Ordinanza ingiunzione o revoca n. 539 del 25/09/2025

E-Power S.r.l. - telemarketing illecito, diritti dell’interessato e criticità del form web

Il provvedimento riguarda E-Power S.r.l. ed è stato adottato all’esito di un’istruttoria avviata a seguito di un reclamo e di numerose segnalazioni relative a chiamate promozionali indesiderate nel settore energia/fotovoltaico, nonché al mancato riscontro a un’istanza di esercizio dei diritti.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy per l’adozione di provvedimenti ex art. 58, par. 2, GDPR. Il reclamo principale lamentava:

• ricezione di due chiamate promozionali senza consenso;
• iscrizione del numero al Registro Pubblico delle Opposizioni;
• mancato riscontro all’istanza inviata via PEC l’11 giugno 2024.

Nel corso dell’istruttoria sono pervenute ulteriori segnalazioni analoghe, per un totale considerato dal Garante di 22 segnalazioni e un reclamo. L’Autorità ha chiesto informazioni alla Società e ha poi formulato una contestazione formale, dopo aver acquisito anche documentazione relativa al contratto con il list provider moldavo I.C.S. Besteast S.r.l. e alla nomina a responsabile del trattamento da questa conferita a E-Power.

Condotte esaminate

Il Garante ha esaminato tre ambiti principali:

• le campagne di telemarketing e teleselling;
• la gestione delle istanze di esercizio dei diritti;
• il form presente sul sito web aziendale per il ricontatto.

Telemarketing, base giuridica e numerazioni utilizzate

L’Autorità ha ritenuto accertato che le attività promozionali fossero svolte:

• in assenza di un’idonea base giuridica;
• senza prova della validità dei consensi;
• con numerazioni non iscritte al ROC;
• anche verso numeri iscritti al Registro Pubblico delle Opposizioni.

Sono stati richiamati gli artt. 5, 6, 7 e 24 GDPR e l’art. 130 del Codice privacy. Il Garante ha sottolineato che il titolare deve dimostrare non solo di avere raccolto il consenso, ma anche che esso sia valido ai sensi dell’art. 7 GDPR. Nel caso concreto E-Power si è limitata a produrre il contratto di acquisto delle anagrafiche, senza documentare in modo adeguato l’origine dei dati, le modalità di acquisizione dei consensi e le verifiche preliminari sul RPO.

Filiera dei dati e ruolo dei soggetti coinvolti

Un profilo rilevante ha riguardato la corretta qualificazione dei ruoli tra E-Power e I.C.S. Besteast S.r.l. Il Garante ha escluso la configurabilità del rapporto titolare-responsabile così come prospettato dalla Società e ha ritenuto che:

• E-Power operasse come titolare autonomo, perché determinava finalità e mezzi delle campagne nel proprio interesse;
• anche Besteast operasse come titolare autonomo, in quanto list provider che acquisiva dati per comunicarli a terzi.

Il fatto che il fornitore fosse stabilito in Moldavia ha rafforzato, secondo il Garante, l’esigenza di controlli stringenti sulla provenienza e sulla formazione delle liste. È stato richiamato anche il Codice di condotta in materia di telemarketing e teleselling, utilizzato come riferimento di best practice per la selezione dei list provider e la verifica delle liste.

Gestione dei diritti dell’interessato

Il Garante ha accertato l’omesso riscontro all’istanza di esercizio dei diritti presentata dal reclamante, rilevando la violazione degli artt. 12, 15, 17 e 21 GDPR. La Società non ha fornito una risposta nei termini di legge né ha dimostrato l’esistenza di procedure adeguate per la gestione delle richieste, incluse quelle formulate verbalmente durante i contatti telefonici.

Form di ricontatto e informativa sul sito web

Con riferimento al form presente sul sito aziendale per richiedere il ricontatto, il Garante ha ritenuto non conformi le modalità di raccolta dei dati, poiché:

• non erano previste misure adeguate per verificare l’identità dell’utente;
• non era assicurata la verifica dell’esattezza dei dati inseriti;
• l’informativa ex art. 13 GDPR non risultava consultabile.

Sono stati quindi richiamati gli artt. 5 e 13 GDPR.

Valutazioni sul riscontro all’Autorità

In relazione al tardivo e incompleto riscontro alle richieste istruttorie dell’Autorità, il Garante ha invece archiviato la contestazione. Ha ritenuto che la Società avesse dimostrato circostanze non imputabili e non prevedibili, tali da escludere l’elemento soggettivo della violazione, richiamando il principio di responsabilità personale nelle sanzioni amministrative e l’assenza di responsabilità oggettiva.

Esito del procedimento e misure adottate

Il Garante ha quindi:

• archiviato la contestazione relativa agli artt. 157 del Codice e 31 e 58 GDPR;
• dichiarato illecito il trattamento;
• imposto il divieto di ogni ulteriore trattamento dei dati del reclamante;
• ingiunto l’adozione di misure adeguate per rendere leciti i trattamenti promozionali, con particolare attenzione a selezione dei list provider, origine dei dati, validità dei consensi e verifiche presso il RPO;
• ingiunto misure adeguate anche per i trattamenti connessi al sito web aziendale;
• ordinato la comunicazione all’Autorità, entro 30 giorni, delle iniziative adottate.

Sanzione amministrativa e criteri di quantificazione

Ai sensi degli artt. 166 del Codice e 83, parr. 3 e 5, GDPR, il Garante ha applicato una sanzione pecuniaria di 35.000 euro. Nella quantificazione sono stati considerati:

• la gravità delle violazioni, anche in ragione del numero di interessati coinvolti e del fenomeno del telemarketing;
• il carattere colposo della condotta, qualificata come grave negligenza;
• la cooperazione successiva della Società e la revisione della compliance avviata nel corso del procedimento;
• l’assenza di precedenti e le dimensioni aziendali.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, quale sanzione accessoria, e l’annotazione nel registro interno dell’Autorità.

Indicazioni operative per i destinatari

Il provvedimento conferma alcuni punti di attenzione rilevanti per operatori di telemarketing e committenti:

• la necessità di provare la validità e tracciabilità del consenso;
• l’obbligo di verificare le liste, il RPO e l’eventuale black list;
• la corretta qualificazione dei ruoli nella filiera dei dati;
• l’adozione di procedure effettive per i diritti degli interessati;
• la conformità delle informative e dei form online ai requisiti degli artt. 13 e 5 GDPR.