Ordinanza ingiunzione o revoca n. 205 del 11/04/2024

Facile.Energy S.r.l. - telemarketing illecito, RPO e carenze di accountability

Il provvedimento riguarda Facile.Energy S.r.l. ed è stato adottato all’esito di un’istruttoria avviata a seguito di numerose segnalazioni e reclami per chiamate promozionali indesiderate e attivazioni non richieste di forniture energetiche. L’Autorità ha ritenuto che la società avesse gestito la filiera del teleselling in modo non conforme al GDPR e al Codice privacy, effettuando contatti anche verso numerazioni iscritte al Registro Pubblico delle Opposizioni.

Origine dell’istruttoria e verifiche svolte

L’istruttoria ha preso le mosse da 56 segnalazioni e 2 reclami presentati nel periodo gennaio 2022-marzo 2023, in massima parte in materia di telemarketing. L’Ufficio ha richiesto informazioni a Facile.Energy ai sensi dell’art. 157 del Codice e ha acquisito dalla Fondazione Ugo Bordoni, che gestisce il RPO, le risultanze del controllo sulle numerazioni telefoniche indicate dalla società.

Dalla verifica è emerso che, al tempo delle chiamate promozionali effettuate dalla società, 106 utenze telefoniche erano iscritte al Registro Pubblico delle Opposizioni, pari al 6% dei 1.768 contatti telefonici dai quali erano scaturite contrattualizzazioni nel periodo considerato.

Le contestazioni mosse dal Garante

Nella comunicazione di avvio del procedimento il Garante ha contestato a Facile.Energy la possibile violazione di:

• artt. 5, par. 1, lett. a) e f), 5, par. 2, 6, par. 1, lett. a), 24, par. 1, 25, 28 e 32 GDPR;
• art. 130, commi 3 e 3-bis, del Codice privacy.

Le contestazioni riguardavano, in particolare:

• l’assenza di un’idonea base giuridica per i trattamenti svolti per finalità promozionali;
• la mancata predisposizione di misure tecniche e organizzative adeguate a prevenire e contrastare il telemarketing illecito;
• l’erronea definizione dei ruoli tra società, teleseller e altri soggetti della rete commerciale;
• la carenza di controlli sull’origine delle liste di contattabilità e sulla liceità del contatto;
• la mancata dimostrazione di un’effettiva accountability del titolare.

Difese della società e misure adottate in corso di procedimento

Facile.Energy ha sostenuto che i dati dei potenziali clienti fossero reperiti dai teleseller e che questi ultimi fossero contrattualmente tenuti a contattare solo soggetti non iscritti al RPO e a operare con numeri iscritti al ROC. Ha inoltre affermato di aver introdotto o rafforzato varie misure organizzative e tecniche: controlli a campione, questionari di prequalifica, audit, verifica della residenza tramite applicativo, utilizzo di OTP per la stipula, esclusione progressiva del vocal order, ulteriori verifiche sul RPO e blocco dei contratti in caso di anomalie.

L’Autorità ha preso atto di tali iniziative, ma le ha ritenute in larga parte tardive, implementate durante il procedimento e comunque non sufficienti a sanare le violazioni contestate.

Valutazioni del Garante su ruoli, RPO e base giuridica

Il Garante ha chiarito che la clausola contrattuale che poneva in capo ai teleseller l’onere di reperire e ripulire le liste non poteva trasferire sul titolare gli obblighi di legge né esonerarlo dalle proprie responsabilità. La disciplina del RPO è stata distinta dal diritto di opposizione ex art. 21 GDPR:

• l’iscrizione al RPO comporta la revoca dei consensi precedentemente prestati per finalità promozionali e impone agli operatori la consultazione preventiva del Registro;
• il diritto di opposizione ex art. 21 GDPR opera nei confronti del singolo titolare e richiede risposta senza ingiustificato ritardo e comunque entro un mese.

L’Autorità ha ritenuto che Facile.Energy avesse mostrato una confusione di fondo tra i due istituti e non avesse adeguatamente verificato l’origine dei dati, la base giuridica del trattamento e la correttezza delle liste utilizzate dai teleseller.

Violazione del telemarketing e contatti verso iscritti al RPO

La verifica presso la Fondazione Ugo Bordoni ha confermato che 106 numerazioni contattate nel periodo febbraio-marzo 2023 risultavano iscritte al RPO. Il Garante ha considerato tale dato indicativo di un telemarketing svolto in violazione dell’art. 130, commi 3 e 3-bis, del Codice privacy, nonché dei principi di liceità e di necessaria base giuridica di cui agli artt. 5 e 6 GDPR.

Il tentativo della società di contestare il dato richiamando un elenco di 16 numerazioni iscritte successivamente al marzo 2023 è stato giudicato insufficiente e non idoneo a smentire le risultanze ufficiali della Fondazione Ugo Bordoni. Anche ipotizzando l’accoglimento di tale eccezione, l’Autorità ha osservato che permarrebbero comunque almeno 90 contatti telefonici illeciti nella sola settimana campione.

Carenze di accountability, vigilanza e sicurezza

Il provvedimento sottolinea che Facile.Energy aveva un dovere diretto di verifica dell’origine dei dati e dell’operato dei partner commerciali, ai sensi degli artt. 24, 25 e 28 GDPR. In particolare, il titolare avrebbe dovuto:

• selezionare responsabili e partner con garanzie sufficienti;
• vigilare concretamente sulle loro attività;
• predisporre misure tecniche e organizzative idonee a prevenire contratti e contatti illeciti;
• dimostrare, in modo documentato, la conformità del trattamento.

Secondo il Garante, i controlli implementati dalla società erano per lo più formali o ex ante e non hanno impedito il verificarsi delle violazioni. È stata inoltre richiamata, come best practice, la disciplina del Codice di condotta per le attività di telemarketing e teleselling, in particolare l’art. 16.

Gravità delle conseguenze per gli interessati

L’Autorità ha valorizzato i pregiudizi lamentati dagli interessati: perdita di condizioni economiche più favorevoli, fatture di importo elevato, richieste di pagamento di somme non dovute, sospensione della fornitura elettrica in alcuni casi e forte disagio per l’incertezza sull’origine dei dati e sulle conseguenze dei contatti illeciti.

Il Garante ha quindi ritenuto che la condotta della società avesse avuto un impatto non solo sulla sfera giuridica, ma anche su quella patrimoniale e personale dei reclamanti e segnalanti.

Misure impartite e sanzione

Accertata la responsabilità di Facile.Energy, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento dei dati dei segnalanti e dei reclamanti, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• l’ingiunzione di comunicare ai 106 interessati gli esiti del procedimento, con un testo da concordare con l’Autorità, ai sensi dell’art. 58, par. 2, lett. d) ed e), GDPR;
• l’ingiunzione di predisporre adeguati controlli sulla rete di vendita e adeguate implementazioni dei sistemi per evitare che contatti illeciti esterni producano attivazioni di servizi energetici;
• l’obbligo di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure.

È stata inoltre irrogata, ai sensi dell’art. 83, parr. 3 e 5, GDPR, una sanzione amministrativa pecuniaria di euro 100.000,00. Nella quantificazione sono stati considerati:

• la gravità delle violazioni e la loro collocazione nel contesto del telemarketing illecito;
• l’assenza di precedenti provvedimenti del Garante a carico della società;
• le azioni rimediali avviate in corso di procedimento, giudicate solo parzialmente idonee;
• la non piena collaborazione nel corso dell’istruttoria.

È stata disposta anche la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Il provvedimento indica infine la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione.