Prescrizioni del Garante n. 764 del 18/12/2025

Acquirente Unico S.p.A. – mancato riscontro a un’istanza di esercizio dei diritti e chiarimenti sul diritto di accesso

Il provvedimento riguarda Acquirente Unico S.p.A. ed è scaturito da un reclamo relativo, da un lato, a chiamate promozionali indesiderate in ambito energetico e, dall’altro, al mancato riscontro a un’istanza di esercizio dei diritti presentata dall’interessato. Il Garante ha svolto un’istruttoria articolata, con richieste di informazioni, memorie difensive e audizione del titolare.

Origine del procedimento e sviluppi istruttori

L’interessato aveva lamentato la ricezione di numerose telefonate commerciali dopo l’attivazione di una nuova fornitura energetica e aveva contestualmente segnalato di non aver ottenuto risposta alla richiesta rivolta ad Acquirente Unico il 29 ottobre 2024, con cui chiedeva di conoscere quali dati fossero conservati, come fossero trattati e con chi fossero condivisi. La richiesta riguardava l’esercizio dei diritti di cui agli artt. 15, 17, 18 e 21 GDPR.

Il Garante ha chiesto chiarimenti ad Acquirente Unico, che ha illustrato il funzionamento del Sistema Informativo Integrato (SII), i dati accessibili dagli operatori del mercato energetico e le modalità di consultazione. La Società ha poi ammesso che la richiesta dell’interessato, per una svista materiale, non era stata correttamente instradata nei processi interni, e ha prodotto la propria policy sulla gestione dei diritti, il regolamento del SII, le misure di sicurezza e i piani di formazione.

Valutazioni sulla doglianza relativa alle chiamate promozionali

Sul versante delle telefonate indesiderate, il Garante non ha ritenuto acquisiti elementi sufficienti per affermare con ragionevole certezza un nesso di causalità tra il trattamento di Acquirente Unico e i contatti promozionali ricevuti dall’interessato. Ha osservato che i soggetti che avevano consultato i dati in prossimità delle operazioni di switching risultavano legittimati in ragione dei rapporti contrattuali con l’interessato. Per tale profilo l’Autorità ha riservato ulteriori accertamenti, senza adottare una misura finale.

Violazione del diritto di accesso e degli obblighi di riscontro

Il nucleo del provvedimento riguarda invece il mancato riscontro all’istanza di esercizio dei diritti. Il Garante ha ritenuto che il titolare avesse violato gli artt. 12 e da 15 a 22 GDPR, poiché non ha fornito tempestivamente una risposta completa e soddisfacente a un’istanza completa in tutti i suoi elementi, trasmessa con modalità idonee a garantirne la ricezione legale.

L’Autorità ha escluso che potessero valere, come esimenti, sia la precedente interlocuzione con lo Sportello del Consumatore sia il richiamo a disguidi organizzativi interni. In particolare, ha rilevato che il diritto di accesso non è soggetto a formalità particolari e che il titolare deve comunque riscontrare la richiesta, a prescindere dal canale utilizzato.

Trasparenza, intelligibilità e qualità del riscontro

Il Garante ha inoltre censurato la qualità della risposta fornita successivamente all’interessato, ritenendola troppo tecnica e generica per consentire una piena comprensione delle modalità di trattamento e dei soggetti che avevano avuto accesso ai dati. Pur riconoscendo la legittimità, in chiave di minimizzazione, di non indicare i nominativi delle singole persone fisiche che avevano consultato i dati, l’Autorità ha sottolineato che il riscontro deve essere espresso con linguaggio semplice e chiaro, in modo conciso, trasparente, intelligibile e facilmente accessibile, come impone l’art. 12 GDPR.

Nel motivare tale conclusione, il Garante ha richiamato anche il Considerando 58 GDPR e le Linee guida EDPB 1/2022 sul diritto di accesso, evidenziando che l’interessato deve essere posto in grado di comprendere il trattamento e di verificare la liceità dell’uso dei propri dati.

Archiviazione della contestazione sull’art. 29 GDPR

Diverso l’esito sul fronte dell’art. 29 GDPR. L’Autorità ha infatti ritenuto superata la contestazione relativa agli obblighi di istruzione e formazione delle persone autorizzate al trattamento, prendendo atto che Acquirente Unico aveva documentato aggiornamenti procedurali e interventi formativi ripetuti in materia di protezione dei dati personali e gestione delle istanze degli interessati. Per questo profilo è stata disposta l’archiviazione ai sensi dell’art. 11, comma 1, lett. b), del regolamento interno n. 1/2019.

Provvedimento finale e effetti

Alla luce dell’istruttoria, il Garante ha:

• archiviato la contestazione relativa all’art. 29 GDPR;
• rivolto ad Acquirente Unico S.p.A. un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR per il mancato riscontro all’istanza di esercizio dei diritti, con violazione degli artt. 12 e da 15 a 22 GDPR.

Non sono state irrogate sanzioni pecuniarie né ulteriori misure correttive, in considerazione della natura episodica della violazione, del comportamento collaborativo del titolare e delle misure rimediali già avviate nel corso del procedimento. È stata disposta la pubblicazione del provvedimento sul sito del Garante e la sua annotazione nel registro interno dell’Autorità.