Ordinanza ingiunzione o revoca n. 249 del 29/04/2025

Energia Pulita S.r.l. - telemarketing energetico, mancato riscontro al Garante e uso di sub-responsabili senza autorizzazione

Il Garante ha adottato un’ordinanza ingiunzione nei confronti di Energia Pulita S.r.l., operatore di call center/contact center coinvolto nelle campagne promozionali di Energia Verde S.p.A. Il procedimento è nato da numerosi reclami e segnalazioni su chiamate indesiderate per offerte di fornitura energetica e su riscontri inadeguati alle istanze degli interessati.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice dopo la ricezione di quasi un centinaio di doglianze dal giugno 2023 in poi. Le segnalazioni riguardavano contatti promozionali effettuati senza idonea base giuridica, anche verso utenze iscritte al Registro pubblico delle opposizioni, e criticità nel riscontro alle richieste di esercizio dei diritti.

L’Autorità ha richiesto informazioni a Energia Verde e poi anche a Energia Pulita, chiedendo chiarimenti su:

• rete di vendita e raccolta delle proposte di acquisto;
• gestione delle richieste di ricontatto tramite sito web;
• liste di contattabilità e loro provenienza;
• informative rese agli interessati;
• modalità di acquisizione dei consensi;
• rapporti contrattuali tra le società.

Verifica sulle chiamate promozionali e sul RPO

Il Garante ha trasmesso alla Fondazione Ugo Bordoni un elenco di numerazioni telefoniche per verificare l’eventuale iscrizione al Registro pubblico delle opposizioni. Dall’esito della verifica è emerso che 5 utenze su 81, pari al 6,17%, risultavano iscritte al RPO al momento delle chiamate promozionali. Questo elemento ha rafforzato il quadro istruttorio relativo alle modalità di contatto utilizzate nell’attività di telemarketing.

Tardivo e inadeguato riscontro alle richieste del Garante

Una delle violazioni contestate riguarda il mancato tempestivo riscontro da parte di Energia Pulita alle richieste di informazioni formulate dall’Autorità ai sensi degli artt. 157 del Codice e 58, par. 1, lett. a), GDPR. La Società è rimasta inizialmente silente, ha chiesto la proroga solo dopo la scadenza del termine e ha poi trasmesso i documenti richiesti.

Il Garante ha ritenuto irrilevante la tesi difensiva secondo cui il termine sarebbe stato ordinatorio e non perentorio. Ha chiarito che il riscontro alle richieste dell’Autorità è un obbligo, la cui violazione integra un illecito amministrativo omissivo proprio, sanzionabile ai sensi dell’art. 166, comma 2, del Codice e dell’art. 83, par. 5, GDPR. La condotta ha determinato un indebito rallentamento dell’attività amministrativa e viola anche l’art. 31 GDPR, che impone la cooperazione con l’Autorità di controllo.

Ricostruzione dei ruoli privacy: Energia Verde titolare, Energia Pulita responsabile

Sul piano sostanziale, il Garante ha ricostruito i rapporti tra le parti sulla base non solo dei contratti, ma anche del concreto svolgimento delle attività. Ha ritenuto che Energia Verde determinasse finalità e mezzi essenziali del trattamento, mentre Energia Pulita operasse per conto della committente svolgendo attività di promozione, teleselling, raccolta delle proposte di acquisto e caricamento delle pratiche sui sistemi aziendali.

Il Garante ha richiamato le Linee guida 07/2020 del Comitato europeo per la protezione dei dati sul concetto di titolare e responsabile, sottolineando che la qualificazione va effettuata in base a un criterio funzionale e fattuale. In questo contesto, il fatto che Energia Pulita disponesse di spazi operativi non escludeva la natura di responsabile, poiché agiva nell’interesse di Energia Verde, con condizioni economiche e commerciali eterodeterminate da quest’ultima.

Uso di soggetti terzi e sub-responsabilità

Per lo svolgimento dell’incarico, Energia Pulita si è avvalsa di ulteriori soggetti terzi, indicati come XX ed XX, che il Garante ha qualificato come sub-responsabili del trattamento. Tuttavia, non risultava la previa autorizzazione del titolare del trattamento richiesta dall’art. 28, par. 2, GDPR.

Il provvedimento evidenzia che la nomina a responsabile conteneva, per contro, un divieto generale di ricorrere a subfornitori in assenza di autorizzazione specifica, e che la Società non ha prodotto alcuna documentazione idonea a provare il rilascio di tale autorizzazione. Ne è derivata la contestazione della violazione dell’art. 28 GDPR, anche in relazione all’art. 4 GDPR.

Attuale assetto organizzativo e misure correttive

Nel corso del procedimento, le società hanno riferito di aver riorganizzato l’assetto dei trattamenti, con nomina di Energia Pulita a responsabile del trattamento e con indicazioni specifiche sulle verifiche da svolgere sulle liste di contattabilità, compreso il controllo con il RPO e la verifica dell’adeguatezza delle informative e dei consensi nei casi di liste “consensate”.

Il Garante ha preso atto dell’adozione di misure correttive in corso di procedimento, valorizzandole come elemento attenuante ai fini sanzionatori, ma non idoneo a escludere le responsabilità già accertate.

Valutazione giuridica finale del Garante

L’Autorità ha concluso che Energia Pulita è responsabile di due categorie di violazioni:

• artt. 157 del Codice, 31 e 58 GDPR, per il tardivo e inadeguato riscontro alle richieste di informazioni;
• art. 28 GDPR, anche in relazione all’art. 4 GDPR, per lo svolgimento di trattamenti in assenza della corretta attribuzione dei ruoli e per l’uso di sub-responsabili senza autorizzazione.

Il Garante ha ritenuto che la responsabilità non potesse essere esclusa né dalla difesa fondata sulla pretesa autonomia contrattuale di Energia Pulita, né dall’argomento relativo alla provenienza autonoma delle liste di contatto. In particolare, ha chiarito che chi commissiona la campagna di telemarketing e ne trae il beneficio economico mantiene la qualità di titolare per i trattamenti connessi a tale attività.

Sanzione amministrativa pecuniaria e criteri di quantificazione

È stata applicata a Energia Pulita una sanzione di 10.000 euro. Ai fini del massimo edittale, il Garante ha considerato il fatturato dell’ultimo bilancio disponibile (2023), individuando il tetto massimo in 20.000.000 euro ai sensi dell’art. 83, parr. 3 e 5, GDPR.

Nel determinare l’importo, l’Autorità ha valorizzato:

• la gravità delle violazioni, in un settore, quello del telemarketing, oggetto di numerosi interventi regolatori e sanzionatori;
• l’adozione, in pendenza di procedimento, di misure correttive, valutata come fattore attenuante ai sensi dell’art. 83, par. 2, lett. k), GDPR.

La sanzione è stata ritenuta proporzionata, effettiva e dissuasiva, anche in considerazione del necessario bilanciamento tra tutela dei diritti degli interessati e libertà di impresa.

Prescrizioni, pubblicazione e rimedi

Oltre alla sanzione pecuniaria, il Garante ha:

• ingiunto a Energia Pulita, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di provvedere alla corretta formalizzazione del ruolo di XX nell’ambito dei trattamenti svolti per Energia Verde;
• ordinato alla Società di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione alla misura;
• disposto la pubblicazione del provvedimento sul sito del Garante, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019, nonché quale sanzione accessoria ex art. 166, comma 7, del Codice.

È stata inoltre richiamata la facoltà di definizione agevolata della controversia prevista dall’art. 166, comma 8, del Codice, con pagamento di un importo pari alla metà della sanzione entro 30 giorni, e la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011.