Ammonimento n. 555 del 23/07/2026

Ammonimento a Eni Plenitude per ritardata rettifica di un indirizzo e-mail

Il provvedimento riguarda il reclamo presentato il 1° aprile 2025 da un interessato ai sensi dell’art. 77 GDPR, in relazione al riscontro fornito da Eni Plenitude S.p.A. Società Benefit a un’istanza di rettifica del 24 gennaio 2025. L’interessato riceveva da diversi mesi, al proprio indirizzo e-mail, fatture e comunicazioni di pagamento intestate a un altro cliente della società.

Fatto e attività istruttoria

L’indirizzo e-mail era stato erroneamente associato all’anagrafica del diverso cliente al momento dell’attivazione della fornitura. Nella risposta del 14 febbraio 2025, la società aveva riconosciuto l’errata associazione, ma aveva dichiarato di non poter aggiornare il dato senza l’autorizzazione dell’altro cliente. Aveva inoltre invitato l’interessato a valutare la creazione di un indirizzo e-mail alternativo.

Il Garante ha svolto l’istruttoria mediante richieste di informazioni del 23 aprile e dell’11 settembre 2025, alle quali la società ha risposto il 23 maggio e il 9 ottobre 2025. Successivamente, il 28 gennaio 2026, sono state notificate le violazioni degli artt. 5, par. 1, lett. d), 5, par. 2, 12, 16 e 24 GDPR. La società ha presentato scritti difensivi, integrati nell’audizione del 22 aprile 2026 e con una comunicazione del 21 maggio 2026.

Gestione della rettifica e ritardo nell’aggiornamento

La procedura interna applicata dalla società prevedeva che, quando un terzo dichiarava di essere il legittimo titolare di un recapito presente nell’anagrafica di un cliente, la rimozione potesse avvenire solo dopo una verifica con il cliente stesso. Non erano tuttavia previsti termini precisi entro i quali procedere alla cancellazione in caso di mancato riscontro o irreperibilità.

La società aveva tentato di contattare l’altro cliente mediante:

• comunicazione cartacea del 7 marzo 2025;
• telefonate del 6 e 7 marzo e del 3 aprile 2025.

Non essendo riuscita a reperirlo, il 4 aprile 2025 aveva rimosso l’indirizzo e-mail dall’anagrafica. Aveva inoltre chiesto all’agenzia esterna di recupero crediti di eliminare il recapito dai propri sistemi; l’agenzia aveva confermato la cancellazione l’8 aprile 2025.

Valutazione sul principio di esattezza e accountability

Il Garante ha ricordato che l’art. 5, par. 1, lett. d), GDPR impone di trattare dati esatti e aggiornati e di adottare misure ragionevoli per garantirne accuratezza e qualità. Tale principio deve essere letto insieme all’art. 5, par. 2, e all’art. 24 GDPR, che attribuiscono al titolare la responsabilità generale del trattamento e l’obbligo di predisporre misure tecniche e organizzative adeguate e dimostrabili.

Il titolare deve quindi organizzare procedure efficaci per la gestione delle istanze di esercizio dei diritti, fornendo al personale istruzioni, modelli di risposta, termini e prassi operative per le diverse casistiche. Nel caso concreto, la procedura non prevedeva tempi definiti per la rettifica quando il dato inesatto risultava registrato nell’anagrafica di un terzo e quest’ultimo era irreperibile.

Tuttavia, considerata l’eccezionalità della casistica e il suo ridotto numero statistico — 17 richieste analoghe nel 2025 su 92.126 richieste complessive di rettifica — il Garante ha ritenuto non sussistenti i presupposti per adottare provvedimenti ai sensi dell’art. 58 GDPR con riferimento agli artt. 5, par. 1, lett. d), 5, par. 2 e 24 GDPR. La contestazione relativa a tali disposizioni è stata quindi archiviata limitatamente a questo profilo.

Violazione degli artt. 12 e 16 GDPR

Il Garante ha invece confermato la violazione degli artt. 12 e 16 GDPR.

L’art. 16 riconosce all’interessato il diritto di ottenere senza ingiustificato ritardo la rettifica dei dati personali inesatti che lo riguardano. L’art. 12, par. 2, impone al titolare di agevolare l’esercizio dei diritti previsti dagli artt. 15-22 GDPR e di fornire riscontri adeguati e tempestivi.

