Ordinanza ingiunzione o revoca n. 181 del 14/04/2023

Sorgenia S.p.A. - telemarketing illecito e mancato riscontro alle richieste degli interessati

Il provvedimento riguarda Sorgenia S.p.A. ed è stato adottato all’esito di un’istruttoria avviata nell’ambito dell’attività del Garante sul contrasto al telemarketing illegale nel settore energetico. Il procedimento trae origine da un reclamo e da più segnalazioni di interessati che lamentavano contatti telefonici promozionali indesiderati e, in alcuni casi, la mancata risposta a istanze di esercizio dei diritti.

Origine del procedimento e attività istruttoria

Con atto del 23 febbraio 2021 l’Ufficio ha avviato nei confronti della Società un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR, a seguito di una richiesta di informazioni cumulativa riferita a nove fascicoli. La vicenda è stata inquadrata nel più ampio fenomeno dei contatti promozionali effettuati da soggetti che si presenterebbero come operanti in nome e per conto della Società, anche utilizzando dati anagrafici, di contatto e talvolta dati di fornitura come POD, PDR e indirizzo.

Sorgenia ha risposto affermando, in sintesi, di essere estranea alle chiamate contestate nella quasi totalità dei casi, di aver svolto attività di sensibilizzazione verso la clientela e di aver segnalato il problema ad ARERA. In alcuni casi ha attribuito il mancato riscontro alle richieste degli interessati a inconvenienti tecnici interni, richiamando anche la cancellazione automatica dei log di posta elettronica dopo 90 giorni.

Trattamenti esaminati

Il Garante ha esaminato due macro-ambiti:

• il segmento residenziale, nel quale la Società dichiara di acquisire clienti solo tramite canale digitale, in modalità cd. "pull" o "no-push";
• il segmento business, nel quale la Società si avvale di agenzie, agenti e teleseller per l’acquisizione della clientela.

Nel residenziale, la Società ha sostenuto che il 100% dei clienti del periodo gennaio 2019 - ottobre 2020 provenisse dal canale digitale e ha richiamato l’uso di comparatori e siti web di assistenza. Nel business, ha invece descritto un sistema di teleselling affidato a più fornitori, con verifiche sulla provenienza delle liste, sul contenuto dell’informativa e sul consenso, oltre a un "quality check" finale sulla volontà del cliente di attivare la fornitura.

Violazioni contestate e valutazioni del Garante

L’Autorità ha contestato, in particolare:

• la violazione degli artt. 5, par. 2, e 25, par. 1, GDPR, per non aver adottato misure efficaci di prevenzione, controllo e dimostrazione della liceità del trattamento rispetto al fenomeno dei contatti promozionali effettuati in nome della Società;
• la violazione degli artt. 12, par. 3, 17 e 21 GDPR, per il mancato riscontro a richieste di cancellazione e opposizione e per il mancato riscontro a due richieste di accesso.

Nella valutazione finale, il Garante ha ritenuto superata la contestazione relativa agli artt. 17 e 21 GDPR, prendendo atto delle spiegazioni fornite dalla Società e considerando sufficienti gli elementi raccolti su tali profili. È invece stata confermata la responsabilità per la violazione dell’art. 12, par. 3, GDPR, poiché i mancati riscontri non erano giustificati da elementi specifici e dettagliati.

Quanto al principio di accountability e alla privacy by design, il Garante ha affermato che il titolare deve dimostrare, con elementi probatori concreti, la conformità dei trattamenti posti in essere direttamente o da terzi per suo conto. Le difese della Società, fondate soprattutto sull’ipotesi di un uso indebito del proprio brand da parte di terzi, sono state ritenute non sufficienti a escludere la propria responsabilità, anche perché non supportate da prove incontrovertibili.

Profili specifici del settore residenziale

Per il segmento residenziale, il Garante ha riconosciuto che la scelta del canale digitale e dell’approccio "pull" appariva, in astratto, coerente con i principi di minimizzazione e di tutela della riservatezza. Tuttavia, ha rilevato che il contatto successivo alla compilazione del form online richiede una verifica effettiva della volontà dell’utente ad essere contattato.

