Ordinanza ingiunzione o revoca n. 736 del 27/11/2024

E.ON Energia S.p.A. - telemarketing illecito, gestione non corretta dei consensi e mancato riscontro ai diritti

Il Garante per la protezione dei dati personali ha definito, con provvedimento del 27 novembre 2024, un procedimento avviato nei confronti di E.ON Energia S.p.A. a seguito di due reclami riuniti, relativi a contatti promozionali indesiderati, gestione irregolare dei consensi e omesso riscontro a istanze di esercizio dei diritti.

Origine del procedimento e svolgimento dell’istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice privacy, dopo la ricezione di due reclami. Nel primo, l’interessata lamentava chiamate promozionali non richieste e il mancato riscontro a una richiesta ex artt. 15 e ss. GDPR. Nel secondo, l’interessata segnalava numerose telefonate promozionali successive all’attivazione di forniture energetiche, attribuendole a un illecito uso o trasferimento dei propri dati e a una non corretta registrazione dei consensi nei sistemi del titolare.

Il Garante ha acquisito le informazioni richieste a E.ON ai sensi dell’art. 157 del Codice. La Società ha attribuito gli episodi a errori materiali, a condotte di terzi o a disallineamenti nella trascrizione dei consensi, affermando di avere nel frattempo adottato o rafforzato alcune misure organizzative e tecniche.

Trattamenti esaminati

Il provvedimento riguarda in particolare:

• campagne promozionali e di ricontatto svolte tramite form online e piattaforme social;
• attività di telemarketing e teleselling verso clienti e prospect;
• gestione dei consensi privacy in sede di attivazione e caricamento dei contratti sui sistemi aziendali;
• gestione delle richieste di esercizio dei diritti degli interessati.

Valutazioni sul principio di accountability e sulla liceità del trattamento

L’Autorità rileva che la documentazione prodotta dalla Società non è sufficiente a dimostrare l’effettiva adozione di misure adeguate, come richiesto dagli artt. 5, par. 2, e 24 GDPR, in coerenza con il considerando 74. Il Garante sottolinea che il titolare deve essere sempre in grado di provare la conformità del trattamento e non può limitarsi ad addurre errori di terzi o del personale come giustificazione esimente.

Sotto il profilo della liceità, viene accertata la violazione degli artt. 5, 6, 7 e 24 GDPR, nonché dell’art. 130 del Codice, per trattamenti di telemarketing effettuati senza idonea base giuridica e con misure tecniche e organizzative non adeguate a garantire la conformità fin dalla progettazione.

Campagne digital e raccolta dei dati tramite form online

Per i contatti originati da campagne digital, il Garante osserva che i dati raccolti tramite form online non possono essere considerati legittimi se non sono previste misure idonee a verificare la fonte dei dati e l’identità del soggetto che li conferisce. In assenza di tali verifiche, i form possono essere strumentalizzati per far apparire leciti dati ottenuti in modo illecito o non consenziente, con ricadute su successive attività di contatto promozionale.

L’Autorità richiama la particolare gravità del fenomeno, anche per il rischio che tali pratiche alimentino il circuito illecito del telemarketing e coinvolgano una platea molto ampia di interessati.

Gestione dei consensi e contatti di customer caring

In relazione al secondo reclamo, il Garante rileva che la registrazione dei consensi nei sistemi aziendali risultava non coerente con quelli effettivamente espressi in fase contrattuale. Ciò ha comportato chiamate promozionali basate su un assetto dei consensi non affidabile.

Il provvedimento considera anche le ulteriori attività di c.d. customer caring, chiarendo che tali contatti, anche se formalmente finalizzati a verificare la soddisfazione del cliente, devono comunque rispettare il diritto di opposizione e rientrare entro limiti ragionevoli quanto a frequenza e numero di tentativi. Nel caso di specie, la reiterazione dei contatti è ritenuta indice di un uso non corretto della filiera di contatto commerciale.

Obblighi verso i fornitori e organizzazione interna

Il Garante ritiene integrata anche la violazione degli artt. 24 e 28 GDPR, in relazione all’art. 2-quaterdecies del Codice. La Società non avrebbe dimostrato di aver selezionato e vigilato adeguatamente sui soggetti interni ed esterni coinvolti nei trattamenti, né di aver predisposto un sistema efficace di individuazione, formazione, direzione e monitoraggio del personale autorizzato.

L’Autorità osserva che la documentazione difensiva contiene materiali generici, non sempre datati o personalizzati, e che il quadro complessivo evidenzia un presidio più formale che sostanziale dei rapporti con fornitori e collaboratori.

Mancata risposta alle istanze degli interessati

Viene accertata la violazione degli artt. 12 e 15-22 GDPR per l’omessa implementazione di procedure e misure idonee a garantire un riscontro tempestivo e adeguato alle richieste degli interessati. L’errore umano o il malfunzionamento del processo di smistamento della posta non escludono, per il Garante, la responsabilità del titolare, che deve comunque organizzare flussi interni affidabili.

L’Autorità respinge anche l’argomento secondo cui una precedente spiegazione telefonica al cliente sarebbe sufficiente a escludere l’obbligo di riscontro formale all’istanza privacy successiva.

Misure correttive e sanzione

Alla luce delle violazioni accertate, il Garante:

• impone a E.ON, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di ogni ulteriore trattamento dei dati personali delle reclamanti;
• ingiunge, ai sensi dell’art. 58, par. 2, lett. d), GDPR, l’aggiornamento della modulistica per autorizzare al trattamento le persone che operano sotto l’autorità diretta del titolare, ai sensi dell’art. 2-quaterdecies del Codice;
• ordina la comunicazione all’Autorità, entro 30 giorni dalla notifica, delle iniziative intraprese per dare attuazione alle misure disposte.

Sul piano sanzionatorio, viene adottata ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, con applicazione della sanzione amministrativa pecuniaria di euro 892.738,00. Il massimo edittale è quantificato in euro 89.273.777,20, calcolato in relazione al fatturato dell’ultimo bilancio disponibile.

Criteri di quantificazione della sanzione

Nel determinare la sanzione, il Garante richiama i criteri dell’art. 83, par. 2, GDPR e segnala:

• come aggravante, la gravità delle violazioni, collocate nel fenomeno del telemarketing, rispetto al quale l’Autorità aveva già fornito numerose indicazioni;
• come attenuante, il grado di cooperazione della Società e l’impegno dichiarato per migliorare la compliance già nel corso del procedimento.

La sanzione viene ritenuta proporzionata, effettiva e dissuasiva, pari allo 0,04% del fatturato e all’1% del massimo edittale.

Pubblicazione del provvedimento e rimedi

È disposta la pubblicazione del provvedimento sul sito del Garante, quale sanzione accessoria, in ragione della natura dei trattamenti e del disvalore delle condotte contestate. È inoltre prevista l’annotazione nel registro interno dell’Autorità.

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.