Ordinanza ingiunzione o revoca n. 114 del 27/02/2025

Ordinanza ingiunzione a Energia Pulita S.r.l. per telemarketing illecito e carenze nella governance privacy

Il Garante per la protezione dei dati personali ha adottato nei confronti di Energia Pulita S.r.l. un’ordinanza-ingiunzione relativa a trattamenti di dati personali svolti nell’ambito di attività di telemarketing, teleselling e acquisizione di contatti tramite portali web/comparatori, oltre che nella gestione delle candidature online. Il procedimento trae origine da numerose segnalazioni di chiamate indesiderate e da verifiche istruttorie svolte dall’Autorità, anche con riscontro presso il Registro Pubblico delle Opposizioni.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato l’istruttoria con richiesta di informazioni ex art. 157 del Codice, chiedendo chiarimenti sui canali commerciali utilizzati, sui rapporti con agenzie e sub-agenzie, sulle misure di controllo adottate lungo la filiera, sulle informative rese ai candidati tramite il sito web e sui rapporti con altri operatori energetici collegati ai marchi utilizzati dalla società.

La società ha rappresentato di operare tramite:

• agenzie di commercio con attività di teleselling, telemarketing, contatto fisico e canale "virtual sales outbound rec";
• comparatori/piattaforme web;
• lavoratori subordinati e collaboratori presso sportelli fisici.

Nel corso dell’istruttoria la società ha fornito riscontri su varie segnalazioni, sostenendo in molti casi che non vi fosse stata conclusione di contratti e che i numeri chiamanti non fossero riconducibili alla propria rete. Ha inoltre riferito di aver avviato dal novembre 2023 un percorso di compliance e di aver poi introdotto ulteriori misure nel 2024.

Verifica presso il Registro Pubblico delle Opposizioni

Per controllare la correttezza delle attività di telemarketing, il Garante ha trasmesso alla Fondazione Ugo Bordoni l’elenco delle numerazioni oggetto di segnalazione, richiedendo informazioni sull’eventuale iscrizione al Registro Pubblico delle Opposizioni al 31 dicembre 2023. Dal riscontro è emerso che 157 utenze telefoniche, pari a poco più del 6,75% dei 2.327 contatti telefonici esaminati, risultavano iscritte al RPO al momento delle chiamate promozionali.

Contestazioni e profili di illiceità delle chiamate promozionali

L’Ufficio ha contestato alla società la possibile violazione:

• dell’art. 130 del Codice;
• degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. a), GDPR;
• nonché, più in generale, degli obblighi di liceità e responsabilizzazione del titolare.

Secondo il Garante, i contatti effettuati verso numerazioni iscritte al RPO e le numerose segnalazioni pervenute delineavano un quadro compatibile con un fenomeno di telemarketing scorretto e insidioso. L’Autorità ha anche rilevato che, in alcuni casi, erano emersi contatti realizzati con modalità aggressive o ingannevoli, con operatori che si presentavano come soggetti diversi o evocavano problemi tecnici/amministrativi o vantaggi tariffari inesistenti.

Il Garante ha ritenuto irrilevante la distinzione proposta dalla società tra telemarketing/teleselling e canali di vendita denominati "virtual sales outbound", osservando che la previa telefonata promozionale rende tali attività soggette alla medesima disciplina del telemarketing. Ha inoltre valorizzato il fatto che la società stessa riconoscesse, in diversi casi, l’acquisizione di consensi successivi all’iscrizione al RPO.

Consensi acquisiti tramite portali web e loro inidoneità

Una parte centrale del provvedimento riguarda i portali web e i form utilizzati per raccogliere lead e consensi. Il Garante ha esaminato, in particolare, i consensi acquisiti tramite portali riconducibili a soggetti terzi, rilevando che le formule utilizzate non consentivano una scelta realmente libera, specifica e granulare.

In sintesi, l’Autorità ha osservato che:

• le formule di consenso erano troppo ampie quanto a categorie di destinatari e settori merceologici;
• non era possibile selezionare in modo adeguato i soli ambiti di interesse;
• l’interessato non poteva esercitare in modo agevole il controllo sui canali di contatto;
• la struttura dei form finiva per veicolare i dati verso una platea indistinta di terzi, compresi call center plurimandatari.

Sono stati richiamati, tra gli altri, i principi delle Linee guida EDPB n. 5/2020 sul consenso, in particolare sulla libertà e sulla granularità del consenso. Il Garante ha ritenuto che tali moduli non fossero idonei a superare l’effetto dell’opposizione espressa tramite iscrizione al RPO.

Trattamento dei dati dei candidati e informative sul sito web

L’Autorità ha rilevato criticità anche rispetto al form per l’invio delle candidature presente sul sito aziendale. Sebbene la società avesse poi aggiornato l’informativa nel luglio 2024, il Garante ha ritenuto che, in precedenza, l’informativa non fosse resa in modo tempestivo e accessibile prima del conferimento dei dati.

