Ordinanza ingiunzione o revoca n. 228 del 10/04/2025

Acea Energia S.p.A. - telemarketing illecito e carenze nei controlli sulla filiera commerciale

Il provvedimento riguarda Acea Energia S.p.A. ed è stato adottato all’esito di un’istruttoria avviata a seguito di un esposto su pratiche di telemarketing abusivo nel settore energia. Il Garante ha ritenuto illecito il trattamento di dati personali connesso alla raccolta e all’utilizzo di liste anagrafiche non consensate, nonché alla gestione non adeguatamente controllata della filiera commerciale che ha coinvolto M.G. Company s.r.l. e la D.I. Stefanelli Federica.

Origine dell’istruttoria e quadro fattuale

Gli accertamenti sono stati svolti dal Garante con il supporto della Guardia di finanza, mediante ispezioni del 26 marzo 2024 e ulteriori approfondimenti del 29 marzo 2024 presso varie sedi riconducibili ai soggetti coinvolti. L’esposto descriveva un modello operativo basato su call-center abusivi privi di incarico formale e non censiti presso il ROC, in possesso di liste di clienti da contattare per proporre forniture di luce e gas.

Secondo la ricostruzione dell’Autorità:

• venivano utilizzate liste di soggetti che avevano recentemente cambiato fornitore energetico, le cd. liste "switch-out";
• agli interessati venivano prospettati inesistenti disguidi tecnici nel passaggio tra gestori, con il rischio di doppia fatturazione;
• si proponeva un fittizio "rientro tecnico" in Acea con condizioni vantaggiose;
• dopo il contatto telefonico, un agente porta-a-porta faceva sottoscrivere il contratto, avendo ricevuto via WhatsApp anche l’audio delle conversazioni telefoniche precedenti.

Soggetti coinvolti e continuità della filiera

L’istruttoria ha evidenziato una sostanziale continuità tra M.G. Company s.r.l. e la D.I. Stefanelli Federica. Acea aveva formalmente interrotto il rapporto con M.G. Company nel marzo 2021 e, nell’agosto 2022, aveva affidato il mandato alla D.I. Stefanelli, ma quest’ultima si avvaleva in concreto di personale, strutture e call-center di M.G. Company.

Il Garante ha rilevato che:

• la D.I. Stefanelli aveva una struttura estremamente ridotta, con un solo addetto risultante dalla visura camerale;
• numerosi soggetti indicati da Acea come collaboratori della D.I. risultavano in realtà dipendenti, collaboratori o rappresentanti di M.G. Company;
• tra il 2022 e il 2024 erano stati veicolati ad Acea circa 27.000 punti di fornitura, con provvigioni superiori a due milioni di euro;
• la sede operativa di Ladispoli era condivisa da M.G. Company e da altri operatori della filiera, confermando il centro organizzativo del sistema.

Violazioni contestate e norme richiamate

L’Autorità ha contestato ad Acea la violazione di:

• artt. 5, par. 1, lett. a), 6, 7 e 13 GDPR, nonché art. 130 Codice privacy, per l’utilizzo di liste anagrafiche acquisite senza consenso e senza preventiva informativa, e per la realizzazione di contatti promozionali telefonici illeciti;
• art. 28 GDPR, per l’affidamento di fatto del trattamento a M.G. Company senza regolare designazione quale responsabile o sub-responsabile;
• artt. 5, par. 1, lett. f), e 32 GDPR, per l’accesso ai sistemi informatici di Acea da parte di dipendenti di M.G. Company senza adeguate designazioni e senza presidi di sicurezza sufficienti;
• artt. 24 e 25 GDPR, per la mancata adozione di misure organizzative e di controllo idonee a verificare che le attività commerciali fossero realmente coerenti con il mandato door-to-door e con la disciplina privacy.

