Ordinanza ingiunzione o revoca n. 248 del 29/04/2025

Energia Verde S.p.A. - telemarketing illecito, riscontro tardivo al Garante e gestione inadeguata dei diritti

Il provvedimento riguarda Energia Verde S.p.A., operante nel settore energetico, e prende le mosse da numerosi reclami e segnalazioni per chiamate promozionali indesiderate, oltre che da criticità nel riscontro alle richieste istruttorie dell’Autorità e alle istanze di esercizio dei diritti degli interessati.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice privacy a seguito di un flusso rilevante di reclami e segnalazioni, circa un centinaio, per telefonate promozionali effettuate nell’interesse di Energia Verde verso utenze iscritte al Registro pubblico delle opposizioni (RPO) e senza idonea base giuridica. Alcuni interessati hanno inoltre lamentato il mancato o inadeguato riscontro alle richieste di accesso e di altri diritti previsti dal GDPR.

L’Autorità ha inviato una prima richiesta di informazioni l’11 aprile 2024, ai sensi degli artt. 157 del Codice e 58, par. 1, lett. a), del Regolamento, chiedendo chiarimenti anche sul form di contatto del sito www.energiaverdeitalia.it e sulla gestione delle richieste di ricontatto. Dopo ulteriori segnalazioni, è stata inviata una richiesta integrativa il 27 maggio 2024. Alla scadenza del termine nessuna delle due società coinvolte aveva risposto; solo successivamente Energia Verde ha chiesto una proroga e ha fornito riscontri parziali e poi completi, analogamente a Energia Pulita.

Verifica presso il RPO e riscontri emersi

Il Garante ha acquisito un riscontro della Fondazione Ugo Bordoni, gestore del RPO, sui numeri telefonici oggetto delle doglianze. Sulla base dei contatti della cosiddetta settimana campione, risultavano iscritte al RPO 5 utenze su 81 contatti complessivi, pari al 6,17% circa, e tali contatti avevano condotto all’attivazione di contratti di fornitura.

Ricostruzione dei ruoli e della filiera del trattamento

Dall’istruttoria è emerso che, fino a marzo 2024, Energia Verde aveva esternalizzato in modo sostanziale la promozione e la vendita dei propri servizi a Energia Pulita, che si avvaleva a sua volta di ulteriori soggetti. Il Garante, valorizzando il contenuto contrattuale e il concreto svolgimento delle attività, ha qualificato Energia Verde come titolare del trattamento ex art. 4, punto 7, GDPR e Energia Pulita come responsabile del trattamento ex artt. 4, punto 8, e 28 GDPR; i soggetti ulteriori come sub-responsabili.

La Società aveva invece sostenuto che Energia Pulita operasse con ampia autonomia e che i dati provenissero da liste acquistate autonomamente, ma l’Autorità ha ritenuto che tali elementi non escludessero la titolarità di Energia Verde rispetto alle campagne promozionali da essa commissionate e dalle quali traeva diretto beneficio economico. Il Garante ha richiamato anche le linee guida EDPB 07/2020 e il Codice di condotta in materia di telemarketing, evidenziando che il soggetto che commissiona la campagna è titolare del trattamento, mentre i call center e i teleseller sono responsabili del trattamento.

Illiceità delle attività promozionali antecedenti a marzo 2024

Per il periodo antecedente a marzo 2024, l’Autorità ha ritenuto accertata la realizzazione di telemarketing e teleselling in assenza di una corretta individuazione dei ruoli, senza nomina ex art. 28 GDPR e senza autorizzazione per gli eventuali sub-responsabili. È stata inoltre contestata la mancata prova di adeguate verifiche su informative, consensi e iscrizioni al RPO, nonché la violazione dei principi di liceità, correttezza, trasparenza e accountability.

L’Autorità ha altresì valorizzato le risultanze della verifica campionaria e delle segnalazioni, da cui emergevano contatti promozionali verso numerazioni iscritte al RPO e non iscritte al ROC. È stata esclusa la tesi difensiva secondo cui l’iscrizione al RPO non sarebbe di per sé decisiva, poiché Energia Verde non ha documentato la sussistenza di consensi validi o di informative adeguate per giustificare i contatti effettuati.

Criticità del nuovo assetto organizzativo

Pur riconoscendo l’intervenuta riorganizzazione, il Garante ha rilevato ancora diverse criticità. La procedura interna faceva riferimento al legittimo interesse come base giuridica per alcune attività di marketing rivolte ai prospect presenti negli elenchi generali e non iscritti al RPO, ma tale impostazione è stata ritenuta non aderente alla disciplina applicabile. Il trattamento di marketing via telefono con operatore ricade infatti nella disciplina dell’art. 130 del Codice privacy, che pone il consenso come regola generale, con l’opt-out del RPO quale eccezione nei limiti previsti.

È stata inoltre segnalata la mancanza, nella procedura, di un blocco dell’attivazione della fornitura in caso di anomalie sulla liceità del contatto originario e dell’interlocuzione con l’interessato, nonostante il richiamo al Codice di condotta in materia di telemarketing. Secondo il Garante, non erano stati dimostrati controlli efficaci sulla catena di trattamento, né un bilanciamento adeguato per l’uso del legittimo interesse ex art. 6, par. 1, lett. f), GDPR, per il quale mancavano le valutazioni necessarie.

