Ordinanza ingiunzione o revoca n. 81 del 08/02/2024

Enel Energia S.p.A. - violazioni in materia di telemarketing, sicurezza dei sistemi e art. 28 GDPR

Il provvedimento riguarda Enel Energia S.p.A., destinataria di un’ordinanza-ingiunzione e di prescrizioni correttive a seguito di un’istruttoria avviata dal Garante dopo accertamenti della Guardia di finanza su una filiera di telemarketing illecito nel settore energia. L’Autorità contesta che contratti raccolti da società e agenzie non correttamente autorizzate siano stati inseriti nei sistemi aziendali della Società tramite la piattaforma CRM N.Eve.

Origine dei fatti e sviluppi istruttori

L’istruttoria prende le mosse da indagini svolte nei confronti di società veronesi e toscane che promuovevano servizi energetici mediante contatti telefonici e banche dati di provenienza illecita. Le verifiche hanno mostrato che tali soggetti non avevano un valido rapporto contrattuale con Enel Energia, ma riuscivano comunque a far transitare contratti nei sistemi della Società attraverso Sesta Impresa s.r.l. e la cooperativa Arnia.

Nel corso degli accertamenti sono emersi, in sintesi:

• l’uso di credenziali e canali di accesso ai sistemi Enel Energia da parte di più soggetti;
• la presenza di log e altri dati che avrebbero potuto consentire un monitoraggio più efficace;
• la riconducibilità a Enel Energia di 595 interessati e 978 contratti rinvenuti negli elenchi sequestrati, oltre a un flusso ben più ampio di contratti rilevato nei database confiscati.

Sistema N.Eve, autenticazione e misure di sicurezza

Il cuore della contestazione riguarda il sistema CRM N.Eve, tramite il quale le agenzie della rete di vendita caricano le proposte contrattuali. Enel Energia aveva introdotto un’autenticazione multifattoriale e un sistema di monitoraggio dei log, ma il Garante ritiene che tali misure non fossero sufficienti a prevenire il rischio di uso condiviso delle credenziali e accessi simultanei.

L’Autorità osserva che:

• la MFA, di per sé, non impedisce l’associazione di più dispositivi a uno stesso account;
• il sistema non bloccava gli accessi contemporanei con le medesime credenziali;
• i controlli SEOL non erano stati applicati a N.Eve in modo completo, in particolare quanto ad alert su accessi da posizioni geografiche diverse e accessi multipli;
• i dati raccolti mostrano caricamenti molto intensi e ripetuti, compatibili con un uso non correttamente presidiato delle utenze.

Accountability, privacy by design e controllo della rete agenziale

Il Garante ritiene che Enel Energia non abbia esercitato in modo pieno e consapevole i propri poteri di controllo sulla rete di vendita e sui processi esternalizzati. La Società, pur disponendo di strumenti di monitoraggio, non li avrebbe utilizzati in modo efficace per rilevare anomalie, segmentare l’operatività delle agenzie e intercettare comportamenti scorretti.

La violazione è quindi ricondotta agli artt. 5, par. 2, 24 e 25 GDPR, perché il titolare avrebbe dovuto progettare e governare il trattamento con misure organizzative e tecniche idonee a prevenire l’infiltrazione di contratti illeciti e a garantire trasparenza, sicurezza e centralità dell’interessato.

Art. 28 GDPR: responsabili, sub-responsabili e catena di responsabilità

Un ulteriore profilo riguarda l’art. 28 GDPR. Secondo il Garante, i contratti standard tra Enel Energia e le agenzie non disciplinano correttamente l’eventuale ricorso a sub-agenti o sub-responsabili e non assicurano che gli stessi obblighi di protezione dei dati siano imposti lungo tutta la filiera.

L’Autorità sottolinea che la clausola contrattuale si limita a uno scarico formale di responsabilità, senza una reale strutturazione della catena titolare-responsabile-subresponsabile e senza un controllo effettivo del titolare sui soggetti operativi della rete di vendita.

Difese della Società e valutazioni del Garante

Enel Energia aveva sollevato numerose eccezioni, tra cui:

• tardività della contestazione;
• violazione del diritto di difesa per limitazioni all’accesso documentale;
• ne bis in idem rispetto a un precedente provvedimento del 2021;
• insussistenza del nesso causale tra misure di sicurezza e fenomeno illecito;
• correttezza dell’assetto contrattuale con le agenzie.

Il Garante respinge tali difese. In particolare, ritiene rispettato il termine di 120 giorni per la contestazione, escludendo che l’accertamento coincidesse con la mera acquisizione dei primi documenti; esclude la violazione del diritto di difesa, poiché la Società ha potuto visionare e copiare gran parte degli atti; e nega l’identità sostanziale tra il presente procedimento e quello concluso con il provvedimento n. 443/2021, poiché qui il focus è sulle misure di sicurezza e sulla governance della filiera, non sulla liceità del primo contatto promozionale.

Violazioni accertate

Il Garante accerta la responsabilità di Enel Energia per:

• violazione degli artt. 5, par. 1, lett. f), e 32 GDPR;
• violazione degli artt. 5, par. 2, 24 e 25 GDPR;
• violazione dell’art. 28 GDPR.

Le condotte sono ritenute gravi e connotate da negligenza, anche per la durata delle infiltrazioni illecite e per il numero degli interessati coinvolti.

Sanzione amministrativa e criteri di quantificazione

L’Autorità applica la sanzione amministrativa pecuniaria di euro 79.107.101. Per la quantificazione, il Garante considera:

• la gravità delle violazioni e l’ampiezza del fenomeno del telemarketing indesiderato;
• il numero di interessati e la durata delle condotte illecite, rilevate dal 2015 al 2022;
• il carattere gravemente negligente delle scelte aziendali;
• l’elevato grado di responsabilità del titolare, in ragione della sua dimensione e del volume di dati trattati;
• come attenuante, l’introduzione nel luglio 2023 di un sistema che impedisce l’uso contemporaneo delle stesse credenziali;
• come ulteriore elemento di ponderazione, il rapporto tra contratti illecitamente acquisiti e contratti in uscita rilevati dai database confiscati.

Il provvedimento indica anche il massimo edittale di riferimento, pari a euro 988.838.774, e precisa che la sanzione è pari allo 0,32% del fatturato annuo.

Misure correttive e prescrizioni

Oltre alla sanzione, il Garante ingiunge alla Società di:

• comunicare a 595 interessati gli esiti del procedimento, su testo da concordare con l’Autorità;
• fornire documentazione sulle misure implementate per impedire accessi contemporanei con le medesime credenziali a N.Eve;
• introdurre ulteriori misure per garantire tracciabilità, monitoraggio efficace e blocco degli accessi da IP diversi da quelli attribuiti a ciascuna agenzia;
• assicurare che le agenzie stipulino con eventuali sub-agenti contratti conformi al contratto standard e coerenti con la distribuzione delle responsabilità ex art. 28 GDPR;
• comunicare entro 30 giorni le iniziative adottate per dare attuazione alle misure imposte.

Pubblicazione e rimedi

È disposta la pubblicazione del provvedimento sul sito del Garante. Resta ferma la possibilità di opposizione avanti l’autorità giudiziaria ordinaria ai sensi dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento.