Prescrizioni del Garante n. 437 del 17/07/2025

Eni Plenitude: ammonimento per e-mail di customer satisfaction e inviti a recensioni online trattati con base giuridica e informativa inadeguate

Il provvedimento riguarda Eni Plenitude S.p.A. Società Benefit ed è originato da un reclamo relativo a comunicazioni elettroniche inviate ai clienti dopo la sottoscrizione di un contratto di fornitura. L’Autorità ha esaminato, in particolare, e-mail volte a rilevare il grado di soddisfazione del cliente e a sollecitare recensioni online su piattaforme terze, oltre ad alcune comunicazioni promozionali oggetto di un parziale archivio perché già trattate in precedenti provvedimenti.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice e dell’art. 58, par. 2, GDPR a seguito di un reclamo presentato dagli interessati. Nel reclamo si lamentava che, pur in assenza di consensi per finalità promozionali, i reclamanti avevano ricevuto comunicazioni indesiderate nell’interesse di Eni Plenitude e di Sky Italia S.r.l.

L’Ufficio, dopo la prima istruttoria, ha archiviato parzialmente la doglianza relativa alle chiamate promozionali in quanto già esaminate con il provvedimento n. 342 del 6 giugno 2024. Ha invece concentrato l’istruttoria sulle e-mail di customer satisfaction e su quelle finalizzate a ottenere recensioni online, richiedendo informazioni alla Società ai sensi degli artt. 157 del Codice e 58 GDPR.

Le spiegazioni fornite dal titolare

Eni Plenitude ha sostenuto che le e-mail contestate fossero riconducibili all’esecuzione del contratto ex art. 6, par. 1, lett. b) GDPR, trattandosi di attività di caring e di miglioramento del servizio, prive di contenuto commerciale o promozionale. La Società ha affermato che l’informativa era resa su più livelli, con richiamo nelle condizioni contrattuali e link all’informativa estesa sul sito web, e che era anche presente un meccanismo di disiscrizione in calce alle comunicazioni.

Successivamente, a seguito della contestazione, la Società ha rivalutato la base giuridica, individuandola nel legittimo interesse ex art. 6, par. 1, lett. f) GDPR, e ha aggiornato il Registro delle attività di trattamento e l’informativa privacy, introducendo una sezione dedicata alle attività di customer satisfaction e caring. In tale sezione sono state indicate le finalità, la base giuridica, le modalità di opposizione e i canali per non ricevere più le comunicazioni.

Valutazioni del Garante sulla base giuridica

L’Autorità ha ritenuto non condivisibile la ricostruzione della società fondata sull’art. 6, par. 1, lett. b) GDPR. Richiamando il Considerando 44, i principi di cui all’art. 5 GDPR, le Linee guida EDPB 2/2019 e la giurisprudenza della Corte di giustizia, il Garante ha ribadito che la base contrattuale è utilizzabile solo quando il trattamento sia oggettivamente necessario all’esecuzione del contratto o alle misure precontrattuali richieste dall’interessato.

Le e-mail per sondare la soddisfazione del cliente e per invitarlo a lasciare recensioni online sono state considerate estranee al nucleo essenziale degli obblighi e dei diritti derivanti dal contratto di fornitura energetica. Tali attività, pur utili al miglioramento del servizio e meritevoli di tutela, non sono state giudicate indispensabili alla conclusione o esecuzione del contratto.

Il Garante ha quindi indicato nel legittimo interesse la base giuridica corretta, richiamando l’art. 6, par. 1, lett. f) GDPR e il relativo bilanciamento tra interessi del titolare e diritti degli interessati. Ha valorizzato, in particolare, la natura non invasiva del canale utilizzato, la natura comune dei dati, l’agevole esercizio dell’opposizione tramite link e il fatto che gli interessati potessero ragionevolmente attendersi tali trattamenti nell’ambito della relazione contrattuale, purché correttamente qualificati.

Profili di trasparenza e informativa

L’errata individuazione della base giuridica ha inciso anche sulla qualità dell’informazione resa agli interessati. Secondo il Garante, l’informativa originaria presentava i trattamenti contestati come connessi all’esecuzione del contratto, facendo apparire le comunicazioni necessarie e inevitabili, quando invece esse richiedevano un diverso fondamento giuridico.

L’Autorità ha inoltre evidenziato che la stratificazione delle informative e i disclaimer in calce alle e-mail rendevano meno agevole per l’interessato comprendere quali fossero gli strumenti per opporsi o per esprimere compiutamente la propria volontà. In seguito, tuttavia, è stato apprezzato l’aggiornamento dell’informativa, che ha specificato in modo più chiaro finalità, base giuridica e canali di opt-out.

Violazioni accertate

All’esito dell’istruttoria, il Garante ha accertato la responsabilità di Eni Plenitude per le seguenti violazioni:

• artt. 5 e 6 GDPR, per aver trattato i dati personali dei reclamanti per l’invio di e-mail di customer satisfaction e per l’invito a pubblicare recensioni online senza corretta valutazione e individuazione della base giuridica;
• artt. 5, 12, 13 e 14 GDPR, per aver trattato i dati personali in assenza di un’idonea informativa preventiva.

Misura adottata e ragioni della scelta

Pur in presenza di violazioni accertate, il Garante non ha ritenuto necessario adottare ulteriori misure correttive o sanzionatorie. Ha quindi applicato, ai sensi dell’art. 58, par. 2, lett. b) GDPR, un ammonimento nei confronti di Eni Plenitude.

La scelta è stata motivata dal carattere di novità delle questioni giuridiche affrontate, dalla natura episodica della doglianza, dal limitato impatto sui diritti e le libertà degli interessati, dal contegno collaborativo del titolare e dalle misure rimediali già adottate nel corso del procedimento.

Altri profili rilevanti

Il provvedimento richiama anche il fatto che la Società aveva in precedenza definito altri procedimenti con pagamento in misura ridotta, con conseguente esclusione dell’aggravante di cui all’art. 83, par. 2, lett. e) GDPR ai sensi dell’art. 8-bis, comma 5, della legge n. 689/1981.

Infine, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito e la relativa annotazione nel registro interno delle violazioni e delle misure adottate.