Ordinanza ingiunzione o revoca n. 184 del 13/04/2023

Provvedimento sanzionatorio e inibitorio su telemarketing illecito nel settore energia

Il Garante per la protezione dei dati personali ha adottato un provvedimento nei confronti di Mas s.r.l., Mas s.r.l.s., Sesta Impresa s.r.l. e Arnia società cooperativa, nell’ambito di un’istruttoria avviata a seguito di segnalazione della Guardia di finanza. L’oggetto del procedimento riguarda una filiera di telemarketing e acquisizione contratti per servizi energetici sviluppata in modo sistematico e, secondo l’Autorità, radicalmente illecito sotto il profilo privacy.

Origine del procedimento e accertamenti ispettivi

L’atto di avvio del procedimento è del 15 novembre 2022, notificato ai quattro soggetti ai sensi dell’art. 166, comma 5, del Codice. L’istruttoria ha preso le mosse da una segnalazione del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di finanza, a sua volta originata dagli accertamenti condotti dalla Compagnia di Soave nel corso delle ordinarie attività d’istituto.

Le verifiche hanno riguardato:

• Mas s.r.l. e Mas s.r.l.s., società veronesi operanti nella promozione di servizi energetici;
• Sesta Impresa s.r.l., con funzioni di raccordo per la gestione dei contratti e delle attività promozionali;
• Arnia società cooperativa, indicata come centro organizzativo delle attività di call center e data entry.

Trattamenti esaminati e ricostruzione della filiera

Dalle ispezioni è emerso un sistema di promozione commerciale basato su contatti telefonici e visite porta a porta, finalizzato alla sottoscrizione di contratti con operatori del mercato energetico, in particolare Enel Energia e Hera Comm. Le società coinvolte condividevano in vario modo liste di contatti, contratti e flussi di dati, senza che fosse chiaro, né correttamente formalizzato, il ruolo di ciascun soggetto nella filiera del trattamento.

Il Garante ha ricostruito che:

• Mas s.r.l. e Mas s.r.l.s. utilizzavano liste anagrafiche acquisite da terzi, anche esteri, senza adeguata verifica della liceità della raccolta e del consenso;
• Sesta Impresa svolgeva attività promozionali e di acquisizione contratti per più compagnie e agenzie, spesso senza valida designazione quale responsabile o sub-responsabile;
• Arnia svolgeva call center e data entry, accedendo alle piattaforme delle compagnie con credenziali intestate ad altri soggetti e trattando dati in una posizione non coerente con la formale designazione ricevuta.

Violazioni contestate

L’atto di contestazione ha elencato numerose violazioni del GDPR e del Codice privacy, tra cui:

• mancanza di base giuridica e violazione dei principi di liceità, correttezza e trasparenza, anche per trattamenti promozionali e comunicazioni di dati;
• assenza o inadeguatezza dell’informativa ex art. 13 GDPR;
• carenze nella raccolta e nella documentazione del consenso ex artt. 6 e 7 GDPR;
• violazioni degli artt. 28 e 29 GDPR per mancata o impropria designazione di responsabili, sub-responsabili e autorizzati;
• omessa tenuta o messa a disposizione del registro dei trattamenti ex art. 30 GDPR;
• violazioni in materia di sicurezza del trattamento ex art. 32 GDPR per l’uso di credenziali non correttamente attribuite;
• per Arnia, mancato riscontro alle richieste di informazioni dell’Autorità ex art. 157 del Codice e art. 31 GDPR;
• per Mas s.r.l. e Arnia, contestazioni anche in relazione all’art. 130, comma 3, del Codice sul trattamento dei dati per finalità promozionali.

Difese e comportamento dei destinatari

Mas s.r.l., Mas s.r.l.s. e Sesta Impresa non hanno presentato memorie difensive né richiesto audizione. Arnia, invece, ha chiesto di essere ascoltata, ma la sua difesa si è concentrata quasi esclusivamente sul tema del mancato riscontro alle richieste documentali della Guardia di finanza, senza fornire spiegazioni sostanziali sulle più ampie contestazioni.

