Ordinanza ingiunzione o revoca n. 431 del 15/12/2022

Edison Energia S.p.A. - trattamenti illeciti in attività di marketing e profilazione

Il provvedimento riguarda Edison Energia S.p.A. e trae origine da reclami, segnalazioni e da un accertamento ispettivo svolto tra il 7 e il 9 febbraio 2022. L’istruttoria ha interessato i trattamenti di dati personali connessi a telemarketing, acquisizione di liste da terzi, gestione del consenso, profilazione e esercizio del diritto di opposizione.

Fatto e origine del procedimento

L’Autorità ha verificato diverse casistiche emerse da reclami e segnalazioni relativi a contatti promozionali indesiderati. Sono stati esaminati, tra l’altro, contatti effettuati tramite numerazioni non riconducibili alla rete ufficiale, utilizzo di liste provenienti da partner, rapporti con call-center responsabili del trattamento, nonché le informative e i consensi raccolti tramite il sito web e l’app della società.

Trattamenti esaminati

Nel corso dell’istruttoria il Garante ha esaminato:

• l’uso di liste di prospect ottenute da soggetti terzi;
• i consensi originariamente raccolti da altri titolari e poi “ceduti” lungo la catena di trattamento;
• la gestione delle opposizioni dei contattati e della c.d. “lista di non contattabilità”;
• l’acquisizione di consensi tramite sito internet e app per finalità di marketing e profilazione;
• la conservazione di dati nel CRM aziendale.

Violazioni contestate e valutazioni del Garante

L’atto di contestazione del 13 maggio 2022 ha riguardato, tra gli altri, i seguenti profili:

• contatti promozionali in assenza di un valido consenso informato;
• acquisizione di dati da terzi senza idoneo consenso;
• mancata definizione del ruolo privacy di uno dei soggetti coinvolti nel flusso dati;
• carenze organizzative nelle verifiche preventive sui dati acquisiti dai partner;
• gestione non adeguata del diritto di opposizione;
• informative non corrispondenti ai trattamenti effettivamente svolti;
• consenso non libero e non specifico per finalità distinte.

Il Garante ha ricostruito il quadro in modo differenziato. Ha preso atto dell’esistenza di fenomeni di telemarketing abusivo da parte di terzi che abusavano del nome Edison e ha archiviato le posizioni che, alla luce della documentazione prodotta, non consentivano di imputare con certezza una responsabilità alla società. Ha anche accolto la difesa relativa al ruolo di un soggetto intermedio, ritenendo che la contestazione sul “doppio passaggio” dei dati non fosse confermata.

Tuttavia, per i profili centrali del provvedimento, il Garante ha confermato diverse violazioni, in particolare quelle relative a:

• art. 5, par. 1, lett. a) e par. 2 GDPR;
• artt. 6 e 7 GDPR;
• art. 12, parr. 1, 2 e 3 GDPR;
• art. 21, par. 2 GDPR;
• art. 24, parr. 1 e 2 GDPR;
• art. 25, par. 1 GDPR;
• art. 130 del Codice privacy.

Consent management, marketing e profilazione

Uno dei punti centrali del provvedimento è la modalità con cui Edison acquisiva consensi attraverso sito e app. Il Garante ha rilevato che:

• il consenso richiesto in fase di registrazione era formulato in modo da richiamare finalità di marketing e profilazione;
• la società ha sostenuto che si trattasse di un refuso e che il consenso riguardasse solo l’accesso ai servizi;
• in concreto, però, la documentazione istruttoria mostrava che i consensi raccolti alimentavano il CRM e riguardavano anche clienti che avevano espresso consenso alla profilazione;
• l’iscrizione al sito e all’app risultava di fatto subordinata a un consenso unico per marketing e profilazione.

Per il Garante, ciò ha determinato una lesione della libertà e della specificità del consenso, anche perché la società ha ammesso che alcune attività di profilazione e di comunicazione a terzi non erano realmente svolte al momento, ma restavano previste in prospettiva. L’Autorità ha quindi ritenuto violati gli artt. 6, 7 e 12 GDPR e l’art. 130 del Codice privacy.

