Ordinanza ingiunzione o revoca n. 170 del 12/03/2026

Enel Energia S.p.A. - telemarketing, ricontatto e controllo dei partner

Il provvedimento riguarda Enel Energia S.p.A. ed è stato adottato a seguito di un reclamo e di ulteriori segnalazioni relative a chiamate indesiderate, contatti promozionali svolti nell’ambito di chiamate gestionali e criticità nelle procedure di ricontatto tramite form e chat web, nonché nei controlli sui partner commerciali impiegati per telemarketing e teleselling.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice privacy. Il reclamante lamentava di aver ricevuto numerose telefonate da operatori già in possesso dei suoi dati, pur essendo iscritto al Registro pubblico delle opposizioni e non avendo prestato il consenso al marketing. Le segnalazioni ulteriori hanno riguardato casi analoghi, con contatti inizialmente qualificati come gestionali o di benvenuto ma poi sfociati in proposte commerciali.

Nel corso dell’istruttoria, Enel Energia ha rappresentato di avere adottato misure organizzative e tecniche per il telemarketing e il teleselling, tra cui:

• verifica presso il Registro pubblico delle opposizioni;
• confronto con black list interne;
• script per gli operatori;
• informativa semplificata ed estesa;
• tracciamento delle lead con coppia IP-timestamp;
• invio di SMS di opt-out;
• controlli periodici e audit sui partner;
• introduzione di piattaforme di campaign management per tracciare la filiera del contatto.

Contatti gestionali e utilizzo improprio per finalità commerciali

Il Garante ha ritenuto che, in almeno tre casi emersi nel procedimento, contatti telefonici avviati per finalità gestionali o di caring siano stati utilizzati per proporre offerte commerciali, senza previa verifica dell’esistenza di un valido consenso marketing. La Società ha riconosciuto la prassi e ha dichiarato di avere poi introdotto ulteriori cautele, ma l’Autorità ha osservato che tali misure risultavano adottate solo in corso di procedimento.

La condotta è stata ritenuta contraria agli artt. 5, 6, 7 e 24 GDPR e all’art. 130 del Codice privacy, poiché:

• il trattamento non era sempre sorretto da un’idonea base giuridica;
• la proposta commerciale non era stata sollecitata dal cliente;
• l’attività appariva incompatibile con la finalità originaria del contatto gestionale;
• nei casi esaminati gli interessati avevano anche espresso diniego alle comunicazioni promozionali.

Il Garante ha richiamato il principio per cui il contatto gestionale è lecito se limitato all’esecuzione del contratto o a misure precontrattuali, ma non può essere sfruttato per finalità ulteriori senza consenso valido.

Controllo sui partner e accountability del titolare

Per quanto riguarda i partner commerciali e i fornitori coinvolti nelle attività di telemarketing e teleselling, il Garante ha rilevato che Enel Energia aveva predisposto varie misure contrattuali e organizzative, tra cui prequalifica dei fornitori, penali contrattuali, uso di piattaforme di tracciamento e pianificazione di audit on site. Tuttavia, ha ritenuto non sufficienti le evidenze sulla selezione e sul controllo effettivo dei partner, in particolare sotto il profilo privacy.

Secondo l’Autorità, la Società non aveva dimostrato di svolgere adeguate verifiche ex ante sulle competenze in materia di protezione dei dati personali né sull’eventuale esistenza di precedenti procedimenti o misure correttive del Garante. Inoltre, le misure correttive nei confronti di un partner coinvolto in una segnalazione sarebbero state attivate solo dopo l’avvio del procedimento dell’Autorità, e non tempestivamente alla prima emersione dell’anomalia.

Sono stati quindi ritenuti integrati i profili di violazione degli artt. 5, 24 e 28 GDPR, con rilievo per la mancata adozione di misure adeguate nella selezione e nella vigilanza sui responsabili del trattamento e sui partner operativi.

Procedure di ricontatto tramite form e chat: opt-out ritenuto inadeguato

Uno dei profili centrali del provvedimento riguarda le procedure di ricontatto mediante form e chat presenti sul sito della Società e su siti di partner commerciali. Enel Energia ha descritto un meccanismo basato sull’invio di un SMS di opt-out, con possibilità per l’interessato di revocare la richiesta entro 90 secondi, o entro due minuti nel caso dei form dei partner; se la revoca interveniva più tardi, il contatto poteva comunque avvenire entro la validità della lead.

Il Garante ha ritenuto tale meccanismo non adeguato, perché:

• non verifica in modo sufficiente la genuinità della richiesta;
• non consente di accertare l’identità del soggetto che inserisce i dati;
• non impedisce l’uso di numerazioni acquisite aliunde o illecitamente;
• espone al rischio che l’SMS venga ignorato o scambiato per un tentativo di truffa;
• non blocca davvero il ricontatto se la revoca interviene oltre il termine brevissimo previsto.

L’Autorità ha richiamato la propria giurisprudenza recente e il Codice di condotta in materia di telemarketing e teleselling, evidenziando che un sistema di conferma attiva della volontà di essere ricontattati, come il double opt-in o misure equivalenti, offre maggiori garanzie di liceità e di prova del consenso.

Valutazioni finali del Garante

Il Garante ha concluso che le difese di Enel Energia non erano idonee a escludere la responsabilità della Società. Pur riconoscendo l’esistenza di sforzi organizzativi, formativi e tecnici, ha osservato che diverse criticità erano state risolte solo dopo l’intervento dell’Autorità e che altre risultavano ancora presenti.

In sintesi, sono state ritenute accertate:

• la violazione dei principi di liceità, correttezza, trasparenza e responsabilizzazione nei trattamenti connessi ai contatti gestionali e di caring;
• la mancata adozione di misure sufficienti a garantire la liceità delle procedure di ricontatto;
• l’inadeguatezza dei controlli sui partner commerciali.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato gli artt. 166, comma 7, del Codice privacy e 83, parr. 3 e 5, GDPR. Ha rilevato che, per le violazioni accertate, il massimo edittale era pari a euro 938.419.854,00, calcolato tenendo conto del fatturato della Società.

Nel determinare l’importo finale, l’Autorità ha considerato:

• la gravità delle violazioni, in un settore particolarmente critico come il telemarketing;
• la cooperazione della Società nel corso del procedimento, valutata come elemento attenuante;
• il fatto che fossero coinvolti dati personali comuni.

La sanzione è stata fissata in euro 563.052,00, pari allo 0,06% del massimo edittale.

Ordini correttivi e prescrizioni

Oltre alla sanzione pecuniaria, il Garante ha imposto a Enel Energia, ai sensi dell’art. 58, par. 2, lett. d), GDPR:

• di adottare misure adeguate affinché eventuali responsabili del trattamento offrano garanzie sufficienti e competenze adeguate in materia di protezione dei dati personali;
• di adottare misure adeguate affinché le procedure di ricontatto siano svolte nel pieno rispetto della normativa privacy.

La Società è stata inoltre ingiunta, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità entro 30 giorni dalla notifica le iniziative adottate per dare attuazione alle misure imposte.

Ulteriori effetti del provvedimento

È stata disposta:

• la pubblicazione del provvedimento;
• la pubblicazione della sanzione accessoria sul sito del Garante;
• l’annotazione nel registro interno dell’Autorità.

È stata altresì richiamata la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice privacy, con pagamento entro 30 giorni di un importo pari alla metà della sanzione irrogata, e l’opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.