Secondo l’Autorità, tale verifica avrebbe dovuto essere garantita mediante procedure di autenticazione o di conferma successiva, ad esempio tramite invio di un link al recapito indicato nel form o con controlli successivi, generalizzati o a campione. In assenza di tali misure, il sistema non è stato ritenuto sufficientemente idoneo a evitare contatti promozionali non voluti.

Profili specifici del settore business

Nel settore business, il Garante ha ritenuto non adeguato il richiamo al solo "quality check", perché tale verifica era incentrata sulla conferma della volontà contrattuale e non anche sulla liceità dell’originaria acquisizione del dato e del primo contatto. L’Autorità ha sottolineato che il controllo deve riguardare l’intera catena del trattamento e non limitarsi al momento finale dell’attivazione contrattuale.

È stato rilevato, inoltre, che la separazione tra fase promozionale e fase di registrazione del contratto poteva consentire l’inserimento di proposte contrattuali anche in presenza di contatti promozionali illeciti o indesiderati, con il rischio di favorire il fenomeno dei cosiddetti procacciatori non ufficiali. Da qui l’esigenza di meccanismi di controllo più rigorosi sull’accesso alle piattaforme di caricamento delle proposte e sulla tracciabilità delle operazioni svolte da agenzie e partner.

Misure correttive e prescrizioni

Il Garante ha adottato nei confronti di Sorgenia i seguenti provvedimenti:

• avvertimento, ai sensi dell’art. 58, par. 2, lett. a), per evitare che agenzie e partner del segmento business abbiano qualunque coinvolgimento nel caricamento delle proposte contrattuali relative al residenziale;
• ingiunzione a introdurre nel residenziale misure idonee a verificare l’effettiva volontà dell’utente di ricevere offerte commerciali, tramite un’autenticazione o altra procedura equivalente;
• ingiunzione ad adeguare i trattamenti del business a modalità che consentano di dimostrare che i contatti promozionali, se telefonici, siano stati effettuati da numerazioni censite e iscritte al ROC e nel rispetto dell’art. 130 del Codice;
• ingiunzione ad adottare misure tecnico-organizzative per il controllo dell’accesso e dell’uso della piattaforma di attivazione contratti, con blocco o sospensione delle proposte derivanti da contatti illeciti;
• ingiunzione ad implementare ulteriori misure per la gestione tempestiva e completa delle istanze di esercizio dei diritti degli interessati;
• richiesta di comunicare, entro 40 giorni dalla notifica, le iniziative adottate per dare attuazione al provvedimento, con avvertimento che il mancato riscontro può comportare l’applicazione della sanzione ex art. 83, par. 5, GDPR.

Sanzione amministrativa pecuniaria

Il Garante ha disposto un’ordinanza-ingiunzione ai sensi dell’art. 166, comma 7, del Codice e dell’art. 18 della legge n. 689/1981, applicando a Sorgenia una sanzione amministrativa pecuniaria di euro 676.956,00.

Per il calcolo del massimo edittale, l’Autorità ha preso a riferimento il fatturato risultante dall’ultimo bilancio pubblicato, determinando il massimo in euro 135.391.320. Nella quantificazione della sanzione sono stati considerati i criteri dell’art. 83, par. 2, GDPR:

• gravità delle violazioni e lesione di diritti fondamentali, anche in termini di disturbo e ripetizione dei contatti;
• durata delle violazioni, con riferimento al carattere reiterato dei contatti illeciti e alla persistenza del mancato riscontro alle istanze;
• numero non elevato degli interessati coinvolti;
• natura colposa delle condotte;
• misure adottate per mitigare gli effetti delle violazioni;
• collaborazione prestata al Garante;
• ampia finestra temporale concessa ai titolari per adeguarsi al GDPR, la specifica attenzione normativa sul telemarketing e il valore economico della Società.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante come sanzione accessoria.

Definizione della controversia e tutela giurisdizionale

La Società è stata informata della possibilità di definire la controversia, ai sensi dell’art. 166, comma 8, del Codice, con l’adempimento alle prescrizioni e il pagamento entro 30 giorni di un importo pari alla metà della sanzione irrogata. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.