Difese di Acea e valutazione del Garante

Acea ha sostenuto di non conoscere il coinvolgimento di M.G. Company, di aver correttamente verificato l’affidabilità della D.I. Stefanelli e di aver adottato varie misure correttive dopo l’ispezione. Ha inoltre affermato che i soggetti operanti per la D.I. Stefanelli fossero da considerarsi incaricati di quest’ultima, non sub-responsabili di Acea.

Il Garante ha ritenuto tali difese non decisive, osservando che:

• le verifiche effettuate da Acea si limitavano alla generale onorabilità della controparte e non erano adeguate a valutare l’idoneità quale responsabile del trattamento ai sensi dell’art. 28 GDPR;
• la reale struttura della D.I. Stefanelli e il coinvolgimento di M.G. Company erano agevolmente verificabili attraverso la documentazione camerale e audit mirati;
• alcuni scambi e contenuti delle chat mostravano una confidenzialità e un livello di conoscenza incompatibili con una totale ignoranza del ruolo di M.G. Company;
• il fenomeno era conosciuto nel settore e la società avrebbe dovuto dotarsi di anticorpi organizzativi e controlli più rigorosi.

Responsabilità di Acea per la filiera commerciale

Secondo l’Autorità, Acea non può sottrarsi alla responsabilità invocando la mera difformità delle condotte dei partner rispetto alle istruzioni ricevute. Il provvedimento sottolinea il principio di accountability del titolare e la necessità di controlli effettivi, anche ex ante ed ex post, sull’intera filiera dei trattamenti, specialmente in un mercato caratterizzato da prassi illecite diffuse come il telemarketing energetico.

Il Garante ha ritenuto che Acea avrebbe potuto e dovuto riconoscere:

• il rischio connesso all’utilizzo di liste di provenienza illecita;
• l’anomalia di una ditta individuale con produzione elevata e struttura sostanzialmente inesistente;
• la presenza di soggetti provenienti da M.G. Company nella gestione delle attività commerciali;
• l’uso di sistemi informatici aziendali da parte di soggetti non autorizzati.

Misure correttive e prescrizioni

Il Garante ha ingiunto ad Acea:

• di comunicare a tutti gli interessati i cui dati sono confluiti nei sistemi aziendali a seguito delle acquisizioni illecite l’esito del procedimento, secondo un testo da concordare con l’Autorità;
• di controllare che le agenzie stipulino con eventuali sub-agenti contratti conformi al contratto standard con chiara esplicitazione della distribuzione delle responsabilità ai sensi dell’art. 28 GDPR;
• di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

È stata adottata un’ordinanza-ingiunzione per l’applicazione della sanzione amministrativa pecuniaria ex art. 83 GDPR. Il provvedimento richiama il massimo edittale teorico di 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, e determina nel caso concreto un massimo edittale pari a 91.000.983.270 euro sulla base del fatturato di Acea Energia al 31 dicembre 2023.

Nel quantificare la sanzione, il Garante ha valorizzato:

• la gravità delle violazioni e il numero degli interessati coinvolti;
• la durata delle condotte illecite, protrattesi dal 2022 al marzo 2024;
• la gravemente negligente omissione di controlli;
• il grado di responsabilità del titolare;
• come attenuanti, l’adozione successiva di misure correttive e la collaborazione prestata all’Autorità.

La sanzione irrogata è pari a 3.000.000 euro, con applicazione anche della pubblicazione del provvedimento sul sito del Garante.

Implicazioni operative

Il provvedimento rafforza alcuni principi di particolare interesse per titolari e DPO:

• non è sufficiente la formalità contrattuale nella nomina dei responsabili, se manca un controllo reale sulla struttura e sulle attività del partner;
• la verifica dell’affidabilità deve riguardare anche l’idoneità concreta al trattamento specifico, non solo l’onorabilità generale;
• in presenza di reti commerciali articolate, occorrono audit, verifiche documentali e controlli tecnici coerenti con il rischio;
• l’adozione postuma di misure correttive attenua la sanzione ma non esclude la responsabilità per le violazioni pregresse.