Successivamente Arnia ha trasmesso una pen-drive contenente oltre 10.000 file, riconducibili a moduli di informativa e consenso. Il Garante ha rilevato criticità nella documentazione prodotta, tra cui la presenza di moduli duplicati, sottoscrizioni in date diverse per lo stesso interessato e, in alcuni casi, firme apparentemente difformi. Tale materiale non è stato ritenuto un riscontro adeguato rispetto alle richieste istruttorie dell’Autorità.

Valutazioni del Garante

L’Autorità ha espresso una valutazione di estrema gravità delle condotte, rilevando che le quattro società hanno operato in un contesto di telemarketing selvaggio, sfruttando le debolezze del sistema e aggirando le regole poste a tutela dei diritti degli interessati. Il provvedimento sottolinea la natura organizzata e sistemica dell’operazione, la pluralità degli anelli della filiera e l’assenza di un corretto presidio delle responsabilità.

Il Garante ha evidenziato in particolare che:

• i trattamenti erano svolti senza che le compagnie energetiche avessero una piena e corretta rappresentazione della filiera;
• i dati personali passavano di mano tra soggetti non adeguatamente designati;
• gli interessati non erano consapevoli dei passaggi dei propri dati tra le varie società;
• l’impostazione complessiva favoriva il proliferare di contatti promozionali illeciti.

Divieto di ulteriori trattamenti e confisca

Ritenendo i trattamenti radicalmente illeciti, il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. f) GDPR, il divieto di ogni ulteriore trattamento finalizzato a:

• realizzare contatti promozionali;
• utilizzare le liste di anagrafiche acquisite da Mas s.r.l.s. e Mas s.r.l. e i database nella titolarità di Arnia;
• svolgere attività di data entry di contratti per l’attivazione di servizi energetici.

È stata inoltre disposta, ai sensi degli artt. 58, par. 6, GDPR, 166, comma 7, del Codice e 20, comma 3, della l. n. 689/1981, la confisca dei supporti informatici e cartacei contenenti:

• le liste di anagrafiche illecitamente acquisite da Mas s.r.l.s.;
• le liste di anagrafiche e i moduli cartacei che compongono i database nella disponibilità di Arnia.

Sanzioni pecuniarie e criteri di quantificazione

L’Autorità ha irrogato sanzioni amministrative pecuniarie ai sensi degli artt. 166, comma 7, del Codice e 18 l. n. 689/1981, in applicazione dell’art. 83, parr. 3 e 5, GDPR. Gli importi stabiliti sono:

• Mas s.r.l.: euro 500.000;
• Mas s.r.l.s.: euro 200.000;
• Sesta Impresa s.r.l.: euro 300.000;
• Arnia società cooperativa: euro 800.000.

Nella quantificazione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• la gravità eccezionale delle violazioni;
• il carattere intenzionale delle condotte;
• lo scarsissimo grado di cooperazione con l’Autorità;
• la capacità economica dei contravventori, desunta dai bilanci 2021;
• il ruolo specifico di ciascuna società nella filiera illecita.

Ulteriori misure e adempimenti

Il Garante ha anche:

• ingiunto alle società di comunicare entro 30 giorni le iniziative intraprese per dare attuazione al divieto;
• avvertito che l’eventuale mancato adempimento può comportare ulteriori sanzioni pecuniarie;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ordinato l’annotazione nel registro interno dell’Autorità;
• trasmesso il provvedimento all’Autorità garante della concorrenza e del mercato per le iniziative di competenza.

Impatto pratico per operatori e consulenti privacy

Il provvedimento è rilevante perché ribadisce che nelle filiere di telemarketing e vendita indiretta non è sufficiente un assetto contrattuale formale se le attività concrete non corrispondono ai ruoli privacy effettivi. In particolare, la decisione evidenzia la necessità di:

• verificare la liceità delle liste di contatti acquisite da terzi;
• formalizzare correttamente i ruoli di titolare, responsabile, sub-responsabile e autorizzato;
• controllare l’uso delle credenziali di accesso ai sistemi delle compagnie;
• garantire informativa, consenso e tracciabilità dei flussi di dati;
• assicurare piena collaborazione con l’Autorità di controllo.