Ordinanza ingiunzione o revoca n. 342 del 06/06/2024

Eni Plenitude S.p.A. Società Benefit: telemarketing illecito e carenze di controllo della filiera commerciale

Il provvedimento riguarda Eni Plenitude S.p.A. Società Benefit ed è stato adottato all’esito di un’istruttoria avviata su numerose segnalazioni e reclami relativi a telefonate promozionali indesiderate, spesso effettuate verso utenze iscritte al Registro Pubblico delle Opposizioni. L’Autorità ha esaminato sia la legittimità delle campagne commerciali sia l’assetto organizzativo e i controlli della filiera di vendita, dal contatto iniziale fino alla conclusione del contratto.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata con comunicazione del 28 dicembre 2023 ai sensi dell’art. 166, comma 5, del Codice privacy. Il procedimento origina da 108 segnalazioni e 7 reclami, per lo più in materia di telemarketing, concernenti chiamate promozionali indesiderate effettuate senza consenso o nonostante l’iscrizione al RPO.

Nel corso dell’istruttoria l’Ufficio ha richiesto informazioni ex art. 157 del Codice, poi integrate da ulteriori riscontri della società. È stata inoltre effettuata una verifica presso la Fondazione Ugo Bordoni, gestore del RPO, sull’elenco delle numerazioni contattate nel periodo febbraio-marzo 2023.

Riscontri sul Registro Pubblico delle Opposizioni

Dall’analisi della Fondazione Ugo Bordoni è emerso che 746 utenze telefoniche risultavano iscritte al RPO al momento dei contatti promozionali effettuati da Eni Plenitude. Il dato è stato rapportato a 10.625 contatti telefonici che avevano determinato l’attivazione di un servizio nel periodo di riferimento, con una incidenza di poco superiore al 7%.

Il Garante ha valorizzato tale esito come indice di una carenza sistemica nel presidio della conformità alle regole sul telemarketing e sul meccanismo di opt-out derivante dall’iscrizione al Registro.

Canali di acquisizione dei contatti e difese della società

La società ha spiegato che le proposte di acquisto provenivano da diversi canali: teleselling outbound, comparatore e web assistito. Ha inoltre descritto le procedure di verifica delle liste di contattabilità, dei consensi privacy e dell’iscrizione al RPO, sostenendo che per alcune categorie di clienti o prospect il contatto fosse legittimo sulla base del consenso o di specifiche dinamiche commerciali.

Le difese hanno riguardato anche i contatti classificati come “chiamate sospette di terzi”, i casi di “spoofing”, i contatti tramite partner e le attività di co-marketing e win back. La società ha sostenuto di aver implementato presidi organizzativi e tecnici, tra cui verifiche a campione, blocco delle anagrafiche incomplete, audit sui provider e canali dedicati alle segnalazioni.

Valutazione del Garante sulla liceità dei trattamenti

Il Garante ha ritenuto che numerose campagne di telemarketing siano state effettuate in assenza di un’idonea base giuridica e in violazione dell’art. 130 del Codice privacy e degli artt. 5 e 6 GDPR. In particolare, è stato contestato che:

• le liste destinate al contatto non fossero adeguatamente verificate presso il RPO;
• non risultassero implementate modalità semplificate di revoca dei consensi per i rapporti contrattuali richiamati dall’art. 1, comma 5, della legge n. 5/2018;
• il meccanismo invocato per co-marketing e contatti tramite partner si traducesse, di fatto, in un espediente per eludere la disciplina sul RPO;
• le attività di win back fossero svolte oltre limiti ragionevoli di tempo, anche a distanza di anni dalla cessazione del rapporto;
• la gestione dei cd. lead caldi per 15 giorni dalla manifestazione d’interesse non fosse sufficiente a fondare il trattamento, perché confondeva interesse precontrattuale e consenso al marketing.