Gestione dell’opposizione e della black list

Il provvedimento dedica particolare attenzione alla gestione dell’opposizione al marketing. La società utilizzava una “lista di non contattabilità” alimentata manualmente, basata sul solo numero telefonico e priva di dati contestuali essenziali. Il Garante ha osservato che tale sistema:

• non consente di ricostruire quando l’interessato abbia espresso diniego o revoca;
• non rende immediato l’esercizio del diritto di opposizione;
• impone all’interessato passaggi ulteriori e non necessari per ottenere la cessazione definitiva dei contatti.

Per questo è stata confermata la violazione dell’art. 21, par. 2 GDPR, oltre che degli obblighi di trasparenza e facilitazione dell’esercizio dei diritti ex art. 12 GDPR.

Verifiche preventive sui dati dei partner e principio di accountability

Il Garante ha ritenuto che Edison non avesse predisposto controlli preventivi sufficienti sulle liste ricevute dai partner. Le verifiche risultavano, di fatto, successive ai contatti o ai contratti già attivati, e non ex ante sulle singole numerazioni. Questo ha condotto alla conferma della violazione del principio di accountability e del principio di privacy by design, con riferimento agli artt. 24 e 25 GDPR.

L’Autorità ha inoltre ritenuto che la sola verifica dei siti web di raccolta dei dati non possa surrogare il controllo sulla reale legittimità delle numerazioni fornite dai partner e sulla validità dei consensi originariamente acquisiti.

Contestazioni archiviate

Non tutte le contestazioni sono state confermate. In particolare, il Garante ha disposto l’archiviazione:

• della contestazione relativa alla conservazione nel CRM di dati di clienti cessati da oltre 11 anni, accogliendo le giustificazioni della società;
• della contestazione relativa al ruolo privacy di uno dei soggetti intermedi coinvolti nel flusso dei dati, ritenendo chiarita la dinamica del trasferimento attraverso la documentazione difensiva.

Per altri episodi isolati, l’Autorità ha preso atto delle spiegazioni fornite dalla società, valutando non sufficientemente dimostrata una responsabilità piena di Edison.

Misure inibitorie e prescrittive

Il Garante ha disposto:

• il divieto di ogni ulteriore trattamento per finalità promozionali effettuato mediante liste di anagrafiche di soggetti terzi che non abbiano acquisito un consenso libero, specifico e informato alla comunicazione dei dati a Edison;
• l’ingiunzione, qualora la società intenda usare in futuro utenze fornite da terzi, di adottare procedure idonee a verificare costantemente la liceità dei dati e dei consensi, anche mediante controlli a campione;
• l’obbligo di facilitare l’esercizio dei diritti degli interessati e di rendere lo script di chiamata idoneo a indicare chiaramente il titolare cui indirizzare la richiesta di cancellazione definitiva;
• l’ingiunzione di fornire un’informativa coerente con le operazioni di trattamento effettivamente svolte.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni confermate è stata applicata la sanzione amministrativa pecuniaria di euro 4.900.000,00. Il Garante ha richiamato l’art. 83, parr. 1, 2, 3, 4 e 5, GDPR, evidenziando che, trattandosi di violazioni connesse a trattamenti collegati, si applica il criterio dell’assorbimento nell’ambito della violazione più grave.

Tra gli elementi aggravanti sono stati considerati:

• l’elevato numero di interessati coinvolti;
• la gravità delle violazioni;
• il carattere negligente delle condotte;
• la difformità rispetto alla precedente attività provvedimentale dell’Autorità;
• la rilevanza del fatturato societario.

Tra gli elementi attenuanti sono stati valorizzati:

• l’assenza di precedenti procedimenti;
• la cooperazione con l’Autorità;
• l’attivazione presso l’autorità giudiziaria contro il telemarketing abusivo;
• l’adozione di misure correttive;
• l’implementazione del sistema di centralizzazione dei contratti denominato Watson.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Termine per le comunicazioni sull’adeguamento

Ai sensi dell’art. 157 del Codice privacy, Edison è stata ingiunta di comunicare al Garante, entro 45 giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure imposte. Il mancato adempimento può comportare ulteriori conseguenze sanzionatorie.