare le attività più critiche, e poter assicurare la continuità operativa, TIM S.A. utilizza i parametri
che valutano gli aspetti legali, regolatori, reputazionali, operativi, finanziari e l'importanza del prodotto oservizio offerto. Per le attività più critiche, l’Azienda ha predisposto i necessari piani di continuità, i quali
assicurano - in caso di incidenti, crisi e disastri - la risposta ed il ripristino nei tempi più brevi possibili. Tutti i
piani di continuità sono documentati e testati su base annuale.
Contestualmente, TIM S.A. organizza le azioni di sensibilizzazione per i dipendenti e ha una squadra operativa
che interviene nei casi di crisi (Operational Crisis Team), la quale:■si riunisce regolarmente - almeno una volta al trimestre - per analizzare gli eventuali incidenti che si sonoverificati nel periodo e le risposte operative messe in campo62;■

mantiene un canale di comunicazione, per condividere le informazioni sui potenziali rischi derivantidall'ambiente aziendale e/o sugl’incidenti rilevanti.

I piani di continuità operativa includono anche alcuni scenari preparatori, per affrontare gl’incidenti
riguardanti la non disponibilità:■ dei sistemi e dell'infrastruttura di Information Technology e/o della rete tecnica, originata dalla
distruzione totale o parziale del sito ospitante (generalmente causata da fenomeni naturali, usura
normale, errori operativi, azioni di terzi, attacchi - inclusi quelli informatici - ed atti vandalici);■

totale o parziale degli edifici amministrativi o industriali;■

totale o parziale del personale;■

di fornitori critici.

Per le altre situazioni, che esulano dagli scenari previsti nei piani, TIM S.A. ha implementato un sistema digestione della continuità operativa (Business Continuity Management System) fondato sulle migliori prassiinternazionali e, in particolare, su tutte le fasi della norma ISO 22301. I principali rischi di continuità operativa,
associati alle interruzioni tecnologiche, sono i seguenti:■ gli eventi che compromettono l'infrastruttura ICT parzialmente o totalmente, i quali provocano la perdita
del servizio o dell’intera attività aziendale nelle situazioni più gravi. Generalmente, detti eventi sono
causati da fenomeni naturali, declino naturale, errori operativi, azioni di terzi, attacchi (informatici e non)e atti vandalici;■

le strade di connettività strutturale di TIM S.A., costruite su infrastrutture di terzi quali i gasdotti, gli
oleodotti, gli elettrodotti, le ferrovie, le strade, assoggettati a contratti che comportano rischi ecompromettono la capacità di TIM S.A. di tenerli e manutenerli.

Le principali misure di TIM S.A., per mitigare i rischi connessi alla continuità operativa, sono costituite da:■ le attività di resilienza dell'infrastruttura della rete tecnica, come la ridondanza delle strutture critiche, isistemi di backup, la distribuzione geografica;■

il monitoraggio della rete tecnica online di TIM S.A., da parte dell'ISOC (Intelligent Service Operation
Center), attraverso l’esercizio di azioni da remoto o locale per ristabilire gli eventi rilevati, i quali
potrebbero implicare la discontinuità del servizio, il recupero della struttura, del servizio o dellaprotezione interessati;■la “mappa dei rischi” ed il “piano di resilienza” usuali: annualmente una valutazione della mappa deirischi della rete tecnica consolida le conoscenze riguardanti i rischi, le probabilità di guasto e la continuitàdel servizio.

62

Nel 2020 la squadra si è riunita ogni giorno nei primi mesi della pandemia da Covid-19.

SASB Sustainability Accounting Standards Board

Gestione dei rischi sistemici da interruzioni tecnologiche

TIM - Uso Interno - Tutti i diritti riservati.

41

Dal 2021, per facilitare la lettura del documento da parte di tutti gli stakeholders, si riporta la seguente tabella
che indica dove trovare le informazioni richieste dal SASB (Sustainability Accounting Standards Board) nel
documento.

GRUPPO TIMSASB DISCLOSURES
Topic

Code

(1) energia totale consumata

Impronta
ambientaledelle operazioni

TC-TL-130a.1

4

Descrizione delle politiche e delle pratiche relative
alla pubblicità comportamentale e alla privacy dei TC-TL-220a.1
clienti

6, 10

Numero di clienti le cui informazioni sono TC-TL-220a.2
utilizzate per scopi secondari

6, 10

Importo totale delle perdite monetarie a seguito
di procedimenti legali associati alla privacy del TC-TL-220a.3
cliente6, 13(2) percentuale di elettricità di rete(3) percentuale rinnovabile

Data Privacy(1) Numero di richieste - da parte delle forze
dell'ordine - di informazioni sui clienti,(2) numero di clienti di cui sono state richieste leinformazioni,(3) percentuale risultante nella divulgazione.

TC-TL-220a.4

6

TC-TL-230a.1

15

Descrizione dell'approccio per identificare eaffrontare i rischi per la sicurezza dei dati, TC-TL-230a.2
compreso l'uso di standard di sicurezza
informatica di terze parti.

15(1) Materiali recuperati attraverso programmi diritiro, percentuale di materiali recuperati chesono stati(2) riutilizzati,(3) riciclati e(4) portati alla discarica.

Omissione parziale,
18 rendicontazione
esclusivamente qualitativa.

(1) Numero di violazioni dei dati,(2) percentuale relativa a informazioni diidentificazione personale (PII),(3) numero di clienti interessati

Data Security

Gestionefine vita
prodottodeldelComportamento competitivo e
open internet

Sezione a Omissioni
paginaTC-TL-440a.1

Importo totale delle perdite monetarie a seguito
di procedimenti legali associati a regolamenti di TC-TL-520a.1
comportamento anticoncorrenziale.

20

Velocità di download sostenuta effettiva media di(1) contenuto di proprietà e associato in TC-TL-520a.2
commercio e(2) contenuto non associato.

20

Descrizione dei rischi e delle opportunità associatialla neutralità della rete, al peering retribuito, allo TC-TL-520a.3
zero rating e alle pratiche correlate.

20(1) Frequenza media di interruzione del sistema e TC-TL-550a.1
Gestionedei (2) durata media dell'interruzione del clienterischi sistemici
da interruzioni Descizione dei sistemi adottati per fornire unservizio senza ostacoli durante le interruzioni del TC-TL-550a.2
tecnologicheservizio
Metricheattività(1) Omissione parziale(2) (3) Omissione

29
29

Numero di abbonamenti wireless

TC-TL-000.A

Omissione

di Numero di abbonamenti wireline
Numero di abbonamenti a banda larga

TC-TL-000.B

Omissione

TC-TL-000.C

Omissione

TC-TL-000.D

Omissione

Network Traffic

SASB Sustainability Accounting Standards Board

TIM - Uso Interno - Tutti i diritti riservati.

SASB Index

42