Ordinanza ingiunzione o revoca n. 476 del 12/10/2023

Onda Più S.r.l. – contratti energia non richiesti e trattamento illecito di dati personali

Il Garante per la protezione dei dati personali ha accertato l'illiceità del trattamento effettuato da Onda Più S.r.l. nell'ambito dei processi di acquisizione clienti per la fornitura di energia elettrica e gas, svolti anche tramite agenzie door to door e firma digitale OTP. Il provvedimento trae origine da un reclamo presentato da una cliente che aveva subito l'attivazione di una fornitura non richiesta.

Origine del procedimento e attività istruttoria

Il reclamo, presentato l'11 novembre 2021 ai sensi dell'art. 77 GDPR, denunciava l'attivazione a insaputa dell'interessata di una fornitura di energia, con conseguente utilizzo illecito dei suoi dati personali. L'Autorità ha avviato un'istruttoria ai sensi dell'art. 157 del Codice privacy, richiedendo chiarimenti alla società e acquisendo ulteriori elementi anche tramite il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza. Nel corso delle verifiche sono stati effettuati accertamenti ispettivi e sono state esaminate le procedure interne di contrattualizzazione e controllo.

Contesto operativo del trattamento

Onda Più S.r.l. ha descritto un modello di vendita fondato su canali fisici, agenti door to door e, dal 2020, su una modalità di sottoscrizione tramite firma digitale OTP. I dati dei clienti erano conservati in un database in hosting presso un fornitore nominato responsabile del trattamento. Il processo prevedeva l'inserimento dei dati nel gestionale ERP, la scansione dei contratti cartacei, la firma OTP, una verifica di backoffice con pre-check sul Sistema informativo integrato, una check call, un ulteriore controllo di regolarità, la call di preattivazione, il caricamento sul portale SII e, dopo l'attivazione, la welcome call e l'invio della welcome letter.

Fatti specifici relativi alla reclamante

Nel caso della reclamante, la società ha riferito che il contratto sarebbe stato stipulato il 20 aprile 2021 in modalità remota con OTP, confermato il 22 aprile 2021 con check call, seguito dalla pre-attivazione del 6 maggio 2021 e dall'invio della welcome letter il 24 maggio 2021. Solo in un momento successivo, in particolare a partire dal 1° giugno 2021, sarebbero emerse anomalie nelle telefonate di benvenuto e nei tentativi di contatto successivi. A seguito del reclamo, la società ha stornato le fatture emesse e ha riconosciuto la procedura di ripristino per contratti non richiesti.

Criticità organizzative riscontrate

L'Autorità ha ritenuto che il sistema di contrattualizzazione presentasse limiti strutturali, poiché fondato sui recapiti forniti dagli agenti e privo di adeguati strumenti per verificare che il numero di telefono o l'indirizzo email fossero effettivamente riconducibili al reale utilizzatore dell'utenza. È stato inoltre rilevato che l'invio dei documenti contrattuali via SMS o email non era accompagnato da sistemi idonei a provare l'effettiva ricezione o lettura da parte del cliente.

Presenza di anomalie e casi di contratti non richiesti

Nel 2021 erano emersi comportamenti fraudolenti riconducibili all'agenzia Castiello Coop A.r.l., incaricata di acquisire clienti. La società ha accertato numeri di telefono spenti o irraggiungibili, IP simili o geolocalizzati in luoghi diversi rispetto alla residenza/fornitura e indirizzi email temporanei. Per questi profili erano stati bloccati o annullati numerosi contratti. In totale, per il periodo aprile-maggio 2021, il Garante ha considerato circa 196 proposte contrattuali non richieste, pari al 22% delle proposte acquisite tramite rete di vendita door to door nel periodo considerato.

Valutazione giuridica del Garante

Il Garante ha ritenuto che i trattamenti posti in essere fossero illeciti per violazione dei principi di correttezza ed esattezza dei dati, sanciti dall'art. 5, par. 1, lett. a) e d), e del principio di responsabilizzazione di cui all'art. 5, par. 2 GDPR, in combinato disposto con l'art. 24 GDPR. Pur essendo alcuni trattamenti materialmente eseguiti da responsabili del trattamento, l'Autorità ha attribuito alla società titolare la responsabilità generale dell'organizzazione del trattamento, evidenziando la necessità di misure tecniche e organizzative adeguate, comprovabili e realmente efficaci.

Inadeguatezza delle misure di controllo sui responsabili

È stato rilevato che la società non aveva fornito evidenze adeguate di audit periodici, formazione dei responsabili o policy interne sanzionatorie nei confronti degli agenti e dei partner commerciali. Il Garante ha quindi giudicato insufficienti i meccanismi di verifica dell'operato dei responsabili ex art. 28 GDPR, soprattutto in un settore già noto per il fenomeno delle attivazioni non richieste. Il richiamo al precedente provvedimento dell'11 dicembre 2019 nel settore energia è stato utilizzato per ribadire che il titolare deve predisporre controlli preventivi idonei a intercettare comportamenti scorretti o fraudolenti.

Provvedimenti correttivi impartiti

Ai sensi dell'art. 58, par. 2, lett. d) GDPR, il Garante ha ingiunto a Onda Più S.r.l. di adottare entro nove mesi:

• meccanismi di alert per anomalie quali recapiti ricorrenti, difformità tra indirizzo di fornitura e contatto, dati incompleti o contratti multipli;
• controlli settimanali e mensili su domini email, numeri mobili, ripetitività e orari di firma;
• strumenti per accertare l'effettiva ricezione delle comunicazioni, inclusa la trasmissione della welcome letter all'indirizzo fisico di fornitura;
• audit periodici sulle agenzie incaricate ai sensi dell'art. 28 GDPR;
• un sistema di limitazione e segregazione dei dati dei clienti per i quali sia opportuno sospendere la contrattualizzazione o in relazione ai quali sia stato presentato reclamo.

Limitazione definitiva del trattamento per le 196 proposte non richieste

Il Garante ha inoltre disposto, ai sensi dell'art. 58, par. 2, lett. f) GDPR, la limitazione definitiva di ogni ulteriore attività di trattamento dei dati personali riferiti ai clienti oggetto delle 196 proposte contrattuali non richieste procacciate dall'agenzia Castiello Coop A.r.l., consentendo solo le attività connesse alla segregazione delle informazioni.

Sanzione amministrativa e criteri di quantificazione

Per la violazione degli artt. 5 e 24 GDPR è stata applicata una sanzione amministrativa pecuniaria di 200.000 euro, ai sensi dell'art. 83 GDPR e dell'art. 166 del Codice. Nella quantificazione il Garante ha valorizzato la gravità delle violazioni, la loro diffusione in un arco temporale ristretto, il carattere sistemico delle carenze, il pregiudizio subito dalla reclamante e dagli altri interessati, il grado di responsabilità del titolare, la cooperazione prestata nel procedimento, l'assenza di precedenti e le misure mitigatorie nel frattempo adottate.

Pubblicazione del provvedimento e rimedi

È stata disposta la pubblicazione del provvedimento sul sito del Garante, in ragione della rilevanza delle violazioni e del pregiudizio arrecato agli interessati. È stata inoltre prevista la possibilità di definizione agevolata nei limiti di legge e l'opposizione avanti all'autorità giudiziaria ordinaria nei termini previsti dall'art. 78 GDPR, dagli artt. 152 del Codice e 10 del d.lgs. 150/2011.