Carenze di accountability, sicurezza e controllo della filiera

L’Autorità ha ritenuto violate anche le norme sull’accountability e sulla sicurezza del trattamento, in particolare gli artt. 5, par. 2, 24, 25 e 28 GDPR. Il provvedimento sottolinea la mancanza di una struttura di monitoraggio efficace sull’intera filiera commerciale, tale da impedire che nel patrimonio aziendale confluissero contratti generati da contatti illeciti.

Il Garante ha giudicato insufficienti i controlli meramente formali sugli agenti e sui partner, nonché l’eventuale allontanamento del singolo operatore irregolare, se non accompagnati da verifiche sui contratti già inseriti e da presidi capaci di evitare ulteriori ingressi di proposte illecite nei sistemi. È stata inoltre rilevata una criticità specifica sul ritardo nell’aggiornamento di alcune anagrafiche, in violazione del principio di esattezza di cui all’art. 5 GDPR.

Esito sulle eccezioni preliminari e difensive

Le eccezioni di rito e di merito sollevate da Eni Plenitude sono state respinte. In particolare, il Garante ha escluso:

• la violazione del ne bis in idem, per mancanza di identità del fatto rispetto ai provvedimenti del 2019;
• la violazione del giusto procedimento per l’istruttoria congiunta delle segnalazioni, ritenuta coerente con i principi di economicità e non aggravamento;
• l’illegittimità del termine a difesa concesso, considerata la natura documentale del procedimento e l’ampia conoscenza già in possesso della società;
• la violazione del termine di 120 giorni per la contestazione, ritenendo l’accertamento intervenuto quantomeno con il riscontro della FUB del 29 agosto 2023.

Violazioni accertate

L’Autorità ha concluso per la responsabilità della società in ordine a:

• violazione dei principi di liceità, correttezza, trasparenza, esattezza e responsabilizzazione di cui all’art. 5, par. 1, lett. a), d), f) e par. 2 GDPR;
• trattamento illecito per attività di telemarketing in assenza di base giuridica, in violazione degli artt. 5 e 6 GDPR e dell’art. 130 del Codice privacy;
• omessa adozione di adeguate misure di sicurezza, monitoraggio e controllo lungo la filiera commerciale, in violazione degli artt. 5, 24, 25 e 28 GDPR.

Sanzione amministrativa pecuniaria

Per la determinazione del massimo edittale il Garante ha fatto riferimento al fatturato 2022 di Eni Plenitude, fissando il massimo applicabile in 320.981.542 euro. Tenuto conto della gravità delle violazioni, ma anche della tempestiva ottemperanza della società ad alcuni precedenti provvedimenti, è stata applicata una sanzione amministrativa pecuniaria di 6.419.631 euro, pari al 2% del massimo edittale.

È stata inoltre disposta la pubblicazione del provvedimento sul sito dell’Autorità.

Misure correttive e termini

Il Garante ha disposto:

• il divieto di ogni ulteriore trattamento dei dati dei segnalanti e dei reclamanti;
• l’ingiunzione di comunicare ai 657 interessati i cui dati anagrafici sono confluiti nei sistemi della società a seguito di contatti illeciti l’esito del procedimento, secondo un testo da concordare con l’Autorità;
• l’obbligo di predisporre adeguati controlli presso la rete di vendita e adeguate implementazioni dei sistemi per evitare l’ingresso di contratti generati da contatti illeciti;
• l’obbligo di adottare misure idonee ad assicurare il rispetto dei principi dell’art. 5 GDPR.

La società deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica del provvedimento, le iniziative intraprese per dare attuazione alle misure imposte.

Implicazioni operative

Il provvedimento evidenzia che, in materia di telemarketing, non è sufficiente invocare il consenso originario o la struttura contrattuale della filiera commerciale: il titolare deve poter dimostrare la liceità della base giuridica, la verifica preventiva sul RPO, l’effettiva revocabilità dei consensi e la tracciabilità delle attività svolte da partner, agenzie e sub-agenzie. In assenza di tali presìdi, il rischio sanzionatorio può riguardare sia la liceità delle singole campagne sia l’adeguatezza complessiva dell’assetto organizzativo e di sicurezza.