Ordinanza ingiunzione o revoca n. 352 del 14/05/2026

Energia Sostenibile S.r.l. - telemarketing illecito, form web non conforme e gestione inadeguata dei diritti

Il provvedimento trae origine da un reclamo e da numerose segnalazioni in materia di chiamate commerciali indesiderate, contatti promozionali ingannevoli e riscontro non adeguato a richieste di esercizio dei diritti nei confronti di Energia Sostenibile S.r.l. L’Autorità ha esaminato anche la configurazione del form di contatto presente sul sito aziendale e i rapporti con i partner esterni impiegati per telemarketing e teleselling.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, con contestazione notificata il 12 marzo 2026. L’istruttoria era stata aperta a seguito di un reclamo e di poco più di trenta segnalazioni pervenute tra maggio 2024 e luglio 2025, alle quali se ne sono aggiunte altre nel corso del procedimento. Le doglianze riguardavano:

• chiamate indesiderate su utenze iscritte al Registro Pubblico delle Opposizioni;
• contatti effettuati da numerazioni non iscritte al ROC;
• tecniche di ingaggio descritte come truffaldine, con riferimento a bonus, cambio tariffa o guasti inesistenti;
• difficoltà o inadeguatezza nel riscontro alle istanze degli interessati.

L’Autorità ha chiesto informazioni alla Società ai sensi dell’art. 157 del Codice e ha successivamente disposto un supplemento istruttorio. È stata inoltre svolta una verifica presso la Fondazione Ugo Bordoni sul RPO con riferimento ad alcune numerazioni telefoniche. Dall’esito della verifica è emerso che le sette numerazioni controllate non risultavano iscritte al RPO al tempo delle chiamate promozionali.

Trattamenti esaminati

Il provvedimento riguarda principalmente:

• le attività di telemarketing e teleselling svolte nell’interesse della Società;
• l’utilizzo di partner esterni per la promozione commerciale;
• il form di contatto presente sul sito web aziendale;
• la gestione delle richieste di esercizio dei diritti da parte degli interessati.

Per quanto concerne i partner, la Società ha indicato nel tempo diversi soggetti e ha poi chiarito che, al momento del procedimento, si avvaleva di AEF 2G S.r.l.s. e TOP CONTACT ITALIA S.r.l., formalmente designati responsabili del trattamento. È emerso però che, nel periodo antecedente, Eco Energy S.r.l.s. aveva operato nell’interesse della Società senza una previa corretta formalizzazione del ruolo.

Violazioni contestate e valutazioni del Garante

L’Ufficio ha contestato:

• la violazione degli artt. 5, 6, 7 e 13 GDPR e dell’art. 130 del Codice, per trattamenti svolti senza idonea base giuridica e fuori dai requisiti di legittimità;
• la violazione degli artt. 5, 24 e 28 GDPR, per mancata piena attuazione degli obblighi di accountability, per la carente individuazione dei ruoli soggettivi e per insufficiente selezione e vigilanza sui responsabili;
• la violazione degli artt. 12 e 15 GDPR per l’inadeguato riscontro al reclamante nel fascicolo n. 412519.

Nel merito, il Garante ha ritenuto che le numerose segnalazioni fossero tutte coerenti nel descrivere un modus operandi ricorrente: gli operatori avrebbero paventato circostanze fittizie o si sarebbero presentati come soggetti terzi per poi proporre la sottoscrizione di un contratto con Energia Sostenibile. La difesa della Società, che attribuiva i contatti a terzi non identificati o a iniziative autonome di partner, è stata giudicata non idonea a escludere la responsabilità della Società, anche perché il vantaggio promozionale e la spendita del nome di Energia Sostenibile risultavano funzionali alla stipula dei contratti.

Per il caso Eco Energy S.r.l.s., l’Autorità ha ritenuto che la società operasse in realtà come responsabile del trattamento, anche alla luce dei criteri elaborati dalle Linee guida EDPB 07/2020 e del Codice di condotta per telemarketing e teleselling adottato dal Garante. La mancata formalizzazione del rapporto ai sensi dell’art. 28 GDPR e l’assenza di elementi documentali idonei a dimostrare una seria pre-qualifica dei fornitori hanno portato a confermare la violazione degli obblighi di accountability.

Quanto al form di contatto, il Garante ha rilevato che, in origine, il modulo non garantiva una raccolta del consenso conforme agli artt. 5, 6 e 7 GDPR e all’art. 130 del Codice, poiché i flag e la struttura dell’informativa non consentivano manifestazioni di volontà realmente libere, specifiche e granulari. Anche l’informativa accessibile dal form non conteneva inizialmente tutti gli elementi richiesti dall’art. 13 GDPR, in particolare base giuridica e periodo di conservazione. La Società ha successivamente modificato il form e l’informativa, ma tali correzioni non hanno escluso la violazione pregressa.

Sul fronte dei diritti dell’interessato, il Garante ha considerato insufficiente il riscontro fornito nel fascicolo n. 412519, poiché non pienamente trasparente e non immediatamente esaustivo circa l’identità del soggetto che aveva materialmente effettuato il contatto. Tale condotta è stata ritenuta contrastante con gli artt. 12 e 15 GDPR.

Misure correttive imposte

Il Garante ha imposto alla Società, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di adottare misure adeguate per:

• garantire la liceità dell’intera filiera del trattamento, dal contatto fino alla conclusione del contratto;
• assicurare che eventuali responsabili del trattamento presentino garanzie sufficienti e competenze adeguate;
• garantire un’effettiva vigilanza sull’operato dei responsabili.

È stato inoltre ingiunto alla Società, ai sensi dell’art. 157 del Codice, di comunicare entro 30 giorni dalla notifica le iniziative intraprese per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha adottato ordinanza-ingiunzione ex artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, applicando la sanzione amministrativa pecuniaria di euro 100.000,00.

Ai fini della quantificazione sono stati richiamati gli artt. 83, parr. 3 e 5, GDPR, con valorizzazione del massimo edittale di euro 20.000.000,00. Tra i criteri considerati ai sensi dell’art. 83, par. 2, GDPR sono stati indicati:

• la gravità delle violazioni, in relazione al fenomeno del telemarketing;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione con l’Autorità per rimediare alle violazioni;
• il fatto che le violazioni riguardavano dati personali comuni.

Il Garante ha ritenuto la sanzione proporzionata, effettiva e dissuasiva, pari allo 0,5% del massimo edittale.

Ulteriori disposizioni

È stata disposta:

• la pubblicazione del provvedimento ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019;
• la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante come sanzione accessoria;
• l’annotazione nel registro interno dell’Autorità.

Avverso il provvedimento è ammessa opposizione ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.