Garante privacy: nuove sanzioni per pratiche di telemarketing aggressivo

La recente decisione del Garante per la protezione dei dati personali italiano segna un’importante e severa presa di posizione contro le pratiche di telemarketing aggressivo e il trattamento illecito dei dati personali nel settore della fornitura di energia elettrica e gas. Le sanzioni, di entità milionaria, rappresentano uno dei provvedimenti più incisivi adottati negli ultimi anni in materia di tutela della privacy, e dimostrano la crescente attenzione delle autorità nei confronti della protezione dei consumatori e dei loro dati.

Il contesto e le indagini

L’intervento del Garante si inserisce in un quadro investigativo avviato grazie al lavoro del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza, che ha condotto una serie di accertamenti approfonditi. Le indagini hanno fatto emergere collegamenti diretti tra Acea Energia Spa e una rete di società commerciali impegnate nel procacciamento di contratti per forniture energetiche, attraverso modalità giudicate gravemente scorrette e lesive dei diritti degli interessati.

In particolare, è stato scoperto che tali società utilizzavano liste di utenti che avevano appena cambiato gestore, contattandoli telefonicamente e inducendoli con l’inganno a sottoscrivere nuovi contratti. Gli operatori dei call-center presentavano false motivazioni, come presunti errori tecnici o rischi economici derivanti dal cambio di fornitore, per spingere gli utenti a tornare sui loro passi.

Violazioni riscontrate

Secondo quanto accertato, le pratiche illecite si basavano su:

• Uso di dati personali senza consenso: venivano trattati dati sensibili come il numero di telefono, il codice fiscale, i codici identificativi delle utenze (POD, PDR), matricola del contatore e modalità di pagamento, senza che gli utenti avessero espresso un consenso informato e specifico, né avessero ricevuto un’adeguata informativa sul trattamento.

• Assenza di trasparenza contrattuale: molte società coinvolte nel network non erano state formalmente designate come responsabili o sub-responsabili del trattamento, come richiesto dalla normativa GDPR.

Le sanzioni del Garante

A seguito delle ispezioni e delle gravi violazioni emerse, il Garante ha disposto:

1. Una sanzione di 3 milioni di euro nei confronti di Acea Energia Spa, con l’obbligo di:

   • Comunicare formalmente a tutti gli interessati (cioè gli utenti contattati illecitamente) l’esito del procedimento sanzionatorio;

   • Verificare l’esistenza di eventuali sub-responsabili non regolarmente contrattualizzati, e regolarizzare tali rapporti nel rispetto delle normative sulla protezione dei dati.

2. Sanzioni per un totale di 850.000 euro nei confronti del network di società coinvolte, con l’aggiunta di un divieto esplicito di utilizzare ulteriori liste di contatto qualora non possano dimostrarne la provenienza lecita e il possesso del consenso.

Le responsabilità di Acea Energia Spa

La posizione di Acea Energia è stata considerata aggravata dal fatto che, nonostante i contatti diretti dei suoi referenti con gli autori delle pratiche illecite, la società non avrebbe inizialmente attivato controlli efficaci. Tuttavia, il Garante ha preso atto che, una volta venuta a conoscenza dei fatti emersi, Acea ha revocato l’incarico all’agenzia coinvolta e ha adottato alcune misure correttive, sebbene tardive.

Implicazioni più ampie e considerazioni finali

Questo caso evidenzia in modo esemplare la centralità della responsabilità d’impresa nella gestione dei dati personali. Non è più sufficiente delegare ad agenzie esterne attività sensibili come il telemarketing: la tracciabilità del consenso, la corretta informativa agli utenti e la formalizzazione dei ruoli di responsabilità lungo la filiera sono condizioni imprescindibili.

Il Garante ha inoltre lanciato un messaggio forte al mercato, ribadendo che le pratiche di marketing invasivo e scorretto non saranno più tollerate, specialmente in settori strategici come l’energia. Le sanzioni inflitte sono anche un invito rivolto a tutte le imprese a rafforzare i propri sistemi di compliance al GDPR, per evitare non solo sanzioni economiche, ma anche gravi danni reputazionali.