Ordinanza ingiunzione o revoca n. 81 del 12/02/2026

Acea Energia S.p.A. - trattamento illecito dei dati nella contrattualizzazione di forniture luce e gas

Il provvedimento riguarda Acea Energia S.p.A. e la gestione dei dati personali dei clienti e potenziali clienti nella fase di acquisizione e attivazione di contratti di energia elettrica e gas nel mercato libero, soprattutto tramite i canali "porta a porta", "shop", "negozi WindTre" e "full web". L’istruttoria origina da numerose istanze di persone che lamentavano attivazioni non richieste, dati inesatti o non aggiornati e gravi disagi conseguenti.

Origine del procedimento e attività istruttoria

L’Autorità ha riunito le istanze pervenute e ha svolto accertamenti ispettivi presso la Società l’8 e 9 gennaio 2024. Sono stati acquisiti ulteriori elementi documentali e le successive note difensive della Società, fino alle memorie del 2025. L’oggetto dell’istruttoria è stato circoscritto ai trattamenti effettuati per i canali porta a porta, shop, negozi WindTre e full web.

Trattamenti esaminati e modalità operative

Acea Energia opera nel mercato libero della vendita di energia e gas a clienti finali. Nei canali porta a porta e shop la contrattualizzazione avveniva tramite agenzie incaricate; per il canale porta a porta, fino a maggio 2023 la sottoscrizione era cartacea, poi è stata introdotta anche la modalità digitale. Nel processo erano previsti raccolta dei dati anagrafici, acquisizione del documento di identità, OTP, instant call e successivi controlli di congruenza.

Per il canale shop la contrattualizzazione seguiva una procedura analoga a quella digitale, ma senza instant call e senza controlli automatici generalizzati sulle ripetizioni di e-mail, numeri di telefono e indirizzi IP, salvo controlli a campione. Nei negozi WindTre il rapporto era inquadrato come contitolarità con Wind Tre S.p.A. e la procedura prevedeva la sottoscrizione tramite OTP. Il canale full web consentiva al cliente di concludere autonomamente il contratto online, con controlli automatici introdotti solo da novembre 2023.

Violazioni accertate sul canale porta a porta

Il Garante ha ritenuto che le istruzioni agli agenti fossero troppo generiche e lasciassero eccessiva discrezionalità nelle modalità di acquisizione e gestione del documento di identità. In particolare, era possibile l’uso di dispositivi personali degli agenti per fotografare il documento, con rischio di conservazione impropria e riutilizzo fraudolento dei dati.

È stata inoltre ritenuta insufficiente la gestione della comunicazione di benvenuto, inviata all’e-mail acquisita senza strumenti di verifica dell’effettiva ricezione. Mancavano anche alert automatici per intercettare anomalie procedurali, come recapiti ripetuti o difformi, numeri anomali di instant call e proposte multiple a nome dello stesso soggetto. Anche il controllo sugli altri contratti procacciati dagli agenti risultati infedeli era inesistente o insufficiente.

Violazioni accertate su shop, negozi WindTre e full web

Per gli shop e i negozi WindTre, il Garante ha rilevato che l’OTP, da solo, non garantiva la verifica della volontà contrattuale, poiché l’agente poteva usare un recapito diverso da quello dell’interessato. Negli shop mancavano inoltre controlli automatici e l’acquisizione del documento di riconoscimento non era prevista; nei negozi WindTre i controlli automatici sulle ripetizioni di dati sono stati introdotti solo successivamente e la contitolarità dichiarata non rifletteva correttamente il ruolo di Acea Energia nei trattamenti relativi alla gestione del contratto.

Per il full web, il Garante ha osservato che fino a novembre 2023 non erano presenti controlli adeguati; quelli successivamente introdotti riguardavano soltanto la ripetizione di e-mail, telefoni e IP, senza coprire ulteriori anomalie. In generale, l’insieme delle misure non era idoneo a impedire attivazioni non richieste e trattamento di dati inesatti.

Responsabilità del titolare, responsabili del trattamento e audit

L’Autorità ha ribadito che il titolare conserva la responsabilità generale del trattamento anche quando opera tramite responsabili ex art. 28 GDPR. Nel caso concreto, Acea Energia non aveva definito un piano di audit specifico in materia privacy fino al settembre 2024 e, secondo il Garante, non aveva sufficientemente vigilato sulle agenzie incaricate.

Anche la formazione risultava insufficiente: le iniziative riscontrate riguardavano soprattutto il teleselling, mentre non risultavano sessioni specifiche dedicate ai canali porta a porta, shop, negozi WindTre e full web. Sono state quindi ritenute violate le regole di accountability e gli obblighi di verifica periodica dei responsabili.

Conservazione dei dati, segregazione e revoca dei consensi

Sul piano della conservazione, Acea Energia applicava un termine decennale generico anche ai dati relativi ai reclami accolti per attivazione non richiesta, senza una specifica giustificazione. Il Garante ha ritenuto necessaria la definizione di tempi autonomi e più brevi, coerenti con la finalità del trattamento.

È stata inoltre contestata l’assenza di una segregazione effettiva dei dati dei soggetti coinvolti in attivazioni non richieste: tali dati restavano nel CRM insieme a quelli della clientela ordinaria, senza separazione logica e fisica immediata. L’Autorità ha giudicato non idonea la soluzione proposta dalla Società, che prevedeva pseudonimizzazione e inaccessibilità solo dopo 6 mesi.

Infine, è stata rilevata la mancata revoca automatica dei consensi privacy eventualmente prestati in sede contrattuale quando il reclamo veniva accolto.

Valutazioni del Garante e qualificazione giuridica

Il Garante ha concluso che il trattamento era illecito per violazione dei principi di liceità, correttezza, trasparenza, esattezza, limitazione della conservazione, integrità e riservatezza, nonché del principio di responsabilizzazione. Sono stati richiamati gli artt. 5, 13, 24, 28 e 32 GDPR. L’Autorità ha ritenuto che le misure adottate da Acea Energia fossero sistemicamente inadeguate a prevenire gli abusi e a dimostrare la conformità del trattamento.

Misure correttive ingiunte

Sono state impartite diverse prescrizioni ai sensi dell’art. 58, par. 2 GDPR, con termini differenziati:

• entro 3 mesi: conferma documentata dell’attuazione delle misure già dichiarate dalla Società;
• entro 9 mesi: introduzione di sistemi di rilevamento delle ripetizioni di numeri di telefono, e-mail e IP anche per il cartaceo; alert automatici per anomalie procedurali; estensione dell’instant call o di strumenti equivalenti a shop e full web; individuazione di tempi specifici di conservazione; verifiche sui contratti degli stessi agenti in caso di irregolarità; limitazione immediata e segregazione logico-fisica dei dati dei soggetti con reclamo accolto o con contrattualizzazione interrotta per anomalie.

È stata inoltre disposta la limitazione definitiva di ogni ulteriore trattamento dei dati dei 1231 interessati individuati nell’istruttoria, oltre che dei dati relativi ad eventuali ulteriori proposte contrattuali, presentate nel periodo considerato e poi oggetto di reclamo accolto.

Sanzione pecuniaria e pubblicazione

Il Garante ha applicato ad Acea Energia S.p.A. una sanzione amministrativa pecuniaria di euro 2.000.000. Nella quantificazione sono stati considerati la gravità delle violazioni, la durata pluriennale, l’elevato numero di interessati, la negligenza del titolare, le misure correttive spontaneamente avviate, la cooperazione con l’Autorità e l’assenza di precedenti rilevanti sul medesimo oggetto.

È stata disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante. Resta salva la facoltà di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.