Secondo il Garante, la procedura applicata dalla società non era idonea ad assicurare la rettifica tempestiva. L’attesa dell’autorizzazione dell’altro cliente, in assenza di un termine massimo e in presenza di una concreta difficoltà di contatto, aveva determinato il mantenimento dell’erronea associazione per diversi mesi.

Inoltre, la valutazione caso per caso avrebbe dovuto condurre il personale a una soluzione più proattiva. Nel contesto concreto erano presenti elementi anomali, tra cui il mancato pagamento delle fatture fin dall’attivazione della fornitura e la difficoltà di contattare il cliente, tanto da rendere necessario il coinvolgimento di una società di recupero crediti. Il Garante ha ritenuto che tali elementi avrebbero dovuto indurre almeno alla sospensione temporanea dell’invio, all’indirizzo contestato, delle fatture e dei solleciti destinati all’altro cliente.

Il riscontro con cui l’interessato era stato invitato a creare un nuovo indirizzo e-mail è stato inoltre considerato inadeguato. La società lo ha qualificato come errore umano, non previsto dalla procedura interna e non conforme alle istruzioni fornite agli operatori.

Misure adottate dalla società

Nel corso del procedimento la società ha adottato o dichiarato di avere adottato diverse misure:

• cancellazione dell’indirizzo e-mail dall’anagrafica del terzo cliente;
• eliminazione del recapito dai sistemi dell’agenzia di recupero crediti;
• modifica della procedura interna sui diritti degli interessati;
• previsione di un massimo di due tentativi di contatto telefonico;
• invio di SMS informativi in caso di mancata risposta telefonica;
• termine di una settimana per il riscontro del cliente a ciascun tentativo;
• invio di una raccomandata A/R dopo sette giorni dall’ultimo contatto telefonico;
• ulteriore termine di sette giorni prima della cancellazione definitiva del recapito;
• confronto con l’operatore e con il team per correggere la modalità di risposta utilizzata;
• sessioni formative semestrali per il personale che gestisce le richieste degli interessati ai sensi degli artt. 12-22 GDPR.

Misure correttive e sanzione

Poiché il 4 aprile 2025 la società aveva completato la rettifica e aveva successivamente modificato le proprie procedure, il Garante ha ritenuto che non ricorressero i presupposti per adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

La violazione degli artt. 12 e 16 GDPR è astrattamente sanzionabile ai sensi dell’art. 83, par. 5, lett. b), GDPR. Tuttavia, tenuto conto della natura, gravità e durata della condotta, nonché degli altri elementi del caso, il Garante ha qualificato la fattispecie come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR e ha ritenuto sufficiente l’ammonimento previsto dall’art. 58, par. 2, lett. b), GDPR.

Criteri di valutazione della violazione

Il Garante ha valorizzato i seguenti elementi:

• limitata gravità, considerata la peculiarità e la circoscritta portata della fattispecie, la durata del trattamento, indicata in due mesi, e il coinvolgimento di una sola persona fisica;
• natura non sensibile dei dati trattati, ai sensi dell’art. 83, par. 2, lett. g), GDPR;
• carattere colposo della violazione, riconducibile alla combinazione tra l’assenza di indicazioni predefinite per il caso concreto e l’errore dell’operatore;
• adozione di misure di mitigazione, tra cui la rettifica del dato e la modifica delle policy interne;
• moderato grado di responsabilità, poiché l’inadeguatezza organizzativa riguardava una specifica ipotesi di dato inesatto registrato nell’anagrafica di un terzo;
• cooperazione con l’Autorità durante il procedimento;
• assenza di precedenti violazioni pertinenti o precedenti provvedimenti ai sensi dell’art. 58 GDPR per il medesimo oggetto;
• ulteriore elemento attenuante costituito dalla qualifica della società come società benefit ai sensi degli artt. 376-384 della legge n. 208/2015.

Dispositivo ed effetti

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato da Eni Plenitude per violazione degli artt. 12 e 16 GDPR;
• ammonito la società ai sensi dell’art. 58, par. 2, lett. b), GDPR per il mancato tempestivo e puntuale riscontro all’istanza di rettifica;
• disposto l’annotazione della violazione e della misura nel registro interno dell’Autorità ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019.

Non è stata irrogata una sanzione pecuniaria e non sono state imposte ulteriori misure correttive.

Impugnazione

Avverso il provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. n. 150/2011, mediante ricorso al tribunale ordinario competente entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all’estero.