Ordinanza ingiunzione o revoca n. 390 del 24/11/2022

Areti S.p.A. – trattamento inesatto e non aggiornato dei dati CMOR nel Sistema indennitario

Il provvedimento riguarda Areti S.p.A., in relazione alla gestione delle pratiche CMOR e alle comunicazioni effettuate al SII nell’ambito del Sistema indennitario. Il Garante ha esaminato un reclamo dell’interessato, ha svolto istruttoria documentale e ispettiva e ha concluso per l’illiceità di vari trattamenti connessi alla gestione dei dati di morosità nel mercato dell’energia.

Origine del reclamo e oggetto della verifica

L’interessato ha segnalato di essere stato erroneamente indicato come cliente moroso ai fini dell’applicazione del CMOR, con conseguente pregiudizio nel processo di switching verso altro fornitore. Ha inoltre lamentato il mancato o incompleto riscontro alla richiesta di accesso ai dati personali presentata nel 2020.

Per comprendere la vicenda, il Garante ha ricostruito il funzionamento del Sistema indennitario disciplinato da ARERA e del CMOR, precisando che l’informazione sulla presenza di una pratica di indennizzo in corso viene trasmessa dal distributore al SII e può incidere sulla facoltà del venditore entrante di revocare lo switching con riserva.

Esiti dell’istruttoria: errori nei sistemi e disallineamento dei dati

Dalle verifiche è emerso che Areti S.p.A. aveva applicato, nel tempo, regole di estrazione dei dati basate su query non corrette o non aggiornate. Il problema si è manifestato in più fasi:

• prima del dicembre 2016, con una gestione ancora basata sulla tabella Richiesta_Indennizzo;
• tra dicembre 2016 e novembre 2018, con l’introduzione della tabella Pratica_Indennizzo e una query che non teneva conto dell’annullamento già intervenuto;
• tra dicembre 2018 e ottobre 2021, con la migrazione e l’uso di tabelle storicizzate/non aggiornate che continuavano a restituire esiti errati;
• da ottobre 2021 a gennaio 2022, con ulteriori modifiche alla query che hanno comunque prodotto un risultato non corretto fino alla rimozione della tabella storica dal meccanismo di estrazione.

Il Garante ha ritenuto che tali disallineamenti abbiano determinato la comunicazione al SII di dati non corrispondenti alla reale situazione dei clienti, con effetti anche sul mercato libero dell’energia.

Violazione del principio di esattezza

L’Autorità ha accertato la violazione dell’art. 5, par. 1, lett. d), GDPR per tre profili principali:

• errata valorizzazione della morosità dei clienti a causa di query applicate in modo non corretto;
• migrazione non corretta di pratiche nella tabella Pratiche_Indennizzo_SII, con transcodifica in CHIUSA di pratiche che avrebbero dovuto essere ANNULLATA;
• errata individuazione del periodo in cui la pratica deve risultare CMOR-SI, con valorizzazione troppo breve rispetto a quanto previsto dalla disciplina di settore.

Il Garante ha rilevato che le conseguenze hanno riguardato un numero significativo di interessati: 16.743 soggetti per l’errata estrazione e 16.186 persone fisiche per la migrazione non corretta. Ha inoltre osservato che le informazioni inesatte hanno portato, in più casi, al mancato perfezionamento dello switching, con circa 47.767 richieste non andate a buon fine per effetto della revoca del venditore entrante.

Violazione della limitazione della conservazione

È stata contestata la violazione dell’art. 5, par. 1, lett. e), GDPR, perché Areti S.p.A. aveva applicato un termine di conservazione uniforme di 10 anni dalla cessazione del contratto anche ai dati relativi alle pratiche CMOR, senza dimostrare perché tale durata fosse necessaria rispetto alla specifica finalità del trattamento.