Form online, informativa e consenso

Il Garante ha dedicato particolare attenzione al form presente nella pagina "Contatti" del sito aziendale. In fase iniziale, il link all’informativa privacy non funzionava correttamente e la casella di consenso risultava automaticamente spuntata, circostanza incompatibile con un consenso libero e inequivocabile. Anche la successiva versione del form è stata ritenuta inadeguata, perché l’informativa non distingueva con sufficiente chiarezza le diverse basi giuridiche e i moduli di consenso non erano sufficientemente granulari rispetto alle molteplici finalità elencate nell’informativa.

Il Garante ha concluso che i dati raccolti tramite tale form venivano trattati in assenza di un’idonea base giuridica, in violazione dei principi di correttezza e trasparenza. È stata inoltre rilevata la mancanza di misure idonee a verificare l’identità del soggetto che conferiva i dati e richiedeva il ricontatto.

Gestione delle richieste degli interessati

Diversi reclamanti avevano riferito di aver richiesto direttamente a Energia Verde l’esercizio dei propri diritti, ricevendo però risposte standardizzate, del tipo che la Società si avvaleva di agenzie commerciali esterne e non era in grado di verificare direttamente l’operato dei partner, limitandosi a inviare una PEC di richiesta cancellazione. Il Garante ha ritenuto tali riscontri generici e non satisfattivi, ravvisando la violazione degli artt. 12 e 15-22 GDPR.

È stato anche osservato che la procedura aziendale per la gestione delle istanze degli interessati è stata adottata con notevole ritardo rispetto all’entrata in vigore del GDPR, a conferma di una gestione non adeguata dei diritti dell’interessato.

Valutazioni sul mancato riscontro alle richieste del Garante

Una delle violazioni principali accertate riguarda il mancato e tardivo riscontro alle richieste di informazioni dell’Autorità. Il Garante ha chiarito che il termine assegnato per il riscontro non ha natura perentoria in senso processuale, poiché il riscontro costituisce un obbligo di cooperazione e non una facoltà difensiva; la sua omissione o tardività integra un illecito amministrativo omissivo sanzionabile ai sensi dell’art. 166, comma 2, del Codice e dell’art. 83, par. 5, GDPR.

La Società non ha fornito nei tempi inizialmente concessi l’elenco delle proposte di acquisto della settimana campione e solo dopo la scadenza del termine ha chiesto una proroga e trasmesso i dati richiesti. Il Garante ha quindi escluso che la difficoltà di reperire le informazioni potesse esonerare dalla violazione.

Violazioni accertate

L’Autorità ha confermato la responsabilità di Energia Verde per le seguenti violazioni:

• artt. 157 del Codice, in relazione agli artt. 31 e 58 GDPR, per il riscontro inadeguato e tardivo alle richieste di informazioni;
• artt. 5, 24 e 28 GDPR, in relazione all’art. 4 GDPR, per l’errata individuazione dei ruoli soggettivi e il conseguente inadempimento degli obblighi connessi;
• artt. 5, 6, 7 e 24 GDPR, nonché art. 130 del Codice, per trattamenti svolti in assenza di idonea base giuridica, di adeguate misure di accountability e di corretta acquisizione del consenso;
• artt. 12 e 15-22 GDPR, per il mancato o inidoneo riscontro alle istanze degli interessati e l’omessa organizzazione di procedure adeguate.

Misure correttive e divieti

A fronte delle violazioni accertate, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento dei dati appartenenti ai segnalanti e ai reclamanti;
• l’ingiunzione di comunicare a 5 interessati gli esiti del procedimento con un testo da concordare con l’Autorità;
• l’ingiunzione di predisporre controlli adeguati sulla rete di vendita e sui sistemi, per evitare l’ingresso di contratti generati da contatti illeciti;
• l’ingiunzione di individuare correttamente identità e ruolo di tutti i soggetti della rete di vendita, con le relative nomine e autorizzazioni privacy;
• l’ingiunzione, per il futuro, di predisporre informative e meccanismi di consenso adeguati e misure per verificare l’identità di chi conferisce i dati mediante form online;
• l’ingiunzione di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha adottato ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, applicando la sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, GDPR. Il massimo edittale è stato individuato in 20.000.000 euro, e l’importo concreto è stato fissato in 100.000 euro, pari allo 0,5% del massimo.

Nella quantificazione sono stati considerati, in particolare:

• la gravità delle violazioni, in relazione al fenomeno del telemarketing e alla tutela dei diritti degli interessati;
• l’implementazione, già in pendenza del procedimento, di alcune misure correttive, valutata come fattore attenuante ai sensi dell’art. 83, par. 2, lett. k), GDPR.

Sanzione accessoria e pubblicazione

È stata disposta la pubblicazione del provvedimento sul sito del Garante, sia ai sensi degli artt. 154-bis del Codice e 37 del regolamento n. 1/2019, sia come sanzione accessoria ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019. L’Autorità ha ritenuto tale misura proporzionata alla durata e gravità delle violazioni e alla necessità di dissuasione.

Rimedi e impugnazione

Il provvedimento indica la possibilità di definizione agevolata della controversia ai sensi dell’art. 166, comma 8, del Codice mediante adempimento alle prescrizioni e pagamento della metà della sanzione entro 30 giorni. In alternativa, è dovuto il pagamento integrale di 100.000 euro entro 30 giorni dalla notifica. Contro il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria entro i termini di legge.