Parere del Garante n. 695 del 14/11/2024

Messa a disposizione dei dati di misurazione dell’energia elettrica e del gas a terze parti autorizzate

Il Garante esamina lo schema di deliberazione ARERA recante la disciplina per la messa a disposizione dei dati di misurazione dell’energia elettrica e del gas naturale dei clienti finali a soggetti terzi da essi autorizzati, con aggiornamento dell’area privata del Portale consumi. Il parere è reso in relazione all’attuazione dell’art. 9, commi 3, lett. d), e 3-bis, del d.lgs. 102/2014, come modificato dalla l. 214/2023.

Quadro normativo di riferimento

Il parere ricostruisce l’evoluzione del Sistema informativo integrato (SII), istituito presso Acquirente Unico S.p.A. dall’art. 1-bis del d.l. 105/2010, e successivamente ampliato con i dati di misura e con il Portale dei consumi. Viene richiamato anche l’art. 9 del d.lgs. 102/2014, che ora prevede:

• la messa a disposizione dei dati del contatore di fornitura, su richiesta del cliente finale, anche a un soggetto terzo univocamente designato;
• l’istituzione di un registro informatico dei soggetti terzi che accedono ai dati, con evidenza gratuita degli accessi, della loro cronologia e della tipologia di dati consultati.

Contenuto dello schema di deliberazione ARERA

Lo schema sottoposto al Garante approva:

• la disciplina relativa all’accesso delle terze parti autorizzate ai dati di misura di energia elettrica e gas naturale;
• il nuovo regolamento di funzionamento del Portale consumi, sostitutivo di quello del 2019.

La disciplina prevede che il cliente finale possa autorizzare l’accesso ai dati solo per due finalità determinate:

• confronto di offerte comparabili;
• erogazione di servizi connessi all’energia.

Le terze parti che possono essere autorizzate, previa iscrizione in un apposito elenco e accreditamento al SII, comprendono le imprese di vendita e ulteriori soggetti che forniscono servizi energetici, appartenenti a categorie selezionate e già identificati presso GSE, Terna, CNCU o CNEL. Per i soggetti esterni al settore energetico e non iscritti in elenchi identificativi, l’ammissibilità viene rinviata a successive valutazioni.

Tipologie di dati e limiti del trattamento

Il Garante prende atto che i dati messi a disposizione delle terze parti sono limitati ai soli dati effettivi di misura direttamente rilevati dagli strumenti di misura e validati dalle imprese di distribuzione, comprensivi del POD/PDR, della data di rilevazione, della tipologia del dato e della potenza massima assorbita. Sono esclusi dati diversi dalle mere misurazioni, le elaborazioni e i dati contrattuali.

Anche la profondità temporale dei dati è contenuta entro limiti predefiniti, differenziati in base alla finalità autorizzata. La cessazione dell’accesso avviene alla scadenza del periodo di riferimento, alla fine di validità dell’autorizzazione o alla revoca del cliente, con obbligo per la terza parte di cancellare i dati già scaricati per evitare ulteriori trattamenti.

Garanzie procedurali per il cliente finale

Il cliente finale accede alla propria area privata del Portale tramite autenticazione SPID o CIEId di livello 2. La richiesta di autorizzazione è formulata dalla terza parte, che indica fornitura, dati identificativi del cliente, esistenza di un contratto o accordo preliminare e finalità del trattamento. Il Gestore verifica la coerenza delle informazioni e genera la richiesta nell’area privata del cliente.

Per le persone fisiche, l’autorizzazione deve essere confermata entro 3 giorni lavorativi, decorso il quale la richiesta viene cancellata. Se sono presenti più richieste, il Portale le rende visibili una alla volta, in ordine di formulazione. Il cliente può inoltre gestire le autorizzazioni e le revoche direttamente nella propria area privata.

Valutazioni del Garante sui principi GDPR

Il Garante ritiene che lo schema, anche grazie alle interlocuzioni intercorse con ARERA, abbia recepito misure coerenti con il principio di privacy by design e by default di cui all’art. 25 GDPR. In particolare, le misure sono giudicate idonee a rispettare:

• la liceità, correttezza e trasparenza;
• la limitazione della finalità;
• la minimizzazione dei dati;
• la limitazione della conservazione;
• l’integrità e riservatezza;
• la sicurezza del trattamento.

Il Garante evidenzia che eventuali trattamenti ulteriori, come marketing o profilazione, non rientrano nella disciplina esaminata e richiederebbero autonome basi giuridiche ex art. 6 GDPR e adeguate informazioni ex artt. 12 e 13 GDPR.

Ruolo del Gestore del SII e obblighi di accountability

Lo schema attribuisce al Gestore la definizione delle specifiche tecniche necessarie all’implementazione del provvedimento, qualificandolo come autonomo titolare del trattamento dei dati personali presenti sul SII e sul Portale consumi. Il Garante richiama quindi gli obblighi di accountability e, in particolare, gli artt. 5, 24, 25 e 32 GDPR.

Secondo l’Autorità, il Gestore deve:

• creare profili e credenziali coerenti con le finalità autorizzate;
• monitorare costantemente l’operatività e gli accessi delle terze parti;
• predisporre verifiche periodiche, audit e controlli sui requisiti delle terze parti, sulle richieste di autorizzazione e sul registro degli accessi;
• individuare e contrastare tempestivamente accessi non autorizzati o utilizzi impropri dei dati.

Valutazione d’impatto e conclusioni

Dato l’elevato rischio derivante dall’ampia platea di terze parti potenzialmente abilitate ad accedere ai dati del SII, il Garante afferma che il Gestore deve preliminarmente svolgere una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR, prima di definire le specifiche tecniche. All’esito della DPIA, potrà rendersi necessaria la consultazione preventiva ex art. 36, par. 1, GDPR.

Il parere finale è favorevole sullo schema di deliberazione ARERA, con l’avvertenza che l’effettiva conformità alla normativa privacy dipende dall’adozione, da parte del Gestore, delle misure tecniche e organizzative necessarie e dalla corretta delimitazione degli accessi e delle finalità di trattamento.