Il Garante ha osservato che la gestione del CMOR riguarda una fase limitata del rapporto di fornitura e che, in base alla disciplina di settore, la pratica ha in genere una durata complessiva stimabile in 12-14 mesi, con permanenza nei sistemi interni del distributore per circa 3-5 mesi. Di conseguenza, la conservazione decennale è stata ritenuta non adeguatamente giustificata.

Riscontro all’istanza di esercizio dei diritti

L’istanza di accesso presentata dall’interessato il 21 agosto 2020 è stata riscontrata in modo ritenuto insufficiente. Il primo riscontro si è limitato a indicare categorie generali di dati trattati; il successivo non ha comunque fornito le informazioni relative al CMOR, nonostante queste fossero presenti nei sistemi interni della società.

Il Garante ha quindi ravvisato la violazione degli artt. 12, par. 3, e 15 GDPR, sottolineando che il titolare avrebbe dovuto fornire un riscontro completo anche se le informazioni contenute nei sistemi erano inesatte, proprio perché comunque reperibili e rilevanti ai fini dell’esercizio del diritto di accesso.

Violazione del principio di accountability

L’insieme delle criticità ha portato il Garante a contestare anche la violazione degli artt. 5, par. 2, e 24 GDPR, ritenendo che le misure tecniche e organizzative adottate non fossero adeguate alla natura, al contesto, alle finalità e ai rischi del trattamento.

L’Autorità ha evidenziato carenze sistemiche nella gestione delle query, delle migrazioni di database, della data retention e dei processi di risposta agli interessati, nonostante il titolare abbia successivamente avviato correttivi e iniziative di formazione.

Valutazione delle difese e misure correttive

Areti S.p.A. ha sostenuto, tra l’altro, che la violazione dovesse essere limitata nel tempo e che gli errori fossero tecnici e non intenzionali. Ha anche rappresentato di aver avviato interventi di compliance, tra cui:

• modifica della query di estrazione dei dati CMOR-SI;
• rettifica dei record erroneamente marcati come CHIUSA;
• avvio di procedure di cancellazione coerenti con la retention;
• programmi di formazione;
• predisposizione di una procedura di attestazione delle future migrazioni DB;
• attivazione di indirizzi email dedicati per l’esercizio dei diritti.

Il Garante ha preso atto di tali misure, ma ha comunque ritenuto necessario un intervento correttivo specifico sulla migrazione errata del 2018, imponendo l’annotazione delle rettifiche per tracciare l’inesattezza originaria e il successivo aggiornamento.

Sanzione, criteri di quantificazione e ordini impartiti

L’Autorità ha applicato l’art. 83 GDPR, ritenendo le violazioni sanzionabili ai sensi del par. 5. Nella quantificazione della sanzione ha considerato:

• la gravità e la durata pluriennale della violazione;
• l’elevato numero di interessati coinvolti;
• la delicatezza delle informazioni trattate, idonee a incidere sull’affidabilità creditizia/percepita dei clienti;
• il carattere sistemico delle carenze organizzative;
• la cooperazione del titolare e l’assenza di precedenti;
• le misure correttive già avviate;
• le condizioni economiche del contravventore.

È stata quindi irrogata una sanzione amministrativa pecuniaria di euro 1.000.000.

Sono stati inoltre disposti:

• l’ordine di aggiornare entro sei mesi i dati contenuti nella tabella Pratiche_Indennizzo_SII oggetto di erronea migrazione;
• l’obbligo di annotare, in modo visibile e tracciabile, la circostanza dell’erronea migrazione, con indicazione di data, modalità e ragioni della rettifica;
• il pagamento della sanzione entro 30 giorni dalla notifica, con possibilità di definizione agevolata nei limiti previsti dall’art. 166, comma 8, del Codice;
• la pubblicazione del provvedimento sul sito del Garante;
• la richiesta di comunicare entro sei mesi le iniziative adottate per dare esecuzione al provvedimento.

Il provvedimento indica infine la possibilità di opposizione all’autorità giudiziaria ordinaria nei termini di legge.