Sono stati contestati profili di violazione degli artt. 5, 12 e 13 GDPR, nonché dei presupposti di liceità di cui agli artt. 5, 6, 7 e 9 GDPR e dell’art. 111-bis del Codice. L’Autorità ha sottolineato che l’informativa deve essere disponibile prima della raccolta dei dati, e che non è sufficiente una comunicazione resa solo in sede di colloquio.

Governance privacy, selezione dei fornitori e vigilanza sulla filiera

Il Garante ha ritenuto che la società avesse omesso un controllo adeguato sull’intera filiera del trattamento, con particolare riguardo a:

• selezione e qualificazione delle agenzie;
• verifica delle competenze privacy dei partner;
• formazione del personale;
• monitoraggio operativo delle attività di telemarketing;
• adozione di misure di sicurezza tecniche e organizzative adeguate.

Sono stati richiamati gli artt. 24, 25, 28, 29 e 32 GDPR. L’Autorità ha osservato che molte misure risultavano adottate solo tra la fine del 2023 e il 2024, quindi in ritardo rispetto all’entrata in vigore del GDPR e all’acquisizione del ramo d’azienda avvenuta nel gennaio 2023. Secondo il Garante, questo dimostrava una governance privacy non pienamente conforme e non sufficientemente tempestiva.

Tra i profili censurati vi sono anche:

• la tardiva formazione del personale e degli agenti;
• la mancanza, per lungo tempo, di una procedura realmente efficace di check call bloccante;
• l’adozione non immediata di MFA e tracciamento IP;
• la mancata prevenzione dell’ingresso nei sistemi aziendali di contratti originati da contatti illeciti.

Valutazione del Garante sulle difese della società

Le difese della società non sono state accolte. Il Garante ha ritenuto che:

• i consensi richiamati non fossero validamente acquisiti per difetto di previa informativa e di requisiti di libertà, specificità e granularità;
• i contratti collegati ai portali web e ai canali di teleselling, salvo alcune eccezioni, fossero sorretti da contatti illeciti;
• la mera affermazione di non aver tratto vantaggio economico da tali contatti non escludesse la responsabilità per il trattamento illecito.

L’Autorità ha considerato rilevante la numerosità delle segnalazioni, la loro ripetitività e la dinamica descritta dai reclamanti, ritenendo configurabile un vero e proprio quadro di telemarketing selvaggio.

Violazioni accertate

Il Garante ha concluso per la responsabilità di Energia Pulita S.r.l. per le seguenti violazioni:

• artt. 5, 6, 7, 24, 25 e 32 GDPR e art. 130 Codice, per trattamenti privi di idonea base giuridica e non conformi ai principi di liceità e responsabilizzazione;
• artt. 5, 24, 25, 28, 29 e 32 GDPR, per carenze nella selezione, formazione, direzione e vigilanza di soggetti interni ed esterni alla filiera;
• artt. 5, 6, 7, 9, 12 e 13 GDPR e art. 111-bis Codice, per mancata corretta individuazione della base giuridica e per informative non adeguate.

Misure adottate dal Garante

Sulla base dell’art. 58, par. 2, GDPR, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento dei dati personali appartenenti ai segnalanti richiamati nel provvedimento;
• l’ordine di comunicare ai 68 interessati coinvolti l’esito del procedimento, secondo un testo da concordare con l’Autorità;
• l’ordine di predisporre adeguati controlli sulla rete di vendita e implementazioni dei sistemi, per impedire l’ingresso di contratti derivanti da contatti illeciti;
• l’obbligo di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha adottato ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 l. n. 689/1981, applicando la sanzione prevista dall’art. 83, parr. 3 e 5, GDPR.

Per la quantificazione ha considerato:

• la gravità delle violazioni, con riferimento all’ampiezza del fenomeno telemarketing e ai precedenti interventi dell’Autorità e al Codice di condotta di settore;
• la cooperazione della società, valutata come elemento attenuante ai sensi dell’art. 83, par. 2, lett. f), GDPR.

L’importo finale è stato determinato in euro 300.000,00, pari allo 1,5% del massimo edittale considerato (euro 20.000.000,00).

Sanzioni accessorie, pubblicazione e rimedi

È stata disposta anche la pubblicazione del provvedimento sul sito del Garante, quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019.

Il provvedimento prevede inoltre:

• l’annotazione nel registro interno dell’Autorità;
• la facoltà per il contravventore di definire la controversia ai sensi dell’art. 166, comma 8, del Codice pagando metà della sanzione entro 30 giorni;
• la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice e 10 d.lgs. 150/2011.