Prescrizioni del Garante n. 391 del 28/05/2026

Enel Energia S.p.A. - diniego di accesso a una registrazione telefonica

Il provvedimento riguarda il reclamo di un interessato nei confronti di Enel Energia S.p.A. per il rigetto della richiesta di accesso, ex art. 15 GDPR, a una registrazione telefonica intercorsa con il servizio clienti. Il Garante ha ritenuto illegittimo il diniego, qualificando la condotta come violazione degli artt. 12 e 15 del Regolamento.

Fatti e svolgimento del procedimento

L’interessato aveva presentato il 13 ottobre 2025 reclamo all’Autorità, lamentando che la società non avesse fornito copia della registrazione della chiamata del 6 agosto 2025, richiesta con istanza dell’8 agosto 2025. Enel Energia aveva riscontrato negativamente il 28 settembre 2025, invocando la tutela della privacy dell’operatore del customer care. L’Autorità ha quindi avviato istruttoria con richiesta di informazioni del 12 dicembre 2025, alla quale la società ha risposto il 26 gennaio 2026.

Posizione del titolare del trattamento

Enel Energia S.p.A. ha sostenuto di aver correttamente applicato l’art. 15, par. 4, GDPR, ritenendo prevalente il diritto alla riservatezza del terzo coinvolto nella registrazione. La società ha evidenziato che l’operatore aveva più volte indicato i propri dati identificativi e che la registrazione era destinata, in base al contratto con il fornitore del customer care, alla sola valutazione della qualità del servizio. Ha anche richiamato il possibile rischio di contestazioni disciplinari nei confronti dell’operatore.

Valutazioni del Garante sul diritto di accesso

L’Autorità ha ricordato che il concetto di dato personale, ai sensi dell’art. 4, n. 1, GDPR, comprende anche informazioni sonore e acustiche contenute in registrazioni telefoniche. Tali dati sono quindi accessibili dall’interessato ai sensi dell’art. 15 GDPR, fermo restando il limite posto dal par. 4 dello stesso articolo, che impone di non ledere i diritti e le libertà altrui.

Il Garante ha richiamato le Linee guida n. 01/2022 sul diritto di accesso, sottolineando che il titolare deve svolgere una valutazione caso per caso e adottare, se necessario, misure idonee a mitigare il pregiudizio per i terzi, come:

• oscuramento dei dati personali del terzo;
• camouflage della voce;
• eventuale consegna della trascrizione della conversazione depurata dagli elementi identificativi.

Violazione accertata

Nel caso concreto, il Garante ha osservato che la telefonata aveva natura meramente professionale e riguardava esclusivamente il contratto di fornitura di gas dell’interessato. In tale contesto, la richiesta avrebbe potuto essere soddisfatta senza compromettere la riservatezza dell’operatore, mediante l’oscuramento di nome, numero di matricola e altri elementi identificativi, oppure con tecniche di morphing della voce o con la sola trascrizione del contenuto della chiamata.

La società, pertanto, non poteva legittimamente opporre il diniego, sicché il trattamento è stato ritenuto illecito per violazione degli artt. 12 e 15 GDPR.

Esito del provvedimento e misure ordinate

Il Garante ha:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato da Enel Energia S.p.A.;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. c), GDPR, di soddisfare entro trenta giorni dalla notifica le richieste di esercizio dei diritti dell’interessato, nei termini indicati nella motivazione;
• richiesto alla società di fornire entro il medesimo termine un riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice privacy;
• avvertito che l’eventuale mancato riscontro può comportare la sanzione amministrativa pecuniaria di cui all’art. 83, par. 5, lett. e), GDPR;
• disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità;
• ordinato la pubblicazione del provvedimento sul sito istituzionale del Garante.

Indicazioni operative desumibili

Il provvedimento conferma che, in presenza di richieste di accesso relative a registrazioni di chiamate, il titolare non può limitarsi a negare l’ostensione per la sola presenza di dati del terzo. Occorre invece verificare se il diritto dell’interessato possa essere soddisfatto con misure tecniche e organizzative di anonimizzazione o oscuramento, senza sacrificare il diritto di accesso previsto dall’art. 15 GDPR.